Was ist ISO 27001?
ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie legt fest, welche Anforderungen ein Managementsystem erfüllen muss, mit dem eine Organisation die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen schützt – gleich, ob diese auf Servern, in der Cloud oder auf Papier vorliegen. Herausgegeben wird die Norm gemeinsam von ISO und IEC; daher lautet die offizielle Bezeichnung ISO/IEC 27001, im Alltag ist meist kurz von ISO 27001 die Rede.
Gültig ist die Ausgabe ISO/IEC 27001:2022, ergänzt durch die Änderung Amd 1:2024 zum Klimawandel; in Deutschland ist sie als DIN EN ISO/IEC 27001:2024-01 erschienen. Die dreijährige Übergangsfrist für Zertifikate nach der Ausgabe 2013 endete am 31. Oktober 2025 – seitdem wird nur noch nach der Ausgabe 2022 zertifiziert.
Kern der Norm ist ein risikobasierter Ansatz: Sie schreibt keine bestimmte Technik vor, sondern verlangt, dass Sie Ihre Informationssicherheitsrisiken systematisch beurteilen, angemessen behandeln und die Wirksamkeit Ihrer Maßnahmen regelmäßig überprüfen. Die Norm ist weltweit verbreitet: Laut ISO-Survey 2022 wurden über 70.000 Zertifikate aus 150 Ländern und allen Wirtschaftszweigen gemeldet.
Für wen eignet sich eine ISO 27001 Zertifizierung?
ISO/IEC 27001 ist für Organisationen jeder Größe und Branche anwendbar. Besonders gefragt ist das Zertifikat dort, wo Kunden ihre Daten in fremde Hände geben: bei IT-Dienstleistern, Cloud- und Hosting-Anbietern, Rechenzentren und Softwareentwicklern, aber auch bei Beratungs- und Personaldienstleistern, im Gesundheitswesen und bei Zulieferern, deren Auftraggeber Informationssicherheit in Verträgen und Ausschreibungen verlangen.
Für kleine und mittlere Unternehmen ist die Norm ausdrücklich geeignet: Anwendungsbereich und Maßnahmen richten sich nach Ihren Risiken, nicht nach der Größe eines Konzerns. ISO hat dafür sogar einen eigenen Praxisleitfaden für KMU herausgegeben. Entscheidend ist ein sauber gewählter Anwendungsbereich – er kann das ganze Unternehmen umfassen oder klar abgegrenzte Standorte, Prozesse oder Dienstleistungen.
Gesetzlich vorgeschrieben ist eine ISO 27001 Zertifizierung für Unternehmen im Allgemeinen nicht. In der Praxis wird sie dennoch oft zur Voraussetzung, weil Kunden sie vertraglich fordern oder weil ein ISMS hilft, regulatorische Pflichten wie die der NIS-2-Richtlinie strukturiert umzusetzen. In einzelnen regulierten Bereichen können besondere Nachweise gefordert sein – prüfen Sie die für Ihre Branche geltenden Vorgaben.
Anforderungen der ISO/IEC 27001:2022 (Kapitel 4 bis 10)
Die Norm folgt der Harmonisierten Struktur, die ISO für alle Managementsystemnormen verwendet. Die prüfbaren Anforderungen stehen in den Kapiteln 4 bis 10 – deshalb lässt sich ein ISMS gut mit einem Qualitätsmanagement nach ISO 9001 oder anderen Managementsystemen verbinden.
Gegenüber der Ausgabe 2013 haben sich die Kapitel nur moderat verändert. Neu sind etwa die Planung von Änderungen (6.3) und die Pflicht, in der Managementbewertung auch geänderte Erwartungen interessierter Parteien zu betrachten (9.3). Größer sind die Änderungen im Maßnahmenkatalog des Anhangs A.
- Kapitel 4 – Kontext: interne und externe Themen, Anforderungen interessierter Parteien und der Anwendungsbereich des ISMS; seit Amd 1:2024 auch die Frage, ob der Klimawandel ein relevantes Thema ist.
- Kapitel 5 – Führung: Verantwortung der obersten Leitung, Informationssicherheitspolitik, Rollen und Befugnisse.
- Kapitel 6 – Planung: Verfahren zur Risikobeurteilung und Risikobehandlung, Erklärung zur Anwendbarkeit, Informationssicherheitsziele und Planung von Änderungen.
- Kapitel 7 – Unterstützung: Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information.
- Kapitel 8 – Betrieb: Steuerung der Prozesse, regelmäßige Risikobeurteilung und Umsetzung des Risikobehandlungsplans, auch bei extern bereitgestellten Prozessen und Dienstleistungen.
