ISO 27001: Zertifizierbares Managementsystem für Informationssicherheit

ISO/IEC 27001 ist die international maßgebliche Norm für Managementsysteme der Informationssicherheit. Sie beschreibt nicht, welche Technik einzusetzen ist, sondern wie ein Unternehmen Risiken systematisch erfasst, behandelt und die Wirksamkeit überprüft. Zertifiziert wird das Managementsystem, nicht ein einzelnes Produkt.

Was die Norm verlangt

Der Hauptteil der Norm folgt der für Managementsystemnormen üblichen Struktur. Verlangt werden unter anderem die Bestimmung des Anwendungsbereichs, die Berücksichtigung der Anforderungen interessierter Parteien, eine dokumentierte Sicherheitsleitlinie, klare Zuständigkeiten, ein definiertes Verfahren zur Risikobeurteilung und -behandlung, Kompetenz- und Sensibilisierungsmaßnahmen, interne Audits, eine Managementbewertung sowie der Umgang mit Abweichungen und Verbesserungen.

Ergänzend enthält Anhang A eine Liste von Sicherheitsmaßnahmen, gegliedert in die Themenfelder organisatorische, personelle, physische und technologische Maßnahmen. Diese Liste dient als Referenz: Sie prüfen jede Maßnahme auf Anwendbarkeit und dokumentieren das Ergebnis in der Erklärung zur Anwendbarkeit. Nicht anwendbare Maßnahmen dürfen ausgeschlossen werden, die Begründung muss aber nachvollziehbar sein. Detaillierte Umsetzungshinweise zu diesen Maßnahmen liefert die begleitende Norm ISO/IEC 27002.

Der Kern: Risikobeurteilung

Das Herzstück ist der Umgang mit Risiken. Die Norm schreibt keine bestimmte Methode vor, verlangt aber ein wiederholbares Verfahren mit dokumentierten Kriterien. Praktisch bedeutet das:

• Identifikation der Risiken für die Schutzziele der relevanten Informationen und Prozesse
• Bewertung nach Eintrittswahrscheinlichkeit und Auswirkung anhand vorab festgelegter Kriterien
• Entscheidung über die Behandlung: vermindern, vermeiden, übertragen oder bewusst akzeptieren
• Ableitung eines Risikobehandlungsplans mit Maßnahmen, Verantwortlichen und Terminen
• Freigabe der verbleibenden Risiken durch die Leitungsebene

Die bewusste Akzeptanz von Risiken ist ausdrücklich zulässig. Sie muss jedoch dokumentiert und von der zuständigen Leitung getragen sein. Genau dieser Punkt macht die Norm für die Geschäftsführung relevant, weil Sicherheitsentscheidungen dadurch nachvollziehbar zugeordnet werden.

Wann sich eine Zertifizierung lohnt

Für mittelständische Unternehmen ist der übliche Auslöser eine Anforderung von außen: Auftraggeber aus Industrie, Finanzwesen oder öffentlicher Hand verlangen zunehmend einen Nachweis, ebenso Ausschreibungen und Lieferkettenprüfungen. Auch wenn Sie selbst IT-Dienstleistungen oder Datenverarbeitung für Kunden erbringen, wird das Zertifikat häufig zur Vertriebsvoraussetzung.

Vor der Entscheidung sollten Sie folgende Punkte klären:

• Fordert ein konkreter Kunde oder eine Ausschreibung das Zertifikat, oder wird es nur vermutet
• Welcher Anwendungsbereich reicht aus, um diese Anforderung zu erfüllen
• Wer übernimmt intern die Rolle des Informationssicherheitsbeauftragten und mit welchem Zeitanteil
• Welche Nachweise und Prozesse existieren bereits und lassen sich weiterverwenden
• Welche laufenden Kosten entstehen über den gesamten Dreijahreszyklus

Ohne solchen äußeren Anlass ist die Zertifizierung nicht zwingend das wirtschaftlichste Vorgehen. Die inhaltlichen Anforderungen lassen sich auch ohne Zertifikat umsetzen; entfallen dann Auditkosten und ein Teil des Dokumentationsaufwands. Was in beiden Fällen bleibt, ist die Arbeit an Risikoanalyse, Zuständigkeiten und Wirksamkeitsprüfung.

Aufwand und Ablauf

Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle in zwei Stufen: einer Dokumentenprüfung und einem Audit der tatsächlichen Umsetzung. Ein Zertifikat ist üblicherweise drei Jahre gültig, in den Zwischenjahren finden Überwachungsaudits statt, danach eine Rezertifizierung. Der Aufwand hängt vor allem vom gewählten Anwendungsbereich ab: Ein eng gefasster Bereich, etwa ein Standort und ein Geschäftsprozess, ist erheblich schneller belegbar als das gesamte Unternehmen.

Einzuplanen sind interne Personalkapazität für die Vorbereitung, gegebenenfalls externe Beratung, Auditkosten sowie laufender Betriebsaufwand für interne Audits und Managementbewertung. Die Norm ist bewusst branchenneutral formuliert; die Übersetzung in konkrete technische Maßnahmen bleibt Ihre Aufgabe. Der IT-Grundschutz des BSI kann hier als Quelle konkreter Anforderungen dienen.

Typische Fehler

Am häufigsten wird der Anwendungsbereich zu weit gefasst, was den Aufwand vervielfacht. Zweitens entsteht Dokumentation, die für das Audit geschrieben wurde und im Alltag niemand verwendet; Auditoren erkennen das an der Diskrepanz zwischen Beschreibung und gelebter Praxis. Drittens wird Anhang A als abzuhakende Checkliste behandelt, statt die Maßnahmen aus der eigenen Risikobeurteilung abzuleiten. Viertens werden interne Audits und Managementbewertung als Formalie behandelt, obwohl sie der Mechanismus sind, der das System aktuell hält. Und schließlich wird nach erfolgreicher Zertifizierung die Pflege eingestellt, was spätestens beim ersten Überwachungsaudit auffällt.

• Zertifiziert wird das Managementsystem, nicht eine technische Ausstattung.
• Die dokumentierte Risikobeurteilung ist der Kern der Norm.
• Anhang A ist eine Referenzliste mit Begründungspflicht, keine Pflichtausstattung.
• Der Anwendungsbereich bestimmt den Aufwand stärker als jeder andere Faktor.
• Ohne externe Anforderung kann die inhaltliche Umsetzung ohne Zertifikat wirtschaftlicher sein.