kontakt@iso27001.coach
0511 444 548 51
Reiseführer
Ein praxisorientierter Einstieg in die DIN EN ISO / IEC 27001:2022
Vorwort
Dieser Guide ist geeignet für:
Internationaler Standard zur Bewertung der Informationssicherheit in IT-Umgebungen.
Die Norm besteht aus zwei Teilen:
I) ISO/IEC 27001:2022: Information security, cybersecurity and privacy protection — Information security management systems — Requirements
Dieser Teil der Norm beschreibt die Anforderungen an die Dokumentation und Umsetzung eines Informationssicherheits-Managementsystems (ISMS). Die Normen, nach denen zertifiziert wird, enden immer auf “1”. Somit kann festgestellt werden, dass die 27001 auch die entsprechende Prüfgrundlage für eine Zertifizierung darstellt.
II) ISO/IEC 27001:2022: Information security, cybersecurity and privacy protection — Information security controls
Dieser Teil enthält Vorschläge für die Umsetzung. Informationssicherheit ist auch in Bezug auf andere Anforderungen ein wichtiger Aspekt:
I) ISO/IEC 27001:2022: Information security, cybersecurity and privacy protection — Information security management systems — Requirements
Dieser Teil der Norm beschreibt die Anforderungen an die Dokumentation und Umsetzung eines Informationssicherheits-Managementsystems (ISMS). Die Normen, nach denen zertifiziert wird, enden immer auf “1”. Somit kann festgestellt werden, dass die 27001 auch die entsprechende Prüfgrundlage für eine Zertifizierung darstellt.
II) ISO/IEC 27001:2022: Information security, cybersecurity and privacy protection — Information security controls
Dieser Teil enthält Vorschläge für die Umsetzung. Informationssicherheit ist auch in Bezug auf andere Anforderungen ein wichtiger Aspekt:
Sicherheitspolitik, ‑ziele und ‑maßnahmen sollten die Unternehmensziele angemessen berücksichtigen.
Die Vorgehensweise bei der Umsetzung muss an die Unternehmenskultur angepasst werden. In der Praxis ist zu beobachten, dass Unternehmen (z.T. unter Druck) versuchen, mit generischen Vorgaben und Prozessen neue Wege zu gehen — auf Kosten der Akzeptanz im Unternehmen. Die Folge ist, dass die Vorgaben nicht oder nur unzureichend gelebt werden und wenig Nachhaltigkeit entstehen kann. Der Schlüssel zum Erfolg liegt in der Anpassung und Abstimmung aller Prozesse und Neuerungen. Die frühzeitige Einbindung und Berücksichtigung aller relevanten Stakeholder ist dabei ein wichtiger Schritt, um jedem Einzelnen aufzuzeigen, welchen wichtigen Beitrag er leisten kann. Grundlage hierfür ist die Unterstützung durch die oberste Leitung (Management). Diese sollte nicht nur auf dem Papier bestehen, sondern vor allem sichtbar sein. Ein weiterer Faktor ist ein tiefes Verständnis der geltenden Sicherheitsanforderungen, der Risikobeurteilung und des Risikomanagements.
Die vier Säulen des Erfolgs:
Die vier Säulen des Erfolgs:
Kommunikation
Regelmäßige Berichterstattung der obersten Leitung und des ISB an die Mitarbeiter.
Strategie
Entwicklung einer Roadmap und Fokussierung auf messbare Ergebnisse.
Prozesse
Nutzung vorhandener Technologien und Schaffung effizienter Arbeitsabläufe.
Awareness
Einbeziehung der Mitarbeiter in die Umsetzung und Mindset-Etablierung.
In 3 Monaten zur Zertifizierung
In der Praxis ist der Wunsch nach einer Zertifizierung nach ISO 27001 häufig kundengetrieben. So verlangen Kunden im Rahmen der Anbahnung oder Aufrechterhaltung einer Geschäftsbeziehung einen Nachweis, dass die Informationssicherheit angemessen berücksichtigt und eingehalten wird.
