ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie beschreibt, wie eine Organisation Informationssicherheit systematisch plant, umsetzt, überwacht und verbessert – nicht als Liste technischer Vorgaben, sondern als Managementsystem, das Menschen, Prozesse und Technik zusammen betrachtet. Für Unternehmen in Deutschland ist die Norm seit NIS-2 noch wichtiger geworden: Sie ist der strukturierteste Weg, die geforderten Risikomanagementmaßnahmen umzusetzen und nachzuweisen, und zugleich das Zertifikat, das Kunden, Ausschreibungen und Versicherer verlangen.
Dieser Leitfaden erklärt, was die Norm verlangt, was sich mit der Fassung 2022 geändert hat, wie die Zertifizierung abläuft, womit Sie bei Kosten und Dauer rechnen müssen, welche Fehler Projekte scheitern lassen und wie ISO 27001 zu NIS-2 und BSI IT-Grundschutz passt.
Was ISO 27001 verlangt: Aufbau der Norm
Die Norm besteht aus zwei Teilen. Die Kapitel 4 bis 10 beschreiben das Managementsystem und sind verbindlich:
- Kontext der Organisation (4) – interne und externe Themen, interessierte Parteien, Geltungsbereich des ISMS.
- Führung (5) – Verantwortung der obersten Leitung, Informationssicherheitsleitlinie, Rollen.
- Planung (6) – Risikobeurteilung und Risikobehandlung, Erklärung zur Anwendbarkeit, Sicherheitsziele.
- Unterstützung (7) – Ressourcen, Kompetenz, Bewusstsein, Kommunikation, dokumentierte Information.
- Betrieb (8) – Umsetzung der geplanten Maßnahmen und der Risikobehandlung.
- Bewertung der Leistung (9) – Überwachung und Messung, internes Audit, Managementbewertung.
- Verbesserung (10) – Umgang mit Nichtkonformitäten, fortlaufende Verbesserung.
Anhang A listet 93 Maßnahmen (Controls) in vier Themen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Sie sind keine Pflichtliste, sondern ein Referenzkatalog: Aus der Risikobeurteilung ergibt sich, welche Controls anwendbar sind – und die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) dokumentiert für jedes Control, ob und warum es umgesetzt oder ausgeschlossen wird. ISO/IEC 27002 liefert dazu die Umsetzungshinweise.
Der Kern der Norm ist der risikobasierte Ansatz: Nicht der Auditor entscheidet, welche Maßnahmen nötig sind, sondern Ihre eigene, nachvollziehbare Risikobeurteilung. Genau das macht ISO 27001 anpassbar – und genau daran scheitern Projekte, die Controls als Checkliste abarbeiten.
Was sich mit ISO 27001:2022 geändert hat
Die Fassung 2022 hat das Managementsystem der Kapitel 4 bis 10 nur geringfügig angepasst, Anhang A aber grundlegend neu geordnet:
- 93 statt 114 Controls in vier Themen statt 14 Abschnitten; 57 Controls wurden zu 24 zusammengeführt, 58 blieben inhaltlich, keines fiel ersatzlos weg.
- Elf neue Controls, darunter Threat Intelligence (5.7), Informationssicherheit bei Cloud-Diensten (5.23), IKT-Bereitschaft für Business Continuity (5.30), physische Sicherheitsüberwachung (7.4), Konfigurationsmanagement (8.9), Löschung von Informationen (8.10), Datenmaskierung (8.11), Data Leakage Prevention (8.12), Überwachung von Aktivitäten (8.16), Webfilterung (8.23) und sichere Programmierung (8.28).
- Attribute für jedes Control – etwa Präventiv/Detektiv/Korrektiv oder die Schutzziele –, die das Mapping auf andere Rahmenwerke erleichtern.
- Amendment 1:2024 ergänzt in Kapitel 4 die Pflicht, zu prüfen, ob der Klimawandel ein relevantes Thema für das ISMS ist – eine dokumentierte Bewertung, keine automatische Maßnahme.
Die Übergangsfrist endete am 31. Oktober 2025. Zertifikate nach ISO 27001:2013 sind seitdem ungültig; wer die Umstellung versäumt hat, muss neu zertifizieren. Neue Systeme werden direkt nach der Fassung 2022 aufgebaut.
ISO 27001 und NIS-2, DORA, DSGVO
In Deutschland ist ISO 27001 kein Selbstzweck, sondern das Rückgrat für mehrere Regelwerke:
- NIS-2: Das NIS-2-Umsetzungsgesetz verlangt in § 30 BSIG Risikomanagementmaßnahmen – Risikoanalyse, Vorfallbehandlung, Business Continuity, Lieferkette, Zugriffskontrolle, Kryptografie, Schulung. Ein ISMS nach ISO 27001 deckt diese strukturell ab; das BSI bestätigt die Nähe beider Systeme in seinem Informationspaket zu ISO/IEC 27001. Nicht abgedeckt sind Registrierung, Meldefristen und die Pflichten der Geschäftsleitung – die werden ergänzt. Wie, zeigt unser NIS-2-Fahrplan.
