ISO 27001
ISO 27001 ist die international führende Norm für Informationssicherheit. Sie beschreibt, wie ein Unternehmen ein Informationssicherheits-Managementsystem (ISMS) aufbaut, betreibt und laufend verbessert, um Vertraulichkeit, Integrität und Verfügbarkeit von Daten systematisch zu schützen – prüfbar durch eine unabhängige Zertifizierung.
ISO 27001 ist die weltweit maßgebliche Norm für das Management von Informationssicherheit. Sie legt fest, wie eine Organisation ein sogenanntes Informationssicherheits-Managementsystem (ISMS) einrichtet, betreibt, überwacht und kontinuierlich verbessert. Ziel ist der planvolle Schutz der drei klassischen Schutzziele: Vertraulichkeit (Daten sind nur für Berechtigte einsehbar), Integrität (Daten sind unverfälscht und korrekt) und Verfügbarkeit (Daten und Systeme stehen zur Verfügung, wenn sie gebraucht werden). Herausgegeben wird die Norm von der International Organization for Standardization gemeinsam mit der IEC; die aktuell gültige Fassung ist ISO/IEC 27001:2022.
Entscheidend ist, dass ISO 27001 kein technischer Maßnahmenkatalog nach dem Muster „installiere diese Firewall" ist. Sie beschreibt einen managementorientierten Prozess: Eine Organisation ermittelt ihre eigenen Risiken für Informationen, entscheidet risikobasiert über passende Schutzmaßnahmen, setzt diese um und weist im Regelbetrieb nach, dass sie wirken. Genau diese nachweisbare, wiederholbare Systematik unterscheidet ISO 27001 von punktuellen Sicherheitsvorkehrungen – und macht sie zum verbreiteten Vertrauensnachweis gegenüber Kunden, Partnern und Aufsichtsbehörden.
Auf einen Blick
- Internationaler Standard (ISO/IEC 27001) für Informationssicherheit
- Kern ist ein ISMS – ein gemanagter, risikobasierter Sicherheitsprozess
- Schützt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen
- Zertifizierung durch akkreditierte Stellen, Gültigkeit 3 Jahre mit jährlichen Überwachungsaudits
- Häufige Anforderung an Cloud- und SaaS-Anbieter, auch von ERP-Systemen
Wie ISO 27001 funktioniert: das ISMS
Herzstück der Norm ist das Informationssicherheits-Managementsystem. Darunter versteht man kein einzelnes IT-Produkt, sondern das Zusammenspiel aus Leitlinien, Prozessen, Zuständigkeiten und technischen Maßnahmen, mit dem eine Organisation Informationssicherheit dauerhaft steuert. Am Anfang steht die Festlegung des Geltungsbereichs (Scope): Welche Standorte, Systeme, Daten und Prozesse fallen unter das ISMS? Anschließend folgt der Kern jeder ISO-27001-Umsetzung – die Risikobeurteilung: Für die schützenswerten Informationswerte werden Bedrohungen und Schwachstellen bewertet und die daraus entstehenden Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe eingestuft.
Auf Basis dieser Risikoanalyse wählt die Organisation Maßnahmen zur Risikobehandlung aus und dokumentiert die Begründung in einer Anwendbarkeitserklärung (Statement of Applicability, SoA). Wichtig ist der laufende Betrieb: Verantwortliche werden benannt, Mitarbeitende sensibilisiert, Sicherheitsvorfälle erfasst und interne Audits durchgeführt. Das ISMS ist damit ein lebendes System, das sich mit neuen Bedrohungen, neuen Systemen und geänderten Geschäftsprozessen weiterentwickelt.
Der PDCA-Zyklus: kontinuierliche Verbesserung
ISO 27001 folgt dem Prinzip der ständigen Verbesserung nach dem PDCA-Zyklus (Plan–Do–Check–Act). In der Plan-Phase werden Risiken bewertet und Maßnahmen geplant, in der Do-Phase umgesetzt. Die Check-Phase prüft über interne Audits und Kennzahlen, ob die Maßnahmen wirken, und die Act-Phase korrigiert Schwachstellen und passt das ISMS an. Sicherheit ist damit kein einmaliges Projekt, sondern ein Kreislauf, der die Schutzmaßnahmen an eine sich wandelnde Bedrohungslage anpasst.