- Kapitel 9 – Bewertung der Leistung: Überwachung und Messung, internes Audit und Managementbewertung.
- Kapitel 10 – Verbesserung: fortlaufende Verbesserung sowie Umgang mit Nichtkonformitäten und Korrekturmaßnahmen.
Anhang A: 93 Maßnahmen in vier Themen
Anhang A der ISO/IEC 27001:2022 enthält einen Katalog von 93 Informationssicherheitsmaßnahmen (Controls), gegliedert in vier Themen. Die Ausgabe 2013 umfasste noch 114 Maßnahmen in 14 Abschnitten; in der Neufassung fassen 82 Maßnahmen deren Inhalt gestrafft zusammen, elf sind neu hinzugekommen. Neu sind unter anderem Maßnahmen zu Bedrohungsinformationen (Threat Intelligence), zur Nutzung von Cloud-Diensten, zur IKT-Bereitschaft für die Betriebskontinuität, zum Konfigurationsmanagement, zum Löschen von Informationen, zur Verhinderung von Datenabfluss, zur Webfilterung und zu sicherem Programmieren.
Nicht jede Maßnahme muss umgesetzt werden. Welche nötig sind, ergibt sich aus Ihrer Risikobehandlung. Das Bindeglied ist die Erklärung zur Anwendbarkeit (Statement of Applicability): Sie nennt die erforderlichen Maßnahmen, begründet ihre Aufnahme, gibt an, ob sie umgesetzt sind, und begründet den Ausschluss jeder Maßnahme aus Anhang A. Im Audit ist sie eines der zentralen Dokumente.
- Organisatorische Maßnahmen (37), etwa Richtlinien, Zugriffssteuerung, Lieferantenbeziehungen und Umgang mit Sicherheitsvorfällen.
- Personenbezogene Maßnahmen (8), etwa Sicherheitsüberprüfung vor der Einstellung, Schulung und Sensibilisierung sowie Regeln für mobiles Arbeiten.
- Physische Maßnahmen (14), etwa Zutrittskontrolle, Schutz von Betriebsmitteln und Überwachung der physischen Sicherheit.
- Technologische Maßnahmen (34), etwa Schutz vor Schadsoftware, Datensicherung, Protokollierung, Verschlüsselung und sichere Entwicklung.
Voraussetzungen: So wird Ihr ISMS zertifizierungsreif
Zertifiziert wird ein ISMS, das eingeführt ist und wirkt – nicht ein Konzept. Bevor Sie das Zertifizierungsaudit anstoßen, sollten deshalb die folgenden Bausteine stehen:
Wer unsicher ist, ob das eigene ISMS reif für die Zertifizierung ist, kann bei CERTUNION optional ein Voraudit beauftragen. Es zeigt vor dem eigentlichen Audit, wo noch Lücken bestehen – etwa wenn Risikobeurteilung, Maßnahmen und Erklärung zur Anwendbarkeit nicht schlüssig zusammenpassen.
- ein festgelegter und dokumentierter Anwendungsbereich mit klaren Schnittstellen zu Dienstleistern
- eine von der Leitung getragene Informationssicherheitspolitik und benannte Verantwortliche
- eine durchgeführte Risikobeurteilung mit Risikobehandlungsplan und Erklärung zur Anwendbarkeit
- umgesetzte Maßnahmen, geschulte Beschäftigte und messbare Informationssicherheitsziele
- mindestens ein internes Audit und eine Managementbewertung mit dokumentierten Ergebnissen
Dauer und Kosten der ISO 27001 Zertifizierung
Das Zertifizierungsverfahren selbst – von der Anfrage bis zum Zertifikat – dauert in der Regel vier bis acht Wochen, je nach Größe und Komplexität Ihres Unternehmens. Davon zu unterscheiden ist der Aufbau des ISMS: Wie lange er dauert, hängt von Ihrer Ausgangslage ab und lässt sich seriös erst nach einer Bestandsaufnahme abschätzen. Planen Sie neben den Auditterminen auch interne Zeit ein, etwa für Interviews, Nachweise und die Behebung von Abweichungen.
Die ISO 27001 Zertifizierung gibt es bei CERTUNION als Jahrespaket zusammen mit der Plattform für Ihr Managementsystem. Zur Wahl stehen drei Jahrespakete, die Preise gelten je Jahr: „Einzelnorm“ für 789 € (eine Norm, bis 25 Beschäftigte), „Integriert“ für 1.499 € (bis zu drei Normen, bis 100 Beschäftigte) und „Komplett“ für 1.949 € (alle fünf Normen, ohne Begrenzung der Beschäftigtenzahl).
Im Jahrespreis enthalten sind die Plattform mit allen Modulen und das Audit des Jahres: im ersten Jahr die Erstzertifizierung – das Zertifikat stellen wir nach bestandenem Audit aus –, im zweiten und dritten Jahr die Überwachungsaudits. Die Laufzeit beträgt drei Jahre; im vierten Jahr folgt die Rezertifizierung mit 20 % Nachlass. Alle Preise verstehen sich zuzüglich Umsatzsteuer und gelten ausschließlich für Unternehmer im Sinne von § 14 BGB. Reise- und Übernachtungskosten für Audits vor Ort berechnen wir nach Aufwand.
Wie viele Audittage nötig sind, hängt stark vom Zuschnitt Ihres ISMS ab. Maßgeblich sind vor allem:
- die Zahl der Beschäftigten, die im Anwendungsbereich arbeiten
- Anzahl und Art der Standorte, einschließlich Rechenzentren und mobiler Arbeit
- die Komplexität Ihrer IT, Ihrer Geschäftsprozesse und Ihrer rechtlichen Pflichten
- der Anteil ausgelagerter Prozesse, Cloud-Dienste und Dienstleister
- der Entwicklungsstand des ISMS und ob ein Voraudit gewünscht ist
Welche Dokumentation verlangt ISO 27001?
ISO/IEC 27001 verlangt kein Handbuch in bestimmter Form, wohl aber dokumentierte Information an festgelegten Stellen. Dazu gehören insbesondere:
Hinzu kommt alles, was Sie selbst für die Wirksamkeit Ihres ISMS als notwendig festlegen – etwa Richtlinien zu Zugriffen, Datensicherung oder Lieferanten. Wenige, aber gepflegte Dokumente überzeugen im Audit mehr als umfangreiche Vorlagen, die niemand anwendet.
- Anwendungsbereich des ISMS (4.3) und Informationssicherheitspolitik (5.2)
- Verfahren zur Risikobeurteilung und Risikobehandlung (6.1.2, 6.1.3)
- Erklärung zur Anwendbarkeit (6.1.3 d) und Informationssicherheitsziele (6.2)
- Nachweise der Kompetenz (7.2) und Dokumentation zur Steuerung des Betriebs (8.1)
- Ergebnisse der Risikobeurteilung und der Risikobehandlung (8.2, 8.3)
- Ergebnisse von Überwachung und Messung (9.1), Auditprogramm und Auditergebnisse (9.2) sowie der Managementbewertung (9.3)
- Nichtkonformitäten und Korrekturmaßnahmen (10.2)
Nutzen einer ISO 27001 Zertifizierung
Ein zertifiziertes ISMS schafft vor allem Klarheit: Sie wissen, welche Informationen kritisch sind, welche Risiken bestehen und wer wofür verantwortlich ist. Das Zertifikat macht diese Arbeit für Dritte sichtbar.
Eine Zertifizierung verhindert keine Angriffe. Sie belegt aber, dass Ihr Unternehmen Risiken kennt, Maßnahmen gezielt auswählt und deren Wirksamkeit regelmäßig überprüft – und dass eine unabhängige Stelle das geprüft hat.
- Vertrauen bei Kunden und Partnern, die Ihnen ihre Daten anvertrauen
- bessere Chancen in Ausschreibungen und Lieferantenbewertungen, die einen Nachweis verlangen
- weniger Aufwand mit Sicherheitsfragebögen, weil sich viele Antworten auf das ISMS stützen
- geordnete Abläufe bei Sicherheitsvorfällen und für die Betriebskontinuität
- eine tragfähige Grundlage, um Pflichten aus NIS-2 oder Art. 32 DSGVO strukturiert umzusetzen
ISO 27001, NIS-2, DSGVO und verwandte Normen
Die NIS-2-Richtlinie (EU) 2022/2555 verpflichtet erfasste Einrichtungen in Art. 21 zu Risikomanagementmaßnahmen im Bereich der Cybersicherheit – unter anderem zu Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität, Sicherheit der Lieferkette, Kryptografie, Zugriffskontrolle und Schulungen. Viele dieser Punkte decken sich mit ISO/IEC 27001 und Anhang A, und Art. 25 fordert die Mitgliedstaaten auf, die Anwendung europäischer und internationaler Normen zu fördern. Ein Zertifikat ersetzt die Prüfung des nationalen Umsetzungsgesetzes trotzdem nicht, etwa bei Meldepflichten.
