ISO-27001-Zertifizierung: Leitfaden für Ablauf, Anforderungen und Audit

Die ISO-27001-Zertifizierung bestätigt durch das Audit einer akkreditierten Zertifizierungsstelle, dass ein Unternehmen ein Informationssicherheits-Managementsystem (ISMS) nach der Norm ISO/IEC 27001 betreibt. Maßgeblich ist seit dem 31. Oktober 2025 ausschließlich die Fassung ISO/IEC 27001:2022. Das Zertifikat gilt drei Jahre und wird durch jährliche Überwachungsaudits aufrechterhalten.

Die ISO-27001-Zertifizierung weist nach, dass ein Unternehmen wirksame Maßnahmen für die Informationssicherheit ergriffen hat. Die zugrunde liegende Norm stellt Anforderungen an das Informationssicherheits-Managementsystem, die eine verlässliche Basis darstellen, um die Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu gewährleisten. Heute werden die Bedrohungen in diesem Bereich von Tag zu Tag größer, sodass die ISO-27001-Zertifizierung nicht mehr nur eine Frage der Compliance ist, sondern das Vertrauen aller Beteiligten in das Unternehmen stärkt und wesentlich zu einer Imageaufwertung beiträgt. In diesem Leitfaden erhalten Sie wichtige Informationen über diese Norm.

Was spricht für eine ISO-27001-Zertifizierung?

Es gibt zahlreiche Argumente, die dafür sprechen, ein Unternehmen nach ISO 27001 zertifizieren zu lassen. In erster Linie hilft die Zertifizierung dabei, alle rechtlichen, vertraglichen, regulatorischen und sonstigen Anforderungen zu erfüllen. Die Norm ISO 27001 wurde geschaffen, um in Unternehmen angemessene Sicherheitsmaßnahmen für Informationen zu gewährleisten und auf diese Weise alle Daten und persönlichen Informationen zu schützen. Es ist eine der Zertifizierungen, mit denen Unternehmen auch die Umsetzung der Datenschutz-Grundverordnung (DSGVO) unterstützen – eine Datenschutzzertifizierung nach Art. 42 DSGVO ist sie jedoch nicht.

Die ISO-27001-Zertifizierung verbessert den Ruf von Unternehmen und ihr Markenimage. Cyberangriffe sind heutzutage immer häufiger und können gravierende Schäden verursachen. Ein Unternehmen, das sein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 zertifizieren lässt, schützt sich dadurch besser gegen solche Bedrohungen. Auf diese Weise beweist es, dass es alle notwendigen Maßnahmen für die Computer- und Netzwerksicherheit ergriffen hat und somit alle Daten, mit denen es umgeht (die eigenen sowie diejenigen der Kunden und Partner), angemessen schützt.

Die drei Schutzziele und die wichtigsten Vorteile

Ein ISMS nach ISO/IEC 27001 schützt Informationen entlang von drei Schutzzielen:

• Vertraulichkeit: Nur berechtigte Personen haben Zugriff auf sensible Informationen.
• Integrität: Informationen bleiben korrekt und vollständig und werden nicht unbemerkt oder unbefugt verändert – ein häufig unterschätztes Risiko ist hier die Schatten-IT.
• Verfügbarkeit: Berechtigte Nutzer können auf Informationen und Systeme zugreifen, wenn sie sie benötigen.

Daraus ergeben sich die wichtigsten Vorteile der Zertifizierung: ein systematisches, proaktives Risikomanagement, das externe Bedrohungen ebenso erfasst wie interne Schwachstellen; ein unabhängiger Nachweis gegenüber Kunden, Partnern und Aufsichtsbehörden sowie eine bessere Grundlage, um weitere Vorgaben wie die DSGVO oder branchenspezifische Standards zu erfüllen. Weil die Norm Menschen, Prozesse und Technologie gleichermaßen adressiert, gelingt die Umsetzung nur, wenn die Unternehmensleitung sie aktiv unterstützt und die Mitarbeitenden durch Schulung und gutes Veränderungsmanagement mitgenommen werden.

Welche Anforderungen stellt ISO 27001?

Die internationale Norm ISO/IEC 27001 für das Informationssicherheitsmanagement basiert auf mehreren Prinzipien. Sie beschreibt, wie Informationssicherheits-Managementsysteme in Unternehmen aufgebaut sein müssen.

Die Norm enthält in den Kapiteln 4 bis 10 die Anforderungen an das Managementsystem und in Anhang A 93 Sicherheitsmaßnahmen, die je nach Risikolage ausgewählt werden. Insofern sollte ein Unternehmen Prioritäten für die Umsetzung der Zertifizierung festlegen und sich dabei von Spezialisten begleiten lassen. Die Zertifizierung nach ISO/IEC 27001, mit der die Qualität und Compliance des ISMS eines Unternehmens nachgewiesen wird, darf nur von einer unabhängigen Zertifizierungsstelle vorgenommen werden, die eine entsprechende Akkreditierung besitzt.

