Die ISO 27001 ist der international maßgebliche Standard für Informationssicherheits-Managementsysteme (ISMS). Ihre Anforderungen lassen sich in zwei Ebenen gliedern: die verbindlichen Normkapitel 4 bis 10 und die Sicherheitsmaßnahmen aus Annex A. Zusammen legen sie fest, was eine Organisation aufbauen, dokumentieren und belegen muss, um ein zertifizierungsfähiges ISMS zu betreiben.
Aktuell gilt die Fassung ISO/IEC 27001:2022, in Deutschland übernommen als DIN ISO/IEC 27001:2024-01. Die dreijährige Übergangsfrist für die Vorgängerversion von 2013 endete am 31. Oktober 2025. Seitdem ist ausschließlich die Version 2022 zertifizierungsfähig; Zertifikate nach der alten Fassung haben ihren Akkreditierungsstatus verloren. Für Unternehmen, die den Umstieg noch nicht vollzogen haben, ist eine ISO 27001-Zertifizierung nach Anforderungen der aktuellen Norm damit kein Aufschub-Thema mehr, sondern Voraussetzung für ein gültiges Zertifikat.
Die zwei Ebenen der ISO 27001-Anforderungen
Die Norm trennt bewusst zwischen dem Managementsystem und den konkreten Schutzmaßnahmen. Der Hauptteil in den Kapiteln 4 bis 10 beschreibt generisch und nicht-präskriptiv, wie ein ISMS aufgebaut, betrieben und verbessert wird. Er sagt nicht, welche technischen Maßnahmen umzusetzen sind, sondern verlangt einen funktionierenden Steuerungsprozess.
Annex A liefert dazu den präskriptiven Gegenpol: eine Referenzliste von 93 Maßnahmen (Controls), aus denen jede Organisation risikobasiert auswählt. Diese Auswahl wird in der Erklärung zur Anwendbarkeit (Statementof Applicability, SoA) dokumentiert. Wichtig für das Verständnis: Die 93 Maßnahmen sind kein starrer Anforderungskatalog, den man vollständig abhaken muss. Entscheidend ist die nachvollziehbare Begründung, welche Maßnahmen anwendbar sind und wie ihre Wirksamkeit nachgewiesen wird.
Die Normkapitel 4 bis 10 im Detail
Der Hauptteil folgt der Harmonized Structure, die auch ISO 9001 und ISO 14001 nutzen. Das erleichtert die Integration in bestehende Managementsysteme. Die sieben Kapitel bilden zugleich den PDCA-Zyklus ab: planen (Kapitel 4 bis 6), umsetzen (7 und 8), prüfen (9) und verbessern (10).
Kapitel 4 – Kontext der Organisation
Am Anfang steht die Bestimmung des Anwendungsbereichs (Scope). Die Organisation identifiziert interne und externe Themen, die für die Informationssicherheit relevant sind, sowie die Erwartungen interessierter Parteien wie Kunden, Aufsichtsbehörden oder Lieferanten. Erst wenn der Geltungsbereich klar abgegrenzt ist, lässt sich ein ISMS sinnvoll aufbauen.
Kapitel 5 – Führung
Die oberste Leitung trägt die Verantwortung. Sie verabschiedet die Informationssicherheitspolitik, stellt Ressourcen bereit und weist Rollen und Befugnisse zu. Informationssicherheit ohne sichtbares Commitment der Geschäftsführung fällt in Audits regelmäßig auf. Für regulierte Branchen ist dieser Punkt zusätzlich relevant, weil NIS2 eine persönliche Verantwortung der Leitungsebene vorsieht.
Kapitel 6 – Planung
Hier liegt das Herzstück der ISO 27001-Anforderungen und in der Praxis die häufigste Fehlerquelle. Kapitel 6 verlangt eine dokumentierte Informationssicherheitsrisikobeurteilung: Die Organisation identifiziert Risiken für Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationswerte, bewertet deren Eintrittswahrscheinlichkeit und Auswirkung und legt Kriterien für die Akzeptanz fest. Die Norm schreibt keine bestimmte Methode vor. Verbreitet sind ein assetbasierter Ansatz, der von den Informationswerten ausgeht, und ein szenariobasierter Ansatz, der von möglichen Bedrohungen herdenkt. Entscheidend ist, dass die gewählte Methode konsistent angewendet wird und wiederholbare Ergebnisse liefert. Jedem Risiko wird zudem ein Risikoeigentümer zugeordnet, der die Behandlung verantwortet und Restrisiken formal akzeptiert.
