Regulierung

ISO/IEC 27001

Internationaler Standard für Informationssicherheitsmanagementsysteme (ISMS), der Anforderungen für systematisches Management von Informationssicherheitsrisiken definiert.

🧒

Einfach erklärt

Für jeden verständlich — ohne Vorkenntnisse

“ISO 27001 ist wie ein TÜV für Informationssicherheit. Ein unabhängiger Prüfer schaut ob du Sicherheit systematisch und nachweisbar managen kannst — nicht nur ob du gute Tools hast, sondern ob deine Prozesse und deine Organisation das richtig angehen. Mit dem Zertifikat kannst du das beweisen.”

Ausführliche Erklärung

ISO 27001 ist der weltweit anerkannte Standard für ISMS. Er definiert einen Managementrahmen (basierend auf dem PDCA-Zyklus: Plan-Do-Check-Act) und 93 Controls in Anhang A (Organisatorisch, Personell, Physisch, Technologisch). Eine Zertifizierung erfordert einen akkreditierten Auditor. Die aktuelle Version ISO 27001:2022 wurde erheblich modernisiert. Ergänzt wird der Standard durch ISO 27002 (Implementierungshinweise). Zertifizierung signalisiert Kunden und Partnern vertrauenswürdiges Sicherheitsmanagement.

>Wie funktioniert das?

Gap-Analyse: Aktuellen Stand vs

ISO-27001-Anforderungen vergleichen

Scope definieren: Welche Teile der Organisation werden zertifiziert? 3

ISMS aufbauen: Richtlinien, Risikobehandlung, Controls implementieren

Internes Audit: Eigene Prüfung vor externem Audit

Zertifizierungsaudit: Externe Prüfung durch akkreditierte Zertifizierungsstelle

Überwachungsaudits jährlich, Re-Zertifizierung alle 3 Jahre.

?Häufig gestellte Fragen

Antwort

Unternehmen die B2B-Dienstleistungen erbringen, Cloud-Dienste anbieten, mit Behörden zusammenarbeiten oder Kunden den Nachweis guter Sicherheitspraktiken erbringen müssen.

Antwort

Je nach Unternehmensgröße zwischen 10.000 und über 100.000 EUR für externe Beratung und Audit — dazu kommen interne Implementierungskosten. Für KMUs gibt es Vereinfachungen.

Antwort

Anhang A listet 93 Controls (Sicherheitsmaßnahmen) die das Unternehmen bewertet — welche sind anwendbar, welche werden implementiert? Nicht anwendbare Controls müssen begründet werden (Statement of Applicability).

Antwort

Weil der Standard explizit Management-Commitment, organisatorische Prozesse, Mitarbeiterschulung und kontinuierliche Verbesserung fordert — nicht nur technische Maßnahmen.

Antwort

Für kleinere Unternehmen 6-12 Monate, für größere 12-24 Monate — abhängig von der Ausgangssituation, dem Scope und den verfügbaren internen Ressourcen.

Alle Begriffe im Glossar

APT Brute-Force-Angriff Botnet CVE Credential Stuffing DDoS EDR Firewall Honeypot IDS KI-Angriff (Adversarial AI)Lateral Movement LLM-Sicherheit Malware MFA Netzwerksegmentierung OSINT Passkeys Patch Management Phishing Prompt Injection Ransomware SIEM Social Engineering SQL-Injection Threat Intelligence TTP WAF XDR Zero-Day Zero Trust XSS CSRF MitM Supply-Chain-Angriff Spear-Phishing Vishing Smishing Watering-Hole-Angriff Drive-by-Download Insider-Bedrohung Typosquatting Clickjacking DNS-Spoofing Session-Hijacking BEC Cryptojacking SIM-Swapping SOC Pentest Threat Hunting Red Team Blue Team DevSecOps Security Awareness Training Vulnerability Management SAST DAST 3-2-1 Backup-Strategie Cyber-Versicherung NIS2 DSGVO ISO/IEC 27001 BSI IT-Grundschutz NIST CSF KRITIS — Kritische Infrastrukturen PCI-DSS CRA TISAX — Automotive Informationssicherheit BCM Meldepflicht bei Datenpannen Adversarial Machine Learning Model Poisoning Deepfake KI-Halluzination LLM-Jailbreak Federated Learning Shadow AI Trojaner Computerwurm Spyware Rootkit Keylogger Fileless Malware Backdoor Infostealer Wiperware Adware OAuth 2.0 SAML SSO PAM IAM RBAC Passwort-Manager Biometrische Authentifizierung Hardware-Sicherheitsschlüssel VPN DMZ VLAN Port-Scanning BGP-Hijacking IPS NAC TLS SSH HTTPS — HyperText Transfer Protocol Secure SPF, DKIM & DMARC — E-Mail-Authentifizierung IPsec — Internet Protocol Security API-Sicherheit DNSSEC