- DORA: Finanzunternehmen brauchen zusätzlich das IKT-Drittparteienregister, Resilienztests und eigene Meldewege; das ISMS bleibt die Basis.
- DSGVO: Art. 32 verlangt technisch-organisatorische Maßnahmen nach dem Stand der Technik; Control 5.34 der ISO 27001 adressiert Datenschutz explizit, und die Risikobeurteilung liefert Input für Datenschutz-Folgenabschätzungen.
- Kunden und Lieferketten: Regulierte Kunden reichen ihre Anforderungen über Fragebögen und Vertragsklauseln weiter. Ein ISO-27001-Zertifikat beantwortet die meisten davon auf einen Schlag – und ist in vielen Ausschreibungen inzwischen Zugangsvoraussetzung.
ISO 27001 oder BSI IT-Grundschutz?
Beide verfolgen dasselbe Ziel, unterscheiden sich aber in Methodik und Zielgruppe. Die Kurzformel: Bei ISO 27001 muss man mehr denken, bei IT-Grundschutz mehr machen.
| ISO/IEC 27001 | BSI IT-Grundschutz | |
|---|---|---|
| Ansatz | Risikobasiert: die Organisation bestimmt Maßnahmen aus der eigenen Risikobeurteilung | Methodisch vorgegeben: Bausteine mit konkreten Anforderungen je Zielobjekt |
| Anerkennung | International, in Ausschreibungen und Lieferketten weltweit verlangt | National; für Bundesverwaltung verbindlich, bei öffentlichen Auftraggebern, KRITIS und Defense faktisch gefordert |
| Aufwand | Mehr konzeptionelle Eigenleistung bei Risikoanalyse und Maßnahmenwahl | Mehr Umsetzungs- und Dokumentationsaufwand durch Bausteinlogik |
| Zertifikat | Durch akkreditierte Zertifizierungsstellen (TÜV, DQS, DEKRA …) | „ISO 27001 auf Basis von IT-Grundschutz“, vergeben vom BSI |
| Passt für | Unternehmen mit internationalen Kunden, Software und IT-Dienstleister, Zulieferer | Behörden, KRITIS-Betreiber, Auftragnehmer der öffentlichen Hand, Defense |
Die beiden Wege schließen sich nicht aus: Das BSI bietet die Zertifizierung ISO 27001 auf Basis von IT-Grundschutz an, die beides vereint. Für Unternehmen mit gemischten Kundenstrukturen ist das oft der wirtschaftlichste Weg. Was IT-Grundschutz im Detail bedeutet, beschreibt unsere Seite BSI IT-Grundschutz.
Der Weg zur Zertifizierung in fünf Phasen
1. Gap-Analyse
Der Ist-Zustand wird gegen die Kapitel 4 bis 10 und die 93 Controls gespiegelt: Interviews, Dokumentensichtung, Reifegrad je Anforderung. Ergebnis ist ein priorisierter Maßnahmenplan mit realistischer Zeitschiene – in zwei bis drei Wochen. Wer diesen Schritt überspringt, plant im Blindflug.
2. ISMS-Aufbau
Auf Basis des Plans entstehen Geltungsbereich, Leitlinie, Risikomethodik, Risikoregister und Risikobehandlungsplan, die Erklärung zur Anwendbarkeit, Themenrichtlinien (etwa Berechtigungskonzept, Lieferantenmanagement, Incident-Management, sichere Entwicklung) und die Nachweisstruktur, die jede Anforderung mit Control, Verantwortlichem und Beleg verknüpft. Mitarbeitende werden geschult, die Maßnahmen umgesetzt. Das ist die längste Phase: drei bis neun Monate, je nach Ausgangslage.
3. Internes Audit und Managementbewertung
Bevor der externe Auditor kommt, prüft die Organisation sich selbst: Das interne Audit (Kapitel 9.2) bewertet die Wirksamkeit des ISMS, die Managementbewertung (9.3) dokumentiert, dass die Geschäftsführung Leistung, Risiken und Verbesserungen bewertet und entschieden hat. Beides ist Normpflicht, kein Ritual – fehlende Managementbeteiligung ist eine der häufigsten Abweichungen im Zertifizierungsaudit.
4. Stage-1- und Stage-2-Audit
Die akkreditierte Zertifizierungsstelle prüft zweistufig. Stage 1 ist die Dokumentenprüfung: Sind Scope, Leitlinie, Risikobeurteilung, SoA und Pflichtdokumente vollständig und konsistent? Offene Punkte werden zur Vorbedingung für Stage 2. Stage 2 prüft vor Ort oder remote, ob die Controls gelebt werden und Nachweise vorliegen. Abweichungen werden als Haupt- oder Nebenabweichung eingestuft; Hauptabweichungen müssen vor Zertifikatserteilung behoben sein.
