ISO/IEC 27001:2022 ist die international anerkannte, zertifizierbare Norm für ein Informationssicherheits-Managementsystem (ISMS); die Zertifizierung ist im deutschen Recht freiwillig, doch für Banken, Versicherer, KRITIS-Betreiber und Anbieter öffentlicher Auftraggeber funktioniert sie als faktischer Nachweisinstrument für die Sicherheitspflichten aus NIS2/BSIG, KRITIS und DORA. Dieser Satz trägt den ganzen Artikel: was die Norm verlangt, was ein Zertifikat beweist und was nicht, wie das Auditverfahren in Deutschland abläuft und welche Pflichten näher an Personen liegen als an Technik.
Was ISO 27001 ist und was ein ISMS wirklich ist
ISO/IEC 27001:2022, die dritte Ausgabe, veröffentlicht am 25. Oktober 2022, legt Anforderungen an die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicherheits-Managementsystems fest. Sie gilt für Organisationen jeder Art, Größe und Ausrichtung. Ein ISMS ist kein Produkt und kein Dokumentenstapel; es ist das Managementsystem, mit dem eine Organisation Informationssicherheitsrisiken bewertet, Maßnahmen entscheidet, Verantwortlichkeiten zuweist und nachweisen kann, dass diese Entscheidungen getroffen und überprüft wurden.
Der normative Kern sind die Kapitel 4 bis 10 auf dem harmonisierten Annex-SL-Rahmen: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung. Kapitel 6.1.3 d macht die Statement of Applicability (SoA) zur verpflichtenden dokumentierten Information, zum Nachweis, welche Kontrollen des Anhangs A gelten, welche ausgeschlossen sind und warum. In Deutschland liegt die Norm als DIN EN ISO/IEC 27001:2024-01 vor, und die Änderung 1:2024 mit klimabedingten Anpassungen existiert neben der Ausgabe 2022.
Was ein Zertifikat beweist und was nicht
Ein akkreditiertes Zertifikat belegt, dass eine Zertifizierungsstelle das ISMS zu gegebenen Terminen gegen die Anforderungen der Norm auditiert und im erklärten Geltungsbereich als umgesetzt befunden hat. Es beweist nicht die Abwesenheit von Sicherheitsvorfällen, es überträgt keine Haftung, und es ist keine rechtliche Konformität mit einem deutschen Gesetz. Das BSI sagt das unmissverständlich: Ein ISO-27001-Zertifikat ist keine NIS2- oder BSIG-Konformität und kann in aufsichtsrechtlichen Verfahren nach §§ 61 und 62 BSIG nicht als alleiniger Nachweis dienen.
Ein Zertifikat ist der Nachweis eines funktionierenden Managementsystems, kein Freispruch. Diese Unterscheidung wirkt in zwei Richtungen. Für Aufsicht und Auftraggeber ist es ein überprüfbares Signal, dass die Organisation ein dokumentiertes, auditiertes ISMS betreibt. Für das zertifizierte Unternehmen ist es eine Untergrenze, keine Obergrenze: Das BSI betont auch, dass das BSIG die pauschale Risikoakzeptanz, die die ISO-Norm erlaubt, ausschließt; das Zertifikat ersetzt also nie die gesetzesspezifischen Pflichten selbst.
Die Struktur von 2022: Kapitel 4 bis 10 und Anhang A mit 93 Kontrollen
Die Ausgabe 2022 hat Anhang A von 14 Domänen mit 114 Kontrollen auf vier Themen mit 93 Kontrollen umgestellt: Organizational (A.5, 37 Kontrollen), People (A.6, 8), Physical (A.7, 14) und Technological (A.8, 34). Elf Kontrollen sind in dieser Ausgabe neu. Die ISO/IEC 27002:2022 bildet Anhang A eins zu eins ab, gleiche Themen, gleiche Nummerierung, und liefert Umsetzungshinweise; sie ist ein Leitfaden und selbst nicht zertifizierbar.