ISO/IEC 27001:2022: Was hat sich geändert?

Die aktuelle Fassung der Norm wurde am 25. Oktober 2022 veröffentlicht. Für bestehende Zertifikate nach ISO/IEC 27001:2013 galt eine Übergangsfrist von drei Jahren: Seit dem 31. Oktober 2025 sind sie ungültig. Erst- und Rezertifizierungen sind bereits seit dem 30. April 2024 nur noch nach der neuen Fassung möglich (Kiwa). Ein Unternehmen, dessen Zertifikat abgelaufen ist, muss laut SGS ein vollständiges Erstzertifizierungsaudit durchlaufen.

Die wichtigste inhaltliche Änderung betrifft Anhang A. Statt 114 Maßnahmen in 14 Abschnitten enthält er nun 93 Maßnahmen in vier Themenbereichen:

• organisatorische Maßnahmen (37)
• personenbezogene Maßnahmen (8)
• physische Maßnahmen (14)
• technologische Maßnahmen (34)

Elf Maßnahmen sind neu hinzugekommen, darunter Threat Intelligence, Informationssicherheit bei der Nutzung von Cloud-Diensten, Datenmaskierung und die Verhinderung von Datenlecks. Welche Maßnahmen ein Unternehmen umsetzt, begründet es in der Erklärung zur Anwendbarkeit (Statement of Applicability). Auch die Kapitel 4 bis 10 mit den Anforderungen an das Managementsystem wurden angepasst, etwa um die neue Anforderung, Änderungen am ISMS geplant durchzuführen (Abschnitt 6.3).

Prozess für die Umsetzung von ISO 27001

Um die Zertifizierung zu erhalten, muss eine formale Dokumentation wie für jedes andere Managementsystem bestehen. Diese weist allerdings die Besonderheit auf, dass sie die Erklärung zur Anwendbarkeit (Statement of Applicability) enthält, in der die ausgewählten Maßnahmen aus Anhang A begründet werden. Jede dieser Maßnahmen bietet die Möglichkeit, bestimmte Risiken für die IT-Sicherheit abzuwehren.

Damit ein IT-Sicherheitsmanagementsystem, das mit ISO 27001 konform ist, umgesetzt werden kann, muss allerdings ein schlüssiger Projektplan vorliegen. Der ISO-Standard beruht auf dem Grundsatz, dass das Managementsystem für die Informationssicherheit (ISMS) die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen sicherstellt. Dies wird durch einen wirksamen Risikomanagement-Prozess gewährleistet. Der gesamte Ablauf erfolgt in mehreren Schritten:

● Einsetzung eines entsprechenden Projektteams,
● Definition des Anwendungsbereichs für das ISMS,
● Identifizierung und Bewertung der Risiken,
● Einrichten eines Risikomanagement-Prozesses,
● Umsetzung von Sensibilisierungs- und Schulungsprogrammen,
● Sammeln und Dokumentieren von Nachweisen,
● Durchführung interner Audits und einer Managementbewertung,
● Vorbereitung des Zertifizierungsaudits,
● Etablierung eines Prozesses zur kontinuierlichen Verbesserung.

Wenn Sie diesen Ablauf einhalten, können Sie ein Informationssicherheits-Managementsystem etablieren, das mit der Norm ISO 27001 konform ist.

Vorbereitung und Durchführung des Zertifizierungsaudits

Das externe Audit ist der letzte Schritt, um die Zertifizierung nach ISO 27001 zu erhalten. Es wird von einer akkreditierten Zertifizierungsstelle in zwei Stufen durchgeführt (Stufe 1: Dokumentation und Zertifizierungsreife, Stufe 2: Wirksamkeit des ISMS). Die Auditoren vergewissern sich, dass die erstellte Dokumentation den Anforderungen der Norm standhält und dass alle Prozeduren und Prozesse ordnungsgemäß eingehalten werden. Die ISO-27001-Zertifizierung bedarf einer gründlichen Vorbereitung.

Nehmen Sie bereits die internen Audits sehr ernst. Auf diese Weise können Sie vor dem externen Audit erkennen, in welchem Bereich die Konformität unter Umständen nicht gegeben ist. Setzen Sie dann entsprechende Korrekturmaßnahmen um, um die erkannten Schwachstellen auszumerzen. Geringfügige Abweichungen lassen sich in der Regel über einen Maßnahmenplan beheben; schwerwiegende Abweichungen oder eine Häufung von Mängeln können die Zertifizierung dagegen verhindern. Die frühzeitige Behebung von Missständen hilft also dabei, die Zertifizierung nicht zu verzögern. Dabei sind vor allem die drei folgenden Schritte wesentlich:

● Unterziehen Sie das gesamte Sicherheitssystem einem Management-Review, also einer Managementbewertung.
● Überwachen Sie die gesteckten Ziele im Zusammenhang mit der Norm ISO 27001.
● Bereiten Sie Ihre Mitarbeiter auf die Gespräche mit den Auditoren vor.

