Kurzdefinition: ISO/IEC 27001 ist die international führende Norm für Informationssicherheits-Managementsysteme. Sie beschreibt, wie ein ISMS aufzubauen und zu betreiben ist, und ermöglicht eine externe Zertifizierung, die einen systematischen, geprüften Sicherheitsansatz belegt.
Was ist ISO/IEC 27001?
Ein internationaler Standard für den Aufbau und Betrieb eines ISMS. Er definiert Anforderungen an Risikomanagement, Kontrollen, Verantwortlichkeiten und kontinuierliche Verbesserung.
Was bringt eine Zertifizierung?
Externen Nachweis. Ein Zertifikat einer akkreditierten Stelle belegt, dass das ISMS die Normanforderungen erfüllt — nützlich gegenüber Kunden, Partnern und im Rahmen von Nachweispflichten.
Ist ISO 27001 Pflicht?
Nein. Die Norm ist freiwillig. Sie kann aber helfen, gesetzliche Anforderungen wie § 30 BSIG strukturiert zu erfüllen und nachzuweisen.
Wie verhält sich ISO 27001 zum BSIG?
Ergänzend. Ein nach ISO 27001 betriebenes ISMS deckt viele BSIG-Anforderungen ab, ersetzt aber nicht die eigenständige Prüfung der gesetzlichen Pflichten.
Was bedeutet der Stand der Technik dabei?
Normen wie ISO 27001 konkretisieren, was als anerkannte gute Praxis gilt, und prägen so das Verständnis des Stands der Technik nach § 30 BSIG.
Häufige Fehlannahmen
- „ISO 27001 ist gesetzlich vorgeschrieben.“ Nein. Sie ist freiwillig.
- „Ein Zertifikat garantiert Sicherheit.“ Nein. Es belegt ein System, keine Unangreifbarkeit.
- „ISO 27001 ersetzt die BSIG-Prüfung.“ Nein. Gesetzliche Pflichten sind eigenständig zu prüfen.
- „Zertifizierung ist einmalig.“ Nein. Sie erfordert Überwachungsaudits und Rezertifizierung.
- „Nur Großunternehmen können sich zertifizieren.“ Nein. Auch kleinere Organisationen.
Was die Geschäftsleitung tun sollte
- Nutzen prüfen. Klären, ob eine Zertifizierung sinnvoll ist.
- ISMS aufbauen. Ein Managementsystem nach der Norm etablieren.
- Zertifizieren. Bei Bedarf eine akkreditierte Prüfung anstreben.
- BSIG abgleichen. Gesetzliche Pflichten zusätzlich prüfen.
Für die Geschäftsleitung
ISO/IEC 27001 ist eine international anerkannte Norm für Informationssicherheits-Managementsysteme. Eine Zertifizierung belegt einen geprüften, systematischen Ansatz und stützt Nachweispflichten — ersetzt aber nicht die eigenständige Erfüllung der BSIG-Pflichten.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
