Maurice Müller
Senior Content Manager
Maurice Müller ist Journalist und Content-Stratege mit Erfahrung im Print- und Digitalbereich. Bei Formalize verwandelt er komplexe Compliance- und Regulierungsthemen in klare, praxisnahe Inhalte für Compliance-, Risiko- und Sicherheitsexperten in ganz Europa.
Das Wichtigste in Kürze:
Die ISO 27001 ist der international anerkannte Standard für den Aufbau und Betrieb eines Informationssicherheits-Managementsystems (ISMS).
Sie basiert auf den sogenannten CIA-Schutzzielen: Vertraulichkeit, Integrität und Verfügbarkeit.
Anhang A (in der Version von 2022) definiert 93 Kontrollen in vier Bereichen: organisatorisch, personenbezogen, physisch und technologisch.
Compliance bedeutet, die Anforderungen des Standards zu erfüllen. Zertifizierung bedeutet, ein unabhängiges Audit erfolgreich zu bestehen.
Der Weg zur Zertifizierung dauert in der Regel 6 bis 12 Monate – je nach Unternehmensgröße und den eingesetzten Tools.
Die durchschnittlichen Kosten einer Datenschutzverletzung erreichten 2026 weltweit 4,99 Millionen US-Dollar. Laut dem „Cost of a Data Breach Report“ von IBM ist das ein absoluter Höchststand. Auch der regulatorische Druck ist rasant gestiegen: Allein die Bußgelder im Rahmen der DSGVO haben laut dem CMS GDPR Enforcement Tracker seit 2018 die Marke von 6 Milliarden Euro überschritten. Kunden, Partner und Regulierungsbehörden geben sich nicht mehr mit Marketing-Floskeln auf einer Website zufrieden, sondern erwarten Belege dafür, dass Informationssicherheit ernst genommen wird. Die ISO 27001 bietet Organisationen ein bewährtes, international anerkanntes Framework, um kritische Informationswerte systematisch zu schützen. Sie ersetzt Ad-hoc-Lösungen und verstreute Excel-Listen durch einen strukturierten Prozess. Zudem ist sie der Standard, der am häufigsten in Sicherheitsfragebögen von Lieferanten und bei Einkaufsprozessen gefordert wird. Daher ist das Wissen über die ISO 27001 längst nicht mehr nur für Security-Teams relevant.
Was ist ISO 27001?
Die ISO/IEC 27001 ist der internationale anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS). Sie bietet ein Framework, um sensible Daten durch systematisches Risikomanagement zu steuern und zu schützen. Der Standard legt die Anforderungen fest, die ein Unternehmen erfüllen muss, um Informationssicherheitsrisiken zu identifizieren, zu behandeln und kontinuierlich zu überwachen.
Der Standard wird gemeinsam von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) herausgegeben. Daher stammt auch die Schreibweise „ISO/IEC 27001“. Mit der aktuellen Version, ISO/IEC 27001:2022, wurden die Kontrollen des Standards neu strukturiert. Zudem wurde die Terminologie aktualisiert, um modernen Sicherheitsherausforderungen wie Cloud-Diensten und Threat Intelligence besser gerecht zu werden.
Die ISO 27001 ist bewusst branchenunabhängig gestaltet. Sie eignet sich für ein Startup mit fünf Beschäftigten genauso wie für einen multinationalen Konzern. Das liegt daran, dass der Standard einen Prozess für das Risikomanagement definiert und keine starre Liste an Technologien vorgibt, die zwingend implementiert werden müssen.
Aus diesem Grund lässt sie sich auch hervorragend mit sektorspezifischen Anforderungen kombinieren. Ein Unternehmen kann ein einziges ISMS aufbauen und es nicht nur nach der ISO 27001, sondern auch nach anderen Frameworks wie SOC 2 oder branchenspezifischen Vorschriften ausrichten, anstatt jedes Regelwerk isoliert zu verwalten.
Diese Flexibilität ist auch der Grund, warum der Standard für so unterschiedliche Zielgruppen relevant ist. Ob Compliance-Manager, die den Rahmen für ein Zertifizierungsprojekt abstecken, CISOs, die entscheiden müssen, wo Investitionen priorisiert werden, oder Führungskräfte, die die Sicherheitslage eines Anbieters bewerten – sie alle stellen sich an irgendeinem Punkt die Frage, was die ISO 27001 eigentlich genau fordert.