Eine vollständige ISO-Konformität innerhalb weniger Monate zu erreichen, gelingt in den seltensten Fällen und setzt ein nachweislich bereits funktionierendes und dokumentiertes Informationssicherheits-Managementsystem (ISMS) voraus. Doch nicht nur der eigene Wille zählt, denn auf der anderen Seite muss auch die Verfügbarkeit von Auditoren berücksichtigt werden, die im Auftrag einer Zertifizierungsstelle das Level 1 und 2 Audit im Rahmen einer Zertifizierung durchführen. Was aber tun, wenn aktiver Handlungsdruck besteht? Behutsam vorgehen und dem Kunden erklären, dass ein ISMS nicht von heute auf morgen zertifiziert wird, aber mit Hochdruck daran gearbeitet wird. Was auf den ersten Blick selbstverständlich klingt, wird in der Praxis oft nur auf der Tonspur kommuniziert — zum eigenen Nachteil. Wesentlich aussagekräftiger ist es, wenn die verantwortliche Stelle (Geschäftsführung) einen so genannten “Letter of Engagement” verfasst. Dies spart Zeit und reduziert Rückfragen des Auftraggebers. Darüber hinaus eignet sich die Stellungnahme eines unabhängigen Beraters, der den Aufbau des eigenen ISMS bisher maßgeblich begleitet oder ein internes Audit durchgeführt hat. Mit diesen Mitteln kann ein Vertrauensbonus beim Kunden erreicht und der Zeithorizont zunächst entzerrt werden.
Praxistipp: Nach unserer Erfahrung ermöglicht ein “Letter of Engagement” in Verbindung mit einer Bestätigung einer Zertifizierungsstelle die Teilnahme an Ausschreibungsverfahren, auch wenn der Nachweis einer ISO 27001-Zertifizierung als harte Anforderung gelistet ist.
Eine vollständige ISO-Konformität innerhalb weniger Monate zu erreichen, gelingt in den seltensten Fällen und setzt ein nachweislich bereits funktionierendes und dokumentiertes Informationssicherheits-Managementsystem (ISMS) voraus. Doch nicht nur der eigene Wille zählt, denn auf der anderen Seite muss auch die Verfügbarkeit von Auditoren berücksichtigt werden, die im Auftrag einer Zertifizierungsstelle das Level 1 und 2 Audit im Rahmen einer Zertifizierung durchführen. Was aber tun, wenn aktiver Handlungsdruck besteht? Behutsam vorgehen und dem Kunden erklären, dass ein ISMS nicht von heute auf morgen zertifiziert wird, aber mit Hochdruck daran gearbeitet wird. Was auf den ersten Blick selbstverständlich klingt, wird in der Praxis oft nur auf der Tonspur kommuniziert — zum eigenen Nachteil. Wesentlich aussagekräftiger ist es, wenn die verantwortliche Stelle (Geschäftsführung) einen so genannten “Letter of Engagement” verfasst. Dies spart Zeit und reduziert Rückfragen des Auftraggebers. Darüber hinaus eignet sich die Stellungnahme eines unabhängigen Beraters, der den Aufbau des eigenen ISMS bisher maßgeblich begleitet oder ein internes Audit durchgeführt hat. Mit diesen Mitteln kann ein Vertrauensbonus beim Kunden erreicht und der Zeithorizont zunächst entzerrt werden.
Praxistipp: Nach unserer Erfahrung ermöglicht ein “Letter of Engagement” in Verbindung mit einer Bestätigung einer Zertifizierungsstelle die Teilnahme an Ausschreibungsverfahren, auch wenn der Nachweis einer ISO 27001-Zertifizierung als harte Anforderung gelistet ist.
