ISO 27001 und das ISMS

ISO/IEC 27001 ist die internationale Norm für das Management der Informationssicherheit. Im Gegensatz zu einem flexiblen Framework handelt es sich um eine formale Spezifikation, nach der Sie sich von einer akkreditierten Stelle zertifizieren lassen können.

Ihr zentrales Konzept ist das ISMS, das Informationssicherheitsmanagementsystem. ISO 27001 ist weniger eine Liste technischer Sicherheitsmaßnahmen als vielmehr ein System, mit dem sich Sicherheit als fortlaufender, gesteuerter Prozess lenken lässt.

Ein ISMS ist die Gesamtheit der Richtlinien, Prozesse, Rollen und Maßnahmen, mit denen eine Organisation Risiken für die Informationssicherheit systematisch verwaltet.

Es ist ein Managementsystem, vergleichbar mit einem Qualitäts- oder Umweltmanagementsystem. Es geht nicht darum, ein einzelnes Audit zu bestehen, sondern um einen lebendigen Mechanismus, der:

• Risiken kontinuierlich bewertet.
• Maßnahmen umsetzt und aufrechterhält.
• Die Wirksamkeit misst.
• Sich im Laufe der Zeit verbessert.

Das ISMS basiert auf dem PDCA-Zyklus der kontinuierlichen Verbesserung:

• Plan — legen Sie Geltungsbereich, Richtlinie, Risikobewertung und Risikobehandlung des ISMS fest.
• Do — setzen Sie die ausgewählten Maßnahmen und Prozesse um.
• Check — überwachen, auditieren und messen Sie die Leistung.
• Act — beheben Sie Nichtkonformitäten und verbessern Sie das System.

Diese Schleife erklärt, warum die Zertifizierung kein einmaliges Ereignis ist; Auditoren erwarten Nachweise, dass der Zyklus tatsächlich durchlaufen wird.

ISO 27001 ist grundsätzlich risikogesteuert. Sie identifizieren Risiken für Vertraulichkeit, Integrität und Verfügbarkeit und entscheiden anschließend, wie Sie jedes einzelne behandeln.

Die vier üblichen Optionen der Risikobehandlung:

Ein prägendes ISO-27001-Dokument ist die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA). Sie führt jede Maßnahme aus dem Referenzkatalog der Norm auf und hält fest:

• Ob die Maßnahme anwendbar ist.
• Ob sie umgesetzt ist.
• Die Begründung für ihre Aufnahme oder ihren Ausschluss.

Die SoA verbindet Ihre Risikobewertung mit Ihren Maßnahmen und ist eines der ersten Dokumente, die ein Auditor prüft. Der Ausschluss einer Maßnahme ist zulässig, aber Sie müssen begründen, warum.

ISO 27001 verweist in Annex A auf einen Maßnahmenkatalog, der im begleitenden Leitfaden ISO 27002 ausführlich beschrieben wird. Die Überarbeitung von 2022 ordnete die Maßnahmen vier Themenbereichen zu:

• Organisatorische Maßnahmen (Richtlinien, Lieferantenmanagement).
• Personelle Maßnahmen (Überprüfungen, Sensibilisierung).
• Physische Maßnahmen (gesicherte Bereiche, Ausrüstung).
• Technologische Maßnahmen (Zugriff, Kryptografie, Protokollierung).

Auf Grundlage Ihrer Risikobewertung wählen Sie aus, welche davon gelten; dies wird in der SoA dokumentiert.

Zu Beginn des Aufbaus eines ISMS legen Sie dessen Geltungsbereich fest: welche Teile der Organisation, Systeme und Informationen das ISMS abdeckt.

Der Geltungsbereich ist von großer Bedeutung. Ein enger Geltungsbereich (eine Produktlinie) lässt sich schneller zertifizieren, ist aber begrenzt; ein weiter Geltungsbereich (das gesamte Unternehmen) ist glaubwürdiger, verursacht aber mehr Arbeit. Im Zertifikat ist der Geltungsbereich angegeben, und Kunden prüfen ihn sorgfältig. Legen Sie ihn daher ehrlich auf das fest, was Sie dauerhaft aufrechterhalten können.

ISO 27001 schreibt das Engagement der obersten Leitung vor. Die Leitung muss die Sicherheitsrichtlinie festlegen, Rollen zuweisen, Ressourcen bereitstellen und das ISMS überprüfen.

Die Norm ist außerdem bewusst dokumentationsintensiv: Richtlinien, die Risikobewertung, die SoA, Verfahren und Aufzeichnungen zur Überwachung sind erforderlich. Auditoren orientieren sich an dem Grundsatz Was nicht dokumentiert ist, ist nicht geschehen. Nachweise sind die Währung der Zertifizierung.

Zusätzlich zu den Maßnahmen in Annex A setzt die Zertifizierung die Erfüllung der verbindlichen Klauseln 4 bis 10 voraus, die das Managementsystem selbst beschreiben:

• 4 Kontext, 5 Führung, 6 Planung, 7 Unterstützung.
• 8 Betrieb, 9 Bewertung der Leistung, 10 Verbesserung.

Diese Klauseln sind nicht optional. Sie können Maßnahmen aus Annex A anpassen, aber alle Klauseln des Managementsystems müssen erfüllt sein, damit eine Zertifizierung möglich ist.

Die beiden ergänzen sich, statt miteinander zu konkurrieren:

• ISO 27001 ist zertifizierbar, international anerkannt und legt den Schwerpunkt auf das Managementsystem und Governance.
• Der NIST CSF ist freiwillig und flexibel und legt den Schwerpunkt auf praktische Risikoergebnisse über die verschiedenen Funktionen hinweg.

Viele Organisationen nutzen den CSF, um ihre operative Leistungsfähigkeit zu strukturieren, und ISO 27001, um das Programm zu formalisieren und zertifizieren zu lassen. Ihre Maßnahmenkataloge lassen sich zu großen Teilen aufeinander abbilden.

Das ISMS enthält zwei wiederkehrende Prüfungen, die sicherstellen, dass der PDCA-Zyklus tatsächlich eingehalten wird:

• Internes Audit — regelmäßige, unabhängige Prüfung des ISMS anhand von ISO 27001 und Ihren eigenen Richtlinien, um Nichtkonformitäten zu finden, bevor die Zertifizierungsstelle sie entdeckt.
• Managementbewertung — die Leitung prüft formell die Leistung des ISMS, Auditergebnisse, Vorfälle und Änderungen der Risiken und entscheidet anschließend über Verbesserungen und Ressourcen.

Beide sind verbindlich. Sie belegen, dass das Managementsystem lebt und nicht nur in einem statischen Ordner steckt.

ISO 27001 und das ISMS:

• ISO 27001 ist eine zertifizierbare internationale Norm, die sich auf das ISMS konzentriert, ein gesteuertes System zur Bewältigung von Risiken für die Informationssicherheit.
• Das ISMS basiert auf dem PDCA-Zyklus (Plan, Do, Check, Act) zur kontinuierlichen Verbesserung.
• Es ist risikogesteuert: Bewerten Sie Risiken und mindern, übertragen, vermeiden oder akzeptieren Sie anschließend jedes einzelne.
• Die Erklärung zur Anwendbarkeit verbindet Risiken mit Maßnahmen aus Annex A (organisatorische, personelle, physische und technologische Maßnahmen) und enthält die entsprechenden Begründungen.
• Die verbindlichen Klauseln 4–10 regeln das Managementsystem; das Engagement der Leitung und eine umfassende Dokumentation sind erforderlich. ISO 27001 ergänzt den NIST CSF.