Die internationale ISO/IEC 27001 Norm enthält die Anforderungen für Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicherheits-Managementsystems (ISMS).

Wie im Begriff ISMS enthalten handelt es ich hier um ein Management System. Ein Managementsystem ist ein Satz zusammenhängender und sich gegenseitig beeinflussender Elemente einer Organisation, um Politiken, Ziele und Prozesse zum Erreichen dieser Ziele festzulegen. Mit einem gut implementierten Managementsystem kann eine Organisation ihre Leistung und Effizienz zu verbessern, Risiken minimieren und die Erwartungen ihrer Kunden und Stakeholder und der Gesellschaft besser erfüllen.

Die ISO/IEC 27001 besteht aus 10 Kapiteln. Die Kapitel 1 bis 3 sind als Einführung bzw. Erklärung zu verstehen. Kapitel 4 bis 10 enthalten konkreten Anforderungen zur Umsetzung. Die ISO/IEC 27002 stellt einen Implementierungsleitfaden für Informationssicherheit dar. Sie enthält Verfahrensregeln, Verhaltensregeln, Leitfäden oder Arbeitsanordnungen für konkrete Umsetzungen. Der Anhang A der ISO/IEC 27001 stimmt mit der ISO/IEC 27002 überein; konkret werden damit die Anforderungen des Anhang A näher spezifiziert. Es sind zusätzliche 18 Kapitel in der ISO/IEC 27002 angeführt.

Die neue ISO/IEC 27001:2022

Am 25. Oktober 2022 wurde die neue Version ISO/IEC 27001:2022 in englischer Sprache mit einer Übergangsfrist von 36 Monate veröffentlicht. Organisationen, die nach der ISO/IEC 27001:2013 zertifiziert sind, haben bis Herbst 2025 Zeit, den Übergang zur neuen Norm zu vollziehen. Die Ausführungen auf dieser Seite beziehen sich noch auf die ISO/IEC 27001:2013 Norm. Inhaltlich unterscheidet sich die neue Version in einigen Bereichen; das grundlegende Vorgehen zur Umsetzung eines ISMS ist jedoch gleich geblieben.

Aufgaben eines ISMS

• Definition der Informationssicherheit
• Umsetzung der Informationssicherheit gemäß den Vorgaben
• Durchführung von Kontrollen - Prüfung der operativen Wirksamkeit der gesetzten Maßnahmen
• Erkennen von Abweichungen von den Informationssicherheitszielen
• Einleitung von wirksamen Gegenmaßnahmen
• kontinuierliche Verbesserung

ISMS Grundbegriffe - Was ist Informationssicherheit?

• Vertraulichkeit,
• Integrität und
• Verfügbarkeit

PLAN-DO-CHECK-ACT (PDCA)

Der so genannte Demingkreis oder PDCA-Zyklus beschreibt einen iterativen vier Phasen Prozess. Diese Methode eigenet sich sehr gut zur Umsetzung eines ISMS. Folgende Phasen sind hierbei zu berücksichtigen:

1. PLAN: Relevante Prozesse identifizieren, Anforderungen definieren, Ziele und Maßnahmen ableiten
2. DO: Geplante Maßnahmen und Organisatorische Aspekte umsetzen
3. CHECK: Prozesse/Regelungen überwachen und bewerten, Zielerreichung prüfen
4. ACT: Prozesse reflektieren, Folgemaßnahmen anstoßen, Korrekturmaßnahmen einleiten, Verbesserungsmaßnahmen ableiten

Das Modell lässt sich zum Beispiel sehr gut anhand eines Einkaufsprozesses erklären

1. PLAN: Kühlschrank sichten Einkaufsliste erstellen Mittel für Transport festlegen (z.B. Kfz)
2. DO: zu Geschäften fahren, Einkaufen, Waren nach Hause bringen
3. CHECK: Waren in Kühlschrank einlagern und mit EK-Liste vergleichen. Wurde etwas vergessen?
4. ACT: Vergessenes nachholen oder beim nächsten Mal mitnehmen? Handlung setzen, um Ziel zu erreichen!

Mit dem PDCA-Zyklus lassen sich die einzelnen Kapitel der ISO-27001 gut planen. Das Schaubild in der Folge zeigt die Zuordnung des PDCA-Zyklus zu den einzelnen Kapitel der ISO 27001.