Auf dieser Grundlage folgt die Risikobehandlung: Für jedes relevante Risiko entscheidet die Organisation, ob sie es reduziert, akzeptiert, überträgt oder vermeidet. Die daraus abgeleiteten Maßnahmen werden mit Annex A abgeglichen und in der Erklärung zur Anwendbarkeit festgehalten. Diese muss für jede der 93 Maßnahmen ausweisen, ob sie anwendbar ist, mit welcher Begründung, und ob sie umgesetzt wurde. Ausschlüsse sind zulässig, müssen aber nachvollziehbar begründet sein. Ergänzend definiert Kapitel 6 messbare Informationssicherheitsziele. In Audits entstehen die meisten Findings, weil Risikobeurteilung und Dokumentation lückenhaft bleiben oder die Verbindung zwischen Risiko und gewählter Maßnahme nicht nachvollziehbar ist.
Kapitel 7 – Unterstützung
Ein ISMS braucht Ressourcen, Kompetenz, Bewusstsein und geregelte Kommunikation. Dieses Kapitel fordert außerdem eine saubere Lenkung dokumentierter Information: Richtlinien, Verfahren und Nachweise müssen aktuell, versioniert und auffindbar sein. Auch hier zeigen sich in der Praxis viele Abweichungen, weil Dokumentation über die Zeit auseinanderläuft.
Kapitel 8 – Betrieb
Die geplanten Prozesse werden umgesetzt und gesteuert. Risikobeurteilung und Risikobehandlung sind keine Einmalübung, sondern werden in geplanten Abständen und bei wesentlichen Änderungen wiederholt. Zusätzlich verlangt die Norm die Seuerung ausgelagerter Prozesse, was Lieferanten- und Cloud-Beziehungen einschließt.
Kapitel 9 – Bewertung der Leistung
Die Organisation überwacht, misst und bewertet die Wirksamkeit ihres ISMS. Dazu gehören interne Audits nach einem rollierenden Plan sowie mindestens jährliche Managementbewertungen, in denen die Leitung Ergebnisse prüft und über Anpassungen entscheidet.
Kapitel 10 – Verbesserung
Abweichungen werden erfasst, korrigiert und auf ihre Ursachen untersucht. Die Norm verankert damit einen fortlaufenden Verbesserungsprozess, der verhindert, dass Informationssicherheit nach der ersten Implementierung stehen bleibt.
Annex A: die 93 Maßnahmen im Überblick
Mit der Revision 2022 wurde Annex A neu strukturiert. Aus 114 Maßnahmen in 14 Kategorien wurden 93 Maßnahmen in vier Themenbereichen. Elf Maßnahmen kamen neu hinzu und greifen Entwicklungen auf, die in der alten Fassung fehlten, etwa Threat Intelligence (A.5.7), Informationssicherheit bei Cloud-Diensten (A.5.23), Datenmaskierung (A.8.14) und sichere Softwareentwicklung.
Die vier Kategorien gliedern sich wie folgt:
- A.5 Organisatorische Maßnahmen (37): Richtlinien, Rollen, Lieferantenbeziehungen, Umgang mit Vorfällen und übergreifende Steuerung.
- A.6 Personenbezogene Maßnahmen (8): Sicherheitsüberprüfung, Schulung und Sensibilisierung, Regelungen bei Rollenwechsel oder Austritt.
- A.7 Physische Maßnahmen (14): Zutrittskontrolle, Schutz von Räumen und Geräten, physische Überwachung.
- A.8 Technologische Maßnahmen (34): Zugriffssteuerung, Kryptografie, Protokollierung, Schutz vor Schadsoftware und Absicherung der Entwicklung.
Seit November 2024 ergänzt die Änderung Amd 1:2024 klimabezogene Aspekte, die bei der Kontext- und Risikobetrachtung mitzudenken sind. Inhaltlich bleibt die deutsche Fassung DIN EN ISO/IEC 27001:2024-01 mit der internationalen ISO/IEC 27001:2022 identisch.
Anforderungen an den Zertifizierungsprozess
Die eigentliche Zertifizierung erfolgt durch eine akkreditierte Stelle in zwei Stufen: einer Dokumentenprüfung (Stufe 1) und einem vertieften Audit der Umsetzung (Stufe 2). Danach bestätigen jährliche Überwachungsaudits, dass das ISMS wirksam betrieben wird; nach drei Jahren steht die Rezertifizierung an. Die ISO 27002 dient dabei als Leitfaden zur konkreten Umsetzung der Annex-A-Maßnahmen, ist selbst aber nicht zertifizierbar.
