ISO/IEC-27000-Normenreihe

INFORMATIONSSICHERHEIT · INTERNATIONALE NORMEN · ISMS

Die ISO/IEC-27000-Normenreihe

Informationssicherheit systematisch planen, steuern und verbessern. Die ISO/IEC-27000-Familie ist ein international anerkanntes Normensystem zum Management der Informationssicherheit. Sie hilft Unternehmen, Verwaltungen und anderen Organisationen, Risiken nachvollziehbar zu bewerten und geeignete Maßnahmen dauerhaft in ihre Arbeitsprozesse einzubinden.

Inhalt dieser Seite

• Was ist die ISO/IEC-27000-Reihe?
• Die wichtigsten Normen im Überblick
• Informationssicherheitsmanagement nach ISO/IEC 27001
• ISO/IEC 27002 und Sicherheitsmaßnahmen
• Risiken ermitteln und behandeln
• Einführung eines ISMS in der Praxis
• Audit und Zertifizierung
• Verhältnis zum BSI-IT-Grundschutz
• Verhältnis zu SiKoSH
• Datenschutz und DSGVO
• Beispiel aus einer Kommunalverwaltung
• Grenzen und häufige Missverständnisse
• Amtliche Quellen und weiterführende Informationen

1. Was ist die ISO/IEC-27000-Reihe?

Die Normen werden von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) im gemeinsamen Normungsgremium ISO/IEC JTC 1/SC 27 erarbeitet. Sie behandeln das Management der Informationssicherheit und verwandte Themen wie Risikomanagement, Cloud-Sicherheit, Datenschutzmanagement und die Behandlung von Sicherheitsvorfällen.

Der Ausgangspunkt ist die Erkenntnis, dass Informationen unabhängig von ihrem Medium geschützt werden müssen. Im Mittelpunkt stehen die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Ergänzend spielen insbesondere Authentizität, Nachvollziehbarkeit und organisatorische Resilienz eine Rolle.

Aktualität: ISO/IEC 27000 wurde im Juli 2026 in einer sechsten Ausgabe veröffentlicht. Diese Fassung konzentriert sich stärker auf den Überblick über das Normensystem und seine Zusammenhänge. Ältere Beschreibungen der Ausgabe 2018 können deshalb im Detail überholt sein.

2. Die wichtigsten Normen im Überblick

ISO/IEC 27000:2026 – Überblick

Erläutert Grundgedanken, Prinzipien und Beziehungen der ISMS-Normenreihe. Sie dient der Orientierung, ist aber kein eigenständiger Anforderungskatalog für eine Zertifizierung.

ISO/IEC 27001:2022 – Anforderungen

Definiert die Anforderungen an Aufbau, Betrieb, Bewertung und fortlaufende Verbesserung eines ISMS. Für die Anwendung sind mögliche Änderungen und die maßgebliche nationale Übernahmefassung zu berücksichtigen.

ISO/IEC 27002:2022 – Maßnahmen

Beschreibt 93 Informationssicherheitsmaßnahmen in vier Themenfeldern: organisatorische, personenbezogene, physische und technologische Maßnahmen.

ISO/IEC 27005 – Informationssicherheitsrisiken

Unterstützt die strukturierte Ermittlung, Analyse, Bewertung und Behandlung von Informationssicherheitsrisiken.

ISO/IEC 27017 und 27018 – Cloud

Enthalten ergänzende Leitlinien für Cloud-Sicherheitsmaßnahmen beziehungsweise den Schutz personenbezogener Informationen in bestimmten Cloud-Konstellationen.

ISO/IEC 27035 – Sicherheitsvorfälle

Bietet Leitlinien zur Vorbereitung, Erkennung, Bewertung und Behandlung von Informationssicherheitsvorfällen.

ISO/IEC 27701 – Datenschutzmanagement

Bietet einen eigenständigen, an die Informationssicherheit anschlussfähigen Rahmen für das Management von Datenschutzinformationen. Für die Anwendung ist die konkrete Ausgabe zu prüfen.

Die Reihe umfasst zahlreiche weitere Normen. Nicht jede ist für jedes Unternehmen oder jede öffentliche Einrichtung relevant; die Auswahl sollte sich am Geltungsbereich, am Risiko und an den eingesetzten Technologien orientieren.

3. ISMS nach ISO/IEC 27001

Ein Informationssicherheitsmanagementsystem ist kein einzelnes Softwareprodukt und keine Sammlung isolierter Checklisten. Es ist ein Managementsystem mit festgelegten Verantwortlichkeiten, dokumentierten Entscheidungen, Ressourcen, Kontrollmechanismen und Verbesserungsprozessen.

