ISO 27001: Anforderungen, Ablauf und Aufwand

ISO/IEC 27001 ist der Nachweis für Informationssicherheit, den Kunden, öffentliche Auftraggeber und Aufsichtsstellen am häufigsten sehen wollen. Selbsterklärend ist daran wenig: Die Norm beschreibt ein Managementsystem und keine Technik, und der Aufwand entsteht an anderen Stellen, als viele beim ersten Blick erwarten. Dieser Leitfaden ordnet ein, was die Norm verlangt, wie eine Zertifizierung abläuft und was sie in der Praxis bedeutet.

Was ist ISO 27001?

ISO/IEC 27001 ist die gemeinsam von ISO und IEC herausgegebene Norm, die Anforderungen an Aufbau, Betrieb, Überwachung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) festlegt und als einzige Norm der 27000-Reihe zertifizierbar ist.

Maßgeblich ist derzeit die Fassung ISO/IEC 27001:2022, ergänzt um die Änderung Amd 1:2024, die den Aspekt Klimawandel in die Kontextbetrachtung aufnimmt. In Europa ist die Norm als EN-Fassung übernommen und in Deutschland als DIN EN ISO/IEC 27001 veröffentlicht. Der Normtext selbst ist kostenpflichtig und nur über ISO beziehungsweise DIN Media zu beziehen. Frei verfügbare Zusammenfassungen im Netz ersetzen ihn nicht, weil die verbindliche Formulierung der Anforderungen entscheidend ist.

Ein wichtiger Punkt vorweg: Zertifiziert wird eine Organisation mit einem definierten Geltungsbereich, nicht ein Produkt, kein einzelner Server und keine Software. Wenn ein Anbieter mit "ISO 27001" wirbt, ist die relevante Frage immer, welcher Geltungsbereich auf dem Zertifikat steht.

Für wen ist ISO 27001 verpflichtend?

Eine ISO-27001-Zertifizierung ist in Deutschland nicht allgemein gesetzlich vorgeschrieben; verbindlich wird sie über Verträge, Ausschreibungsbedingungen, Konzernvorgaben und einzelne sektorspezifische Regelwerke, die einen Nachweis nach dem Stand der Technik verlangen.

Drei Konstellationen treiben die Entscheidung in der Praxis:

• Sektorspezifische Vorgaben: Betreiber Kritischer Infrastrukturen müssen nach dem BSI-Gesetz regelmäßig nachweisen, dass sie angemessene Vorkehrungen getroffen haben. Die Form des Nachweises ist offen, ISO 27001 oder ISO 27001 auf Basis von IT-Grundschutz sind gängige Wege. Im Energiesektor verlangt der IT-Sicherheitskatalog der Bundesnetzagentur von Netzbetreibern ein zertifiziertes ISMS. Welche Fassung und welcher Umfang gelten, prüfst du am Katalog beziehungsweise am Gesetzestext in der jeweils geltenden Fassung.
• Vertragliche Anforderungen: Große Auftraggeber, Versicherer und Ausschreibungen fordern das Zertifikat regelmäßig als Eintrittskarte. Hier ist die Pflicht privatrechtlich, nicht gesetzlich, und damit verhandelbar oder durch gleichwertige Nachweise ersetzbar.
• Regulatorischer Druck über Umwege: NIS2 und DORA schreiben keine ISO-27001-Zertifizierung vor, verlangen aber ein systematisches Risikomanagement. Ein bestehendes ISMS deckt einen erheblichen Teil dieser Anforderungen bereits ab.

graph TD
    A["Verlangt ein Vertrag, eine Ausschreibung oder eine Aufsicht einen Sicherheitsnachweis?"] -->|nein| B["Keine externe Pflicht. Ein ISMS bleibt sinnvoll, das Zertifikat ist eine Geschäftsentscheidung."]
    A -->|ja| C{"Ist ein bestimmtes Schema vorgeschrieben?"}
    C -->|"ja, z. B. IT-Sicherheitskatalog oder Kundenvorgabe"| D["Vorgegebenes Schema umsetzen, Fassung und Geltungsbereich exakt abgleichen"]
    C -->|nein| E{"Reicht ein Prüfbericht oder wird ein Zertifikat erwartet?"}
    E -->|"Prüfbericht genügt"| F["Testat wie BSI C5 prüfen, oft schneller belastbar für Cloud-Dienste"]
    E -->|"Zertifikat erwartet"| G["ISO/IEC 27001 mit klar geschnittenem Geltungsbereich anstreben"]

Welche Anforderungen stellt ISO 27001?

