ISO 27001 verständlich erklärt

Was die Norm wirklich bedeutet – und warum sie für so viele Unternehmen zum Maßstab geworden ist.

ISO/IEC 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Dahinter steckt eine klare Idee: Unternehmen sollen systematisch und nachweisbar dafür sorgen, dass ihre Informationen geschützt sind – vor Verlust, Manipulation und unbefugtem Zugriff.

ISO 27001 beschreibt die Anforderungen an ein wirksames Managementsystem für Informationssicherheit. Es geht dabei nicht nur um technische Schutzmaßnahmen, sondern vor allem um einen strukturierten Prozess: Risiken erkennen, passende Maßnahmen ableiten, Verantwortlichkeiten festlegen, regelmäßig überprüfen und kontinuierlich verbessern.

Großen Wert legt die Norm auf die Einbindung der obersten Leitung, eine angemessene Dokumentation und den Nachweis, dass Informationssicherheit im Alltag gelebt wird – nicht nur auf dem Papier.

Das Ziel: Vertraulichkeit, Integrität, Verfügbarkeit

Ziel ist, Vertraulichkeit, Integrität und Verfügbarkeit von Informationen dauerhaft zu sichern. Absolute Sicherheit gibt es nicht. Die Norm verfolgt deshalb einen risikobasierten, pragmatischen Ansatz mit drei Leitfragen:

• Welche Informationen sind besonders schützenswert?
• Welche Risiken bestehen für sie?
• Welche Maßnahmen sind sinnvoll und wirtschaftlich vertretbar?

So steuerst du Informationssicherheit strategisch und operativ – ohne in Aktionismus zu verfallen.

ISMS steht für Informationssicherheits-Managementsystem (englisch: Information Security Management System). Gemeint sind alle Regeln, Prozesse, Verantwortlichkeiten und Maßnahmen, mit denen eine Organisation ihre Informationssicherheit plant, umsetzt, überwacht und verbessert.

Ein ISMS ist kein einzelnes Tool, sondern ein Managementansatz. Es schafft Klarheit über Zuständigkeiten, erleichtert den Nachweis gegenüber Kunden, Auditoren und Aufsichtsbehörden und sorgt dafür, dass Sicherheit nicht vom Zufall oder von einzelnen Personen abhängt.

Der Nutzen auf einen Blick

• Klarheit und Struktur: Wer ist wofür verantwortlich? Welche Prozesse sind sicherheitsrelevant? Was tun wir im Notfall?
• Risiken im Griff: Risiken werden nicht nur erkannt, sondern systematisch bewertet und behandelt.
• Vertrauen und Wettbewerbsvorteil: Ein Zertifikat ist ein starkes Signal an Kunden und Partner – und oft Voraussetzung für Aufträge.
• Compliance: Ein ISMS hilft, gesetzliche und vertragliche Anforderungen nachweisbar zu erfüllen, etwa aus NIS2 oder der DSGVO.
• Kontinuierliche Verbesserung: Interne Audits, Managementbewertung und Kennzahlen entwickeln die Sicherheit laufend weiter.

Aktuell ist die Fassung ISO/IEC 27001:2022, ergänzt um die Änderung Amd 1:2024. Sie folgt der einheitlichen Struktur aller ISO-Managementsystemnormen; die Anforderungen stehen in den Kapiteln 4 bis 10:

• 4 Kontext der Organisation: interessierte Parteien, deren Anforderungen und der Anwendungsbereich des ISMS
• 5 Führung: Verantwortung der obersten Leitung, Informationssicherheitsleitlinie, Rollen
• 6 Planung: Risikobeurteilung, Risikobehandlung und Informationssicherheitsziele
• 7 Unterstützung: Ressourcen, Kompetenz, Bewusstsein, Kommunikation, dokumentierte Information
• 8 Betrieb: Umsetzung der Risikobehandlung im Alltag
• 9 Bewertung der Leistung: Überwachung und Messung, interne Audits, Managementbewertung
• 10 Verbesserung: Nichtkonformitäten, Korrekturmaßnahmen, fortlaufende Verbesserung

Anhang A: 93 Maßnahmen in vier Themen

Anhang A enthält einen Referenzkatalog von 93 Maßnahmen (Controls) in vier Themen: organisatorische (37), personenbezogene (8), physische (14) und technologische Maßnahmen (34). Welche davon du umsetzt, ergibt sich aus deiner Risikobehandlung. Die Begründung für jede Maßnahme – auch für ausgeschlossene – dokumentierst du in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA). Umsetzungshinweise liefert die ISO/IEC 27002:2022.

