Welche Anforderungen stellt ISO 27001?

Die Anforderungen der ISO/IEC 27001:2022 sind in den normativen Hauptkapiteln 4 bis 10 sowie dem normativen Anhang A definiert. Unternehmen, die eine Zertifizierung anstreben, müssen alle Anforderungen der Kapitel 4–10 erfüllen — ohne Ausnahme. Aus dem Anhang A wählen sie die für sie anwendbaren Controls und dokumentieren diese im Statement of Applicability. Verstöße gegen Kapitel 4–10 führen zu Major Nichtkonformitäten und verhindern die Zertifizierung. Ein fundiertes Verständnis aller Anforderungen ist Voraussetzung für ein erfolgreiches ISMS-Projekt.

Kapitel 4: Kontext der Organisation

Kapitel 4 verlangt, dass die Organisation ihren Kontext systematisch analysiert:

• 4.1 Interne und externe Faktoren: Welche Faktoren beeinflussen die Informationssicherheit? (z.B. Regulierung, Technologietrends, Unternehmenskultur)
• 4.2 Interessierte Parteien: Wer hat Anforderungen an das ISMS? (Kunden, Behörden, Mitarbeiter, Lieferanten) — und welche Anforderungen sind das?
• 4.3 Anwendungsbereich: Welche Standorte, Geschäftsprozesse und IT-Systeme sind Teil des ISMS? Der Scope muss dokumentiert sein.
• 4.4 ISMS: Die Organisation muss ein ISMS nach ISO 27001 einführen, implementieren, aufrechterhalten und kontinuierlich verbessern.

Kapitel 5: Führung

Kapitel 5 macht die Geschäftsführung persönlich verantwortlich:

• 5.1 Leadership und Engagement: Die Leitung muss das ISMS aktiv unterstützen, Ressourcen bereitstellen und die Integration in Geschäftsprozesse sicherstellen.
• 5.2 Informationssicherheitspolitik: Eine dokumentierte, genehmigte und kommunizierte Richtlinie der Leitung mit klaren Zielen.
• 5.3 Rollen, Verantwortlichkeiten, Befugnisse: Wer ist für das ISMS verantwortlich? Typisch: ISB oder CISO.

Kapitel 6: Planung

Kapitel 6 ist das Herzstück des ISMS:

• 6.1.1 Maßnahmen zum Umgang mit Risiken und Chancen: Allgemeine Risikoprozesse des ISMS
• 6.1.2 Informationssicherheits-Risikobeurteilung: Methodik definieren, Risiken identifizieren, analysieren und bewerten — mindestens einmal jährlich und bei wesentlichen Änderungen
• 6.1.3 Informationssicherheits-Risikobehandlung: Maßnahmen aus Anhang A oder eigene Controls. Statement of Applicability erstellen.
• 6.2 Informationssicherheitsziele: Messbare Ziele, Verantwortliche, Ressourcen, Zeitplan
• 6.3 Planung von Änderungen: Strukturierter Änderungsmanagementprozess

Kapitel 7: Unterstützung

Kapitel 7 stellt sicher, dass das ISMS die notwendigen Ressourcen hat:

• 7.1 Ressourcen: Personal, Technologie, Budget
• 7.2 Kompetenz: Qualifikationsnachweise für sicherheitsrelevante Rollen
• 7.3 Bewusstsein: Alle Mitarbeiter kennen die Richtlinie und ihren Beitrag zur Informationssicherheit
• 7.4 Kommunikation: Interne und externe Kommunikation zu Informationssicherheitsthemen
• 7.5 Dokumentierte Information: Pflichtdokumente erstellen, aktuell halten und kontrolliert verteilen

Kapitel 8–10: Betrieb, Bewertung und Verbesserung

Kapitel 8 (Betrieb) verlangt, dass Risikobeurteilung und -behandlung auch operativ umgesetzt werden.

Kapitel 9 (Bewertung der Leistung) fordert:

• Kennzahlen und Metriken (9.1)
• Internes Audit mindestens einmal jährlich (9.2)
• Management Review mit dokumentiertem Protokoll (9.3)

Kapitel 10 (Verbesserung) verlangt:

• Nichtkonformitäten dokumentieren, Ursache analysieren, Korrekturmaßnahmen einleiten (10.1)
• Kontinuierliche Verbesserung des ISMS (10.2)

Anhang A: Die 93 Controls

Anhang A ist normativ und enthält 93 Controls in 4 Bereichen. Die Anwendung ist nicht verpflichtend — wohl aber die Dokumentation im SoA, ob und warum Controls ausgeschlossen werden.