Die verbindlichen Anforderungen von ISO/IEC 27001 stehen in den Kapiteln 4 bis 10 des Normtextes und beschreiben das Managementsystem selbst; die konkreten Sicherheitsmaßnahmen listet der Anhang A, aus dem sich die Organisation risikobasiert bedient.

Kapitel 4 bis 10: das Managementsystem

Diese Kapitel sind nicht verhandelbar. Wer sie ausspart, wird nicht zertifiziert. Inhaltlich verlangen sie:

• Kontext und Geltungsbereich: Welche internen und externen Themen, welche interessierten Parteien und welche Anforderungen sind relevant, und wo verläuft die Grenze des ISMS?
• Führung: Die oberste Leitung trägt die Verantwortung, gibt eine Informationssicherheitsleitlinie vor und stellt Ressourcen bereit. Das ist der Punkt, an dem Projekte am häufigsten scheitern.
• Planung und Risikomanagement: Ein nachvollziehbarer Prozess zur Risikoeinschätzung und Risikobehandlung, dazu messbare Sicherheitsziele.
• Unterstützung: Kompetenz, Bewusstsein, Kommunikation und Lenkung dokumentierter Information.
• Betrieb: Die geplanten Maßnahmen laufen tatsächlich, Änderungen und ausgelagerte Prozesse sind gesteuert.
• Bewertung der Leistung: Messung, internes Audit und Managementbewertung.
• Verbesserung: Umgang mit Abweichungen, Korrekturmaßnahmen, fortlaufende Verbesserung.

Anhang A: 93 Maßnahmen in vier Themenfeldern

Die Fassung 2022 hat den früheren Katalog aus 114 Maßnahmen neu geordnet. Es sind jetzt 93 Maßnahmen in vier Themenfeldern, darunter elf neu aufgenommene, etwa zu Bedrohungsinformationen, Datenlöschung und sicherer Cloud-Nutzung. Umsetzungshinweise liefert die begleitende Norm ISO/IEC 27002:2022.

Die Maßnahmen des Anhangs A sind kein Pflichtprogramm im Sinne von "alles umsetzen". Sie sind ein Referenzkatalog, gegen den du deine Risikobehandlung abgleichst. Das Ergebnis dieses Abgleichs ist die Erklärung zur Anwendbarkeit (Statement of Applicability). Darin steht für jede Maßnahme, ob sie angewendet wird, mit welcher Begründung, und warum eine nicht angewendete Maßnahme entbehrlich ist. Dieses Dokument ist im Audit das meistgelesene.

Dokumentierte Information

Die Norm fordert an mehreren Stellen ausdrücklich dokumentierte Information. Dazu zählen unter anderem der Geltungsbereich, die Leitlinie, die Sicherheitsziele, der Risikoprozess samt Ergebnissen, die Erklärung zur Anwendbarkeit, der Risikobehandlungsplan, Kompetenznachweise, Ergebnisse von Überwachung und Messung, Auditprogramm und Auditergebnisse, Ergebnisse der Managementbewertung sowie Aufzeichnungen zu Abweichungen und Korrekturmaßnahmen. Ein Format schreibt die Norm nicht vor. Ein Wiki mit gepflegten Versionsständen ist zulässig, ein Ordner mit veralteten Word-Dateien nicht.

Wie läuft eine ISO-27001-Zertifizierung ab?

Eine ISO-27001-Zertifizierung läuft über eine akkreditierte Zertifizierungsstelle in einem Dreijahreszyklus ab: Erstzertifizierung in zwei Auditstufen, danach jährliche Überwachungsaudits und im dritten Jahr eine Rezertifizierung.