Die Änderung Amd 1:2024 ergänzt Kapitel 4: Eine Organisation muss bestimmen, ob der Klimawandel für sie ein relevantes Thema ist.

Grundsätzlich für jede Organisation – vom Start-up über den Mittelstand bis zum Konzern. Die Norm ist branchenneutral und skaliert mit der Größe. Besonders gefragt ist sie bei:

• IT-Dienstleistern, Cloud- und Rechenzentrumsanbietern
• Behörden und öffentlichen Einrichtungen
• Betreibern kritischer Anlagen und Unternehmen, die unter NIS2 fallen
• Unternehmen mit hohen Compliance-Anforderungen, etwa im Gesundheitswesen oder im Finanzsektor
• Zulieferern, deren Kunden einen Nachweis verlangen – über ein Zertifikat oder Lieferantenaudits

Wichtig: ISO 27001 ist eine freiwillige Norm, kein Gesetz. Das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes schreibt grundsätzlich kein ISO-Zertifikat vor, verlangt von betroffenen Unternehmen aber geeignete Risikomanagementmaßnahmen. Ein ISMS nach ISO 27001 ist dafür ein bewährter Rahmen.

Zertifizieren lassen kannst du dein ISMS bei einer akkreditierten Zertifizierungsstelle; in Deutschland akkreditiert die DAkkS. Der übliche Ablauf:

1. Stufe-1-Audit: Prüfung der Dokumentation und der Zertifizierungsreife
2. Stufe-2-Audit: Prüfung, ob das ISMS umgesetzt und wirksam ist
3. Zertifikat: gültig für drei Jahre, mit jährlichen Überwachungsaudits und anschließender Rezertifizierung

Zertifikate nach der alten Fassung ISO/IEC 27001:2013 sind nicht mehr gültig: Die Übergangsfrist endete am 31. Oktober 2025.

Typische Rollen

• Informationssicherheitsbeauftragte (ISB) bzw. CISO: steuern das ISMS, berichten an die Leitung und koordinieren Risiken und Maßnahmen. Mehr zur Rolle: Informationssicherheitsbeauftragter: Aufgaben, Rolle und Ausbildung.
• Interne Auditorinnen und Auditoren: prüfen regelmäßig, ob das ISMS die Anforderungen erfüllt und wirksam ist.
• Lead Auditor: plant und leitet Audits nach ISO 19011 – intern, bei Lieferanten oder als Teil eines Auditteams. Für Audits im Auftrag einer Zertifizierungsstelle gelten deren zusätzliche Anforderungen.
• Oberste Leitung: trägt die Gesamtverantwortung, stellt Ressourcen bereit und bewertet das ISMS regelmäßig.

1. Anwendungsbereich festlegen: Welche Standorte, Prozesse und Systeme gehören ins ISMS?
2. Leitung gewinnen: Ziele, Budget und Verantwortlichkeiten klären – ohne Rückendeckung der Leitung trägt kein ISMS.
3. Bestandsaufnahme: Werte (Assets) erfassen und eine Gap-Analyse gegen die Norm durchführen.
4. Risiken beurteilen und behandeln: Methode festlegen, Risiken bewerten, Maßnahmen aus Anhang A auswählen, Erklärung zur Anwendbarkeit erstellen.
5. Umsetzen und sensibilisieren: Richtlinien und Prozesse einführen, Mitarbeitende schulen.
6. Prüfen und verbessern: internes Audit und Managementbewertung durchführen – danach bist du bereit für die Zertifizierung.

Für den Einstieg eignet sich die ISO 27001 Foundation. Wer ein ISMS verantwortet, vertieft das Wissen im ISO 27001 Chief Information Security Officer; wer Audits durchführt, im ISO 27001 Lead Auditor.

Du willst dein Wissen testen? Hier findest du 12 typische Prüfungsfragen zur ISO 27001 mit Lösungen und für Fortgeschrittene 10 Prüfungsfragen für CISOs.

Stand: Oktober 2026. Wir stützen uns vorrangig auf Primärquellen:

• ISO: ISO/IEC 27001:2022 – Information security management systems
• ISO: ISO/IEC 27001:2022/Amd 1:2024 – Climate action changes
• DAkkS: Umstellungsanleitung für Akkreditierungen im Bereich ISO/IEC 27001:2022 (bezieht sich auf IAF MD 26)
• BSI-Gesetz (BSIG), § 30 Risikomanagementmaßnahmen