Glossar
Was ist ISO/IEC 27001?
ISO/IEC 27001 ist die internationale Norm, die die Anforderungen an Einführung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicherheits-Managementsystems (ISMS) festlegt. Sie ist die einzige Norm der 27000er-Familie, gegen die eine Organisation von einer akkreditierten Stelle zertifiziert werden kann; die übrigen Normen der Familie sind Leitfäden ohne Zertifizierbarkeit.
Die Norm verlangt einen risikobasierten Ansatz: schützenswerte Informationen ermitteln, Bedrohungen bewerten, Behandlung festlegen und die passenden Maßnahmen aus den 93 Controls des Anhangs A auswählen (organisatorisch, personenbezogen, physisch, technologisch). Gültig ist die Ausgabe ISO/IEC 27001:2022; die Übergangsfrist für Zertifikate nach der Fassung 2013 endete am 31. Oktober 2025.
Die Zertifizierung ist zunehmend Marktanforderung statt freier Entscheidung: sie steht in Ausschreibungen der öffentlichen Hand, in Due-Diligence-Fragebögen von Großkunden und unter den Qualifikationskriterien für Cloud-Anbieter im Marketplace der italienischen Cybersicherheitsagentur ACN, dort typischerweise zusammen mit ISO/IEC 27017 und ISO/IEC 27018.
Häufige Fragen
Was ist ISO 27001 einfach erklärt?
Die Norm beschreibt, wie man sich organisiert, um Informationen zu schützen: welche Rollen es braucht, wie Risiken bewertet werden, welche Maßnahmen zu treffen sind und wie deren Wirksamkeit geprüft wird. Sie schreibt keine Technologien vor, sondern eine Methode.
Ist die ISO-27001-Zertifizierung Pflicht?
Gesetzlich in keiner Branche. Vertraglich wird sie faktisch zur Pflicht: viele öffentliche Ausschreibungen, viele Großkunden und der ACN-Marketplace für Cloud-Dienste setzen sie als Teilnahme- oder Qualifikationsvoraussetzung.
Wie lange dauert der Weg zur Zertifizierung?
Ein KMU ohne Vorarbeiten benötigt typischerweise sechs bis zwölf Monate für Kontextanalyse, Risikobewertung, Dokumentation, Umsetzung der Maßnahmen, internes Audit, Managementbewertung und das zweistufige Zertifizierungsaudit.
Worin unterscheiden sich ISO 27001 und DSGVO?
Die DSGVO ist europäisches Recht zum Schutz personenbezogener Daten; ISO 27001 ist eine freiwillige Norm für alle Informationen. Ein gut gebautes ISMS liefert einen großen Teil der von Art. 32 DSGVO verlangten Sicherheitsmaßnahmen, deckt aber nicht alle Datenschutzpflichten ab.
Quellen: ISO/IEC 27001 — offizielle ISO-Seite
Dazu beraten wir Sie: ISO/IEC 27001 – Informationssicherheit
Selbst prüfen: ISO-Selektor
Verwandte Begriffe: ISMS (Informationssicherheits-Managementsystem) · Datenpanne (Verletzung des Schutzes personenbezogener Daten)