Zwei Punkte lohnen die Aufmerksamkeit. Erstens muss die Zertifizierungsstelle akkreditiert sein, in Deutschland durch die DAkkS, sonst hat das Zertifikat gegenüber Auftraggebern wenig Gewicht. Zweitens setzt das Stufe-2-Audit voraus, dass mindestens ein interner Auditzyklus und eine Managementbewertung tatsächlich stattgefunden haben. Ein ISMS, das erst seit vier Wochen existiert, kann keine Wirksamkeit belegen.

Abweichungen werden nach Schweregrad unterschieden. Geringfügige Abweichungen behebst du mit einem Maßnahmenplan, schwerwiegende Abweichungen verhindern die Zertifikatserteilung beziehungsweise führen im laufenden Zyklus zur Aussetzung, bis sie nachweislich behoben sind.

Was kostet eine ISO-27001-Zertifizierung?

Die Kosten einer ISO-27001-Zertifizierung lassen sich nicht seriös pauschalieren, weil der externe Auditaufwand in Personentagen nach der Zahl der Personen im Geltungsbereich und der Komplexität der Prozesse bemessen wird und der interne Aufwand meist deutlich größer ist als die Auditrechnung.

Die Bemessung der Audittage folgt den Vorgaben für Zertifizierungsstellen, insbesondere ISO/IEC 27006 und den zugehörigen IAF-Dokumenten. Ein belastbares Preisschild bekommst du deshalb nur über ein Angebot einer akkreditierten Stelle, die deinen Geltungsbereich kennt. Verlässlich sind dagegen die Kostentreiber:

• Zuschnitt des Geltungsbereichs: Jeder zusätzliche Standort, jede zusätzliche Rechtseinheit und jeder zusätzliche Prozess erhöht den Auditaufwand direkt.
• Ausgangsreife: Wer bereits strukturiert arbeitet, dokumentiert vorhandene Praxis. Wer bei null startet, baut Prozesse neu auf, und darin steckt der Großteil der Arbeit.
• Interne Kapazität: Risikoanalyse, Erklärung zur Anwendbarkeit, internes Audit und Managementbewertung binden Personal über Monate. Diese Zeit taucht in keinem Angebot auf und ist trotzdem der größte Posten.
• Externe Beratung: Optional, aber verbreitet. Wichtig ist die Trennung: Wer berät, darf nicht zertifizieren.
• Laufende Kosten: Überwachungsaudits, Pflege der Dokumentation und die kontinuierliche Verbesserung fallen jedes Jahr an. Ein Zertifikat ist kein Projekt mit Enddatum.

Als grobe zeitliche Orientierung nennen Zertifizierungsstellen und Beratungen für die Erstzertifizierung häufig sechs bis zwölf Monate ab Projektstart. Das ist ein Erfahrungswert, keine Normvorgabe, und hängt vollständig von Ausgangsreife und Ressourcen ab.

Was bedeutet ISO 27001 für deine Infrastruktur?

Für die Infrastruktur bedeutet ISO 27001 vor allem Nachweisbarkeit: Zugriffsrechte, Protokollierung, Änderungsmanagement, Backup und Wiederanlauf müssen nicht nur funktionieren, sondern belegbar geregelt und regelmäßig überprüft sein.

Beim Betrieb in der Cloud kommt die Lieferantensteuerung hinzu. Der Anhang A enthält in der Fassung 2022 eine eigene Maßnahme zur Informationssicherheit bei der Nutzung von Cloud-Diensten, und die organisatorischen Maßnahmen zu Lieferantenbeziehungen gelten unverändert. Praktisch heißt das: Du musst begründen können, warum du einem Anbieter welche Daten anvertraust, und du brauchst dafür einen Nachweis. Ein ISO-27001-Zertifikat des Anbieters ist ein solcher Nachweis, ein C5-Testat ein zweiter, oft detaillierterer.