Aufbau der Norm und die Controls im Anhang A
Der verbindliche Normtext (Kapitel 4 bis 10) beschreibt die Managementanforderungen: Kontext der Organisation, Führung und Verpflichtung der Leitung, Planung inklusive Risikobehandlung, Bereitstellung von Ressourcen, operativer Betrieb, Leistungsbewertung und Verbesserung. Diese Kapitel muss jede zertifizierte Organisation erfüllen – sie bilden das Gerüst des ISMS.
Ergänzt wird der Normtext durch den Anhang A, einen Referenzkatalog konkreter Sicherheitsmaßnahmen (Controls). In der Fassung 2022 wurde dieser Katalog von zuvor 114 auf 93 Maßnahmen gestrafft und in vier Themenfelder gegliedert: organisatorische, personenbezogene, physische und technische Maßnahmen. Beispiele reichen von Zugriffssteuerung und Verschlüsselung über Lieferantensicherheit bis zu Notfallvorsorge und sicherer Softwareentwicklung. Welche dieser Controls tatsächlich relevant sind, ergibt sich aus der Risikobeurteilung – die Organisation muss nicht alle blind umsetzen, aber jede Auswahl oder Auslassung in der Anwendbarkeitserklärung begründen.
Zertifizierung: Ablauf und Gültigkeit
Anders als eine reine Selbstverpflichtung lässt sich ISO 27001 durch eine akkreditierte Zertifizierungsstelle prüfen und bescheinigen. Das schafft einen belastbaren Nachweis gegenüber Dritten, weil ein unabhängiger Auditor die Wirksamkeit des ISMS bestätigt. Ein Zertifikat ist drei Jahre gültig; in dieser Zeit finden jährliche Überwachungsaudits statt, bevor nach Ablauf ein vollständiges Re-Zertifizierungsaudit ansteht.
Die zwei Audit-Stufen
Das Zertifizierungsaudit erfolgt in zwei Stufen. In Stufe 1 prüft der Auditor die Dokumentation – Leitlinien, Risikobeurteilung, Anwendbarkeitserklärung – auf Vollständigkeit und ISMS-Reife. In Stufe 2 folgt das eigentliche Audit vor Ort oder remote: Der Auditor prüft anhand von Stichproben und Nachweisen, ob die dokumentierten Prozesse in der Praxis tatsächlich gelebt werden. Werden Abweichungen (Nonconformities) festgestellt, muss die Organisation Korrekturmaßnahmen nachweisen, bevor das Zertifikat ausgestellt wird.
ISO 27001 im ERP-Kontext
Ein ERP-System bündelt die sensibelsten Daten eines Unternehmens: Kundenstamm und Lieferantenstamm, Preise und Konditionen, offene Aufträge, Bestände sowie Buchungs- und Belegdaten. Fallen diese Daten in falsche Hände oder werden sie manipuliert, entsteht unmittelbarer geschäftlicher und rechtlicher Schaden. Deshalb spielt Informationssicherheit gerade beim ERP eine zentrale Rolle – von der Berechtigung über verschlüsselte Übertragung bis zur revisionssicheren Protokollierung.
Für Anwenderunternehmen ist ISO 27001 aus zwei Richtungen relevant. Erstens als Auswahlkriterium: Wer ein Cloud-ERP oder einen SaaS-Anbieter wählt, sollte prüfen, ob dessen Rechenzentrum und Betrieb nach ISO 27001 zertifiziert sind – das Zertifikat belegt einen strukturierten Umgang mit Sicherheitsrisiken beim Dienstleister. Zweitens als eigene Verpflichtung: Führt ein Unternehmen selbst ein ISMS ein, wird das ERP-System Teil des Geltungsbereichs. Zugriffsrechte, Vergabeprozesse, Datensicherung und Notfallwiederherstellung müssen dann den Vorgaben des ISMS entsprechen und nachweisbar dokumentiert sein.
