Was ist ISO/IEC 27005?
ISO/IEC 27005:2022 ist eine Internationale Norm mit Leitlinien für das Management von Informationssicherheitsrisiken; sie behandelt Risikobewertung und Risikobehandlung.
Technische Einordnung: Die offizielle IEC-Produktseite ordnet die Norm dem Management von Informationssicherheitsrisiken zu und nennt Risikobewertung und Risikobehandlung als zentrale Tätigkeiten. Weitergehende Einzelphasen oder konkrete Verfahrensvorgaben werden hier nicht behauptet, weil der Normvolltext nicht ausgewertet wurde.
Für wen ist ISO/IEC 27005 gedacht?
Die IEC beschreibt die Norm als auf Organisationen jeder Art und Größe sowie jedes Sektors anwendbar. Ihre Nutzung ist damit nicht auf große Unternehmen oder eine bestimmte Branche beschränkt. Praktisch relevant ist sie für Organisationen, die Informationssicherheitsrisiken bewerten und behandeln wollen; dies ist eine sachliche Einordnung und keine Zugangsvoraussetzung.
Welche Rolle spielen Risikobewertung und Risikobehandlung?
Die öffentliche IEC-Produktseite nennt beide Tätigkeiten ausdrücklich. Risikobewertung und Risikobehandlung sind daher gemeinsam zu betrachten: Die Norm wird nicht zutreffend beschrieben, wenn sie auf eine isolierte Bewertung oder eine bloße Bestandsaufnahme reduziert wird. Welche einzelnen Arbeitsschritte und Begriffe im Detail gelten, ist anhand des vollständigen Normtexts zu prüfen.
Schreibt ISO/IEC 27005 eine bestimmte Methode oder Risikomatrix vor?
Aus der ausgewerteten öffentlichen IEC-Produktseite lässt sich keine bestimmte Methode oder Risikomatrix als allgemein vorgeschrieben ableiten. Die Seite benennt Risikobewertung und Risikobehandlung, legt dort aber kein einzelnes Verfahren fest. Aussagen zur konkreten Ausgestaltung erfordern die Prüfung des vollständigen Normtexts und gegebenenfalls zusätzlicher, für die Organisation maßgeblicher Vorgaben.
Ist ISO/IEC 27005 eigenständig zertifizierbar?
Die öffentliche IEC-Produktseite weist ISO/IEC 27005 als Internationale Norm aus, enthält aber keine Aussage über eine eigenständige Zertifizierung. Aus dieser Fundstelle folgt deshalb weder die Bestätigung noch der Ausschluss eines bestimmten Zertifizierungsprogramms. Dafür sind dessen aktuelle Regeln gesondert zu prüfen.
Gelten allgemeine Fristen oder Schwellenwerte?
Die öffentliche IEC-Produktseite nennt für die Anwendung keine allgemeine Frist, keinen Fristbeginn und keinen quantitativen Schwellenwert. Diese begrenzte Feststellung sagt nichts über mögliche Vorgaben aus Verträgen, Zertifizierungsprogrammen, internen Regelungen oder anderen für eine Organisation maßgeblichen Quellen aus.
Häufige Fehlannahmen
- „ISO/IEC 27005 ist nur für große Unternehmen gedacht.“ Falsch: Die IEC beschreibt sie als auf Organisationen jeder Art und Größe sowie jedes Sektors anwendbar.
- „Die Norm behandelt nur eine Risikobewertung.“ Falsch: Die öffentliche IEC-Beschreibung nennt daneben ausdrücklich die Risikobehandlung.
- „Die öffentliche Produktseite belegt einen vollständigen Katalog aller Prozessphasen.“ Falsch: Ausgewiesen sind Risikobewertung und Risikobehandlung; weitergehende Einzelheiten werden ohne Normvolltext nicht behauptet.
- „Die öffentliche Produktseite schreibt eine bestimmte Risikomatrix vor.“ Falsch: Aus ihr lässt sich keine einzelne Methode oder Matrix als allgemein vorgeschrieben ableiten.
- „Die Produktseite bestätigt eine eigenständige Zertifizierung nach ISO/IEC 27005.“ Falsch: Sie trifft dazu keine Aussage; maßgeblich wären die Regeln des jeweiligen Zertifizierungsprogramms.
Was die Geschäftsleitung tun sollte
Die folgenden Praxisempfehlungen sind aus der beschriebenen Anwendbarkeit sowie den Tätigkeiten Risikobewertung und Risikobehandlung abgeleitet; sie sind keine eigenständigen Rechts- oder Zertifizierungspflichten aus ISO/IEC 27005:
- Festlegen, für welche Organisationseinheiten und Informationssicherheitsrisiken die Leitlinien herangezogen werden sollen.
- Verantwortung und Ressourcen sowohl für die Risikobewertung als auch für die anschließende Risikobehandlung zuweisen.
- Bewertungsergebnisse, Behandlungsentscheidungen und die dafür verwendeten Kriterien nachvollziehbar dokumentieren.
- Vor der Festlegung einer konkreten Methode oder Risikomatrix den vollständigen Normtext prüfen lassen.
- Aussagen zu Zertifizierbarkeit, Fristen oder verbindlichen Verfahren erst nach Prüfung der jeweils maßgeblichen zusätzlichen Regeln freigeben.
Für die Geschäftsleitung
ISO/IEC 27005 ist nach der IEC-Produktseite organisationsübergreifend anwendbar und verbindet Risikobewertung mit Risikobehandlung. Zu entscheiden ist, wo die Leitlinien eingesetzt werden, wer beide Tätigkeiten verantwortet und welche Ressourcen dafür bereitstehen. Als interner Nachweis sollten Bewertungsergebnisse, Behandlungsentscheidungen und verwendete Kriterien nachvollziehbar dokumentiert werden; eine bestimmte Nachweisform lässt sich aus der öffentlichen Produktseite nicht ableiten.
Quellen
- International Electrotechnical Commission (IEC): ISO/IEC 27005:2022 – Information security, cybersecurity and privacy protection — Guidance on managing information security risks, offizielle Produktseite. Titel und Einordnung, allgemeine Anwendbarkeit, Risikobewertung und Risikobehandlung; Quellenstand 7. August 2026.