5. Überwachung und Rezertifizierung
Das Zertifikat gilt drei Jahre. Jährliche Überwachungsaudits prüfen, ob das ISMS betrieben und verbessert wird; nach drei Jahren folgt die Rezertifizierung. Das ISMS muss also leben: interne Audits, Managementbewertung, Rezertifizierung von Berechtigungen, Aktualisierung von Risikoregister und Inventar. Wo keine eigene Stelle sinnvoll ist, übernimmt ein externer Informationssicherheitsbeauftragter den Betrieb.
Kosten und Dauer realistisch einschätzen
Dauer. Ohne Vorarbeiten sind sechs bis zwölf Monate bis zum Stage-2-Audit realistisch; mit bestehenden Strukturen, einem Grundschutz-Sicherheitskonzept oder einer Compliance-Plattform geht es schneller. Treiber sind Scope, Anzahl der Standorte und Systeme, Reifegrad der Dokumentation und die Verfügbarkeit interner Ansprechpartner.
Kosten setzen sich aus drei Blöcken zusammen:
- Zertifizierungsstelle: Gebühren für Stage 1, Stage 2, zwei Überwachungsaudits und die Rezertifizierung, bemessen nach Mitarbeiterzahl, Scope und Standorten. Angebote mehrerer akkreditierter Stellen einholen lohnt sich; die Auditdauer ist durch Akkreditierungsregeln vorgegeben, die Tagessätze nicht.
- Externe Beratung: Gap-Analyse, ISMS-Aufbau, internes Audit, Auditbegleitung. Der variabelste Block – abhängig davon, wie viel Ihr Team selbst leistet. Seriöse Angebote folgen auf die Gap-Analyse und nennen einen Festpreis für definierte Pakete.
- Interner Aufwand: der am häufigsten unterschätzte Posten. Ein fester Ansprechpartner mit einigen Stunden pro Woche, Beteiligung der Fachbereiche an Risikoanalyse und Prozessaufnahme, Schulungszeit der Belegschaft, Entscheidungszeit der Geschäftsführung.
Eine Compliance-Plattform wie Vanta reduziert den internen Aufwand spürbar, weil technische Nachweise automatisch aus Identity-Provider, Cloud und Endgeräteverwaltung einlaufen und das Audit aus dem System heraus geführt werden kann. Sie ersetzt aber keine Entscheidung über Scope, Risiken und Richtlinieninhalte – dazu mehr unter Compliance Automation.
Fünf Fehler, die Projekte scheitern lassen
- Zu weiter Scope. Wer das ganze Unternehmen mit allen Standorten in den Geltungsbereich nimmt, erzeugt Dokumentationsaufwand ohne Nutzen. Der Scope folgt dem, was Kunden und Regulierung verlangen – und kann später erweitert werden.
- Risikobeurteilung als Papierprojekt. Eine Risikotabelle aus der Vorlage, die niemand gelesen hat, fällt im Stage-2-Audit auf. Die Beurteilung muss die tatsächlichen Werte, Bedrohungen und Entscheidungen der Organisation abbilden.
- SoA als Checkliste. 93-mal „anwendbar, umgesetzt“ ohne Begründung ist eine Einladung für Nachfragen. Für jedes Control muss nachvollziehbar sein, warum es gilt oder nicht – und wo der Nachweis liegt.
- Geschäftsführung erst vor dem Audit einbinden. Kapitel 5 verlangt sichtbare Führung: Leitlinie unterschrieben, Ressourcen bereitgestellt, Managementbewertung durchgeführt. Das lässt sich nicht in der Woche vor Stage 1 nachholen.
- Nachweise erst am Ende sammeln. Wer Belege vor dem Audit zusammensucht, findet Lücken, die Monate alt sind. Nachweise entstehen im Betrieb – bei jedem Onboarding, jeder Rechtevergabe, jeder Lieferantenbewertung.
Fazit
ISO 27001 ist kein Dokumentationsprojekt, sondern ein Managementsystem: Wer Scope sauber zieht, Risiken ehrlich bewertet, Maßnahmen mit Nachweisen verknüpft und die Geschäftsführung von Anfang an einbindet, kommt in sechs bis zwölf Monaten zum Zertifikat – und hat damit zugleich die Grundlage für NIS-2, DORA-Anforderungen und jede Kundenanfrage gelegt.
Wo Sie stehen, klärt eine Gap-Analyse in zwei bis drei Wochen – geplant von einem zertifizierten ISO 27001 Lead Auditor, der weiß, worauf Prüfer schauen.
