ISO 27001 vorbereiten: Vom Schutzbedarf zum wirksamen ISMS
Von Nico Freitag, Geschäftsführer, Cybersecurity und GovernanceISO/IEC 27001 definiert Anforderungen an ein Informationssicherheits-Managementsystem. Eine gute Vorbereitung beginnt mit Geltungsbereich, Verantwortlichkeit, Werten und Risiken. Dokumente folgen dem tatsächlichen Prozess und nicht umgekehrt.
Was ist zuerst festzulegen?
Der Geltungsbereich bestimmt, welche Organisationsteile, Prozesse, Systeme und Schnittstellen das Managementsystem umfasst. Er muss zur Geschäftstätigkeit passen und darf kritische Abhängigkeiten nicht künstlich ausblenden. Die Leitung trägt Verantwortung für Ziele und Ressourcen.
Wie entsteht eine belastbare Risikobehandlung?
Werte, Bedrohungen, Schwachstellen und Auswirkungen werden mit einer einheitlichen Methode bewertet. Maßnahmen erhalten Verantwortliche, Termine und eine Begründung. Restrisiken werden bewusst angenommen, nicht stillschweigend übersehen.
Wann ist eine Zertifizierung sinnvoll?
Eine Zertifizierung kann Kundenanforderungen oder Ausschreibungen unterstützen. Ein ISMS sollte aber zuerst die eigene Sicherheit steuern. Die ISO beschreibt ISO/IEC 27001 als an Größe und Bedarf anpassbares Risikomanagementsystem.
Quellen und Grundlage
Zentrale Aussagen dieses Beitrags wurden anhand der folgenden Primärquellen geprüft.
Häufige Fragen
- Ist ISO 27001 nur für große Unternehmen?
- Nein. Der Ansatz ist laut ISO für Organisationen unterschiedlicher Größe und Branchen anpassbar.
- Reicht eine Sammlung von Richtlinien?
- Nein. Prozesse, Risikobehandlung, Wirksamkeitsprüfung und kontinuierliche Verbesserung müssen tatsächlich funktionieren.