Weitere Details zu allen Anforderungen des Standards finden Sie im ausführlichen ISO 27001-Leitfaden von Formalize.
Die zentralen Säulen: Die CIA-Schutzziele in der ISO 27001
Die ISO 27001 basiert auf dem Schutz von drei zentralen Prinzipien der Informationssicherheit, die zusammen als CIA-Schutzziele bekannt sind. Der Standard betrachtet Sicherheit dabei nicht als ein einzelnes, pauschales Ziel. Stattdessen verlangt er von Unternehmen, für jeden Informationswert drei unterschiedliche und teils konkurrierende Ziele gegeneinander abzuwägen:
Vertraulichkeit: Sicherstellen, dass nur autorisiertes Personal auf sensible Informationen zugreifen kann.
Integrität: Schutz der Richtigkeit von Daten und die Verhinderung unbefugter Änderungen oder Manipulationen.
Verfügbarkeit: Gewährleisten, dass Systeme und Daten für autorisierte Nutzer zugänglich sind, wenn sie benötigt werden.
Ein effektives ISMS hält diese drei Ziele im Gleichgewicht, denn eine Überinvestition in einen Bereich geht oft zu Lasten der anderen. Wenn Daten beispielsweise so streng abgeriegelt werden, dass autorisierte Mitarbeiter ihre Arbeit nicht mehr erledigen können, verfehlt das den eigentlichen Zweck.
Bei einer Risikobewertung nach ISO 27001 wird für jeden Informationswert gefragt: Welches dieser drei Ziele ist am wichtigsten und was könnte es gefährden? Genau diese Fragestellung macht die CIA-Schutzziele von einem abstrakten Konzept zu einem extrem praktischen Werkzeug für die Priorisierung.
Was ist ein Informationssicherheits-Managementsystem (ISMS)?
Ein ISMS ist der praktische Mechanismus hinter der ISO 27001. Es handelt sich um ein Management-Framework, das Menschen, Prozesse, Technologien und das organisatorische Risikomanagement in einem einzigen, auditierbaren System vereint. Es ist eben kein einmaliges IT-Projekt.
Ein ISMS definiert, wie ein Unternehmen Risiken für seine Informationswerte identifiziert. Es legt außerdem fest, welche Kontrollen angewendet werden, wer die Verantwortung dafür trägt und wie deren Wirksamkeit im Laufe der Zeit überprüft wird. Das ist eine weitaus komplexere Herausforderung, als lediglich isoliert eine Firewall einzurichten oder eine Zugriffsrichtlinie zu implementieren. In der Praxis berührt ein ISMS so unterschiedliche Bereiche wie das On- und Offboarding im Personalwesen, Verträge mit Lieferanten, den physischen Zugang zum Büro, die Praktiken in der Softwareentwicklung und die Reaktion auf Sicherheitsvorfälle. Es erstreckt sich auf jeden Bereich, durch den Informationen im Unternehmen fließen.
Da dieser Geltungsbereich das gesamte Unternehmen umfasst, fordert die ISO 27001 klare Verantwortlichkeiten. Jemand muss für das Risikoregister verantwortlich sein. Jemand muss die Erklärung zur Anwendbarkeit absegnen. Und jemand muss überprüfen, ob die Maßnahmen noch wirken, wenn neue Risiken auftauchen. Ohne diese Struktur konzentriert sich die Sicherheitsarbeit meist nur auf die IT. Dabei liegen viele der Risiken mit den gravierendsten Auswirkungen, wie Phishing oder Sicherheitsvorfälle bei Lieferanten genau außerhalb der IT-Abteilung.
Genau an diesem Punkt stoßen tabellenbasierte Ansätze oft an ihre Grenzen. In einer Excel-Liste lassen sich zwar ein Risikoregister oder eine Kontrollliste erfassen, aber sie kann keine Verantwortlichkeiten einfordern, keine Überprüfungen anstoßen und Nachweise nicht automatisch mit den entsprechenden Kontrollen verknüpfen. Wenn das ISMS wächst und immer mehr Risiken, Kontrollen, Nachweise und Stakeholder umfasst, werden manuelle Tabellen schnell zur Belastung statt zur verlässlichen Datenquelle.
