ISO 27001 Anforderungen

 Die ISO 27001 Anforderungen bilden die Grundlage für die Einrichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS). Die aktuell veröffentlichte Norm ist ISO/IEC 27001:2022. Zusätzlich gilt die Änderung ISO/IEC 27001:2022/Amd 1:2024 zu Climate Action Changes.

Anforderungen an das ISMS

ISO/IEC 27001 verlangt, dass eine Organisation den Kontext des Unternehmens bestimmt, relevante interne und externe Themen berücksichtigt und den Geltungsbereich des ISMS festlegt. Auch interessierte Parteien und deren Anforderungen müssen berücksichtigt werden.

Führung und Verantwortung

Die oberste Leitung muss Verantwortung für das ISMS übernehmen und eine geeignete Informationssicherheitspolitik festlegen. Verantwortlichkeiten und Befugnisse müssen innerhalb der Organisation eindeutig zugeordnet werden.

Risikobewertung und Risikobehandlung

Ein zentraler Bestandteil der ISO 27001 Anforderungen ist die systematische Identifizierung und Bewertung von Informationssicherheitsrisiken. Die Organisation muss geeignete Kriterien für die Risikobewertung festlegen und Maßnahmen zur Behandlung der ermittelten Risiken bestimmen.

Sicherheitsmaßnahmen und Annex A

ISO/IEC 27001 enthält Anforderungen an die Auswahl und Umsetzung notwendiger Sicherheitsmaßnahmen. Annex A dient dabei als Referenz für Sicherheitskontrollen. Die Organisation muss die für ihr ISMS notwendigen Kontrollen bestimmen und ihre Auswahl beziehungsweise Nichtauswahl nachvollziehbar begründen.

Die Erklärung zur Anwendbarkeit (Statement of Applicability) dokumentiert unter anderem, welche Kontrollen relevant sind und wie ihre Anwendung begründet wird.

Unterstützung und Dokumentation

Die Organisation muss sicherstellen, dass erforderliche Ressourcen, Kompetenzen und das Sicherheitsbewusstsein vorhanden sind. Informationen müssen kontrolliert dokumentiert, aktualisiert und geschützt werden.

Operative Anforderungen

Die geplanten Prozesse und Maßnahmen zur Informationssicherheit müssen umgesetzt und kontrolliert werden. Dazu gehören auch die Behandlung von Risiken, die Überwachung relevanter Prozesse und die Kontrolle von Änderungen.

Überwachung und interne Audits

ISO 27001 verlangt eine regelmäßige Überwachung und Bewertung der Leistung des ISMS. Dazu gehören geeignete Messungen, Analysen und Bewertungen. Außerdem müssen interne Audits geplant und durchgeführt werden, um die Konformität und Wirksamkeit des Systems zu überprüfen.

Managementbewertung und Verbesserung

Die oberste Leitung muss das ISMS regelmäßig bewerten. Werden Nichtkonformitäten festgestellt, müssen Korrekturmaßnahmen eingeleitet und deren Wirksamkeit bewertet werden. Die kontinuierliche Verbesserung ist ein wesentlicher Bestandteil des Standards.

ISO 27001 Anforderungen und Zertifizierung

Für eine Zertifizierung müssen die anwendbaren Anforderungen der ISO/IEC 27001 innerhalb des definierten Geltungsbereichs umgesetzt und durch ein Zertifizierungsaudit bewertet werden. ISO weist darauf hin, dass Zertifizierung eine Möglichkeit ist, gegenüber Kunden und anderen Interessengruppen die Fähigkeit zum systematischen Management von Informationssicherheit nachzuweisen.

Fazit

Die iso 27001 anforderungen umfassen weit mehr als technische IT-Sicherheit. Sie verbinden Risikomanagement, Führung, Prozesse, Verantwortlichkeiten, Dokumentation, Sicherheitsmaßnahmen, Audits und kontinuierliche Verbesserung zu einem ganzheitlichen Informationssicherheits-Managementsystem.