Was ist ISO/IEC 27001?
ISO/IEC 27001 ist die internationale Norm für Informationssicherheitsmanagementsysteme (ISMS). Sie legt fest, wie eine Organisation Informationssicherheitsrisiken erkennt, passende Maßnahmen auswählt und das System kontinuierlich verbessert.
Die aktuelle Fassung ISO/IEC 27001:2022 enthält die Anforderungen an das Managementsystem in den Kapiteln 4–10 und 93 Referenzmaßnahmen in Anhang A, gegliedert in vier Themen: organisatorisch, personenbezogen, physisch und technologisch. Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle nach einem zweistufigen Audit aus; es wird durch jährliche Überwachungsaudits in einem dreijährigen Zyklus aufrechterhalten.
Wer braucht eine ISO 27001 Zertifizierung?
- SaaS- und IT-Unternehmen, deren Kunden in Ausschreibungen und Lieferantenfragebögen einen Sicherheitsnachweis verlangen
- Softwareentwickler und IT-Dienstleister mit Kunden in der EU, im Vereinigten Königreich oder in den USA
- Fintech-, Krypto- und Zahlungsunternehmen, die sich auf DORA oder Due-Diligence-Prüfungen vorbereiten
- Rechenzentren, Hosting- und Managed-Service-Anbieter
- Unternehmen, die NIS2-Anforderungen mit einem anerkannten Rahmenwerk strukturiert umsetzen wollen
Was die kostenlose ISO 27001 Selbstbewertung prüft
Die Fragen folgen der Struktur, die auch ein Auditor verwendet – Ihre Ergebnisse lassen sich direkt den Prüfpunkten zuordnen:
- Kontext, Geltungsbereich und interessierte Parteien (Kapitel 4)
- Führung, Informationssicherheitsleitlinie und Rollen (Kapitel 5)
- Risikobeurteilung, Risikobehandlung und Erklärung zur Anwendbarkeit (Kapitel 6)
- Ressourcen, Kompetenz, Bewusstsein und dokumentierte Information (Kapitel 7)
- Maßnahmen aus Anhang A: Zugriffssteuerung, Asset-Management, Lieferantensicherheit, Vorfallmanagement, Datensicherung, sichere Entwicklung u. a.
- Überwachung, internes Audit und Managementbewertung (Kapitel 9) sowie Korrekturmaßnahmen (Kapitel 10)
Typische Lücken vor dem ISO 27001 Audit
Diese Punkte führen am häufigsten zu Abweichungen. Die Selbstbewertung zeigt, welche davon Sie betreffen – damit Sie sie beheben, bevor Sie für ein Audit bezahlen.
- Es gibt eine Risikobeurteilung, aber die Erklärung zur Anwendbarkeit passt nicht dazu
- Richtlinien sind geschrieben, aber es fehlen Nachweise, dass sie gelebt werden: Protokolle, Aufzeichnungen, Schulungen
- Vor dem Stufe-1-Audit gab es kein internes Audit und keine Managementbewertung
- Die Sicherheit von Lieferanten und Cloud-Anbietern wird nicht bewertet
- Zugriffsrechte werden nicht regelmäßig überprüft, ehemalige Mitarbeitende behalten Zugriff
Von der Selbstbewertung zur Zertifizierung
Die Selbstbewertung ist der erste Schritt. Wenn Sie weitergehen möchten, führt BALTUM, unser KI-Auditor, ein simuliertes Auditgespräch: Er verlangt Nachweise zu jeder Antwort und erstellt einen Feststellungsbericht mit Abweichungen, eingestuft wie bei einem echten Audit.
baltum.ai ist eine unabhängige Software und keine Zertifizierungsstelle. Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle Ihrer Wahl aus; nichts auf der Plattform beeinflusst deren Entscheidung.