ISO 27001 ist eine internationale Norm zum Management von Informationssicherheit, die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) stellt und es Unternehmen oder Behörden ermöglicht, sich danach zertifizieren zu lassen.
Auf einen Blick
Bei einer Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz muss der Gegenstand nicht die gesamte Institution sein; der Informationsverbund kann sich auf einzelne Organisationseinheiten beschränken, die jedoch sinnvoll abgegrenzt sein und eine gewisse Mindestgröße haben müssen.
Die ISO-Norm 27001 ermöglicht auch eine Zertifizierung; die Kombination mit dem IT-Grundschutz wird als ISO-27001-Zertifizierung auf Basis von IT-Grundschutz bezeichnet.
Eine ISO/IEC-27001-Zertifizierung erfüllt nicht automatisch sämtliche gesetzlichen Anforderungen gemäß BSIG.
Was ist ISO 27001?
ISO/IEC 27001 ist eine internationale Norm zum Management von Informationssicherheit, die auch eine Zertifizierung ermöglicht; das ISMS legt nach dem BSI-Standard 200-1 fest, mit welchen Instrumenten und Methoden die Leitungsebene die auf Informationssicherheit ausgerichteten Aufgaben und Aktivitäten nachvollziehbar lenkt, also plant, einsetzt, durchführt, überwacht und verbessert. Ein Managementsystem umfasst alle Regelungen, die für die Steuerung und Lenkung einer Institution sorgen und letztlich zur Zielerreichung führen sollen. Das ISO-27001-Zertifikat auf Basis von IT-Grundschutz belegt in besonderer Weise das Bemühen um Informationssicherheit, da Grundlage für die Vergabe nicht nur die Erfüllung der allgemeinen Anforderungen der Norm an das Sicherheitsmanagement ist, sondern auch die nachgewiesene Umsetzung der wesentlich konkreteren Anforderungen des IT-Grundschutzes.
ISO/IEC 27001 ist eine internationale Norm zum Management von Informationssicherheit, die auch eine Zertifizierung ermöglicht; ein Versicherer kann sein Informationssicherheitsmanagement danach zertifizieren lassen. Das BSI weist darauf hin, dass sich das Unternehmen oder die Behörde nach ISO/IEC 27001 zertifizieren lassen kann, um die erfolgreiche Umsetzung von IT-Grundschutz nach außen transparent zu machen.
Wie läuft eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz ab?
Voraussetzung für die Vergabe eines ISO-27001-Zertifikats auf Basis von IT-Grundschutz ist nach dem BSI der Nachweis, dass ein den Anforderungen der Norm entsprechendes Informationssicherheitsmanagement eingerichtet ist und die IT-Grundschutz-Anforderungen wirksam erfüllt sind. Dieser Weg ist eine Möglichkeit der Zertifizierung. Jedes Audit setzt sich grundsätzlich aus zwei getrennten, aufeinander aufbauenden Phasen zusammen; Phase 1 umfasst eine Dokumentenprüfung der Referenzdokumente des Antragstellers. Im Rahmen des Audits werden die von der Institution erstellten Referenzdokumente geprüft, eine Vor-Ort-Prüfung durchgeführt und ein Auditbericht erstellt.
Ein erteiltes ISO-27001-Zertifikat auf Basis von IT-Grundschutz ist drei Jahre lang gültig und muss in diesem Zeitraum durch ein jährliches Überwachungsaudit bestätigt werden. Die Zertifizierung gegen die Anforderungen eines Standards führt eine Zertifizierungsstelle durch. Das BSI hält fest, dass ISO/IEC 27001 bei umfassender Umsetzung regelmäßig einen großen Teil der technischen und organisatorischen Maßnahmen abdeckt, die auch nach § 30 BSIG gefordert werden; Registrierungspflichten, Meldefristen, Geschäftsleitungsverantwortung und Schulungspflichten sind jedoch nicht originärer Bestandteil der Norm.
ISO 27001 im Vergleich
| Kriterium | ISO 27001 | ISMS | IT-Grundschutz |
|---|---|---|---|
| Art | Internationale Norm zum Management von Informationssicherheit, die auch eine Zertifizierung ermöglicht (BSI-Standard 200-1). | Das System legt fest, mit welchen Instrumenten und Methoden die Leitungsebene die auf Informationssicherheit ausgerichteten Aufgaben und Aktivitäten lenkt. | Die Methodik beschreibt Schritt für Schritt, wie ein Managementsystem für Informationssicherheit in der Praxis aufgebaut und betrieben werden kann. |
| Zertifizierung | Das Unternehmen oder die Behörde kann sich nach ISO/IEC 27001 zertifizieren lassen. | Das ISMS ist Gegenstand der Prüfung: Nachzuweisen ist nach dem BSI ein den Anforderungen der Norm entsprechendes Informationssicherheitsmanagement. | Die Zertifizierung auf dieser Basis wird als ISO-27001-Zertifizierung auf Basis von IT-Grundschutz bezeichnet. |
| Anforderungsniveau | Die Norm stellt allgemeine Anforderungen an das Sicherheitsmanagement. | Das Informationssicherheitsmanagement muss den Anforderungen der Norm entsprechen, wenn ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz vergeben werden soll. | Die Anforderungen sind wesentlich konkreter; ihre Umsetzung muss für das Zertifikat auf dieser Basis nachgewiesen werden. |
Woran erkenne ich eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz?