Die Kernkomponenten der ISO 27001
Der Standard besteht im Wesentlichen aus zwei Teilen. Der erste Teil umfasst die verpflichtenden Klauseln, die definieren, wie das ISMS selbst funktionieren muss. Der zweite Teil ist Anhang A, eine Referenzliste von Sicherheitskontrollen, aus der sich ein Unternehmen bedienen kann. Auditoren prüfen jede verpflichtende Klausel im Detail. Aus Anhang A prüfen sie jedoch nur die Maßnahmen, die das Unternehmen auch tatsächlich als relevant ausgewählt hat.
Klauseln 4–10 (Das ISMS-Framework)
Die Klauseln 4 bis 10 sind für die Zertifizierung zwingend erforderlich. Sie decken den Kontext der Organisation, die Verpflichtung der Führungsebene, Planung, Unterstützung, Betrieb, Leistungsbewertung und die kontinuierliche Verbesserung ab. In der Praxis bilden Experten diese Struktur meist auf den Planen-Umsetzen-Überprüfen-Handeln Zyklus ab:
Planen: Den Geltungsbereich des ISMS definieren, Risiken bewerten und Ziele festlegen.
Umsetzen: Den Risikobehandlungsplan und die ausgewählten Maßnahmen implementieren.
Überprüfen: Das ISMS überwachen, messen und intern auditieren.
Handeln: Abweichungen beheben und das System kontinuierlich verbessern.
Dieser Zyklus ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess. Wird in der „Überprüfen“-Phase ein neues Risiko erkannt, wie beispielsweise ein neuer Dienstleister mit Zugriff auf Kundendaten, fließt dies direkt wieder in die Planung ein. Genau diese Feedbackschleife sorgt dafür, dass das ISMS stets aktuell bleibt, selbst wenn sich das Unternehmen oder die Bedrohungslage ändert. Das System ist also weit mehr als nur eine Momentaufnahme, die nur für das Zertifikat existiert.
Die Kontrollen aus Anhang A
Anhang A der ISO/IEC 27001:2022 listet 93 Kontrollen auf, die in vier Themenbereiche unterteilt sind:
Organisatorische Kontrollen (37): Richtlinien, Rollen, Lieferantenbeziehungen und Incident Management.
Personelle Kontrollen (8): Screening, Awareness-Schulungen und Arbeitsbedingungen.
Physische Kontrollen (14): Schutz von Einrichtungen, Ausrüstung und Datenträgern.
Technologische Kontrollen (34): Zugangskontrolle, Kryptografie und Überwachung.
Update zur ISO/IEC 27001:2022: Die Revision von 2022 hat die bisherigen 114 Kontrollen aus 14 Bereichen (in der Version von 2013) zu diesen 93 Kontrollen in vier Themenbereichen zusammengefasst. Diese Änderung spiegelt aktuelle Risiken wie Cloud-Sicherheit und Threat Intelligence wider. Unternehmen müssen nicht jede einzelne Kontrolle umsetzen. Sie wählen diejenigen aus, die für ihre Risikobewertung relevant sind, und dokumentieren alle Ausschlüsse in einer Erklärung zur Anwendbarkeit (Statement of Applicability, SoA). Die Übergangsfrist für bestehende ISO 27001:2013-Zertifikate endete am 31. Oktober 2025. Die ISO/IEC 27001:2022 ist nun die einzig gültige Version; Zertifikate, die sich noch auf die Ausgabe von 2013 beziehen, werden nicht mehr anerkannt.
Anhang A dient als Referenzliste, nicht als Checkliste, die blind abgehakt werden muss. Bei der Zertifizierung erwarten Auditoren nicht, dass alle 93 Kontrollen implementiert sind. Sie erwarten vielmehr, dass das SoA jeden Ausschluss schlüssig begründet und dass die tatsächlich ausgewählten Kontrollen auch in der Praxis funktionieren, und nicht nur auf dem Papier existieren. Ein häufiger Fehler ist es, Kontrollen nur deshalb umzusetzen, weil sie im Anhang stehen, und nicht, weil ein konkret identifiziertes Risiko sie erfordert.
