Gesetze und Normen
ISO/IEC 27001
Internationale Norm für ein Managementsystem zur Informationssicherheit, nach der sich Unternehmen extern zertifizieren lassen können.
ISO/IEC 27001 beschreibt, wie ein Unternehmen Informationssicherheit planmäßig steuert. Im Mittelpunkt steht ein Informationssicherheits-Managementsystem (ISMS): ein festgelegter Kreislauf aus Risiken erkennen, Maßnahmen festlegen, umsetzen, überprüfen und verbessern. Die Norm schreibt also weniger einzelne Technik vor als einen geordneten Prozess.
Ein Anhang der Norm listet Maßnahmen, aus denen das Unternehmen die passenden auswählt. Für jede nicht gewählte Maßnahme wird begründet, warum sie nicht nötig ist. Die aktuelle Fassung stammt aus dem Jahr 2022. Zertifiziert wird durch eine akkreditierte Prüfstelle in einem Audit, das regelmäßig wiederholt wird.
Für Kleinbetriebe ist eine Zertifizierung meist ein großer Aufwand. Als Orientierung eignet sich die Norm aber gut, auch ganz ohne Zertifikat. Manche Auftraggeber verlangen das Zertifikat dennoch, vor allem in der Industrie und im Finanzbereich. Wer unter NIS2 fällt, findet in der Norm einen anerkannten Rahmen, um die Anforderungen geordnet umzusetzen. Die Autoindustrie setzt mit TISAX eine eigene, darauf aufbauende Prüfung ein.
Für Ihren Betrieb
Klären Sie, ob ein Kunde oder eine Ausschreibung ein Zertifikat wirklich verlangt. Wenn nicht, bringt eine Orientierung an der Norm oft mehr als ein aufwendiger Zertifizierungsprozess.