DIN EN ISO 27001

Definition der ISO 27001

Die DIN EN ISO 27001 - auch IEC 27001 - ist die weltweit führende und international anerkannte Norm für Informationssicherheits-Managementsysteme (ISMS). Sie definiert die verbindlichen Anforderungen für das Einrichten, Umsetzen, Aufrechterhalten und kontinuierliche Verbessern eines dokumentierten Sicherheitssystems innerhalb einer Organisation. Ziel der Norm ist es, sensible Unternehmensdaten, IT-Systeme und Werte (sogenannte Assets) systematisch vor Bedrohungen, Verlust und unbefugtem Zugriff zu schützen.

Bedeutung und Zertifizierung

Unternehmen können sich nach DIN EN ISO 27001 durch eine unabhängige, akkreditierte Stelle zertifizieren lassen. Ein solches Zertifikat dient als offizieller Nachweis gegenüber Kunden und Partnern, dass IT-Risiken kontrolliert und Sicherheitsstandards eingehalten werden. 

Kernkonzepte der ISO 27001

• ISMS: Ein Managementsystem zur systematischen Steuerung von IT-Risiken.
• Schutzziele: Der Fokus liegt auf Vertraulichkeit, Integrität und Verfügbarkeit von Daten.
• PDCA-Zyklus: Kontinuierliche Optimierung durch Planen, Umsetzen, Überprüfen und Handeln.
• Risikomanagement: Identifikation und gezielte Behandlung von Bedrohungen.

Aufbau und Struktur (High-Level-Structure)

Die ISO 27001 gliedert sich in einen Hauptteil mit verbindlichen Anforderungen (Kapitel 4 bis 10) sowie den Anhang A (Annex A). Der Anhang A der aktuellen Version ISO/IEC 27001:2022 umfasst 93 konkrete Sicherheitsmaßnahmen, sogenannte Controls, die in vier thematische Bereiche unterteilt sind: 

• Organisatorische Maßnahmen: Richtlinien, Zugriffsrechte und Pflichten.
• Personelle Maßnahmen: Sicherheit im Zusammenhang mit Mitarbeitern.
• Physische Maßnahmen: Schutz von Gebäuden, Rechenzentren und Geräten.
• Technologische Maßnahmen: Netzwerksicherheit, Verschlüsselung und Systemhärtung.

Die Anwendbarkeitserklärung (Statement of Applicability – SoA)

Unternehmen müssen nicht zwingend jede der 93 Maßnahmen aus Anhang A anwenden. Basierend auf der jeweils eigenen Risikoanalyse wählt die Organisation relevante Maßnahmen aus. Die Auswahl an Maßnahmen wird in der sogenannten Statement of Applicability (SoA) dokumentiert und begründet. Zur praktischen Umsetzung der Maßnahmen dient die ergänzende Norm ISO/IEC 27002 als Leitfaden.