Kostenloser DownloadLetter of Engagement
Den zeitlichen Aufwand bestimmen
Eine Selbsteinschätzung schafft einen Richtwert, eine unabhängige und neutrale Bestandsaufnahme inkl. Maßnahmenplan, Fakten. Für welchen Weg entscheiden Sie sich?
Die 4 Irrtümer
“Man erkennt den Irrtum daran, dass alle Welt ihn teilt” — Jean Giraudoux
Informationssicherheit ist Sache der IT
Eine Integration in die IT-Abteilung kann zu Interessenskonflikten führen, da Entscheidungen im Bereich der Informationssicherheit unabhängig getroffen werden müssen und die getroffenen Maßnahmen nicht vom Umsetzer kontrolliert werden sollten. Zielführender ist es, einen dedizierten Informationssicherheitsbeauftragten mit direkter Berichtsfunktion an die Geschäftsleitung zu etablieren. Die Bestellung eines externen ISB ist zu empfehlen, da so von Anfang an das erforderliche Fachwissen und vor allem die Erfahrung vorhanden sind.
Ein Vorlagenpaket erfüllt alle Anforderungen
Templates einfach anzupassen, bringt keinen Mehrwert und verursacht zusätzliche Kosten. Vorlagenpakete enthalten oft nur eine generische Inhaltsbeschreibung, ohne auf das Zielunternehmen einzugehen. Sinnvoller ist die Erstellung von Dokumenten in Zusammenarbeit mit Experten (Auditoren) und deren gemeinsame Anpassung an die Bedürfnisse des eigenen Unternehmens. Dadurch wird der Aufwand auf ein notwendiges Maß reduziert — bei maximalen Erfolgsaussichten.
Das Zertifikat ist ein einmaliges Investment
Konstante Sicherheit kostet. Mangelndes Verständnis kostet mehr. Es ist wichtig zu verstehen, was es kostet, nicht in Sicherheit zu investieren. Die klare Antwort mit Blick auf erfolgreiche Cyber-Angriffe: Existenzen.
Start auf der grünen Wiese
Niemand fängt bei Null an. Es gibt immer eine Basis, z.B. technische Maßnahmen oder Prozesse. Mensch, Technik und Prozesse müssen an vielen Stellen erst miteinander verbunden werden, um sichtbar zu werden.
Normkapitel (Zusammenfassung)
Kapitel 4: Kontext der Organisation
Es wird gefordert, dass der Kontext des ISMS für das Unternehmen definiert wird. Folgende Punkte sind u. a. zu berücksichtigen: Festlegung des Geltungsbereichs des ISMS, Beschreibung der Anforderungen und Erwartungen der interessierten Parteien / Stakeholder, einschließlich einer Erläuterung, inwieweit diese das ISMS betreffen, Festlegung der Ziele, die mit der Einführung / dem Betrieb des ISMS verbunden sind.
Kapitel 5: Führung
Das Engagement und die Verpflichtung der obersten Leitung müssen klar erkennbar sein. Folgende Punkte sind u. a. zu berücksichtigen und beziehen sich auf die Verantwortung der obersten Leitung: Festlegung einer angemessen dokumentierten Informationssicherheitspolitik, die dem Kontext der Organisation angemessen ist, Festlegung von Informationssicherheitszielen, Integration der Anforderungen des ISMS in die Geschäftsprozesse, Bereitstellung der erforderlichen Ressourcen (räumlich, zeitlich, personell, finanziell).
Kapitel 6: Planung
In diesem Kapitel werden die Maßnahmen beschrieben, die für den Umgang mit Risiken und Chancen sowie für die Informationssicherheitsziele und deren Planung zur Erreichung der Ziele umzusetzen sind. Folgende Punkte sind u. a. zu berücksichtigen: Etablierung eines Prozesses zur Sicherstellung des Risikomanagements, der Risikobewertung und ‑behandlung, Definition von Informationssicherheitszielen für relevante Funktionen, Erstellung eines Statement of Applicability (SoA) für alle in Anhang A als verbindlich erklärten Kontrollen, Etablierung eines Prozesses zur geplanten Umsetzung notwendiger Änderungen am ISMS.