Für ein Zertifizierungsvorhaben ist die SoA die praktische Grundeinheit. Jede der 93 Kontrollen ist anwendbar oder mit Begründung ausgeschlossen, und genau dieser Nachweis wird auditiert. Die Tiefenstruktur der Themen behandelt unser Artikel zur ISO 27001 Personalsicherheit nach Anhang A; hier genügt eine Beobachtung: Die Themen folgen den Werten, Informationen werden von Organisationen, von Personen, in Gebäuden und auf Systemen verarbeitet, und Anhang A bildet genau diese Ordnung ab.
Ablauf der Zertifizierung in Deutschland: Auditor, Stage 1, Stage 2, Zyklus
Anerkannte Zertifikate kommen in Deutschland von Zertifizierungsstellen, die von der DAkkS unter DIN EN ISO/IEC 17021-1 zuzüglich der ISMS-spezifischen ISO/IEC 27006-1:2024 akkreditiert sind; die DAkkS veröffentlicht eine öffentliche Datenbank akkreditierter Stellen, und diese Datenbank ist die erste Prüfung, bevor man Anbieter auf die Shortlist nimmt. Das Audit selbst ist zweistufig. Stage 1 prüft die Managementsystem-Dokumentation und die Reife: Geltungsbereich, Politik, Risikobewertung, SoA, Internes Audit, Management Review. Stage 2 auditiert Umsetzung und Wirksamkeit vor Ort, mit Dokumenten-Stichproben, Mitarbeiterinterviews und Beobachtung der Praxis. Beide Stufen werden in der Regel vor Ort durch die Zertifizierungsstelle durchgeführt.
Nach dem Zertifikat: Es gilt drei Jahre, mit Überwachungsaudits in Jahr 1 und 2 und einem vollständigen Re-Zertifizierungsaudit vor Ablauf. Ausgestellt wird erst, wenn Abweichungen korrigiert oder akzeptiert sind; eine wesentliche Abweichung blockiert die Zertifizierung bis zu einem Follow-up-Audit. Der Geltungsbereich ist nach Kapitel 4.3 flexibel, Teilzertifizierungen sind möglich, doch das BSI warnt vor zu schmalen Bereichen, gerade weil regulierte Firmen den zertifizierten Geltungsbereich auf die regulierten Dienstleistungen ausdehnen müssen.
Ist ISO 27001 eine Pflicht für Unternehmen? Die regulatorische Realität
Juristisch nein. Das BSI stellt klar, dass es keine bestimmte Norm vorschreibt und die Zertifizierung keine Voraussetzung für BSIG-Pflichten ist. Tatsächlich ist das Zertifikat dennoch zum Standard-Nachweisinstrument geworden, an vier Stellen:
- NIS2 und BSIG: Das Zertifikat ist keine Konformität, aber die BSI-eigene Gegenüberstellung zeigt eine große Überschneidung mit den Pflichten nach § 30 BSIG; viele Firmen bauen ihre NIS2-Umsetzung darauf auf.
- KRITIS: Nach § 8a BSIG kann ein gültiges ISO-27001-Zertifikat als Teil des Nachweises verwendet werden, wenn der zertifizierte Geltungsbereich die kritische Dienstleistung vollständig abdeckt; es verringert typischerweise den Prüfungsaufwand, ist aber kein voller Ersatz.
- DORA: Seit dem 17. Januar 2025 wenden Banken und Versicherer den ICT-Risikomanagement-Rahmen der DORA an; die BaFin schreibt keinen bestimmten Rahmen vor, erkennt aber ISO 27001 und BSI IT-Grundschutz als geeignete Standards an.
- Vergabe und Sektorschemata: Zertifikate erscheinen als Kunden- und Auftragsanforderung, und genau dort endet das gelebte Erlebnis von “freiwillig”.