• Kontext und Geltungsbereich: Welche Aufgaben, Standorte, Prozesse und Systeme umfasst das ISMS?
• Führung: Die Leitung legt Sicherheitsziele, Rollen und Verantwortlichkeiten fest.
• Planung: Risiken und Chancen werden bewertet, Sicherheitsziele abgeleitet und Maßnahmen geplant.
• Unterstützung und Betrieb: Ressourcen, Qualifikation, Kommunikation und dokumentierte Informationen sichern die Umsetzung.
• Leistungsbewertung: Kennzahlen, interne Audits und Managementbewertungen überprüfen die Wirksamkeit.
• Verbesserung: Abweichungen werden behandelt und Prozesse weiterentwickelt.

4. Sicherheitsmaßnahmen nach ISO/IEC 27002

ISO/IEC 27002:2022 stellt einen Katalog von 93 Referenzmaßnahmen mit Erläuterungen bereit. Diese sind vier Themenfeldern zugeordnet: 37 organisatorische, acht personenbezogene, 14 physische und 34 technologische Maßnahmen.

Beispiele sind Sicherheitsrichtlinien, Rollen und Berechtigungen, Schulungen, sichere Gebäudebereiche, Kryptografie, Protokollierung, Datensicherung, Schwachstellenbehandlung und Netzwerksicherheit.

Die Maßnahmen werden nicht automatisch vollständig und unverändert umgesetzt. Organisationen entscheiden anhand ihres Risikobehandlungsprozesses über die Notwendigkeit und Anwendung. Für ISO/IEC 27001 dokumentiert die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA), welche Maßnahmen erforderlich sind, weshalb Maßnahmen einbezogen oder ausgeschlossen werden und wie ihre Umsetzung erfolgt.

5. Risiken ermitteln und behandeln

Risikoanalyse beginnt mit dem Verständnis wichtiger Informationen, Geschäftsprozesse, Systeme und möglicher Auswirkungen. Bedrohungen und Schwachstellen werden unter Berücksichtigung vorhandener Maßnahmen bewertet. Anschließend werden Risiken behandelt, etwa durch Risikominderung, Vermeidung, Teilung oder begründete Übernahme.

Eine Organisation muss ihre Bewertungsmethodik konsistent festlegen. Die verbleibenden Risiken und Entscheidungen über ihre Akzeptanz gehören auf die zuständige Managementebene. ISO/IEC 27005 stellt dafür ergänzende methodische Hinweise bereit.

6. Ein ISMS praktisch einführen

• Auftrag und Unterstützung durch die Leitung sicherstellen.
• ISMS-Geltungsbereich und zentrale Geschäftsprozesse abgrenzen.
• Informationswerte und Schutzanforderungen erfassen.
• Risikobewertung und Risikobehandlung methodisch festlegen.
• Maßnahmen auswählen, Zuständigkeiten definieren und die SoA erstellen.
• Sicherheitsmaßnahmen technisch und organisatorisch umsetzen.
• Beschäftigte schulen, Vorfälle erfassen und Wirksamkeit überwachen.
• Interne Audits und Managementbewertungen durchführen; Verbesserungen umsetzen.

Ein geeignetes ISMS kann klein beginnen, darf aber nicht bloß ein formales Papierprojekt bleiben. Bei der Einführung sollten besonders kritische Risiken und kurzfristig wirksame Maßnahmen priorisiert werden.

7. Audit und Zertifizierung

Eine unabhängige Zertifizierungsstelle kann die Konformität eines festgelegten ISMS-Geltungsbereichs mit ISO/IEC 27001 prüfen. Dafür werden Dokumentation, Umsetzung, Wirksamkeit und Managementprozesse auditiert. Zertifizierungen haben einen definierten Geltungsbereich und werden durch Überwachungs- und Wiederholungsaudits begleitet.

Eine ISO/IEC-27001-Zertifizierung ist kein Beweis absoluter Sicherheit, keine Garantie für einen störungsfreien Betrieb und keine umfassende datenschutzrechtliche Zulässigkeitsprüfung. Bei der Beurteilung eines Zertifikats sind insbesondere Geltungsbereich, Zertifizierungsstelle, Akkreditierungsstatus und Gültigkeit relevant.

8. ISO/IEC 27001 und BSI-IT-Grundschutz

ISO/IEC 27001 formuliert die Anforderungen an ein ISMS weitgehend technologie- und branchenneutral. Der BSI-IT-Grundschutz ergänzt dies durch eine konkrete Methodik sowie detaillierte Sicherheitsanforderungen aus dem IT-Grundschutz-Kompendium. Beide Ansätze können sich sinnvoll ergänzen.

