ISO 27001 Prüfungsfragen: 12 typische Fragen mit Lösungen
Wie gut kennst du die ISO/IEC 27001:2022? Die zwölf Fragen decken typische Inhalte einer Foundation-Prüfung ab: Aufbau der Norm, Anhang A, Risikobeurteilung, internes Audit und Zertifizierung. Jede Frage hat genau eine richtige Antwort. Die Lösungen mit Erklärung siehst du direkt nach jeder Antwort und gesammelt unter dem Quiz.
Gut zu wissen: Diese Fragen sind Übungsbeispiele. In der Prüfung unserer Schulung ISO 27001 Foundation kommen sie nicht vor.
Quiz
Teste dein Wissen: 12 Fragen zur ISO 27001
Klick dich durch die Fragen. Nach jeder Antwort siehst du sofort, ob sie richtig war, und bekommst die Erklärung dazu.
Frage 1 von 12
0 richtig
Alle 12 Fragen mit Lösungen und Erklärungen
1. Ein Unternehmen bereitet sich auf die Zertifizierung nach ISO/IEC 27001 vor. Welche Aussage zu den Maßnahmen in Anhang A trifft zu?
- A)Sie werden über die Risikobehandlung bestimmt und in der Erklärung zur Anwendbarkeit begründet. (richtig)
- B)Alle Maßnahmen aus Anhang A müssen ausnahmslos umgesetzt und im Audit nachgewiesen werden.
- C)Anhang A ist nur eine Empfehlung und spielt für die Zertifizierung keine Rolle.
- D)Verpflichtend sind nur die technologischen Maßnahmen, die übrigen sind freiwillig.
Lösung: A
Anhang A ist ein Katalog, mit dem die Organisation ihre aus der Risikobehandlung abgeleiteten Maßnahmen abgleicht. In der Erklärung zur Anwendbarkeit (Statement of Applicability) hält sie fest, welche Maßnahmen erforderlich sind, ob sie umgesetzt sind und warum Maßnahmen aufgenommen oder ausgeschlossen wurden. Anhang A ist Teil der Norm und damit auch für die Zertifizierung relevant.
2. Wie ist Anhang A der ISO/IEC 27001:2022 gegliedert?
- A)In 14 Abschnitte mit insgesamt 114 Maßnahmen, von Richtlinien bis Compliance
- B)In drei Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit, je mit eigenen Maßnahmen
- C)In die Phasen Plan, Do, Check und Act
- D)In vier Themen: organisatorische, personenbezogene, physische und technologische Maßnahmen (richtig)
Lösung: D
Seit der Fassung 2022 ist Anhang A in vier Themen gegliedert und umfasst 93 Maßnahmen. Die 14 Abschnitte mit 114 Maßnahmen gehören zur alten Fassung von 2013.
3. Bei der Risikobeurteilung zeigt sich, dass für das Risiko „Ausfall des ERP-Systems“ niemand zuständig ist. Was verlangt die Norm?
- A)Zuständig ist automatisch die IT-Leitung.
- B)Für jedes identifizierte Risiko ist ein Risikoeigentümer zu bestimmen. (richtig)
- C)Ein Risikoeigentümer ist nur bei hohen Risiken nötig.
- D)Die Geschäftsführung ist für jedes Risiko persönlich Risikoeigentümer.
Lösung: B
Bei der Risikoidentifikation verlangt die Norm, für jedes Risiko einen Risikoeigentümer zu bestimmen. Wer das ist, legt die Organisation selbst fest. Es ist keine automatische Rolle und gilt unabhängig von der Höhe des Risikos.
4. Die Geschäftsführung will das ISMS vollständig an den Informationssicherheitsbeauftragten abgeben und sich selbst nicht weiter damit befassen. Wie ist das zu bewerten?
- A)Das ist zulässig, wenn der Informationssicherheitsbeauftragte schriftlich benannt und mit Budget ausgestattet ist.
- B)Das ist zulässig, solange die Geschäftsführung einmal im Jahr über den Stand informiert wird.
- C)Das ist nicht normkonform: Die oberste Leitung muss selbst Führung und Verpflichtung für das ISMS zeigen. (richtig)
- D)Das ist nur bei Unternehmen mit weniger als 50 Beschäftigten zulässig.
Lösung: C
Aufgaben lassen sich delegieren, die Verantwortung der obersten Leitung nicht. Sie muss Führung und Verpflichtung zeigen: Politik und Ziele festlegen, Ressourcen bereitstellen, die Bedeutung des ISMS vermitteln und dafür sorgen, dass es seine Ergebnisse erreicht.