Warum Auditoren zuerst auf Personalkontrollen schauen
Wenn das Stage-2-Audit operative Nachweise beprobt, kommen Personalkontrollen früh, und das ist kein Zufall. Personen steuern den Zugriff auf Informationen in jedem Thema des Anhangs A: Ein Überprüfungsnachweis lässt sich schnell verifizieren, datiert die Akte und zeigt dem Auditor, ob das ISMS in der Praxis lebt oder nur in der Dokumentation. Kontrolle A.6.1 (Sicherheitsüberprüfung) verlangt Hintergrundprüfungen für alle Kandidaten, die Personal werden sollen, für Mitarbeiter wie für Externe, vor dem Eintritt und laufend danach, begrenzt durch anwendbares Recht und bemessen nach Geschäftsanforderungen, Einstufung der Informationen und wahrgenommenem Risiko.
Für eine regulierte Firma ist diese Pflicht keine HR-Randnotiz. Die Verhältnismäßigkeitsklausel treibt Banken, Versicherer und KRITIS-Betreiber zu dokumentierter Überprüfung von Schlüsselpersonal: Identität, Qualifikationen, Beschäftigungshistorie, Referenzen und, wo rechtlich zulässig und rollenbegründet, Führungszeugnis- oder Sanktionslisten-Prüfungen, mit definierten Auslösern für die wiederholte Prüfung privilegierten Personals. Die operative Regel, die Auditoren prüfen: Niemand erhält Zugriff auf Systeme im Geltungsbereich, bevor die Prüfung abgeschlossen ist, und der Nachweis wird Teil der ISMS-Dokumentation. Strukturierte, dokumentierte, überprüfbare Überprüfung von Schlüsselpersonal aus datierten öffentlichen Quellen mit menschlicher Letztprüfung ist genau die Fähigkeitsklasse, die diese Pflicht in auditbereite Nachweise überführt; der Indicium-Report leistet das, ohne zu behaupten, dass ein Werkzeug eine Zertifizierung ersetzt.
Den vollen Regelungstext, die deutschen Rechtsgrenzen nach § 26 BDSG und AGG und die Nachweiserwartungen des Auditors behandelt der Personalsicherheits-Artikel oben, die ersten Audit-Anfragen ISO 27001 Audit: Was Auditoren zuerst verlangen.
Häufige Fragen
Was ist ISO 27001, und was ist ein ISMS?
ISO/IEC 27001:2022 ist die zertifizierbare internationale Norm für ein Informationssicherheits-Managementsystem. Das ISMS ist der Managementrahmen, Risikobewertung, Maßnahmen, Verantwortlichkeiten, Bewertung, mit dem die Organisation Informationssicherheit systematisch betreibt statt als isolierte Einzelmaßnahmen.
Ist ISO 27001 Pflicht für Unternehmen?
Juristisch nein, die Zertifizierung ist im deutschen Recht freiwillig. Tatsächlich wird sie zunehmend erwartet: als Nachweis neben den NIS2/BSIG-Pflichten, als Teil des KRITIS-Nachweises nach § 8a BSIG, als anerkannter Standard unter DORA und als Vergabeanforderung in vielen Ausschreibungen.
Wie lange gilt das Zertifikat, und wie oft wird geprüft?
Drei Jahre Gültigkeit, Überwachungsaudits in Jahr 1 und 2 und ein Re-Zertifizierungsaudit vor Ablauf. Überwachungsaudits sind stichprobenbasiert und können das Zertifikat bei wesentlichen Abweichungen aussetzen.
Welche Zertifizierungsstelle ist für ISO 27001 zugelassen?
In Deutschland sind das Stellen mit DAkkS-Akkreditierung unter DIN EN ISO/IEC 17021-1 und ISO/IEC 27006-1. Die DAkkS-Datenbank listet akkreditierte Zertifizierungsstellen und ist der richtige Ort, um einen Anbieter vor der Beauftragung zu verifizieren.
Dieser Artikel erläutert die ISO/IEC 27001:2022-Zertifizierung für regulierte Unternehmen in Deutschland und ersetzt keine Rechtsberatung; Geltungsbereichs- und Aufsichtsfragen sollten mit Ihrem Rechtsbeistand und, soweit anwendbar, Ihrem Auditor geklärt werden.