ISO 27001 Zertifizierung,
verständlich erklärt

ISO/IEC 27001 ist der internationale Standard für das Management der Informationssicherheit. Er zertifiziert kein Produkt, keinen Server und kein einzelnes Feature. Er bestätigt, dass Ihre Organisation ein funktionierendes Informationssicherheits-Managementsystem (ISMS) betreibt: eine festgelegte Art, Risiken für Ihre Informationen zu erkennen, über deren Behandlung zu entscheiden und nachzuweisen, dass Sie das auch wirklich tun, immer wieder.

Dieser Unterschied wiegt schwerer, als er klingt. Ein Zertifikat an der Wand ist nicht der Sinn von ISO 27001, sondern das Managementsystem dahinter. Ein Auditor fragt nicht "ist Ihre Software sicher?", sondern "können Sie mir das System zeigen, mit dem Sie sie sicher halten, und die Nachweise, dass dieses System läuft?" Alles andere im Standard folgt daraus.

Die aktuelle Version ist die Revision von 2022 (ISO/IEC 27001:2022). Wenn Sie ältere Leitfäden mit 114 Controls lesen, beschreiben diese die Ausgabe von 2013. Die Revision von 2022 hat den Control-Satz in 93 Controls über vier Themen neu geordnet, die wir weiter unten behandeln.

ISO 27001 wird selten um seiner selbst willen angestrebt. Die meisten Teams machen es, weil ein Kunde, eine Ausschreibung oder ein Partner danach gefragt hat. Es ist zur Standardmethode geworden, Informationssicherheit gegenüber jemandem zu belegen, der Sie nicht selbst auditieren kann. Für Softwareanbieter, Scaleups und Managed-Service-Provider, die an grössere oder regulierte Organisationen verkaufen, ist es zunehmend die Eintrittskarte zum Abschluss.

Es wird auch gewählt, weil es überall gilt. Ein einziges ISO 27001 Zertifikat ist international anerkannt und ersetzt vielerorts das Ausfüllen endloser, massgeschneiderter Sicherheitsfragebögen. Genau deshalb greifen Teams, die über Grenzen hinweg verkaufen, eher dazu als zu regionalen Frameworks.

Wenn Sie abwägen, ob Sie es brauchen, ist der praktische Test einfach: Verlieren oder verzögern sich Abschlüsse, weil Sie keinen gesteuerten Sicherheitsansatz nachweisen können? Dann ist ISO 27001 meist die am breitesten akzeptierte Antwort. Der Weg dorthin besteht grösstenteils darin, Sicherheit gut zu betreiben und festzuhalten.

Der Geltungsbereich ist die erste echte Entscheidung in einem ISO 27001 Projekt und die, die unauffällig bestimmt, wie schwer die nächsten zwölf Monate werden. Ihre Geltungsbereichserklärung legt fest, welche Teile Ihrer Organisation das ISMS abdeckt: welche Teams, Systeme, Standorte und Informationen. Fassen Sie ihn zu breit, haben Sie sich verpflichtet, alles auf einmal zu sichern und zu belegen. Fassen Sie ihn zu eng, sagt das Zertifikat dem Kunden, der danach fragt, wenig.

Die meisten Teams legen den Geltungsbereich des ISMS rund um das Produkt oder den Service, der ihren Kunden tatsächlich wichtig ist, plus die Systeme und Menschen, die ihn tragen. Schreiben Sie die Geltungsbereichserklärung klar genug, damit ein Auditor und ein Interessent, der Ihr Zertifikat liest, genau erkennen, was sie abdeckt.

Annex A ist der Katalog der Sicherheits-Controls, auf den ISO 27001 verweist. Die Revision von 2022 listet 93 Controls, gruppiert in vier Themen: organisatorisch (37 Controls), personenbezogen (8 Controls), physisch (14 Controls) und technologisch (34 Controls). Das technologische Thema, das Zugriffskontrolle, Kryptografie, Logging und sichere Entwicklung abdeckt, liegt den Systemen am nächsten, in denen Engineers täglich arbeiten.

Sie müssen nicht alle 93 umsetzen. Sie müssen jeden einzelnen prüfen, entscheiden, ob er für Ihren Geltungsbereich gilt, die zutreffenden umsetzen und jeden ausgeschlossenen begründen. Genau das hält das Statement of Applicability fest.

Das Statement of Applicability ist das Dokument, das jedes Annex A Control einer klaren Entscheidung zuordnet: anwendbar und umgesetzt oder ausgeschlossen, mit Begründung. In der Praxis ist es das erste Dokument, das ein Auditor öffnet, denn es zeigt ihm die gesamte Form Ihres ISMS auf einen Blick. Was Sie umsetzen wollten und die Begründung für das, was Sie weggelassen haben.

Ein gutes SoA ist keine Formalität, die Sie am Ende erzeugen. Es ist das laufende Protokoll Ihrer Sicherheitsentscheidungen, und es aktuell zu halten ist der grösste Teil dessen, was ein ISMS zu "pflegen" tatsächlich bedeutet.

