ISO 27001 Zertifizierung – ISMS

Ein ISMS steht für Information Security Management System, auch bekannt als Informationssicherheitsmanagementsystem. Es besteht aus Regeln, Methoden und Maßnahmen, die dazu dienen, die Kontrolle, Steuerung und Sicherstellung der Informationssicherheit zu gewährleisten. Im Rahmen einer ISO 27001 Zertifizierung wird das ISMS in Ihrem Unternehmen auditiert und auf seine Wirksamkeit hin überprüft.

Die ISO 27001 Zertifizierung ist ein Prozess, bei dem die Organisation ihr Informationssicherheitsmanagementsystem auf Konformität prüfen lässt. Der Prozess umfasst mehrere Schritte, die von der Organisation durchgeführt werden müssen:

• Festlegung des Geltungsbereichs: Die Organisation legt fest, welche Geschäftsbereiche, Prozesse und IT-Systeme von der Zertifizierung abgedeckt werden sollen.
• Risikobewertung: Die Organisation führt eine Risikobewertung durch, um Schwachstellen und Risiken in ihrem ISMS bzw. Prozessen zu identifizieren. Auf Grundlage der Ergebnisse der Risikobewertung müssen geeignete Sicherheitsmaßnahmen festgelegt werden, um die Risiken zu minimieren oder zu beseitigen.
• Eine Informationssicherheits-Richtlinie und ihre Ziele werden festgelegt.
• Anfertigung einer Erklärung zur Anwendbarkeit.
• Festlegung der Rollen und Verantwortlichkeiten im Bereich Informationssicherheit.
• Es wird ein Verzeichnis der Vermögenswerte (Assets) erstellt.
• Implementierung der Sicherheitsmaßnahmen: Die Organisation setzt die Sicherheitsmaßnahmen um, die auf der Grundlage der Risikobewertung festgelegt wurden. Dabei sollte die Organisation darauf achten, dass die Maßnahmen angemessen und effektiv sind, um die Sicherheit ihrer Organisation zu gewährleisten.
• Interne Audits: Regelmäßige interne Audits sind erforderlich, um sicherzustellen, dass die Sicherheitsmaßnahmen effektiv sind und den Anforderungen der ISO 27001 entsprechen. Während des internen Audits sollten potenzielle Schwachstellen und Risiken identifiziert und geeignete Maßnahmen ergriffen werden, um diese zu beheben.
• Managementbewertung: Das Management der Organisation muss regelmäßig eine Bewertung durchführen, um sicherzustellen, dass das Informationssicherheitsmanagementsystem (ISMS) effektiv ist und den Anforderungen der ISO 27001 entspricht. Das Management muss sicherstellen, dass das ISMS und alle Sicherheitsmaßnahmen dokumentiert und aktualisiert werden. Eine weitere Verantwortung des Managements besteht darin, sicherzustellen, dass die Mitarbeiter der Organisation angemessen geschult werden, um ein Bewusstsein dafür zu schaffen, wie sie die IT-Systeme und Prozesse sicher nutzen können.
• Zertifizierungsaudit: Um ein ISO 27001 Zertifikat zu erhalten, führt ein unabhängiger Dritter (die Zertifizierungsstelle) ein Zertifizierungsaudit durch, um sicherzustellen, dass das ISMS der Organisation den Anforderungen der ISO 27001 konform ist. Der Ablauf wird in den nächsten Schritten beschrieben.
• Stufe 1 der Zertifizierung: Im Rahmen einer Bereitschaftsanalyse wird die ISMS-Dokumentation des Unternehmens geprüft und festgestellt, ob es bereit für die Zertifizierung ist. Hierbei wird das Unternehmen besucht und der ISMS-Verantwortliche interviewt.
• Stufe 2 der Zertifizierung (Zertifzierungsaudit): Eine Prüfung wird durchgeführt, um die Effektivität des ISMS zu überprüfen. Dazu werden Interviews mit der verantwortlichen Leitung sowie Mitarbeitern aus verschiedenen Bereichen des Unternehmens geführt.
• Die Auditoren verfassen einen Bericht, in dem sie das Audit dokumentieren und die Leistung des ISMS des Unternehmens bewerten.

Wenn das Zertifizierungsaudit erfolgreich abgeschlossen wurde und die Organisation die Anforderungen der ISO 27001 erfüllt, wird die Zertifizierungsstelle der Organisation ein Zertifikat ausstellen das maximal drei Jahre gültig ist.

Regelmäßig werden Überwachungsaudits durchgeführt. Das erste Überwachungsaudit findet innerhalb eines Jahres nach der Zertifizierung statt und im darauf folgenden Jahr erfolgt das zweite Überwachungsaudit.

Eine Rezertifizierung muss durchgeführt und abgeschlossen sein, bevor die Gültigkeit des Zertifikats nach drei Jahren abläuft.

Im Anschluss daran werden wie bereits beschrieben ein erstes und ein zweites Überwachungsaudit durchgeführt.

Die ISO 27001 Zertifizierung ist ein umfangreicher Prozess, der eine gründliche Risikobewertung, die Umsetzung geeigneter Sicherheitsmaßnahmen, regelmäßige Überprüfungen und Audits sowie eine kontinuierliche Verbesserung erfordert.

Nutzen Sie das Know-how eines Experten!

Erhalten Sie einen Wissensvorteil durch unsere Expertise!

Die ISO 27001 ist ein international anerkannter Standard für das Informationssicherheitsmanagementsystem (ISMS), entwickelt von der International Organization for Standardization (ISO). Ein ISO 27001 PDF ist ein digitales Dokument. Dies beinhaltet Anforderungen, Richtlinien und Verfahren gemäß dem ISO 27001-Standard für Informationssicherheit in Form eines PDF (Portable Document Format). Es kann eine Organisation dabei unterstützen, ein effektives Informationssicherheitsmanagementsystem (ISMS) einzuführen. Risiken zu bewerten und zu behandeln, sowie die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schützen. Ein ISO 27001 PDF kann als Referenz für Unternehmen dienen. Eine ISO 27001-Zertifizierung ist für Unternehmen, die ihre Informationssicherheitspraktiken verbessern möchten oder eine Zertifizierung anstreben, von Vorteil.

Controls in der ISO 27001 sind Maßnahmen, die ein Unternehmen implementieren kann, um seine Informationen und IT-Systeme zu schützen und Risiken zu minimieren. Diese Controls werden in der ISO 27001 als „Sicherheitskontrollen“ bezeichnet und sind in Annex A der Norm detailliert beschrieben.

Es gibt insgesamt 114 Sicherheitskontrollen in Annex A, die in 14 Kategorien oder Abschnitte unterteilt sind, wie zum Beispiel:

1. Sicherheitsrichtlinien
2. Organisation der Informationssicherheit
3. Personal-sicherheitsmanagement
4. Zugangskontrolle
5. Kryptografie
6. Physische und umgebungsbezogene Sicherheit
7. Betriebs-sicherheitsmanagement
8. Kommunikationssicherheit
9. System-überwachung
10. Kontinuitätsmanagement
11. Einhaltung von Sicherheitsanforderungen
12. Sicherheitsaspekte bei Lieferantenbeziehungen
13. Informationssicherheit im Entwicklungs- und Unterstützungsprozess
14. Sicherheitsmaßnahmen in Bezug auf Geschäftsreisen

Jede dieser Kategorien enthält eine Liste von spezifischen Controls, die ein Unternehmen implementieren kann, um die Sicherheit seiner Informationen und IT-Systeme zu gewährleisten. Diese Controls können je nach den spezifischen Bedürfnissen des Unternehmens angepasst werden, um eine effektive Informationssicherheit zu erreichen.

Die Zertifizierungskosten richten sich nach der Größe, dem Umfang, den Prozessen usw. Ihres Unternehmens. Die meisten Zertifizierungsstellen bieten entweder einen schnellen Kostenvoranschlag online oder ein Folgegespräch an. Die Kosten für die Zertifizierung sollten über den Zertifizierungszyklus hinweg betrachtet werden.

Beispielrechnung für ein Unternehmen mit ca. 50 Mitarbeitern:

• Erstaudit und Zertifizierungsaudit (Jahr 1): ca. 25.000 €
• Überwachungsaudits (Jahre 2 & 3): je ca. 10.000 – 12.000 €
• Rezertifizierungsaudit (Jahr 4): ca. 25.000 €

Danach wird der Zertifizierungs-Zyklus fortgesetzt, wobei alle drei Jahre eine Re-Zertifizierung erfolgt.
Die Zertifizierungsprüfung ist nicht der größte Kostenfaktor, den Sie berücksichtigen müssen. Ein hoher Kostenfaktor im Zusammenhang mit der ISO 27001-Zertifizierung besteht im Zeitaufwand und der aufgewendeten Ressourcen. Des Weiteren für die Implementierung der Controls. Zusätzlich fallen auch nach der Zertifizierung weiterhin Kosten für die Aufrechterhaltung des ISMS an.