Das BSI bietet auch eine ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz an. Dabei gelten besondere Zertifizierungs- und Prüfgrundlagen. Sie ist nicht mit jeder allgemeinen ISO/IEC-27001-Zertifizierung gleichzusetzen. Eine reine Basis-Absicherung genügt hierfür nicht.

Vertiefung: NoDSB – BSI-IT-Grundschutz.

9. ISO-Normen und SiKoSH

SiKoSH richtet sich speziell an Kommunalverwaltungen in Schleswig-Holstein und bietet ein praxisorientiertes Vorgehen zur Einführung und Weiterentwicklung eines ISMS. Es baut auf dem BSI-Profil „Basis-Absicherung Kommunalverwaltung“ auf.

ISO/IEC 27001 beschreibt dagegen einen internationalen Anforderungsrahmen. SiKoSH-Materialien können bei einem späteren Ausbau des ISMS nützlich sein, stellen aber für sich genommen keine ISO/IEC-27001-Zertifizierung dar.

Vertiefung: NoDSB – SiKoSH.

10. Informationssicherheit und Datenschutz

Die ISO/IEC-27000-Reihe dient der Informationssicherheit; sie ersetzt nicht die Prüfung der Rechtmäßigkeit personenbezogener Datenverarbeitungen. Ein ISMS kann wesentlich zur Umsetzung angemessener technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO beitragen. Daneben müssen unter anderem Zweckbindung, Datenminimierung, Betroffenenrechte und Löschpflichten beachtet werden.

Die datenschutzrechtliche Schutzbedarfsbetrachtung und das Standard-Datenschutzmodell (SDM) ergänzen die ISMS-Perspektive. Für Datenschutzbeauftragte ist außerdem wichtig, dass Protokollierung, Mitarbeitendenkontrollen und Zugriffsberechtigungen selbst datenschutzrechtliche Anforderungen erfüllen müssen.

Vertiefung: NoDSB – Standard-Datenschutzmodell.

11. Praxisbeispiel: Kommunalverwaltung

Eine Stadtverwaltung möchte sensible Fachverfahren, das DMS, die E-Mail-Kommunikation und zentrale Infrastruktur systematisch absichern. Die Behördenleitung definiert den Geltungsbereich, bestellt Verantwortliche und lässt die kritischen Verwaltungsprozesse erfassen. IT und Fachämter ermitteln Schutzanforderungen und Risiken; der Informationssicherheitsbeauftragte koordiniert die Maßnahmenplanung.

Die Verwaltung verbessert das Berechtigungsmanagement, testet Wiederherstellungen, führt Sicherheitsupdates verbindlich durch und vereinheitlicht das Vorfallmanagement. Interne Audits zeigen, wo Nachweise fehlen oder Prozesse nicht ausreichend gelebt werden. Die Leitung überprüft das Ergebnis und priorisiert weitere Verbesserungen.

12. Grenzen und häufige Missverständnisse

• Normenreihe ≠ einzelne Norm: ISO/IEC 27001 regelt ISMS-Anforderungen; andere Normen bieten ergänzende Leitlinien.
• Zertifiziert ≠ unangreifbar: Auch zertifizierte Organisationen können Sicherheitsvorfälle erleiden.
• ISMS ≠ Datenschutzkonformität: Eine ISO-Zertifizierung ersetzt keine datenschutzrechtliche Bewertung.
• SoA ≠ bloße Checkliste: Maßnahmenentscheidungen müssen aus einer nachvollziehbaren Risikoanalyse folgen.
• Normen sind urheberrechtlich geschützt: Vollständige Normtexte werden in der Regel über ISO, IEC oder nationale Normenorganisationen bezogen; NoDSB bietet Erläuterungen und Verweise, keine unzulässigen Volltextkopien.
• Ausgaben beachten: Maßgeblich sind die jeweils einschlägigen Normfassungen und Änderungen.

13. Amtliche Quellen und weiterführende Informationen

• ISO – Überblick über die ISO/IEC-27000-Normenfamilie – offizieller Einstieg und Zusammenhänge der wichtigsten Normen.
• ISO/IEC 27000:2026 – Überblick über die Normenfamilie und Grundprinzipien.
• ISO/IEC 27001 – offizielle Normeninformation zu den ISMS-Anforderungen.
• ISO/IEC 27002 – offizielle Normeninformation über Informationssicherheitsmaßnahmen.
• BSI – IT-Grundschutz und Zertifizierung – Methodik und ergänzende Prüfgrundlagen.
• NoDSB – BSI-IT-Grundschutz, NoDSB – SiKoSH und NoDSB – SDM – verwandte Fachseiten.

Redaktioneller Stand: November 2026. Normtexte sind in der Regel kostenpflichtig beziehungsweise lizenzpflichtig. Für verbindliche Bewertungen gelten die maßgeblichen Normfassungen und deren Änderungen.