ISO 27001 Checkliste: Anforderungen, Ablauf und typische Lücken vor dem Audit

Was ISO/IEC 27001:2022 verlangt und für wen sie sinnvoll ist

ISO/IEC 27001 beschreibt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS). Die aktuelle Fassung ist ISO/IEC 27001:2022, ergänzt durch das Amendment 1 aus dem Jahr 2024, das in Klausel 4 die Berücksichtigung des Klimawandels als möglichen Kontextfaktor aufgenommen hat. Die Übergangsfrist für Zertifikate nach der alten Fassung von 2013 ist am 31. Oktober 2025 abgelaufen, neue und bestehende Zertifizierungen richten sich also ausschließlich nach der Version 2022.

Die Norm ist branchenneutral und gilt unabhängig von der Unternehmensgröße. Sie ist freiwillig, wird aber in der Praxis oft zur Pflicht: IT-Dienstleister, SaaS-Anbieter, Rechenzentren, Zulieferer in der Automobilindustrie oder Unternehmen im Umfeld kritischer Infrastrukturen werden von Kunden und Ausschreibungen regelmäßig nach einem Zertifikat gefragt. Entscheidend ist, dass das Unternehmen den Anwendungsbereich (Scope) selbst festlegt. Ein sauber begrenzter Scope, etwa die Entwicklung und der Betrieb einer bestimmten Plattform, ist für KMU oft der realistischere Einstieg als das gesamte Unternehmen.

Checkliste zu den Klauseln 4 bis 10

Die Klauseln 4 bis 10 sind verpflichtend. Keine davon kann ausgeschlossen werden, und der Auditor prüft jede einzelne anhand von Nachweisen. Die folgende Liste fasst zusammen, was vorhanden sein sollte, bevor ein Zertifizierer ins Haus kommt.

• Klausel 4, Kontext: interne und externe Themen, interessierte Parteien und ihre Anforderungen, dokumentierter Anwendungsbereich des ISMS mit Schnittstellen und Abhängigkeiten.
• Klausel 5, Führung: eine von der Geschäftsführung verabschiedete Informationssicherheitsleitlinie, zugewiesene Rollen und Verantwortlichkeiten, sichtbares Engagement der Leitung.
• Klausel 6, Planung: dokumentierte Methode zur Risikobeurteilung, Risikobehandlungsplan, Statement of Applicability, messbare Informationssicherheitsziele und geplantes Vorgehen bei Änderungen am ISMS.
• Klausel 7, Unterstützung: Ressourcen, Nachweise zur Kompetenz, Awareness-Maßnahmen, Kommunikationsregeln und gelenkte Dokumentation.
• Klausel 8, Betrieb: Umsetzung der Risikobehandlung, regelmäßige Risikobeurteilungen und Steuerung ausgelagerter Prozesse.
• Klausel 9, Bewertung: Kennzahlen und Messungen, internes Auditprogramm mit Ergebnissen, Managementbewertung mit dokumentierten Entscheidungen.
• Klausel 10, Verbesserung: Umgang mit Nichtkonformitäten, Korrekturmaßnahmen mit Ursachenanalyse und fortlaufende Verbesserung.

Annex A: 93 Controls in vier Themen

Anhang A enthält in der Fassung 2022 insgesamt 93 Controls, gegliedert in vier Themen: organisatorische Maßnahmen (37), personenbezogene Maßnahmen (8), physische Maßnahmen (14) und technologische Maßnahmen (34). Gegenüber der Version 2013 wurden Controls zusammengelegt und elf neue ergänzt, darunter Threat Intelligence, Informationssicherheit bei der Nutzung von Cloud-Diensten, IKT-Bereitschaft für Business Continuity, Konfigurationsmanagement, Löschung von Informationen, Data Leakage Prevention, Monitoring-Aktivitäten, Webfilterung und sichere Programmierung.

Wichtig für das Verständnis: Annex A ist kein Pflichtprogramm, das vollständig umgesetzt werden muss. Er ist ein Referenzkatalog, gegen den das Unternehmen seine Risikobehandlung abgleicht. Welche Controls gelten, ergibt sich aus der Risikobeurteilung, aus gesetzlichen und vertraglichen Anforderungen sowie aus Geschäftsentscheidungen. Ein Softwarehaus ohne eigenes Rechenzentrum wird manche physischen Controls anders umsetzen als ein Hosting-Anbieter. Für die konkrete Ausgestaltung liefert ISO/IEC 27002:2022 Umsetzungshinweise zu jedem Control.

Statement of Applicability: das zentrale Dokument

Die Erklärung zur Anwendbarkeit, im Audit meist Statement of Applicability oder SoA genannt, verbindet Risikoanalyse und Annex A. Sie listet alle 93 Controls auf und dokumentiert für jedes, ob es anwendbar ist, warum es aufgenommen oder ausgeschlossen wurde und ob es umgesetzt ist. Zusätzliche Controls, die über Annex A hinausgehen, gehören ebenfalls hinein.

Auditoren nutzen die SoA als Leitfaden für die Stichproben im Stage-2-Audit. Deshalb muss sie zum tatsächlichen Zustand passen. Eine häufige Schwäche sind pauschale Begründungen wie "nicht relevant" oder "durch Dienstleister abgedeckt", ohne dass nachvollziehbar ist, wie das Risiko beim Dienstleister gesteuert wird. Ebenso kritisch ist eine SoA, in der alle Controls als umgesetzt markiert sind, für die aber keine Nachweise existieren.