Kapitel 7: Unterstützung
Dieses Kapitel beschreibt die Anforderungen an die Bereitstellung von Ressourcen für Aktivitäten, die die Informationssicherheit beeinflussen. Folgende Punkte sind u. a. zu berücksichtigen: Sicherstellung angemessener Kompetenzen, Awareness, Kommunikation, Dokumentierte Information.
Kapitel 8: Betrieb
Der Betrieb eines ISMS erfordert verschiedene Planungs‑, Steuerungs- und Überwachungsprozesse und bezieht sich auf die Maßnahmen in Kapitel 6. Folgende Punkte sind u. a. zu berücksichtigen: Sicherstellung einer angemessenen Aufbewahrung dokumentierter Informationen, Überwachung geplanter Änderungen, Überwachung extern bereitgestellter Prozesse, Produkte oder Dienstleistungen, Durchführung von Risikoanalysen.
Kapitel 9: Bewertung der Leistung
Dieses Kapitel fordert Maßnahmen zur Sicherstellung der Wirksamkeit des ISMS. Folgende Punkte sind u. a. zu berücksichtigen: Festlegung des Überwachungsumfangs, Festlegung geeigneter Maßnahmen und Methoden zur Überwachung, Messung, Analyse und Bewertung, Durchführung interner Audits.
Kapitel 10: Verbesserung
Im letzten Kapitel der Norm wird die Etablierung eines sogenannten kontinuierlichen Verbesserungsprozesses (KVP) beschrieben. Folgende Punkte sind u. a. zu berücksichtigen: Reagieren auf Nichtkonformitäten, Behandeln von Abweichungen, Festlegen von Korrekturmaßnahmen, Überprüfen der Wirksamkeit der getroffenen Korrekturmaßnahmen, Kontinuierliche Verbesserung des ISMS hinsichtlich Eignung, Angemessenheit und Wirksamkeit.
Die ersten Schritte
So gelingt der Start!
1. Projektunterstützung
Management Commitment einholen und kommunizieren
2. Informationssicherheitsbeaufragter
Rollen und Verantwortlichkeiten definieren
3. Bestandsaufnahme
Die Lücke (GAP) identifizieren und einen Maßnahmenplan erstellen
4. Priorisierung
Wichtige Maßnahmen sofort in Angriff nehmen und eine Roadmap definieren
Frequently Asked Questions
Auf den Punkt gebracht.
Pick a plan that fits your needs
A compelling pitch deck, business plan, financial forecast!
Was kostet die Zertifizierung?
Zunächst muss zwischen den Grundkosten für die Beauftragung einer Zertifizierungsstelle — den reinen Zertifizierungskosten — und den internen und externen Personalkosten unterschieden werden. Die Kosten für eine Zertifizierungsstelle sind abhängig von der Größe des Unternehmens, wie z.B. Anzahl der Standorte, Anzahl der Mitarbeiter und Umfang des ISMS. Bei kleinen Unternehmen ist mit Kosten für die Zertifizierungsstelle ab 10.000 Euro zu rechnen. Die Erfahrung zeigt, dass sich die internen Kosten durch den Einsatz qualifizierter externer Experten reduzieren lassen.
Benötigen wir einen Informationssicherheitsbeauftragten (ISB) für unser ISMS?
Ja, es braucht klare Verantwortlichkeiten im Bereich der Informationssicherheit. Ein ISB muss über entsprechende Fachkenntnisse im Aufbau und Betrieb eines ISMS verfügen, um sich für diese Position zu qualifizieren (Beratung der Geschäftsleitung). Sollten Sie feststellen, dass Sie keine geeigneten Personen im Unternehmen haben, übernehmen wir gerne für Sie die Funktion des externen Informationssicherheitsbeauftragten (eISB).