| Merkmal | Worauf es ankommt |
|---|---|
| Geltungsbereich der Zertifizierung | Gegenstand der Zertifizierung muss bei einer ISO-27001-Zertifizierung auf Basis von IT-Grundschutz nach dem BSI nicht die gesamte Institution sein; der betrachtete Informationsverbund kann sich auf einzelne Geschäftsprozesse, Fachaufgaben oder Organisationseinheiten beschränken, die jedoch sinnvoll abgegrenzt sein und eine gewisse Mindestgröße haben müssen. |
| Nachweis eines allgemein anerkannten Maßstabs | Das BSI nennt IT-Dienstleister, die mit einem allgemein anerkannten Maßstab die Sicherheit ihrer Dienstleistungen belegen wollen, als eine Gruppe, für die die Zertifizierung in Frage kommt. |
| Absicherungsstufe der Zertifizierung | Eine ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz ist nach dem BSI-Standard 200-2 für die Standard-Absicherung vorgesehen sowie für die Kern-Absicherung grundsätzlich möglich. |
| Prüfung durch zertifizierten Auditor | Voraussetzung für die Vergabe eines ISO-27001-Zertifikats auf der Basis von IT-Grundschutz ist nach dem BSI eine Überprüfung durch einen vom BSI zertifizierten ISO-27001-Grundschutz-Auditor. |
| Positives Gesamtvotum im Auditbericht | Ein Zertifikat wird nach dem BSI nur erteilt, wenn der Auditbericht ein positives Gesamtvotum aufweist und durch die Zertifizierungsstelle akzeptiert wurde. |
Schutz im Ernstfall
Vorbeugen
- Geltungsbereich mit dem BSIG abgleichen: Nach dem BSI ist der Scope eines ISMS gemäß ISO/IEC 27001 frei definierbar, und auch beim ISO-27001-Zertifikat auf Basis von IT-Grundschutz muss Gegenstand der Zertifizierung nicht die gesamte Institution sein, der betrachtete Informationsverbund muss jedoch sinnvoll abgegrenzt sein und eine gewisse Mindestgröße haben. Nach dem BSI verlangt § 30 BSIG dagegen Risikomanagementmaßnahmen für die gesamte regulierte Einrichtung, soweit sie unter das BSIG fällt; ein Zertifikat mit engerem Geltungsbereich belegt daher für sich nicht, dass alle gesetzlichen Anforderungen erfüllt sind.
- Jährliche Überwachungsaudits für die dreijährige Laufzeit des IT-Grundschutz-Zertifikats einplanen.
Beispiele aus der Praxis
- Ein IT-Dienstleister lässt sein ISMS zertifizieren, um die Sicherheit seiner Dienstleistungen mit einem allgemein anerkannten Maßstab zu belegen.
- Eine Behörde beschränkt bei einer Zertifizierung auf Basis von IT-Grundschutz den zu zertifizierenden Informationsverbund auf sinnvoll abgegrenzte Organisationseinheiten mit einer gewissen Mindestgröße.
- Ein Versicherer bereitet für seine Kern-Absicherung eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz vor. Dieser Zertifizierungsweg ist laut BSI auch bei der Kern-Absicherung grundsätzlich möglich.
Häufiger Irrtum
Mythos „Mit einer ISO/IEC-27001-Zertifizierung sind automatisch sämtliche gesetzlichen Anforderungen gemäß BSIG erfüllt.“
Richtig Nach dem BSI sind mit einer ISO/IEC-27001-Zertifizierung nicht automatisch sämtliche gesetzlichen Anforderungen gemäß BSIG erfüllt: ISO/IEC 27001 erlaubt Risikoakzeptanz oder -transfer, das BSIG fordert hingegen die Umsetzung angemessener, wirksamer und verhältnismäßiger Maßnahmen; auch der Scope eines ISMS gemäß ISO/IEC 27001 ist frei definierbar, § 30 BSIG verlangt hingegen die Umsetzung von Risikomanagementmaßnahmen für die gesamte regulierte Einrichtung (vorbehaltlich der Ausnahmen in § 28 BSIG).