5. In einem Unternehmen mit 40 Beschäftigten soll der Informationssicherheitsbeauftragte die ISMS-Prozesse intern auditieren, die er selbst gestaltet hat. Was ist dazu richtig?
- A)Die Auswahl der Auditoren muss Objektivität und Unparteilichkeit sichern; die eigene Arbeit zu prüfen, widerspricht dem. (richtig)
- B)Interne Audits dürfen nur von der Zertifizierungsstelle durchgeführt werden, nicht von eigenen Beschäftigten.
- C)Interne Audits sind freiwillig, wenn ohnehin jährlich ein Zertifizierungs- oder Überwachungsaudit stattfindet.
- D)Interne Audits müssen immer an externe Dienstleister vergeben werden.
Lösung: A
Interne Audits sind Pflicht, auch wenn eine Zertifizierung ansteht. Die Norm verlangt keine externen Auditoren, aber eine Auswahl, die Objektivität und Unparteilichkeit sicherstellt. In kleinen Organisationen hilft zum Beispiel ein Audittausch oder ein externer Auditor für die Bereiche, die der Informationssicherheitsbeauftragte selbst verantwortet.
6. Wie unterscheiden sich Stufe 1 und Stufe 2 eines Zertifizierungsaudits?
- A)Stufe 1 findet immer vor Ort statt, Stufe 2 dagegen grundsätzlich remote.
- B)In Stufe 1 werden nur die Maßnahmen aus Anhang A geprüft, in Stufe 2 nur die Kapitel 4 bis 10.
- C)Stufe 2 findet nur statt, wenn in Stufe 1 Abweichungen festgestellt wurden.
- D)Stufe 1 prüft vor allem Dokumentation und Bereitschaft, Stufe 2 Umsetzung und Wirksamkeit des ISMS. (richtig)
Lösung: D
Stufe 1 klärt unter anderem, ob die Dokumentation vollständig ist und die Organisation für Stufe 2 bereit ist. Stufe 2 bewertet, ob das ISMS wie beschrieben umgesetzt und wirksam ist. Beide Stufen können vor Ort oder remote stattfinden.
7. Ein Unternehmen hat ein Zertifikat nach ISO/IEC 27001 erhalten. Was gilt für den weiteren Zertifizierungszyklus?
- A)Das Zertifikat gilt unbefristet, solange keine Beschwerden von Kunden oder Behörden eingehen.
- B)Das Zertifikat gilt ein Jahr und muss dann mit einem vollständigen Erstaudit neu beantragt werden.
- C)Das Zertifikat gilt in der Regel drei Jahre, mit Überwachungsaudits und Rezertifizierung. (richtig)
- D)Das Zertifikat gilt fünf Jahre ohne weitere Audits.
Lösung: C
Ein Zertifizierungszyklus dauert in der Regel drei Jahre. In den Jahren dazwischen prüft die Zertifizierungsstelle in Überwachungsaudits, ob das ISMS weiter wirksam ist. Vor Ablauf folgt das Rezertifizierungsaudit.
8. Welche der folgenden Unterlagen fordert ISO/IEC 27001 ausdrücklich als dokumentierte Information?
- A)Ein ISMS-Handbuch
- B)Die Informationssicherheitspolitik (richtig)
- C)Ein Organigramm des Unternehmens
- D)Ein Lebenslauf des Informationssicherheitsbeauftragten
Lösung: B
Die Informationssicherheitspolitik muss als dokumentierte Information verfügbar sein. Ein ISMS-Handbuch, ein Organigramm oder Lebensläufe verlangt die Norm nicht ausdrücklich. Nachweise der Kompetenz verlangt sie schon, die können aber auch anders aussehen.
9. Im internen Audit fällt auf, dass die Zugänge ausgeschiedener Beschäftigter nicht gesperrt wurden. Wie geht die Organisation im Sinne der Norm richtig damit um?
- A)Die betroffenen Zugänge sofort sperren und den Fall abschließen; weitere Schritte sind nicht nötig.
- B)Die Zertifizierungsstelle sofort informieren und deren Vorgaben zum weiteren Vorgehen abwarten.
- C)Den Befund dokumentieren und bis zur nächsten Managementbewertung zurückstellen.
