ISO 27001 Informationssicherheitsmanagementsysteme

ISO 27001 ist der internationale Standard für Informationssicherheitsmanagementsysteme (ISMS). Er bietet einen systematischen Ansatz zur Verwaltung sensibler Informationen und deckt Personen, Prozesse und Technologie ab. Die ISO 27001-Zertifizierung zeigt Kunden, Aufsichtsbehörden und Partnern, dass Ihre Organisation umfassende Kontrollen implementiert hat, um die Vertraulichkeit, Integrität und Verfügbarkeit von Daten zu schützen.

Wer benötigt ISO 27001?

ISO 27001 ist für Organisationen in verschiedenen Branchen relevant:

• Technologieunternehmen: SaaS-Anbieter, Cloud-Infrastruktur, Softwarehersteller, Managed-Service-Provider
• Finanzdienstleistungen: Banken, Zahlungsabwickler, Fintech-Plattformen, Versicherungsunternehmen
• Gesundheitswesen: Elektronische Patientenakten-Systeme, Telemedizin-Plattformen, Hersteller medizinischer Geräte
• Professionelle Dienstleistungen: Beratungsfirmen, Anwaltskanzleien, Wirtschaftsprüfungsgesellschaften, die vertrauliche Kundendaten verarbeiten
• Auftragnehmer der öffentlichen Hand: Organisationen, die sich um öffentliche Aufträge bewerben, die eine Zertifizierung für Informationssicherheit erfordern
• Lieferkettenpartner: Zulieferer, die Unternehmenskunden oder kritische Infrastrukturen unterstützen

Obwohl ISO 27001 in den meisten Rechtsordnungen nicht gesetzlich vorgeschrieben ist, gilt sie als de facto-Anforderung für die Zusammenarbeit mit sicherheitsbewussten Kunden, insbesondere in Europa.

Struktur von ISO 27001

Der Standard ist in zwei Teile unterteilt:

Hauptklauseln (4-10): Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und Verbesserung eines ISMS

• Klausel 4: Kontext der Organisation (Geltungsbereich, Stakeholder, rechtliche Anforderungen)
• Klausel 5: Führung (Verpflichtung der obersten Leitung, Rollen, Richtlinie)
• Klausel 6: Planung (Risikobewertung, Risikobehandlung, Ziele)
• Klausel 7: Unterstützung (Ressourcen, Kompetenz, Sensibilisierung, Kommunikation, Dokumentation)
• Klausel 8: Betrieb (Umsetzung von Risikobehandlungsplänen, Kontrollen)
• Klausel 9: Leistungsbewertung (Überwachung, interne Auditierung, Managementbewertung)
• Klausel 10: Verbesserung (Behandlung von Nichtkonformitäten, Korrekturmaßnahmen, kontinuierliche Verbesserung)

Anhang A: 93 Sicherheitskontrollen, die in 4 Themen und 14 Kategorien unterteilt sind

Organisationen wählen anwendbare Kontrollen aus Anhang A basierend auf ihrer Risikobewertung aus und dokumentieren die Begründungen für Ausschlüsse in einer Erklärung zur Anwendbarkeit (Statement of Applicability, SoA).

Themen der Kontrollen in Anhang A

Die 93 Kontrollen (ISO 27001:2022-Version) sind gruppiert in:

Organisatorische Kontrollen (37 Kontrollen):

• Richtlinien, Rollen und Verantwortlichkeiten, Funktionstrennung
• Asset-Management, akzeptable Nutzung, Rückgabe von Assets
• Sicherheit im Personalwesen (Hintergrundprüfungen, Sicherheitsschulungen, Disziplinarverfahren)
• Lieferantenbeziehungen (Sicherheitsbewertungen von Anbietern, Verträge, Überwachung)
• Compliance (rechtliche Anforderungen, Datenschutz, geistiges Eigentum, Audits)

Personenbezogene Kontrollen (8 Kontrollen):