Wie viele interne Ressourcen muss ich als Unternehmen bereitstellen?
Ein externer Berater allein kann kein ISMS aufbauen. Es bedarf mindestens eines Ansprechpartners, der die Prozesse im Unternehmen kennt und eines Ansprechpartners in der IT, der über technisches Wissen verfügt und für alle technischen Fragen zur Verfügung steht. Der interne Zeitaufwand richtet sich nach dem Budget und der Verfügbarkeit des externen Beraters. Wir sind bestrebt, einen ausgewählten und exklusiven Kundenstamm zu pflegen, was uns auch eine sehr intensive Betreuung unserer Kunden ermöglicht. So übernehmen wir nach einer obligatorischen IST-Analyse auch die gesamte Dokumentationserstellung einschließlich der Informationsbeschaffung (z.B. Führen von Interviews), fügen uns optimal in Ihr Unternehmen ein und reduzieren so den internen Aufwand auf ein notwendiges Minimum.
Woraus besteht ein ISMS?
An oberster Stelle des ISMS steht eine Leitlinie für Informationssicherheit und Datenschutz, die die strategische Bedeutung des ISMS für das Unternehmen herausstellt und Ziele, Grundsätze und Verantwortlichkeiten klar definiert. Gefolgt von Richtlinien, welche verbindliche Vorgaben für Mitarbeiter enthalten reihen sich nachfolgend auch Konzepte, Prozesse und Arbeitsanweisungen ein. Dabei sollte stets berücksichtigt werden, dass es nicht darum geht, den nächsten Papiertiger zu schaffen, sondern nachhaltige, verbindliche Vorgaben zu etablieren, die an die spezifischen betrieblichen Gegebenheiten (z.B. technologische, personelle und zeitliche Faktoren) angepasst sind.
Wie definiere ich meinen Geltungsbereich (Scope)?
Der Scope sollte sich an den Anforderungen des Unternehmens orientieren und mit der Geschäftsstrategie in Einklang stehen. In den meisten Fällen ist es ratsam, im Rahmen einer Schutzbedarfsanalyse die schützenswertesten Assets zu identifizieren (Identifikation der “Kronjuwelen”) und die entsprechenden Abhängigkeiten zu bewerten. Ein weiterer gangbarer Weg ist die Definition des Geltungsbereichs auf Basis der Kundenanforderungen (z.B. Einschränkung des Geltungsbereichs auf bestimmte Unternehmensbereiche oder Produkte).
Muss ich eine dedizierte Software verwenden?
Nein. Im Rahmen unserer Beratung legen wir den Fokus auf bereits vorhandene Anwendungen und Prozesse, um den für das Unternehmen praktikabelsten Umsetzungsweg zu ermitteln und Synergien effizient zu nutzen. Die Bereitstellung und Befüllung einer Anwendung kann — je nach Inhalt — die Anforderungen an die Dokumentation der Norm erfüllen, es ist aber auch zu beachten, dass die Informationen auch allen Mitarbeitern zur Verfügung gestellt werden müssen, was zusätzliche Lizenzen erfordern kann (Kostensteigerung). Die Wahl der geeigneten Werkzeuge ist daher keine unbedeutende Entscheidung, sondern eine, die den Weg zu einer möglichst hohen Akzeptanz im Unternehmen ebnet. Leitfragen für die Entscheidungsfindung sind: Welche Tools benutze ich bereits, Über welche Kommunikationskanäle spreche ich meine Mitarbeiter erfolgreich an, Passt eine neue Anwendung in unseren bestehenden Workflow, Sind auch klassische Wege (Dokumente im Format WORD, PDF, Veröffentlichung der Dokumente über das Intranet) ein gangbarer Weg?
Vereinbaren Sie jetzt einen kostenlosen Rückruf!
Vereinbaren Sie jetzt einen kostenlosen Rückruf!
Unsere Experten sind einschlägig zertifiziert:
