ISO 27001 Informationssicherheit nachweisbar zertifiziert

ISO 27001 ist grundsätzlich freiwillig. In vielen Branchen und Ausschreibungen ist das Zertifikat aber faktische Voraussetzung, und Gesetze wie DSGVO, NIS2 und BSI-Grundschutz verlangen Maßnahmen, die sich mit ISO 27001 nachweisen lassen.

Die Norm will belegt sehen, dass technische Maßnahmen existieren und wirken. Dafür erwartet ein Auditor typischerweise: die Erklärung zur Anwendbarkeit mit Begründung der gewählten Maßnahmen, den Risikobehandlungsplan, Belege aus dem Schwachstellenmanagement nach Control 8.8 (Quellen, Bewertung, Patch-Entscheidungen), Testnachweise nach Control 8.29 sowie die Überwachungsergebnisse nach Kapitel 9.1. Technische Prüfberichte mit Scope, Methodik, Befunden und dokumentierter Behebung schließen diese Kette.

Alles zum Zertifizierungsweg steht auf unserer Seite ISO 27001 Zertifizierung, verlinkt am Ende dieser Seite: die beiden Auditstufen, die Dauer bis zur Auditreife, die Budgetposten und die Frage, wer das Zertifikat ausstellt. Kurz gefasst: Zertifizieren darf nur eine akkreditierte Stelle, nicht der Dienstleister, der Sie vorbereitet und technisch prüft.

Die Fassung ISO/IEC 27001:2022 enthält in Anhang A 93 Sicherheitsmaßnahmen, gegliedert in vier Themen: organisatorisch, personenbezogen, physisch und technologisch. Welche davon gelten, bestimmt Ihre Risikobewertung (Statement of Applicability).

Ein ISMS ist ein Informationssicherheits-Managementsystem: der dokumentierte Rahmen aus Leitlinien, Rollen, Risikobewertung, Maßnahmen und Kennzahlen, mit dem eine Organisation Informationssicherheit steuert und verbessert. ISO 27001 beschreibt die Anforderungen an dieses System. Zertifiziert wird nicht eine einzelne Technik, sondern dass Ihr ISMS funktioniert und wirksam betrieben wird.

Nein. ISO 27001 zertifiziert Organisationen beziehungsweise deren Managementsystem, nicht einzelne Menschen. Für Personen gibt es Schulungsnachweise wie Lead Auditor oder Lead Implementer - diese belegen Qualifikation, ersetzen aber kein Unternehmenszertifikat. Wer mit einem persönlichen ISO-27001-Zertifikat wirbt, meint eine Schulung, keine Zertifizierung Ihres Unternehmens.

ISO 27001 beschreibt Anforderungen an das Managementsystem und lässt Ihnen viel Freiheit bei der Wahl der Maßnahmen. Der BSI IT-Grundschutz ist deutlich konkreter und liefert mit seinen Bausteinen fertige Maßnahmenkataloge. Eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz verbindet beides und ist im öffentlichen Sektor verbreitet.

Ja, wenn Sie Kunden bedienen, die Sicherheitsnachweise verlangen - etwa Konzerne, Banken, Behörden oder Gesundheitswesen. Der Aufwand skaliert mit dem Geltungsbereich: Ein kleines Software-Unternehmen kann den Scope auf sein Produkt und die zugehörige Infrastruktur begrenzen. Wer den Nachweis nur intern braucht, fährt mit einer Gap-Analyse und jährlichen Penetrationstests oft günstiger.