ISO/IEC 27001: Der zertifizierbare Standard für Informationssicherheit

ISO/IEC 27001:2022 folgt der harmonisierten Grundstruktur der ISO-Managementsystemnormen (High Level Structure). Die verbindlichen Anforderungen stehen in den Kapiteln 4 bis 10: Kontext der Organisation (4), Führung (5), Planung (6), Unterstützung (7), Betrieb (8), Bewertung der Leistung (9) und Verbesserung (10). Zusammen bilden sie den PDCA-Zyklus ab – vom Verstehen des Umfelds über Risikobeurteilung und Umsetzung bis zu internem Audit, Managementbewertung und kontinuierlicher Verbesserung. Durch die gemeinsame Struktur lässt sich das ISMS mit anderen Managementsystemen wie ISO 9001 integrieren.

Annex A enthält 93 Referenzmaßnahmen in vier Themenfeldern: organisatorische Controls (A.5, 37), personelle Controls (A.6, 8), physische Controls (A.7, 14) und technologische Controls (A.8, 34). Umsetzungshinweise liefert die Begleitnorm ISO/IEC 27002:2022. Die Auswahl erfolgt risikobasiert: Jedes Control wird in der Erklärung zur Anwendbarkeit als anwendbar oder – mit Begründung – als ausgeschlossen dokumentiert. Seit Ende der Übergangsfrist am 31.10.2025 sind ausschließlich Zertifikate nach der Fassung :2022 gültig.

Die Erstzertifizierung erfolgt zweistufig: Im Stage-1-Audit prüft die Zertifizierungsstelle die ISMS-Dokumentation und die Zertifizierungsreife (u. a. Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit), im Stage-2-Audit die wirksame Umsetzung in der Praxis – mit Interviews, Begehungen und Stichproben. Das Zertifikat ist drei Jahre gültig; in den beiden Folgejahren finden jährliche Überwachungsaudits statt, vor Ablauf des Zyklus ein Rezertifizierungsaudit. Die Anforderungen an akkreditierte Zertifizierungsstellen regeln ISO/IEC 17021-1 und ISO/IEC 27006-1:2024; in Deutschland ist die DAkkS die zuständige Akkreditierungsstelle.

Ein zertifiziertes ISMS ist der gängige Nachweis eines systematischen Sicherheitsmanagements. Für die NIS2-Richtlinie (EU) 2022/2555 hat ENISA die Risikomanagementmaßnahmen nach Art. 21(2) in ihrer Technical Implementation Guidance (06/2025) unter anderem auf ISO/IEC 27001:2022 gemappt – ein Zertifikat ersetzt die NIS2-Konformität nicht automatisch, deckt die geforderten Maßnahmen aber strukturell weitgehend ab. Der TISAX-Prüfkatalog VDA ISA der Automobilindustrie ist seit Version 6 an ISO/IEC 27001:2022 ausgerichtet; das TISAX-Label wird separat geprüft, ein bestehendes ISMS verkürzt die Vorbereitung jedoch deutlich. In Kundenaudits und Ausschreibungen reduziert das Zertifikat wiederkehrende Einzelnachweise und Fragebögen.

Die Einführung beginnt mit einer Gap-Analyse gegen die Kapitel 4 bis 10 und Annex A sowie der Festlegung des Geltungsbereichs. Es folgen Risikobeurteilung und Risikobehandlung (Kapitel 6), aus denen die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) hervorgeht. Anschließend werden Richtlinien, Prozesse und Controls umgesetzt und im Betrieb verankert; vor dem Zertifizierungsaudit erwarten Zertifizierungsstellen in der Regel mindestens ein vollständiges internes Audit und eine Managementbewertung. Die Dauer hängt von Größe, Scope und Reifegrad der Organisation ab – von wenigen Monaten bis über ein Jahr.

Im Februar 2024 wurde ISO/IEC 27001:2022/Amd 1:2024 veröffentlicht. Die Änderung ist klein, aber verbindlich: Nach Kapitel 4.1 muss die Organisation bestimmen, ob der Klimawandel ein relevantes Thema für ihr ISMS ist; in Kapitel 4.2 stellt eine neue Anmerkung klar, dass interessierte Parteien klimabezogene Anforderungen stellen können. Neue Controls oder ein neues Zertifikat sind damit nicht verbunden – Auditoren erwarten jedoch eine dokumentierte, begründete Bewertung. Eine Nachfolgefassung der Norm ist derzeit nicht angekündigt; ISO/IEC 27001:2022 bleibt die aktuelle Fassung (Stand: Juli 2026).