Ähnlich bei der DSGVO: Art. 32 verlangt geeignete technische und organisatorische Maßnahmen für die Sicherheit der Verarbeitung. Ein ISMS hilft, diese Maßnahmen systematisch umzusetzen und nachzuweisen; Datenschutzpflichten wie Rechtsgrundlagen, Informationspflichten oder Betroffenenrechte deckt es aber nicht ab.
Weil ISO/IEC 27001 die Harmonisierte Struktur nutzt, lässt sie sich mit ISO 9001 (Qualität), ISO 22301 (Betriebskontinuität) oder ISO 50001 (Energie) zu einem integrierten Managementsystem verbinden. Politik, Risikobetrachtung, internes Audit und Managementbewertung werden dann gemeinsam geführt, statt in mehreren Systemen doppelt gepflegt zu werden.
Der Zertifizierungsprozess
Anfrage
Sie schildern uns Unternehmen, Standorte und den gewünschten Anwendungsbereich Ihres ISMS. Das Erstgespräch ist unverbindlich.
Analyse und Paketwahl
Wir klären Umfang, Zahl der Beschäftigten im Anwendungsbereich, Standorte und ausgelagerte Prozesse; Sie wählen das passende Jahrespaket.
Voraudit (optional)
Auf Wunsch prüfen wir vorab, wo Ihr ISMS steht – etwa ob Risikobehandlung und Erklärung zur Anwendbarkeit schlüssig zusammenpassen.
Zertifizierungsaudit
Vor Ort oder remote prüfen unsere Auditoren Dokumentation, Risikobeurteilung und Erklärung zur Anwendbarkeit sowie die Wirksamkeit der Maßnahmen in der Praxis, etwa durch Interviews und Stichproben.
Zertifikat
Nach bestandenem Audit stellt CERTUNION das Zertifikat für den festgelegten Anwendungsbereich aus. Es ist in der Regel drei Jahre gültig.
Überwachungsaudits
Jährliche Überwachungsaudits prüfen, ob Ihr ISMS wirksam bleibt – auch wenn neue Risiken, Systeme oder Dienstleister hinzukommen.
Häufige Fragen
Was ist eine ISO 27001 Zertifizierung?
Eine ISO 27001 Zertifizierung ist die Bestätigung einer unabhängigen Zertifizierungsstelle, dass das Informationssicherheits-Managementsystem eines Unternehmens die Anforderungen der ISO/IEC 27001:2022 erfüllt. Grundlage ist ein Audit, in dem Dokumentation, Risikobeurteilung und die Wirksamkeit der Maßnahmen geprüft werden. Zertifiziert wird das Managementsystem für einen festgelegten Anwendungsbereich, nicht ein Produkt oder eine Person.
Was kostet eine ISO 27001 Zertifizierung?
Die ISO 27001 Zertifizierung ist bei CERTUNION Teil eines Jahrespakets mit der Plattform. Zur Wahl stehen drei Jahrespakete, die Preise gelten je Jahr: „Einzelnorm“ für 789 € (eine Norm, bis 25 Beschäftigte), „Integriert“ für 1.499 € (bis zu drei Normen, bis 100 Beschäftigte) und „Komplett“ für 1.949 € (alle fünf Normen, ohne Begrenzung der Beschäftigtenzahl). Im Jahrespreis enthalten sind die Plattform mit allen Modulen und das Audit des Jahres – im ersten Jahr die Erstzertifizierung, danach zwei Überwachungsaudits. Die Laufzeit beträgt drei Jahre, die Rezertifizierung im vierten Jahr gibt es mit 20 % Nachlass. Preise zzgl. USt., nur für Unternehmer (§ 14 BGB); Reise- und Übernachtungskosten für Audits vor Ort nach Aufwand. Getrennt davon sollten Sie interne Kosten für Aufbau und Betrieb des ISMS einplanen, etwa für Personal, Schulungen und technische Maßnahmen.
Wie lange dauert eine ISO 27001 Zertifizierung?
Das Zertifizierungsverfahren dauert von der Anfrage bis zum Zertifikat in der Regel vier bis acht Wochen, abhängig von Größe und Komplexität Ihres Unternehmens. Voraussetzung ist ein bereits eingeführtes ISMS mit Risikobeurteilung, internem Audit und Managementbewertung. Wie lange der Aufbau des ISMS selbst dauert, hängt von Ihrer Ausgangslage ab.
Ist ISO 27001 Pflicht?