• Überprüfung, Arbeitsverträge, Sicherheitsschulungen
• Disziplinarverfahren, Verantwortlichkeiten nach Beendigung des Arbeitsverhältnisses
• Sicherheit bei Telearbeit und mobilen Geräten

Physische Kontrollen (14 Kontrollen):

• Physische Sicherheitsperimeter, Zugangskontrollen, Sicherung von Büros und Einrichtungen
• Gerätesicherheit (Aufstellung, Schutz, Wartung, Entsorgung)
• Richtlinien für aufgeräumte Schreibtische und Bildschirme

Technologische Kontrollen (34 Kontrollen):

• Zugriffskontrolle (Benutzerregistrierung, Passwortmanagement, Überprüfung von Zugriffsrechten)
• Kryptographie (Verschlüsselungsrichtlinien, Schlüsselmanagement)
• Netzwerksicherheit (Segmentierung, Angriffserkennung, Firewall-Regeln)
• Systemsicherheit (Härtung, Patch-Management, Protokollierung, Überwachung)
• Anwendungssicherheit (sichere Entwicklung, Testen, Change-Management)
• Backup, Business Continuity, Notfallwiederherstellung
• Incident-Management (Erkennung, Reaktion, Forensik, Lessons Learned)

Nicht alle Kontrollen sind für jede Organisation relevant. Ein Startup-SaaS-Unternehmen könnte physische Perimeterkontrollen ausschließen, wenn es Colocation-Rechenzentren nutzt, muss den Ausschluss jedoch begründen.

Risikobewertung und -behandlung

ISO 27001 erfordert einen strukturierten Risikomanagementprozess:

1. Identifizierung von Assets: Daten, Systeme, Personal, Einrichtungen, Reputation
2. Identifizierung von Bedrohungen und Schwachstellen: Cyberangriffe, Insider-Bedrohungen, Naturkatastrophen, menschliches Versagen, Ausfälle Dritter
3. Bewertung von Eintrittswahrscheinlichkeit und Auswirkungen: Quantifizierung oder Qualifizierung von Risikostufen
4. Festlegung der Risikobereitschaft: Definition des akzeptablen Risikoniveaus
5. Auswahl der Risikobehandlung: Minderung (Anwendung von Kontrollen), Akzeptanz (Dokumentation der Begründung), Übertragung (Versicherung, Outsourcing) oder Vermeidung (Einstellung riskanter Aktivitäten)
6. Dokumentation im Risikobehandlungsplan: Auflistung der ausgewählten Kontrollen, Verantwortlichkeiten, Zeitpläne, Ressourcen

Die Risikobewertung bestimmt, welche Kontrollen aus Anhang A Sie implementieren. Hochpriorisierte Risiken erfordern stärkere Kontrollen; Risiken mit niedriger Priorität können akzeptiert oder mit leichteren Maßnahmen behandelt werden.

Erklärung zur Anwendbarkeit (Statement of Applicability, SoA)

Die SoA ist ein kritisches Dokument, das Ihre Risikobewertung mit den Kontrollen aus Anhang A verknüpft:

• Auflistung aller 93 Kontrollen aus Anhang A
• Für jede Kontrolle angeben: Anwendbar oder Nicht anwendbar
• Wenn anwendbar: Beschreiben, wie sie implementiert wird, Verweis auf Richtlinien/Verfahren
• Wenn nicht anwendbar: Begründung des Ausschlusses basierend auf der Risikobewertung

Auditoren prüfen die SoA genau, um zu bestätigen, dass die Kontrollen angemessen sind und Ausschlüsse begründet werden. Schlechte Begründungen (z. B. „nicht relevant“ ohne Erklärung) führen zu Nichtkonformitäten.

