ISO 27001 Checkliste: Die wichtigsten Schritte zur Zertifizierung

1. Verantwortung klären:
   Unterstützung der Geschäftsleitung sichern sowie Zuständigkeiten und benötigte Ressourcen festlegen.
2. Geltungsbereich bestimmen:
   Festlegen, welche Bereiche, Prozesse, Informationen, Systeme und Standorte das ISMS abdeckt.
3. Ausgangslage und Anforderungen prüfen:
   Relevante Anforderungen aus Gesetzen, Verträgen und dem Unternehmensumfeld zusammentragen. Anschließend prüfen, welche Sicherheitsmaßnahmen bereits vorhanden sind und an welchen Stellen noch Verbesserungsbedarf besteht.
4. Risiken bewerten:
   Informationssicherheitsrisiken identifizieren und anhand einheitlicher Kriterien bewerten. Dabei auch die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit berücksichtigen.
5. Risiken behandeln und Maßnahmen planen:
   Festlegen, wie mit den Risiken umgegangen wird, und einen Risikobehandlungsplan mit Maßnahmen, Verantwortlichkeiten, Prioritäten und Terminen erstellen.
6. Anwendbarkeit dokumentieren:
   In der Erklärung zur Anwendbarkeit festhalten, welche Maßnahmen aus Anhang A relevant sind, warum sie ausgewählt oder ausgeschlossen wurden und welchen Umsetzungsstand sie haben.
7. ISMS im Alltag integrieren:
   Richtlinien, Verfahren und Sicherheitsmaßnahmen umsetzen, in bestehende Geschäftsprozesse integrieren, Mitarbeitende schulen und erforderliche Nachweise führen.
8. Wirksamkeit überwachen:
   Durch Kennzahlen, Tests, Übungen und regelmäßige Kontrollen prüfen, ob die Sicherheitsziele erreicht und die Maßnahmen wirksam umgesetzt werden.
9. Internes Audit durchführen:
   Überprüfen, ob das ISMS die Anforderungen der Norm und die eigenen Vorgaben. Festgestellte Abweichungen analysieren und Korrekturmaßnahmen einleiten.
10. Managementbewertung und Zertifizierungsreife herstellen:
    Die Geschäftsleitung das ISMS bewerten lassen, Verbesserungen und erforderliche Ressourcen beschließen sowie offene Abweichungen und Nachweise vor dem externen Zertifizierungsaudit abschließen.

Ein Informationssicherheitsmanagementsystem (ISMS) legt fest, wie ein Unternehmen wichtige Unternehmensinformationen schützt und Risiken für die Informationssicherheit systematisch steuert. In der Praxis geht die Einführung jedoch weit über die Erstellung von Richtlinien und die Umsetzung technischer Sicherheitsmaßnahmen hinaus. Entscheidend ist, den Aufbau des ISMS in bestehende Geschäftsprozesse zu integrieren und die Mitarbeitenden frühzeitig einzubeziehen.

Am Anfang steht das Verständnis für die eigenen Informationssicherheitsanforderungen. Welche Informationen und Geschäftsprozesse sind schützenswert? Welche gesetzlichen oder vertraglichen Anforderungen müssen berücksichtigt werden? Aus den Ergebnissen können klare Sicherheitsziele, der Geltungsbereich und die notwendigen Ressourcen festgelegt werden.

Anschließend werden vorhandene Regelungen, Prozesse und Sicherheitsmaßnahmen erfasst. Diese Bestandsaufnahme hilft dabei, bestehende Strukturen zu nutzen, Doppelarbeiten zu vermeiden und Handlungsbedarf zu erkennen. Eine anschließende Risikobewertung zeigt, welche Bedrohungen und Schwachstellen besonders relevant sind und mit welcher Priorität sie behandelt werden sollten.

Ebenso entscheidend ist die frühzeitige Einbindung relevanter Stakeholder. Eine wirksame Informationssicherheit setzt die Zusammenarbeit von Geschäftsführung, IT und Fachbereichen voraus. Sie umfasst mehr als reine IT‑Sicherheit: Neben dem Schutz von IT‑Systemen spielen Mitarbeitende, Geschäftsprozesse, organisatorische Regelungen und physische Sicherheitsmaßnahmen eine wichtige Rolle. Klare Zuständigkeiten und eine abgestimmte Kommunikation bilden hierfür die Grundlage. Bei der Umsetzung sollten Sicherheitsmaßnahmen nicht allein an formalen Anforderungen ausgerichtet werden. Entscheidend ist, dass sie den tatsächlichen Risiken gerecht werden und sich im Arbeitsalltag praktikabel umsetzen lassen.

Die ISO/IEC 27001 konkretisiert den Aufbau eines Informationssicherheitsmanagementsystems durch international anerkannte Anforderungen. Sie unterstützt Unternehmen dabei, den Geltungsbereich und Verantwortlichkeiten festzulegen, Informationssicherheit nachvollziehbar zu organisieren sowie Risiken systematisch zu bewerten und zu behandeln. Dabei verfolgt die Norm einen risikobasierten Ansatz: Die erforderlichen Sicherheitsmaßnahmen richten sich nach der jeweiligen Unternehmenssituation und dem individuellen Schutzbedarf. Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherzustellen. Der Maßnahmenkatalog in Anhang A ist ein Referenzkatalog für Sicherheitsmaßnahmen und bietet hierfür eine Orientierung. Welche Maßnahmen im jeweiligen Unternehmen relevant sind, wird in der Erklärung zur Anwendbarkeit festgehalten. Sie hält auch Begründungen für Ausschlüsse und den Umsetzungsstatus anwendbarer Maßnahmen fest.