Was ist der Unterschied zwischen ISO 27001-Compliance und -Zertifizierung?
Diese beiden Begriffe werden oft synonym verwendet, dabei beschreiben sie zwei völlig unterschiedliche Phasen:
Compliance: Das Unternehmen hat seine internen Sicherheitsprozesse und Richtlinien an den Vorgaben der ISO 27001 ausgerichtet.
Zertifizierung: Eine akkreditierte, unabhängige Zertifizierungsstelle hat das Unternehmen formell auditiert und ein offizielles ISO 27001-Zertifikat ausgestellt.
Ein Unternehmen kann also compliant sein, ohne zertifiziert zu sein. Eine Zertifizierung setzt jedoch immer eine nachgewiesene Compliance voraus, die von einem externen Auditor überprüft wurde.
Manche Organisationen betreiben ein regelkonformes ISMS, ohne sofort eine offizielle Zertifizierung anzustreben, beispielsweise während der internen Vorbereitungsphase. Die meisten Kunden und Beschaffungsvorgaben verlangen jedoch ausdrücklich nach dem Zertifikat. Es liefert den entscheidenden Beweis, dass eine unabhängige Stelle die Sicherheitsversprechen bestätigt hat.
In 5 Schritten zur ISO 27001-Zertifizierung
Definition des Geltungsbereichs und Gap-Analyse: Legen Sie fest, welche Informationswerte, Systeme, Teams und Standorte das ISMS abdecken soll. Vergleichen Sie anschließend Ihre bestehenden Sicherheitsmaßnahmen mit dem Standard, um Lücken aufzudecken. Wenn Sie den Geltungsbereich frühzeitig richtig definieren, vermeiden Sie später teure Nacharbeiten. Ist er zu eng gefasst, deckt das Zertifikat nicht ab, was Ihre Kunden eigentlich fordern. Ist er zu weit gefasst, gerät das Projekt durch seine eigene Komplexität ins Stocken.
Risikobewertung und -behandlung: Identifizieren Sie Bedrohungen für alle Informationswerte im Geltungsbereich und bewerten Sie die Risiken nach Eintrittswahrscheinlichkeit und Auswirkung. Entscheiden Sie, wie Sie mit jedem einzelnen Risiko umgehen wollen (akzeptieren, mindern, übertragen oder vermeiden). Erstellen Sie dann eine Erklärung zur Anwendbarkeit (SoA), in der Sie dokumentieren, welche Maßnahmen aus Anhang A greifen.
Implementierung der Kontrollen: Setzen Sie die ausgewählten Kontrollen aus Anhang A in die Praxis um. Dazu gehören Richtlinien, Zugriffskontrollen, Lieferantenprüfungen und weitere Schutzmechanismen. Sammeln Sie die entsprechenden Nachweise direkt bei der Einführung der Kontrollen und nicht erst im Nachhinein.
Internes Audit und Managementbewertung: Prüfen Sie das ISMS intern. Idealerweise übernimmt das jemand, der unabhängig vom täglichen Betrieb dieser Kontrollen ist. Dies bestätigt, dass das System wie vorgesehen funktioniert und bereit für die externe Prüfung ist. Anschließend bewertet die Geschäftsführung die Ergebnisse formell und gibt sie frei.
Externe Audits (Stufe 1 und Stufe 2): Ein akkreditierter Zertifizierer prüft zunächst Ihre Dokumentation und Ihre Auditbereitschaft (Stufe 1). Danach bewertet er die tatsächliche Umsetzung in der Praxis sowie die gesammelten Nachweise (Stufe 2), bevor er das Zertifikat ausstellt. Um das Zertifikat aufrechtzuerhalten, folgen jährliche Überwachungsaudits.
Die meisten Unternehmen schließen diesen Prozess in 6 bis 12 Monaten ab. Der genaue Zeitplan hängt von der Unternehmensgröße, der Komplexität und der Frage ab, wie viel der Arbeit manuell erledigt wird im Vergleich zur Nutzung spezieller Software-Tools. Die Rezertifizierung erfolgt in einem Dreijahreszyklus mit weniger umfangreichen Überwachungsaudits in der Zwischenzeit.
Welche Vorteile bietet die ISO 27001?