Ein Gesetz, das Unternehmen allgemein eine ISO 27001 Zertifizierung vorschreibt, gibt es nicht. Häufig wird sie jedoch vertraglich verlangt, etwa von Konzernkunden, öffentlichen Auftraggebern oder in Lieferketten. Zudem hilft ein ISMS nach ISO/IEC 27001, gesetzliche Pflichten wie die Risikomanagementmaßnahmen der NIS-2-Richtlinie strukturiert umzusetzen.
Welche Voraussetzungen gelten für die ISO 27001 Zertifizierung?
Ihr ISMS muss eingeführt sein und nachweislich funktionieren: festgelegter Anwendungsbereich, Informationssicherheitspolitik, durchgeführte Risikobeurteilung mit Risikobehandlungsplan, Erklärung zur Anwendbarkeit, umgesetzte Maßnahmen sowie mindestens ein internes Audit und eine Managementbewertung. Eine bestimmte Unternehmensgröße oder eine spezielle Software setzt die Norm nicht voraus.
Wie lange ist ein ISO 27001 Zertifikat gültig?
Zertifikate sind in der Regel drei Jahre gültig. In dieser Zeit finden jährliche Überwachungsaudits statt, in denen geprüft wird, ob Ihr ISMS weiterhin wirksam ist und sich verbessert. Vor Ablauf der drei Jahre steht die Rezertifizierung an, damit der Nachweis ohne Unterbrechung bestehen bleibt.
Was ist der Unterschied zwischen ISO 27001 und ISO 27002?
ISO/IEC 27001 enthält die Anforderungen an ein ISMS und ist die Norm, nach der zertifiziert wird. ISO/IEC 27002:2022 ist ein Leitfaden, der die 93 Maßnahmen aus Anhang A ausführlich erläutert und Hinweise zur Umsetzung gibt. Nach ISO/IEC 27002 selbst kann man sich nicht zertifizieren lassen; sie hilft bei der praktischen Arbeit.
Reicht eine ISO 27001 Zertifizierung für NIS-2?
Nicht automatisch. Die NIS-2-Richtlinie verlangt in Art. 21 Maßnahmen, die sich weitgehend mit ISO/IEC 27001 decken, und fördert die Nutzung internationaler Normen. Daneben gibt es Pflichten, die ein ISMS allein nicht erfüllt, etwa Melde- und Mitteilungspflichten gegenüber Behörden nach dem jeweiligen nationalen Gesetz. Ein ISMS ist eine starke Grundlage, ersetzt aber keine rechtliche Prüfung.
Erfüllt ein Unternehmen mit ISO 27001 automatisch die DSGVO?
Nein. ISO/IEC 27001 unterstützt die nach Art. 32 DSGVO geforderte Sicherheit der Verarbeitung, weil Risiken und technisch-organisatorische Maßnahmen systematisch gesteuert werden. Datenschutzrechtliche Pflichten wie Rechtsgrundlagen, Informationspflichten oder Betroffenenrechte prüft ein ISMS-Audit jedoch nicht. Der Datenschutz braucht deshalb eine eigene Bewertung.
Was ist der Unterschied zwischen ISO 27001 und IT-Grundschutz?
Der IT-Grundschutz des BSI ist eine eigene Methodik mit detaillierten Bausteinen und Sicherheitsanforderungen. Eine ISO 27001 Zertifizierung auf Basis von IT-Grundschutz vergibt ausschließlich das BSI, nach Prüfung durch einen vom BSI zertifizierten Auditor. Die Zertifizierung nach ISO/IEC 27001 durch eine Zertifizierungsstelle lässt Ihnen dagegen die Wahl von Methode und Maßnahmen, solange sie risikobasiert begründet sind.
Brauche ich ISO 27001 oder TISAX?
Das entscheidet meist Ihr Kunde. TISAX ist das Prüf- und Austauschverfahren der Automobilindustrie, getragen von der ENX Association und gestützt auf den VDA-ISA-Katalog. Ergebnis ist ein Label mit drei Jahren Gültigkeit, kein ISO-Zertifikat. Ein bestehendes ISMS nach ISO/IEC 27001 erleichtert die Vorbereitung, ersetzt ein verlangtes TISAX-Label aber nicht.
Kann man sich als Person nach ISO 27001 zertifizieren lassen?
Nein, nach ISO/IEC 27001 werden Managementsysteme von Organisationen zertifiziert, nicht einzelne Personen. Die Kompetenz von Fachkräften, etwa als ISMS-Beauftragte oder Auditorin, wird über eine Personenzertifizierung nachgewiesen. Das ist ein eigenständiges Verfahren mit eigener Prüfung; mehr dazu finden Sie auf unserer Seite zur Personenzertifizierung.