Worum es bei der ISO 27001 geht
Die ISO 27001 beschreibt ein Managementsystem für Informationssicherheit. Drei Schutzziele stehen im Mittelpunkt: Vertraulichkeit, nur Berechtigte sehen die Information. Integrität, die Information ist richtig und unverändert. Verfügbarkeit, sie ist da, wenn sie gebraucht wird.
Das Missverständnis Nummer eins: Es sei eine IT-Norm. Tatsächlich geht es um Informationen, egal in welcher Form. Die Kundenliste auf dem Server, aber auch der Ausdruck auf dem Schreibtisch, das Passwort auf dem Zettel, das Wissen des einen Mitarbeiters, der als Einziger die Anlage bedienen kann, und die Frage, wer nachts ins Gebäude kommt. Die meisten Sicherheitsvorfälle in kleinen Betrieben entstehen durch Menschen und Organisation, nicht durch Technik. Genau da setzt die Norm an.
Für wen die Norm relevant ist
Klassisch: IT-Dienstleister, Softwarefirmen, Agenturen, Rechenzentren, alle, die Daten für Kunden verarbeiten und deren Kunden Sicherheitsnachweise fordern. Zunehmend aber auch Zulieferer von Automotive, Banken, Versicherungen und Energieversorgern, bei denen die 27001 im Lieferantenfragebogen steht, unabhängig davon, ob der Zulieferer selbst viel mit Daten arbeitet.
Dazu kommt die Regulierung: NIS2 verpflichtet viele mittlere Unternehmen in kritischen Sektoren zu Sicherheitsmaßnahmen, die inhaltlich weitgehend denen der 27001 entsprechen. Wer darunter fällt oder dessen Kunden darunter fallen, hat mit einem zertifizierten System den einfachsten Nachweis in der Hand.
Die fünf Kernpunkte der Norm
1. Werte und Risiken
Welche Informationen, Systeme, Geräte und Dienstleister sind wichtig? Was kann ihnen passieren, wie wahrscheinlich ist das, wie schlimm wäre es? Die Risikoanalyse ist das Fundament, aus ihr folgt alles Weitere. Ohne sie ist jede Maßnahme Raten.
2. Anwendbarkeitserklärung
Anhang A der Norm listet 93 Sicherheitsmaßnahmen in vier Gruppen: organisatorisch, personell, physisch, technisch. Du wählst anhand der Risikoanalyse aus, welche für dich gelten, und begründest, warum andere nicht. Dieses Dokument, die SoA, ist das Herzstück des Audits. Ein Bürobetrieb ohne eigene Server streicht viele technische Punkte.
3. Organisatorische Regeln
Zugriffsrechte, Passwörter, Umgang mit mobilen Geräten, Homeoffice, Lieferanten, Clean Desk, Umgang mit Vorfällen. Regeln, die jeder kennt, weil sie kurz sind und geschult werden.
4. Technische Maßnahmen
Backups, Updates, Verschlüsselung, Netzwerktrennung, Protokollierung, Schutz vor Schadsoftware. Hier arbeitet dein IT-Dienstleister nach einer Liste, die aus der Risikoanalyse kommt. Du musst nicht verstehen, wie eine Firewall funktioniert, nur, dass sie da ist und gepflegt wird.
5. Vorfälle, Audit, Verbesserung
Meldeweg für Sicherheitsvorfälle, Notfallplan für den Ausfall wichtiger Systeme, internes Audit, Managementbewertung. Wie bei allen Normen: messen, lernen, nachsteuern.
ISO 27001, TISAX, NIS2: Was ist was?
Die ISO 27001 ist die internationale Grundnorm mit Zertifikat durch eine akkreditierte Stelle. Sie ist branchenneutral und weltweit anerkannt.
TISAX ist der Prüfstandard der Automobilindustrie. Er baut inhaltlich auf der 27001 auf, hat aber ein eigenes Prüfverfahren und eigene Stufen. Wer Automotive-Kunden hat, braucht oft TISAX, wer breiter aufgestellt ist, nimmt die 27001. Wer beides hat, deckt beides mit einem System ab.
NIS2 ist keine Norm, sondern eine EU-Richtlinie mit Pflichten für Unternehmen in bestimmten Sektoren ab einer bestimmten Größe. Sie verlangt kein Zertifikat, aber Maßnahmen, die zu einem Großteil denen der 27001 entsprechen. Ein zertifiziertes System ist der einfachste Nachweis, die Anforderungen ernst zu nehmen.
Was den Aufwand ausmacht und wie er sinkt
Die 27001 ist die aufwendigste der gängigen Managementnormen, weil technische Maßnahmen nicht nur beschrieben, sondern umgesetzt und eine Zeit lang gelebt werden müssen, bevor der Auditor kommt. Realistisch sind drei bis fünf Monate bis zum Zertifikat und 15 bis 25 Stunden auf deiner Seite, plus die Zeit deines IT-Partners.
Drei Dinge senken den Aufwand spürbar:
- Eine bestehende ISO 9001. Die gemeinsamen Kapitel stehen schon, Prozesse sind beschrieben, das Audit läuft kombiniert.
- Ein sauberer Datenschutz. Verarbeitungsverzeichnis, Zugriffskonzept und Löschregeln aus der DSGVO sind zur Hälfte 27001-Material.
- Ein klarer Geltungsbereich. Nicht der ganze Betrieb muss zertifiziert werden, sondern der Teil, den Kunden sehen wollen. Das klären wir als Erstes, es entscheidet über Umfang und Preis.
Ob du die 27001 wirklich brauchst oder ob deinem Kunden ein ausgefüllter Fragebogen reicht, sagen wir dir ehrlich im Erstgespräch. Nicht jeder Lieferantenfragebogen verlangt das Zertifikat, auch wenn er danach klingt.