Wenn Sie diese Phasen durchlaufen haben, werden Sie für das externe Audit bereit sein und der ISO-27001-Zertifizierung sollte nichts mehr im Wege stehen.

Wie lange gilt das Zertifikat und was kostet die ISO-27001-Zertifizierung?

Ein ISO-27001-Zertifikat gilt grundsätzlich drei Jahre. Innerhalb dieses Zeitraums führt die Zertifizierungsstelle jährlich ein Überwachungsaudit durch; vor Ablauf des Zertifikats folgt ein Rezertifizierungsaudit (TÜV NORD). Der Zertifizierungszyklus sieht damit so aus:

1. Jahr 1: Zertifizierungsaudit (Stufe 1 und Stufe 2)
2. Jahr 2: erstes Überwachungsaudit
3. Jahr 3: zweites Überwachungsaudit
4. danach: Rezertifizierungsaudit und Beginn eines neuen Zyklus

In den Überwachungsaudits prüfen die Auditoren, ob das ISMS weiterhin wirksam betrieben wird und ob die Abweichungen aus dem Vorjahr behoben wurden. Das ISMS muss also dauerhaft gelebt werden, nicht nur im Zertifizierungsjahr.

Pauschale Preise für die ISO-27001-Zertifizierung gibt es nicht. Die Kosten setzen sich aus den Audittagen der Zertifizierungsstelle, gegebenenfalls externer Beratung und vor allem dem internen Aufwand für Aufbau und Betrieb des ISMS zusammen. Entscheidend sind die Zahl der Beschäftigten und Standorte im Geltungsbereich, die Komplexität der IT-Landschaft und der Reifegrad Ihrer bestehenden Sicherheitsprozesse. Holen Sie deshalb Angebote mehrerer akkreditierter Zertifizierungsstellen ein und planen Sie die Kosten der Überwachungsaudits von Anfang an mit ein.

ISO-27001-Zertifizierung aufrechterhalten

Der Erhalt des ISO-27001-Zertifikats ist ein bedeutsamer Schritt. Dabei ist die Zertifizierung nicht das ultimative Ziel, sondern ein Ausgangspunkt. Jetzt muss ein Prozess für die Aufrechterhaltung der Konformität geschaffen werden, damit sichergestellt ist, dass die erarbeiteten Regelungen, Prozeduren und Kontrollen weiterhin den Anforderungen von ISO 27001 entsprechen und die Informationssicherheit damit aufrechterhalten wird. Dies schließt ein, dass die Vorgaben für das Risikomanagement regelmäßig aktualisiert werden, um sich an neue Umstände (technologische Weiterentwicklung, interne organisatorische Änderungen …) anzupassen.

Es ist wesentlich, die Mitarbeiter in das Sicherheitsmanagement für das IT-System und die Cloud einzubeziehen. Das Know-how der Mitarbeiter sollte durch fundierte Schulungen kontinuierlich verbessert werden, damit diese die Zusammenhänge rund um die Datensicherheit verstehen und für mögliche Probleme sensibilisiert sind. Gut ausgebildetes Personal ist die erste Verteidigungslinie gegen Bedrohungen.

Die ISO-27001-Zertifizierung fördert eine Kultur der kontinuierlichen Verbesserung. Ein Unternehmen muss ständig überprüfen, ob das Managementsystem für die Informationssicherheit auf dem neuesten Stand ist, welche Verbesserungsmöglichkeiten bestehen beziehungsweise welche Anpassungen gegebenenfalls vorgenommen werden müssen. Auf diese Weise stellen Sie sicher, dass das ISMS aktuell bleibt und mit technologischen Entwicklungen sowie organisatorischen Veränderungen mithalten kann.

Fazit

Die ISO-27001-Zertifizierung ist nicht nur ein anerkannter Nachweis für Unternehmen, sondern ein Ansatz, mit dem man den Schutz persönlicher und sensibler Informationen systematisch verbessert und die Einhaltung der DSGVO unterstützt. Ein nach ISO/IEC 27001 zertifiziertes Unternehmen belegt sein Engagement für den Schutz der Daten von Mitarbeitern, Kunden und Partnern. Dies stärkt das Markenimage und verbessert die Glaubwürdigkeit gegenüber der Öffentlichkeit. Jedes Unternehmen ist in der Lage, die ISO-27001-Zertifizierung zu erhalten, sofern es motiviert ist, ein Informationssicherheits-Managementsystem (ISMS) umzusetzen, das den Anforderungen der Norm entspricht.