Die ISO 27001 hilft Unternehmen dabei:
Informationssicherheitsrisiken systematisch zu steuern, anstatt erst nach einem Vorfall reagieren zu müssen.
Kunden und Partnern die eigene Sicherheitsreife nachzuweisen, insbesondere bei Lieferantenprüfungen und in Einkaufsprozessen.
Kosten und Häufigkeit von Sicherheitsvorfällen zu reduzieren, gestützt auf Kontrollen, die nicht nur auf dem Papier stehen, sondern in der Praxis geprüft werden.
Einen Vorsprung bei anderen Regularien zu gewinnen. Ein funktionierendes ISMS deckt bereits einen Großteil der Anforderungen ab, die auch NIS-2 und DORA stellen.
Führungskräften und Mitarbeitern einen einheitlichen Prozess an die Hand zu geben, um Sicherheitsentscheidungen zu treffen, statt sich auf subjektive, personenabhängige Einschätzungen verlassen zu müssen.
ISO 27001-Compliance optimieren mit Formalize
Formalize integriert den offiziellen ISO/IEC 27001:2022-Standard direkt in die Plattform. Möglich wird dies durch eine im April 2026 vereinbarte Zusammenarbeit mit der UNE, der nationalen spanischen Normungsorganisation. Teams arbeiten somit direkt mit den aktuellen, lizenzierten Inhalten und nicht mit einem separat gekauften PDF. Formalize ist der erste GRC-Anbieter in Spanien und einer der ersten in ganz Europa, der eine solch direkte Zusammenarbeit mit ISO/IEC-Vertretern sichern konnte.
Darüber hinaus sind wir Teil eines offiziellen KI-Pilotprojekts von ISO und UNE. In diesem Rahmen entwickeln wir eine KI-Funktion namens Formalize IQ, die künftig statische ISO-Anforderungen in umsetzbare, systemeigene Workflows verwandeln soll.
Die ISMS-Software von Formalize zentralisiert die Erfassung von Nachweisen und verknüpft Kontrollen direkt mit Risiken, anstatt sie in isolierten Dateien zu verwalten. So bleibt Ihr Unternehmen kontinuierlich bereit für ein Audit. Die Übersicht bleibt auch zwischen den Zertifizierungszyklen aktuell und nicht erst in den Wochen vor der Prüfung. Das ist genau an dem Punkt entscheidend, an dem Excel-Tabellen meist an ihre Grenzen stoßen: wenn Verantwortlichkeiten klar sein müssen, Nachweise einer bestimmten Kontrolle zugeordnet werden sollen und Prüfer ein aktuelles Bild benötigen, ohne der neuesten Dateiversion hinterherzujagen.
Risiken der Informationssicherheit treten selten isoliert auf. Deshalb verknüpft Formalize die Arbeit an der ISO 27001 mit dem übergeordneten Risikomanagement des Unternehmens. Ein Phishing-Vorfall kann beispielsweise direkt in eine aktualisierte Risikobewertung einfließen, anstatt isoliert in einem Vorfallsprotokoll zu verbleiben.
Auch im Compliance-Stack eines Unternehmens steht die ISO 27001 selten allein. Formalize ordnet die Maßnahmen aus Anhang A direkt anderen Frameworks wie NIS-2 sowie nationalen Standards wie dem BSI IT-Grundschutz in Deutschland, dem spanischen ENS oder CyFun in Belgien zu. Wenn Sie eine Maßnahme einmal aktualisieren, wird diese Änderung in jedes verknüpfte Framework übernommen. Das erspart Ihnen, dieselbe Maßnahme für jede Behörde einzeln nachweisen zu müssen. Genau an diesem Punkt entsteht in der Praxis die meiste doppelte Audit-Arbeit.
Zudem basiert das Preismodell von Formalize nicht auf Einzellizenzen. Sicherheitsteams können Fachkräfte aus dem rechtlichen und operativen Bereich sowie externe Auditoren direkt in die Plattform einladen, ohne für jeden zusätzlichen Login bezahlen zu müssen. Da die Arbeit an der ISO 27001 regelmäßig rechtliche und operative Aspekte berührt, sind Lizenzkosten pro Nutzer ein häufiger Grund, warum diese Abteilungen oft komplett aus den Tools ausgeschlossen werden.