Ablauf der Zertifizierung: Stage 1 und Stage 2

In Deutschland werden Zertifizierungsstellen für ISO 27001 von der Deutschen Akkreditierungsstelle (DAkkS) akkreditiert. Nur ein Zertifikat einer akkreditierten Stelle wird von Kunden und Behörden in der Regel anerkannt. Vor der Beauftragung lohnt sich ein Blick in die Datenbank der DAkkS oder die Akkreditierungsurkunde des Anbieters. Der Ablauf folgt den Vorgaben für Zertifizierungsstellen nach ISO/IEC 17021-1 und ISO/IEC 27006.

Im Stage-1-Audit prüft der Auditor vor allem die Dokumentation und die Zertifizierungsreife: Scope, Leitlinie, Risikomethode, SoA, internes Audit und Managementbewertung. Er stellt fest, ob das Unternehmen bereit für die nächste Stufe ist, und benennt offene Punkte. Im Stage-2-Audit wird die Wirksamkeit geprüft: Interviews mit Mitarbeitenden, Stichproben aus dem Betrieb, etwa zu Berechtigungsvergaben, Offboarding, Backups, Patch-Management oder Lieferantenbewertungen.

Werden Hauptabweichungen festgestellt, müssen sie vor der Zertifikatserteilung behoben werden. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits und einem Rezertifizierungsaudit am Ende des Zyklus. Ein ISMS muss also dauerhaft betrieben werden und nicht nur zum Audittermin.

Typische Lücken vor dem Audit

Die meisten Unternehmen haben mehr technische Sicherheit, als sie dokumentieren können. Die Lücken liegen selten bei der Firewall, sondern beim Managementsystem. Folgende Punkte tauchen in der Vorbereitung immer wieder auf:

• Risikobeurteilung einmal durchgeführt, aber nie wiederholt oder nach Änderungen aktualisiert.
• Internes Audit fehlt, wurde von der Person durchgeführt, die das ISMS selbst verantwortet, oder deckt nicht den gesamten Scope ab.
• Managementbewertung existiert nur als Folie ohne Entscheidungen, Ressourcenzusagen und Maßnahmen.
• Lieferanten und Cloud-Dienste ohne Bewertung, ohne vertragliche Sicherheitsanforderungen und ohne Überprüfung.
• Berechtigungen werden vergeben, aber nicht regelmäßig überprüft; Offboarding ist nicht nachweisbar.
• Awareness-Schulungen ohne Teilnahmenachweise; Informationssicherheitsziele ohne Messgrößen.
• Richtlinien aus Vorlagen, die Prozesse beschreiben, die es im Unternehmen gar nicht gibt.

ISO 27001 und NIS2: wie beides zusammenhängt

Die NIS2-Richtlinie (EU) 2022/2555 verpflichtet deutlich mehr Unternehmen als bisher zu Risikomanagementmaßnahmen im Bereich Cybersicherheit, zu Meldepflichten bei erheblichen Sicherheitsvorfällen und zu einer Verantwortung der Geschäftsleitung. Die Umsetzungsfrist für die Mitgliedstaaten war der 17. Oktober 2024. In Deutschland erfolgt die Umsetzung über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das vor allem das BSI-Gesetz neu fasst. Da sich Details zu Registrierung, Fristen und Aufsicht im Umsetzungsprozess mehrfach geändert haben, sollten Unternehmen den aktuellen Stand direkt beim BSI prüfen.

ISO 27001 ist nicht gleichbedeutend mit NIS2-Konformität, deckt aber einen großen Teil der geforderten Maßnahmen ab: Risikoanalyse, Incident-Management, Business Continuity, Lieferkettensicherheit, Zugriffskontrolle, Kryptografie und Schulungen. Was ein ISMS nicht automatisch leistet, sind die gesetzlichen Meldewege und Fristen gegenüber den Behörden sowie die Registrierungspflicht. Wer ohnehin ein ISMS aufbaut, sollte diese Anforderungen gleich in den Scope und das Incident-Verfahren aufnehmen.

So bereiten Sie sich realistisch vor

Beginnen Sie mit einer ehrlichen Standortbestimmung gegen die Klauseln 4 bis 10 und die 93 Controls. Daraus ergibt sich, ob die Lücken eher in der Dokumentation, im Betrieb oder in der Governance liegen. Legen Sie danach den Scope fest, führen Sie die Risikobeurteilung durch und leiten Sie daraus die SoA ab, nicht umgekehrt. Planen Sie genug Betriebszeit ein, damit vor dem Stage-2-Audit echte Nachweise vorliegen: mindestens ein internes Audit, eine Managementbewertung und dokumentierte Abläufe aus dem Alltag.

Klären Sie außerdem früh, wer das ISMS verantwortet und wie viel Zeit diese Person tatsächlich dafür hat. Ein Informationssicherheitsbeauftragter, der die Rolle nebenbei zu einem vollen Tagesgeschäft übernimmt, ist einer der häufigsten Gründe, warum Projekte stocken. Binden Sie die IT, die Personalabteilung, den Einkauf und die Geschäftsführung von Anfang an ein, denn viele Controls betreffen Prozesse außerhalb der IT, etwa Onboarding, Lieferantenverträge oder die Rückgabe von Geräten. Und wählen Sie die Zertifizierungsstelle rechtzeitig aus, weil Audittermine je nach Anbieter mit einigem Vorlauf vergeben werden.

Eine kostenlose Selbstbewertung auf baltum.ai zeigt in wenigen Minuten, wie weit Ihr Unternehmen bei den Anforderungen von ISO 27001 ist und welche Lücken Sie zuerst schließen sollten.

Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. baltum.ai ist eine unabhängige Software, keine Zertifizierungsstelle.