In der Vorbereitung hat sich eine GAP-Analyse bewährt. Sie vergleicht den Ist-Zustand mit den Normanforderungen, deckt Lücken in Prozessen und Nachweisen auf und liefert die Grundlage für einen priorisierten Umsetzungsplan. Gerade für kleinere Organisationen lohnt es sich, die Maßnahmen nicht nach der Nummerierung von Annex A abzuarbeiten, sondern nach Risikopriorität und schnell wirksamem Sicherheitsgewinn.
Für Unternehmen bedeutet das: Ein Zertifikat entsteht nicht aus einer einmaligen Anstrengung, sondern aus einem dauerhaft gepflegten System. Die Anforderungen der ISO 27001 an Nachweisführung und Dokumentation begleiten den gesamten Lebenszyklus des ISMS und wirken damit über den Audittermin hinaus.
Einordnung: ISO 27001, NIS2 und DORA
Die Nachfrage nach der Norm ist zuletzt deutlich gestiegen – und das hat einen regulatorischen Grund. Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten und hat den Kreis der beaufsichtigten Einrichtungen in Deutschland von rund 4.500 auf etwa 29.500 ausgeweitet. Die Registrierungspflicht beim BSI endete am 6. März 2026; wer sie versäumt hat, ist in Verzug, bleibt aber weiterhin verpflichtet. Seither ist das BSI in der operativen Prüf- und Aufsichtsphase. NIS2 ist damit keine Vorschau mehr, sondern geltendes Recht – mit Bußgeldrisiko und persönlicher Verantwortung der Leitungsebene.
Ein ISMS nach ISO 27001 deckt einen großen Teil dieser Pflichten ab, insbesondere Risikomanagement sowie technische und organisatorische Maßnahmen. Vollständige Deckungsgleichheit besteht jedoch nicht. Offene Punkte bleiben bei den gesetzlichen Meldepflichten (Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats), der Registrierung beim BSI, der Schulungspflicht für die Leitungsebene und der erweiterten Dokumentation zur Lieferkettensicherheit. Wer parallel DORA im Finanzsektor unterliegt – anwendbar bereits seit dem 17. Januar 2025 –, sollte beide Regelwerke gemeinsam betrachten, um Doppelarbeit zu vermeiden. Für Unternehmen heißt das: Ein bestehendes ISMS ist die tragfähige Grundlage, ersetzt die gesetzlichen Zusatzpflichten aber nicht.
Die ISO 27001-Anforderungen mit Athereon GRC umsetzen
Als führende europäische GRC-Plattform mit dem Anspruch 100 % Made in Germany bildet Athereon GRC die Anforderungen der ISO 27001 in klaren, prüffähigen Prozessen ab. Das Modul ISMS führt Sie von der Kontext- und Scope-Definition über die Risikobeurteilung bis zur Erklärung zur Anwendbarkeit, ohne dass Nachweise in verstreuten Dateien verloren gehen. Ergänzende Module wie ERM, BCM, DSM und SRM binden Informationssicherheit in ein übergeordnetes Steuerungssystem ein.
Der frameworkoffene Ansatz erlaubt es, ISO 27001 gemeinsam mit angrenzenden Regelwerken wie NIS2, DORA oder TISAX® zu bearbeiten, statt jedes Thema getrennt zu pflegen. Unterstützt werden Sie dabei von der KI-Agentin LAiKA. Dabei können Sie auf verschiedenste Agenten je nach Anforderung zugreifen: Der Infrastructure Mapper erfasst beispielsweise Ihre Systemlandschaft, der Compliance Assistant ordnet Maßnahmen den Normkapiteln und Controls zu, und der Questionnaire Assistant beschleunigt die Beantwortung von Audit- und Lieferantenfragebögen. Dabei gilt der Grundsatz „Nichts ohne Ihr OK": LAiKA bereitet vor und schlägt vor, die Entscheidung bleibt bei Ihnen.
Wie sich ein zertifizierungsfähiges ISMS Schritt für Schritt aufbauen lässt, zeigt unsere Übersicht zur ISO 27001.
Fazit
Die ISO 27001-Anforderungen zielen auf ein dauerhaft betriebenes Managementsystem, das Risiken kennt, Maßnahmen begründet und seine Wirksamkeit belegt. Die Kapitel 4 bis 10 liefern dafür den Steuerungsrahmen, Annex A den risikobasierten Werkzeugkasten. Unternehmen, die beides zusammenführen und mit der passenden Plattform pflegen, verstehen Compliance als Chance: als belastbaren Nachweis, der Vertrauen bei Kunden, Partnern und Aufsicht schafft.