Für die praktische Umsetzung werden die daraus abgeleiteten Vorgaben in bestehende Geschäftsprozesse integriert und durch geeignete organisatorische, personelle, physische und technische Regelungen unterstützt. Ob das ISMS und die getroffenen Vorkehrungen wirksam sind, wird regelmäßig anhand von Kennzahlen, internen Audits und einer Managementbewertung beurteilt. Werden Abweichungen festgestellt, leitet das Unternehmen Korrektur- und Verbesserungsmaßnahmen ein, um die Wirksamkeit des ISMS kontinuierlich zu verbessern.

Die Dauer bis zur Zertifizierung nach ISO 27001 hängt von verschiedenen Faktoren ab. Entscheidend sind die Ausgangssituation des Unternehmens, der festgelegte Geltungsbereich und die Komplexität der organisatorischen Strukturen. Unternehmen sollten mehrere Monate einplanen. Sind umfangreiche Anpassungen erforderlich, kann sich dieser Zeitraum verlängern.

Neben dem fachlichen Arbeitsaufwand beeinflussen Abstimmungen zwischen den Beteiligten, interne Personalressourcen und die Verfügbarkeit von Auditterminen die Projektdauer. Dabei ist insbesondere zu berücksichtigen, wie viel Zeit Mitarbeitende neben dem Tagesgeschäft aufbringen können. Ebenso kann die im Unternehmen gelebte Zusammenarbeit eine Rolle spielen. Eine offene Kommunikation und die frühzeitige Einbindung der Mitarbeitenden erleichtern es, neue Anforderungen in bestehende Abläufe zu integrieren. Erfahrungen mit bestehenden Managementsystemen können den Aufwand reduzieren, wenn sich etablierte Prozesse und Zuständigkeiten nutzen lassen.

Eine externe Informationssicherheitsberatung unterstützt dabei den Zeitbedarf einzuschätzen und einen realistischen Terminplan zu entwickeln. Die erforderliche interne Mitwirkung sollte dabei von Beginn an eingeplant werden. Wer die Zertifizierung zu einem bestimmten Termin benötigt, etwa aufgrund einer Kundenanforderung, sollte die Planung frühzeitig darauf ausrichten.

Ein Informationssicherheitsmanagementsystem wird dauerhaft betrieben und weiterentwickelt. Die Erstzertifizierung nach ISO 27001 ist dabei ein wichtiger Meilenstein: Eine unabhängige Zertifizierungsstelle prüft, ob das ISMS die Anforderungen der Norm erfüllt und wirksam umgesetzt ist. Beim Aufbau des ISMS definiert das Unternehmen zunächst den Geltungsbereich. Anschließend ermittelt das Unternehmen, welche Anforderungen bereits erfüllt sind und wo Handlungsbedarf besteht. Auf Basis dieser Bestandsaufnahme bewertet es die Informationssicherheitsrisiken und entscheidet, wie mit ihnen umzugehen ist.

Aus den bewerteten Risiken leitet das Unternehmen passende Maßnahmen ab. Diese konkretisiert es im Risikobehandlungsplan, in dem es Zuständigkeiten und geplante Umsetzungsschritte dokumentiert. Die Erklärung zur Anwendbarkeit hält fest, welche Maßnahmen erforderlich sind, warum sie ausgewählt wurden und ob sie bereits umgesetzt sind. Werden Maßnahmen aus Anhang A der Norm ausgeschlossen, muss dies ebenfalls begründet werden. Danach integriert das Unternehmen die festgelegten Verfahren in seine Arbeitsabläufe und dokumentiert die Umsetzung. Die betroffenen Mitarbeitenden werden geschult und für ihre Aufgaben im ISMS sowie für Informationssicherheitsrisiken sensibilisiert. Regelmäßige Kontrollen zeigen, ob die Maßnahmen wirksam sind.

Ein internes Audit prüft, ob das ISMS die eigenen Anforderungen und die der Norm erfüllt und wirksam umgesetzt ist. Zusätzlich bewertet die Geschäftsleitung das ISMS im Rahmen der Managementbewertung und entscheidet über notwendige Änderungen.

Sind diese internen Prüfungen abgeschlossen, folgt das externe Zertifizierungsaudit. Dies erfolgt in zwei Stufen: Zunächst prüft die Zertifizierungsstelle die Dokumentation und bewertet, ob das Unternehmen für die vertiefte Prüfung in Stufe zwei bereit ist. In der zweiten Stufe untersucht sie die praktische Umsetzung und Wirksamkeit des ISMS. Bei festgestellten Abweichungen analysiert das Unternehmen die Ursachen und leitet geeignete Korrekturmaßnahmen ein. Bei Nebenabweichungen kann zunächst ein akzeptierter Korrekturmaßnahmenplan ausreichen. Hauptabweichungen hingegen müssen vor der Zertifikatserteilung nachweislich behoben sein.

Nach einer positiven Zertifizierungsentscheidung erhält das Unternehmen das Zertifikat. Überwachungsaudits und die spätere Rezertifizierung prüfen, ob die Anforderungen weiterhin erfüllt werden. Das ISMS kontinuierlich zu verbessern, bleibt eine dauerhafte Aufgabe.

Ralf Lüneburg

Consultant Informationssicherheit

Ich berate Sie gerne

Rufen Sie uns an oder schreiben Sie uns über das Kontaktformular.

+49 40 790 235 0

sales@intersoft-consulting.de

Termin vereinbaren