Informationssicherheit
ISO 27001
ISO/IEC 27001
ISO/IEC 27001 ist der weltweite Standard für ein Informationssicherheits-Managementsystem (ISMS). Wir begleiten Sie von der ersten Lückenanalyse bis zu einem Zertifikat, das von einer akkreditierten Stelle ausgestellt wird.
Was ISO 27001 ist
ISO/IEC 27001 ist der internationale Standard für die Einrichtung, den Betrieb und die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems. Er verlangt von Ihnen, Ihre Risiken zu bewerten, eine Reihe von Maßnahmen zu deren Behandlung anzuwenden und das Ganze als gesteuertes System mit Führung, Zielen, internem Audit und Managementbewertung zu betreiben.
Der Maßnahmenkatalog in Annex A bietet Ihnen eine Referenzliste, aus der Sie auf Grundlage Ihrer Risikobewertung auswählen, wobei die Details in ISO/IEC 27002 dargelegt sind. Die Zertifizierung wird von einer unabhängigen, akkreditierten Zertifizierungsstelle erteilt, nicht von einer Beratung, und erfolgt nach einem zweistufigen Audit.
Der Aufbau des Standards
Klausel 4 · Kontext der Organisation
Sie definieren den Geltungsbereich des ISMS sowie die internen und externen Themen und interessierten Parteien, die ihn prägen.
Klausel 5 · Führung
Die oberste Leitung verantwortet die Informationssicherheitsrichtlinie und stellt die Ressourcen und Rechenschaftspflicht bereit, die das System benötigt.
Klausel 6 · Planung
Sie führen die Risikobewertung durch, entscheiden, wie jedes Risiko behandelt wird, legen Ziele fest und erstellen die Erklärung zur Anwendbarkeit.
Klausel 7 · Unterstützung
Sie stellen die Personen, Kompetenz, Sensibilisierung, Kommunikation und dokumentierten Informationen bereit, die das System am Laufen halten.
Klausel 8 · Betrieb
Sie setzen die Risikobewertung und den Risikobehandlungsplan in der Praxis um und steuern die Änderungen, die sich auf sie auswirken.
Klauseln 9 und 10 · Bewertung und Verbesserung
Sie überwachen, messen, auditieren intern und bewerten das System und handeln dann auf Grundlage von Feststellungen und Abweichungen, um es zu verbessern.
Annex A · Referenzmaßnahmen
Die Ausgabe 2022 listet 93 Maßnahmen auf, gruppiert in vier Themen, organisatorisch, personenbezogen, physisch und technologisch, aus denen Sie auf Grundlage Ihres Risikos auswählen.
Wer es braucht
- Organisationen, deren Kunden oder Aufsichtsbehörden einen anerkannten, prüfbaren Sicherheitsstandard erwarten
- Unternehmen mit internationalem Vertrieb, bei denen ISO 27001 die gemeinsame Sprache für Sicherheitsnachweise ist
- Teams, die ein dauerhaftes Managementsystem statt eines einmaligen Berichts wünschen
Was Sie erhalten
- Ein abgegrenztes ISMS mit Risikobewertung und Risikobehandlungsplan
- Dokumentationssatz einschließlich der Erklärung zur Anwendbarkeit
- Nachweise aus internem Audit, Penetrationstest und Managementbewertung
- Bereitschaft und Unterstützung durch die Zertifizierungsaudits der Stufe 1 und Stufe 2
Die Zeitpläne hängen von Ihrem Geltungsbereich und davon ab, wie ausgereift Ihre Maßnahmen bereits sind. Wir grenzen dies von Anfang an ehrlich ab, anstatt eine feste Anzahl von Wochen zu versprechen.
Aktuelle Version
Die aktuelle Ausgabe ist ISO/IEC 27001:2022, die Annex A in die oben beschriebenen vier Themen und 93 Maßnahmen neu gegliedert hat. Der Übergang von der Ausgabe 2013 ist inzwischen abgeschlossen, sodass Zertifikate gegen den Text von 2022 ausgestellt und aufrechterhalten werden. Die unterstützende Leitlinie in ISO/IEC 27002:2022 wurde parallel dazu aktualisiert und liefert die Umsetzungsdetails hinter jeder Annex-A-Maßnahme. Wenn Ihr ISMS auf der älteren Ausgabe aufgebaut wurde, ist der Wechsel eher eine Zuordnungs- und Neuausrichtungsübung als ein Neuaufbau, und wir können Sie dabei unterstützen.