Zertifizierungsprozess

Die Erlangung der ISO 27001-Zertifizierung folgt in der Regel diesem Zeitplan:

1. Gap-Analyse (1-2 Monate): Bewertung der aktuellen Sicherheitslage im Vergleich zu den ISO 27001-Anforderungen
2. ISMS-Design (2-4 Monate): Definition des Geltungsbereichs, Durchführung der Risikobewertung, Erstellung der SoA, Ausarbeitung von Richtlinien
3. Implementierung (4-12 Monate): Einführung von Kontrollen, Schulung der Mitarbeiter, Dokumentation von Verfahren, Sammlung von Nachweisen
4. Internes Audit (1 Monat): Prüfung der Wirksamkeit des ISMS, Identifizierung von Nichtkonformitäten, Behebung
5. Managementbewertung: Die Führungsebene bewertet die Leistung des ISMS und identifiziert Verbesserungspotenziale
6. Stufe-1-Audit (Dokumentenprüfung): Externer Auditor prüft die ISMS-Dokumentation und identifiziert Lücken
7. Behebung: Beseitigung der Feststellungen aus Stufe 1 vor Stufe 2
8. Stufe-2-Audit (Implementierungsaudit): Externer Auditor testet Kontrollen, befragt Mitarbeiter, prüft Nachweise
9. Zertifizierung: Zertifikat wird für 3 Jahre mit jährlichen Überwachungsaudits ausgestellt

Die erstmalige Zertifizierung kann je nach Größe und Reifegrad der Organisation 6-18 Monate dauern.

Überwachung und Rezertifizierung

Die ISO 27001-Zertifizierung ist für 3 Jahre gültig und bringt laufende Verpflichtungen mit sich:

• Jährliche Überwachungsaudits: Ein externer Auditor prüft jedes Jahr eine Teilmenge der Kontrollen, um die fortlaufende Konformität sicherzustellen
• Interne Audits: Mindestens einmal jährlich durchführen, um Probleme vor externen Audits zu erkennen
• Managementbewertung: Die Führungsebene überprüft mindestens einmal jährlich die Leistung des ISMS
• Kontinuierliche Verbesserung: Behandlung von Nichtkonformitäten, Aktualisierung von Risikobewertungen, Anpassung an neue Bedrohungen
• Rezertifizierungsaudit (Jahr 3): Umfassendes Audit zur Verlängerung des Zertifikats um weitere 3 Jahre

Das Scheitern eines Überwachungsaudits kann zur Aussetzung oder zum Entzug des Zertifikats führen, daher ist eine kontinuierliche Überwachung entscheidend.

Wichtige Dokumentation

ISO 27001 erfordert dokumentierte Informationen, darunter:

• ISMS-Geltungsbereich: Grenzen des ISMS (welche Abteilungen, Standorte, Systeme abgedeckt sind)
• Informationssicherheitsrichtlinie: Grundlegende Verpflichtung zur Sicherheit, unterzeichnet von der Führungsebene
• Methodik der Risikobewertung: Vorgehensweise zur Identifizierung und Bewertung von Risiken
• Ergebnisse der Risikobewertung: Asset-Inventar, Analyse von Bedrohungen/Schwachstellen, Risikobewertungen
• Risikobehandlungsplan: Ausgewählte Kontrollen, Verantwortliche, Zeitpläne
• Erklärung zur Anwendbarkeit: Alle 93 Kontrollen aus Anhang A mit Angaben zur Anwendbarkeit und Implementierungsdetails
• Unterstützende Richtlinien und Verfahren: Zugriffskontrollrichtlinie, Richtlinie zur akzeptablen Nutzung, Incident-Response-Plan, Backup-Richtlinie, Change-Management usw.
• Nachweise der Kontrollumsetzung: Protokolle, Audit-Trails, Schulungsunterlagen, Zugriffsüberprüfungen, Incident-Berichte, Patch-Management-Aufzeichnungen
• Berichte interner Audits: Feststellungen, Nichtkonformitäten, Korrekturmaßnahmen
• Protokolle der Managementbewertung: Entscheidungen der Führungsebene, Maßnahmen

Auswahl einer Zertifizierungsstelle

Wählen Sie eine akkreditierte Zertifizierungsstelle (CB) mit Erfahrung in ISO 27001:

• Überprüfen Sie die Akkreditierung durch eine anerkannte Stelle (UKAS, ANAB, DAkkS usw.)
• Prüfen Sie, ob der Geltungsbereich der CB Ihre Branche und Geografie umfasst
• Fragen Sie nach Referenzen von ähnlich großen Organisationen
• Vergleichen Sie die Preise (Zertifizierungskosten liegen typischerweise zwischen 15.000 und über 100.000 US-Dollar, abhängig vom Geltungsbereich und der Größe der Organisation)
• Bewerten Sie die Expertise der Auditoren (technische Tiefe, Branchenkenntnisse)

Häufige Zertifizierungsstellen sind BSI, SGS, TÜV, DNV, Bureau Veritas und A-LIGN.

ISO 27001 vs. SOC 2

Organisationen vergleichen häufig ISO 27001 und SOC 2:

Viele Organisationen streben beide Zertifizierungen an: ISO 27001 für europäische Kunden und öffentliche Glaubwürdigkeit, SOC 2 für US-Kunden und SaaS-Anbieterbewertungen.

Wie ISMS Copilot hilft

ISMS Copilot ist speziell für die ISO 27001-Konformität entwickelt:

• Richtlinienerstellung: Erstellen Sie ISO 27001-konforme Richtlinien (Informationssicherheit, Zugriffskontrolle, Incident-Response, akzeptable Nutzung, Backup, Change-Management)
• Risikobewertung: Aufbau von Risikobewertungsrahmen, Asset-Inventaren, Bedrohungs-/Schwachstellenmatrizen
• Gap-Analyse: Hochladen bestehender Richtlinien zur Identifizierung von Lücken gegenüber den ISO 27001-Anforderungen
• Erklärung zur Anwendbarkeit: Generieren von SoA-Vorlagen mit allen 93 Kontrollen aus Anhang A
• Implementierungsleitfaden für Kontrollen: Fragen Sie nach spezifischen Kontrollen (z. B. „Wie implementiere ich A.8.1 Benutzerendgeräte?“)
• Dokumentationsvorlagen: Incident-Response-Playbooks, Checklisten für Zugriffsüberprüfungen, Leitfäden zur Sammlung von Audit-Nachweisen
• Vorbereitung auf Audits: Generieren von internen Audit-Plänen, Berichten über Korrekturmaßnahmen

Die Wissensdatenbank von ISMS Copilot basiert auf echter ISO 27001-Beratungserfahrung und versteht daher die Erwartungen von Auditoren und häufige Fallstricke.

Erste Schritte

So bereiten Sie sich mit ISMS Copilot auf ISO 27001 vor:

1. Erstellen Sie einen dedizierten Arbeitsbereich für Ihr ISO 27001-Projekt
2. Definieren Sie den Geltungsbereich Ihres ISMS (welche Teile der Organisation zertifiziert werden sollen)
3. Führen Sie eine Gap-Analyse durch, um den aktuellen Reifegrad zu bewerten
4. Nutzen Sie die KI, um Kernrichtlinien zu generieren (Informationssicherheitsrichtlinie, akzeptable Nutzung, Zugriffskontrolle, Incident-Response, Backup)
5. Führen Sie eine Risikobewertung durch (Identifizierung von Assets, Bedrohungen, Schwachstellen, Auswirkungen)
6. Erstellen Sie eine Erklärung zur Anwendbarkeit basierend auf Ihrer Risikobewertung
7. Entwickeln Sie Verfahren und Nachweise für hochpriorisierte Kontrollen
8. Führen Sie ein internes Audit durch, um die Wirksamkeit des ISMS zu testen, bevor Sie eine Zertifizierungsstelle beauftragen

Verwandte Ressourcen

• Offizieller ISO 27001:2022-Standard (erhältlich bei ISO oder nationalen Normungsorganisationen)
• ISO 27002:2022 (Implementierungsleitfaden für Kontrollen in Anhang A)
• Verzeichnisse von Zertifizierungsstellen (UKAS, ANAB, IAF für akkreditierte Auditoren)
• ISO 27001-Übergangsleitfaden (von Version 2013 auf 2022)