Über die Controls selbst hinaus erwartet ISO 27001 einen festgelegten Satz dokumentierter Informationen, also die Aufzeichnungen, die ein Auditor sehen möchte. Das Statement of Applicability ist das bekannteste, steht aber neben mehreren anderen, die zusammen Ihr ISMS beschreiben und steuern.

Der Kernsatz, den die meisten Teams pflegen, umfasst den ISMS-Geltungsbereich, die Informationssicherheitsrichtlinie, die Methodik für Risikobeurteilung und Risikobehandlung, den Risikobehandlungsplan, das Statement of Applicability und die Aufzeichnungen, die belegen, dass das System läuft: Ergebnisse interner Audits, Protokolle der Managementbewertung und Korrekturmassnahmen. Dem Standard ist das Format weniger wichtig als die Frage, ob sie aktuell, konsistent und tatsächlich in Gebrauch sind.

In der Praxis entscheidet sich hier, ob die ISMS-Pflege gelingt oder scheitert. Dokumente veralten zwischen den Audits, die Richtlinie sagt das eine und die Nachweise zeigen das andere, und die Lücke zeigt sich im denkbar schlechtesten Moment. Sie an einem Ort zu halten, versioniert und mit den Controls verknüpft, die sie stützen, ist der grösste Teil dessen, was zertifiziert zu bleiben bedeutet.

Die Zertifizierung wird von einer akkreditierten Zertifizierungsstelle in zwei Stufen durchgeführt. Stage 1 ist eine Dokumentenprüfung: Der Auditor prüft, dass Ihr ISMS auf dem Papier existiert, also Geltungsbereich, Richtlinien, Risikobeurteilung und Statement of Applicability, und dass es bereit für ein Audit ist. Dabei kommen meist Lücken zum Vorschein, die Sie schliessen, bevor es weitergeht.

Stage 2 ist das eigentliche Ereignis. Der Auditor prüft, ob das System tatsächlich so läuft wie dokumentiert, zieht Stichproben über die Controls in Ihrem Geltungsbereich und befragt die Menschen, die sie betreiben. Vor Stage 2 erwartet der Standard, dass Sie selbst mindestens ein internes Audit und eine Managementbewertung durchgeführt haben. Gegen ein System, das Sie nie geprüft haben, werden Sie nicht zertifiziert.

Ab einem ernsthaften Start erreichen die meisten kleinen und mittleren Teams das Stage-2-Audit in drei bis zwölf Monaten, je nachdem, wie viel Sicherheitspraxis bereits existiert und wie viel davon festgehalten ist. Das Audit ist ein Kontrollpunkt eines Systems, das Sie weiter betreiben, kein einmaliges Projekt, das mit dem Eintreffen des Zertifikats endet.

Die ISO 27001 Zertifizierung läuft in einem Dreijahreszyklus. Nach Ihrem ersten Zertifizierungsaudit halten Sie das Zertifikat nicht einfach unangetastet. Ein Überwachungsaudit in Jahr eins und zwei prüft, dass das ISMS weiterhin läuft, und ein vollständiges Rezertifizierungsaudit in Jahr drei erneuert das Zertifikat für einen weiteren Zyklus.

Diesen Teil unterschätzen Teams. Eine Zertifizierung ist kein Ereignis, das Sie einmal überstehen, sondern ein System, das Sie weiter betreiben. Die Arbeit, die das erste Zertifikat einbringt, also die Risikobeurteilung aktuell zu halten, das Statement of Applicability korrekt und die Nachweise fliessend, ist dieselbe Arbeit, die Sie sauber durch jedes folgende Überwachungsaudit trägt. Teams, die das erste Audit als einmaligen Sprint behandeln, spüren die Kosten bei jeder Erneuerung erneut. Teams, die das ISMS in ihre tägliche Arbeit einbauen, nicht.

Es gibt keinen einheitlichen Preis für ISO 27001, weil der grösste Teil der Kosten Ihr eigener Aufwand ist, kein Posten auf einer Rechnung. Die Zertifizierungsstelle verrechnet die Stage-1- und Stage-2-Audits sowie die jährlichen Überwachungsaudits, abgestuft nach Grösse und Komplexität Ihres Geltungsbereichs. Diese Gebühr ist meist der kleinere Teil.

Der grössere Kostenblock ist die Arbeit, das ISMS aufzubauen und zu betreiben: Geltungsbereich festlegen, Risiken beurteilen, Richtlinien schreiben, Controls umsetzen, Nachweise sammeln und alles über jedes Audit hinweg aktuell halten. Teams, die das aus Tabellen und geteilten Laufwerken zusammensetzen, zahlen bei jedem Überwachungszyklus erneut, in der Zeit, die es kostet, Nachweise zu rekonstruieren, die nie an einem Ort lagen.

Den Geltungsbereich auf das einzugrenzen, was Ihren Kunden wirklich wichtig ist, und das System laufend zu pflegen, statt es vor jedem Audit neu aufzubauen, sind die zwei Hebel, die die Gesamtkosten am stärksten bewegen. Weit mehr als die Gebühr der Zertifizierungsstelle.