Was es kostet
Hier stehen zwei Kosten nebeneinander. tr3labs berechnet ein abgegrenztes Beratungs- und Umsetzungshonorar, das im Voraus angeboten wird, sobald wir Ihre Größe, Ihren Geltungsbereich und Ihren Ausgangspunkt verstehen. Das Zertifikat selbst wird von einer unabhängigen, akkreditierten Zertifizierungsstelle ausgestellt, die gesondert nach ihrem eigenen Tarif für die Audits der Stufe 1 und Stufe 2 sowie die anschließende jährliche Überwachung abrechnet; tr3labs ist niemals diese Zertifizierungsstelle oder dieser Auditor. Wir grenzen die Arbeit lieber gemeinsam mit Ihnen ab, als blind ein Angebot abzugeben.
Wie tr3labs Sie dorthin bringt
Geltungsbereich und Lückenanalyse
Wir definieren den Geltungsbereich des ISMS, führen die Risikobewertung durch und messen Ihren aktuellen Stand am Standard und an Annex A, damit Sie genau wissen, was fehlt.
Aufbau des Managementsystems
Wir unterstützen Sie bei der Erstellung der erforderlichen Dokumentation, der Erklärung zur Anwendbarkeit und des Risikobehandlungsplans und bei der Umsetzung der Richtlinien und technischen Maßnahmen, die der Standard erwartet.
Testen und nachweisen
Wir führen interne Audits, Penetrationstests und eine Managementbewertung durch, damit das System in Betrieb und belegt ist, bevor ein externer Auditor eintrifft.
Unterstützung bei der Zertifizierung
Wir bereiten Sie auf die Audits der Stufe 1 und Stufe 2 durch die von Ihnen gewählte akkreditierte Zertifizierungsstelle vor und begleiten Sie bis zum Zertifikat und durch den anschließenden Überwachungszyklus.
ISO/IEC 27001 vs. SOC 2
Beide belegen, dass Sie Sicherheit ernst nehmen, sodass Einkäufer sie oft als austauschbar behandeln, obwohl sie sich auf unterschiedliche Weise an unterschiedliche Zielgruppen richten.
| ISO/IEC 27001 | SOC 2 | |
|---|---|---|
| Grundidee | Ein zertifiziertes Informationssicherheits-Managementsystem | Ein Prüfbericht über Maßnahmen gegen die Trust Services Criteria |
| Umfasst | Das gesamte ISMS und seine ausgewählten Annex-A-Maßnahmen | Die Kriterien, die für die von Ihnen erbrachte Leistung relevant sind |
| Wer danach fragt | Eine globale und internationale Einkäuferbasis | Hauptsächlich Unternehmenseinkäufer in den USA |
| Auditmodell | Zweistufiges Audit durch eine akkreditierte Zertifizierungsstelle | Prüfung durch eine lizenzierte Wirtschaftsprüfungsgesellschaft (CPA) |
| Was Sie erhalten | Ein Zertifikat in einem Dreijahreszyklus mit Überwachung | Ein zeitpunkt- oder zeitraumbezogener Bericht, den Sie auffrischen |
| Oft zusammen gehalten mit | SOC 2, NIST CSF, ISO 42001 | ISO/IEC 27001 für internationale Reichweite |
ISO 27001 FAQ
- Wer stellt das ISO-27001-Zertifikat aus?
- Eine unabhängige Zertifizierungsstelle, die zur Vergabe von ISO/IEC 27001 akkreditiert ist, stellt das Zertifikat nach einem zweistufigen Audit aus. tr3labs bereitet Sie vor, baut das ISMS und die Nachweise auf und begleitet Sie durch das Audit; wir sind keine Zertifizierungsstelle.
- Was ist der Unterschied zwischen ISO 27001 und SOC 2?
- ISO 27001 zertifiziert ein Managementsystem gegen einen internationalen Standard und eignet sich für ein globales Publikum. SOC 2 ist ein Prüfbericht einer Wirtschaftsprüfung (CPA) gegen die Trust Services Criteria und ist die Standarderwartung für Unternehmenseinkäufer in den USA. Viele Organisationen verfolgen beide und nutzen einen Großteil derselben Nachweise wieder.
- Gilt das Zertifikat für immer?
- Nein. Ein ISO-27001-Zertifikat läuft in einem Dreijahreszyklus mit jährlichen Überwachungsaudits und einem Rezertifizierungsaudit am Ende. Wir helfen Ihnen, über den gesamten Zyklus hinweg bereit zu bleiben, nicht nur für das erste Audit.
Die Leistungen, die Sie dorthin bringen
Verwandte Standards
Weiterführende Artikel
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit
Was ist ISO 27001? Ein verständlicher Leitfaden zum Informationssicherheitsstandard
Eine klare, jargonfreie Einführung in ISO 27001 für Gründerinnen, Gründer und technische Teams: was ein ISMS ist, die Kapitel 4 bis 10, die Annex-A-Kontrollen der Ausgabe 2022, wie die zweistufige Zertifizierung funktioniert und wie Sie sich vorbereiten.
8 Min. Lesezeit
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit