Ein ISMS (Informationssicherheits-Managementsystem) ist das gelebte System aus Prozessen, Richtlinien, Rollen und Maßnahmen zur Steuerung der Informationssicherheit. ISO 27001 ist die internationale Norm, die die Anforderungen an ein solches ISMS definiert – und nach der ein ISMS zertifiziert werden kann. Kurz gesagt: Das ISMS ist die Sache selbst, ISO 27001 ist der Standard dafür.
Was ist ein ISMS?
Ein ISMS ist ein systematischer Rahmen, mit dem ein Unternehmen Informationssicherheit steuert: Es identifiziert kritische Werte und Risiken, definiert Richtlinien und Verantwortlichkeiten, setzt technische und organisatorische Maßnahmen um und verbessert diese kontinuierlich (PDCA-Zyklus). Ein ISMS ist damit gelebte Praxis – unabhängig davon, nach welchem Standard es ausgerichtet ist.
Was ist ISO 27001?
ISO/IEC 27001 ist die international führende Norm für Informationssicherheits-Managementsysteme. Sie legt die Anforderungen fest, die ein ISMS erfüllen muss, und bildet die Grundlage für eine akkreditierte Zertifizierung. ISO 27001 beschreibt also nicht die Sicherheit selbst, sondern die Anforderungen an das Managementsystem, das die Sicherheit steuert.
Der zentrale Unterschied
Der Unterschied ist der zwischen Sache und Standard: Das ISMS ist das konkrete Managementsystem in Ihrem Unternehmen, ISO 27001 ist die Norm, an der es sich messen lässt. Man kann ein ISMS betreiben, ohne es nach ISO 27001 zertifizieren zu lassen – aber man kann ISO 27001 nicht erfüllen, ohne ein funktionierendes ISMS zu haben. ISO 27001 macht ein ISMS nachweisbar und vergleichbar.
Braucht ein ISMS immer ISO 27001?
Nein. Ein ISMS kann auch am BSI IT-Grundschutz, an TISAX (Automobilindustrie) oder an eigenen Vorgaben ausgerichtet sein. ISO 27001 ist jedoch der international anerkannteste Rahmen und der einzige mit weltweit akzeptierter Zertifizierung – deshalb wird ein ISMS in der Praxis häufig nach ISO 27001 aufgebaut.
ISMS, ISO 27001 und NIS2
NIS2 verlangt ein wirksames Risikomanagement für Informationssicherheit (Art. 21), schreibt aber keine ISO-27001-Zertifizierung vor. Ein ISO-27001-konformes ISMS deckt jedoch einen Großteil der NIS2-Pflichten ab und ist daher ein pragmatischer Weg, die regulatorischen Anforderungen strukturiert zu erfüllen.
Wann ist eine Zertifizierung sinnvoll?
Eine ISO-27001-Zertifizierung lohnt sich vor allem bei Kundenanforderungen, Ausschreibungen, Lieferkettennachweisen oder als Wettbewerbsvorteil. Wo ein externer Nachweis nicht gefordert ist, kann auch ein normkonform aufgebautes, aber nicht zertifiziertes ISMS ausreichen – die Sicherheit ist dieselbe, es fehlt nur das Zertifikat.
Fazit
ISMS und ISO 27001 sind kein Entweder-oder: Das ISMS ist das gelebte Managementsystem, ISO 27001 die Norm und Zertifizierungsgrundlage dafür. Für die meisten Unternehmen ist ein nach ISO 27001 aufgebautes ISMS der sinnvollste Weg – ob mit oder ohne formale Zertifizierung, hängt von den Anforderungen von Kunden, Partnern und Regulatorik ab.
APASEC unterstützt Sie — praxisnah und auf Ihr Unternehmen zugeschnitten. Jetzt unverbindlich anfragen →
Häufige Fragen (FAQ)
Nein. Ein ISMS ist das konkrete Managementsystem zur Steuerung der Informationssicherheit. ISO 27001 ist die Norm, die die Anforderungen an ein solches ISMS definiert und nach der es zertifiziert werden kann.
Ja. Ein ISMS kann normkonform aufgebaut und wirksam betrieben werden, ohne dass eine formale ISO-27001-Zertifizierung erfolgt. Die Zertifizierung ist der externe Nachweis, nicht die Sicherheit selbst.
Nein, NIS2 fordert keine Zertifizierung. Ein ISO-27001-konformes ISMS deckt aber einen Großteil der NIS2-Anforderungen ab und erleichtert den Nachweis erheblich.
Zuerst wird ein ISMS aufgebaut, das die Anforderungen der ISO 27001 erfüllt. Die Zertifizierung erfolgt danach, wenn das ISMS etabliert und wirksam ist.
Alternativen bzw. Ergänzungen sind der BSI IT-Grundschutz und – in der Automobilbranche – TISAX. Alle beschreiben Anforderungen an ein ISMS; ISO 27001 ist der international am breitesten anerkannte Rahmen.