- D)Beheben, Ursache ermitteln, ähnliche Fälle prüfen, Korrekturmaßnahmen umsetzen und ihre Wirksamkeit bewerten. (richtig)
Lösung: D
Bei einer Nichtkonformität reicht die Korrektur allein nicht. Die Organisation muss die Ursache klären, prüfen, ob ähnliche Fälle auftreten können, Korrekturmaßnahmen umsetzen, deren Wirksamkeit bewerten und das dokumentieren.
10. Ein Angreifer ändert unbemerkt die Bankverbindung in gespeicherten Rechnungsdaten. Welches Schutzziel ist in erster Linie verletzt?
- A)Integrität (richtig)
- B)Vertraulichkeit
- C)Verfügbarkeit
- D)Datensparsamkeit
Lösung: A
Integrität bedeutet, dass Informationen vollständig und unverändert sind. Werden Daten unbemerkt manipuliert, ist genau dieses Schutzziel verletzt. Vertraulichkeit wäre betroffen, wenn Unbefugte die Daten lesen, Verfügbarkeit, wenn die Daten nicht zugänglich sind.
11. Ein Unternehmen will sein ISMS zunächst nur für den Standort München und das eigene Rechenzentrum einführen. Ist das möglich?
- A)Nein, das ISMS muss immer die gesamte Organisation mit allen Standorten und Rechenzentren umfassen.
- B)Ja, wenn der Anwendungsbereich mit Grenzen und Schnittstellen festgelegt und dokumentiert ist. (richtig)
- C)Ja, aber nur mit vorheriger Genehmigung des BSI und der Zertifizierungsstelle.
- D)Ja, aber dann darf Anhang A für diesen Anwendungsbereich nicht angewendet werden.
Lösung: B
Die Organisation legt den Anwendungsbereich ihres ISMS selbst fest. Dabei berücksichtigt sie Grenzen, Schnittstellen und Abhängigkeiten zu Bereichen außerhalb, etwa zu Dienstleistern oder anderen Standorten. Der Anwendungsbereich muss dokumentiert sein und steht später auch auf dem Zertifikat.
12. Mit der Ergänzung von 2024 (ISO/IEC 27001:2022/Amd 1:2024) kam das Thema Klimawandel in die Norm. Was bedeutet das für eine Organisation?
- A)Sie muss eine CO2-Bilanz erstellen und jährlich im Lagebericht veröffentlichen.
- B)Sie muss in Anhang A eine neue Klimaschutzmaßnahme umsetzen und in der Erklärung zur Anwendbarkeit führen.
- C)Sie muss in der Kontextanalyse bestimmen, ob der Klimawandel für sie ein relevantes Thema ist. (richtig)
- D)Nichts, die Ergänzung ist rein informativ und ändert keine Anforderungen.
Lösung: C
Die Ergänzung von 2024 betrifft die Kapitel 4.1 und 4.2: Die Organisation bestimmt, ob der Klimawandel für sie ein relevantes Thema ist, und interessierte Parteien können Anforderungen dazu haben. Eine CO2-Bilanz oder eine neue Maßnahme in Anhang A verlangt die Norm nicht.
Weitere Prüfungsfragen
Du willst weiter üben? Hier findest du typische Prüfungsfragen zu unseren anderen Schulungen:
Häufige Fragen zur Prüfung ISO 27001 Foundation
Wie läuft die Prüfung zur ISO 27001 Foundation ab?
Du legst die Prüfung online im campus ab: 30 Fragen mit je vier Antwortmöglichkeiten, von denen genau eine richtig ist. Du hast 30 Minuten Zeit und bestehst ab 65 % richtigen Antworten.
Kommen diese Fragen in der echten Prüfung vor?
Nein. Die Fragen auf dieser Seite sind eigens für die Website geschrieben und stammen nicht aus der Prüfung. Sie zeigen dir aber, welche Themen und welcher Fragetyp dich erwarten.
Was passiert, wenn ich die Prüfung nicht bestehe?
Du kannst sie mit einem neuen Prüfungsgutschein wiederholen, den du direkt im campus buchst. Mit einer gültigen Teilnahmebestätigung für die Schulung zahlst du dafür die Hälfte. Details regelt die Prüfungsordnung.
Was bekomme ich, wenn ich bestehe?
Ein Zertifikat der expertree academy als PDF und einen digitalen Badge, den du deinem LinkedIn-Profil hinzufügen kannst. Die Echtheit lässt sich über unsere Prüfseite bestätigen.
Sicher in die Prüfung
In der Schulung ISO 27001 Foundation lernst du die Norm Schritt für Schritt kennen und legst zum Abschluss die Online-Prüfung zum Zertifikat ab.