Abgrenzung: ISO 27001, BSI-Grundschutz, SOC 2 und TISAX
ISO 27001 wird oft mit verwandten Rahmenwerken verwechselt. Der BSI IT-Grundschutz aus Deutschland ist eine detailliertere, stärker maßnahmenorientierte Methode und lässt sich zu ISO 27001 kompatibel zertifizieren („ISO 27001 auf Basis von IT-Grundschutz"). SOC 2 ist ein vor allem im US-Raum verbreiteter Prüfbericht (kein Zertifikat) einer Wirtschaftsprüfung. TISAX ist der branchenspezifische Standard der Automobilindustrie, der auf ISO 27001 aufsetzt. ISO 27001 ist unter diesen der international breiteste, generische Standard und dient häufig als gemeinsamer Nenner.
Nutzen und DACH-Besonderheiten
Der praktische Nutzen von ISO 27001 reicht über das reine Zertifikat hinaus. Ein funktionierendes ISMS senkt das Risiko von Datenpannen und Betriebsunterbrechungen, schafft klare Verantwortlichkeiten und erleichtert die Zusammenarbeit mit sicherheitsbewussten Kunden – in Ausschreibungen ist die Zertifizierung häufig Pflicht. Zugleich ist sie ein Vertriebs- und Vertrauensargument, weil ein unabhängiger Nachweis mehr wiegt als eine Eigenaussage.
Im DACH-Raum verzahnt sich ISO 27001 mit weiteren Vorgaben. Die DSGVO verlangt „geeignete technische und organisatorische Maßnahmen" zum Schutz personenbezogener Daten – ein ISMS liefert dafür Struktur und Nachweise, ersetzt die datenschutzrechtliche Compliance aber nicht. Mit der EU-Richtlinie NIS-2 und ihrer nationalen Umsetzung geraten zunehmend auch mittelständische Unternehmen kritischer Sektoren unter gesetzliche Sicherheitspflichten; ein bestehendes ISO-27001-ISMS ist hier eine solide Ausgangsbasis, auch wenn NIS-2 eigene Anforderungen stellt. Für Betreiber revisionssicherer Systeme ergänzen sich ISO 27001 und die GoBD sinnvoll, ohne deckungsgleich zu sein.
Praxisbeispiel
Beispiel: Mittelständler wählt ein Cloud-ERP
Ein Hersteller von Elektronikkomponenten mit rund 120 Mitarbeitenden löst sein veraltetes System ab und vergleicht mehrere Cloud-ERP-Anbieter. Neben Funktionen und Preis rückt die Informationssicherheit in den Vordergrund: Ein Großkunde aus der Automobilbranche verlangt vertraglich, dass alle Systeme, die seine technischen Zeichnungen und Bestelldaten verarbeiten, bei einem nach ISO 27001 zertifizierten Dienstleister betrieben werden.
Im Auswahlprozess lässt sich das Team von jedem Anbieter das ISO-27001-Zertifikat des Rechenzentrums und – falls vorhanden – des ERP-Betriebs vorlegen und prüft den Geltungsbereich. Ein Anbieter, dessen Zertifikat nur das Rechenzentrum, nicht aber den Anwendungsbetrieb umfasst, fällt heraus. Der gewählte Anbieter kann zusätzlich seine Anwendbarkeitserklärung und die Regelung zu Zugriffsrechten und Datensicherung darlegen. So erfüllt der Mittelständler die Kundenanforderung, ohne selbst ein vollständiges ISMS aufbauen zu müssen – die zertifizierte Lieferkette liefert den Nachweis.
Häufige Fragen
Passende ERP-Systeme
Passende Leistungen
Quellen
Fragen zu ISO 27001 in deinem ERP-Projekt?
Wir beraten herstellerunabhängig – und setzen es auf Wunsch selbst um.