Die Verantwortung wandert dabei nicht vollständig zum Anbieter. Was der Anbieter absichert und was in deiner Zuständigkeit bleibt, ergibt sich aus dem Servicemodell und dem Vertrag. Bei IaaS bleiben Betriebssystem, Konfiguration, Patchstand und Zugriffsverwaltung typischerweise bei dir. Genau danach fragt der Auditor.

centron betreibt ein nach ISO/IEC 27001 zertifiziertes Informationssicherheits-Managementsystem und ist zusätzlich nach ISO 9001 und ISO 14001 zertifiziert. Für ccloud³ und die Managed Cloud liegt ein uneingeschränktes BSI-C5:2020-Testat vom Typ 1 vor. Welche Nachweise für deinen Geltungsbereich relevant sind, entscheidest du anhand deiner eigenen Risikobetrachtung.

Welche Fristen gelten nach der Umstellung auf die Fassung 2022?

Die Übergangsfrist von ISO/IEC 27001:2013 auf die Fassung 2022 ist abgelaufen: Nach dem Beschluss des International Accreditation Forum endete sie am 31. Oktober 2025, seither werden akkreditierte Zertifikate ausschließlich nach der Fassung 2022 geführt.

Wenn dir noch ein Zertifikat nach der Fassung 2013 vorgelegt wird, ist das ein Befund. Prüfe Ausstellungsdatum, Gültigkeitsdatum und die genannte Normfassung, und frage im Zweifel bei der ausstellenden Stelle nach. Die Änderung Amd 1:2024 erfordert keine gesonderte Umstellung, sie wird im regulären Audit mitgeprüft.

Wie verhält sich ISO 27001 zu C5, NIS2 und TISAX?

ISO 27001 zertifiziert ein Managementsystem, BSI C5 testiert Sicherheitsmaßnahmen eines Cloud-Dienstes, NIS2 ist Recht und TISAX ein branchenspezifisches Prüf- und Austauschverfahren. Sie konkurrieren nicht, sie beantworten unterschiedliche Fragen.

Die Überschneidungen sind erheblich. Wer ein funktionierendes ISMS betreibt, hat für ein C5-Testat und für die Risikomanagementpflichten aus NIS2 den größten Teil der Grundlagen bereits gelegt. Deckungsgleich sind sie nicht: C5 verlangt zusätzlich Transparenzangaben etwa zum Ort der Datenverarbeitung, NIS2 enthält Melde- und Leitungspflichten, die keine Norm ersetzt. Für den Finanzsektor gilt zusätzlich die EU-Verordnung DORA, die seit dem 17. Januar 2025 anzuwenden ist und eigene Anforderungen an das Management von IKT-Drittparteienrisiken stellt.

Ein Zertifikat schützt im Übrigen vor keiner Sanktion. ISO 27001 selbst kennt keine Bußgelder, die Konsequenz einer Abweichung ist die Aussetzung oder der Entzug des Zertifikats und der Verlust von Aufträgen. Geldbußen kommen aus anderen Regelwerken, etwa der DSGVO oder dem nationalen NIS2-Umsetzungsrecht.

Wo stehen die verbindlichen Angaben?

Verbindlich ist ausschließlich der Normtext ISO/IEC 27001 in der geltenden Fassung, zu beziehen über ISO oder DIN Media. Für Umsetzungshinweise ist ISO/IEC 27002:2022 die zugehörige Quelle, für Anforderungen an Zertifizierungsstellen ISO/IEC 27006 und die IAF-Dokumente.

Für den deutschen Kontext sind das BSI und die DAkkS die maßgeblichen Stellen: das BSI für IT-Grundschutz, C5 und die Nachweispflichten Kritischer Infrastrukturen, die DAkkS für die Frage, ob eine Zertifizierungsstelle tatsächlich akkreditiert ist. Ob und in welcher Form dein Unternehmen betroffen ist, ist eine Rechtsfrage. Dieser Leitfaden ordnet die Kriterien ein, die rechtliche Bewertung für deinen konkreten Fall ersetzt er nicht.

Weitere Compliance-Themen

• BSI C5: Testat, Typ 1 und Typ 2 verstehen
• CLOUD Act: Auswirkungen auf deutsche Unternehmen
• DORA: Was die Verordnung für IT-Dienstleister bedeutet
• NIS2: Wer ist betroffen und was ist zu tun?