Kaum eine Norm wird im Mittelstand so oft genannt und so selten wirklich verstanden wie die ISO 27001. Sie taucht in Ausschreibungen auf, Großkunden verlangen sie als Nachweis, und seit NIS2 ist sie für viele Unternehmen faktisch zur Pflicht geworden. Dieser Beitrag erklärt in verständlicher Form, was hinter der Norm steckt, welchen Zweck sie verfolgt, was sich mit der aktuellen Version geändert hat und welche Vorteile eine Einführung dem Unternehmen bringt.
Was die ISO 27001 ist
Die ISO/IEC 27001 ist der international anerkannte Standard für Informationssicherheits-Managementsysteme, kurz ISMS. Sie wird gemeinsam von der International Organization for Standardization und der International Electrotechnical Commission herausgegeben und legt fest, wie ein Unternehmen die Sicherheit seiner Informationen systematisch organisiert, steuert und kontinuierlich verbessert.
Informationssicherheits-Managementsystem (ISMS)
Kein Software-Produkt, sondern ein Rahmen aus Regeln, Verantwortlichkeiten und Prozessen. Das ISMS sorgt dafür, dass ein Unternehmen seine schützenswerten Informationen kennt, die Risiken dafür bewertet und passende Schutzmaßnahmen auswählt, betreibt und regelmäßig überprüft.
Wichtig ist die Unterscheidung: Die ISO 27001 schreibt nicht vor, welche konkrete Firewall oder welches Passwort-Verfahren ein Unternehmen einsetzen muss. Sie verlangt, dass das Unternehmen einen nachvollziehbaren Prozess hat, um die für sich passenden Schutzmaßnahmen zu bestimmen. Informationssicherheit wird damit von einer rein technischen Frage zu einer Führungsaufgabe, die bei der Geschäftsleitung verankert ist.
Welchen Zweck die Norm verfolgt
Schützenswerte Informationen sind längst nicht mehr nur Patente oder Konstruktionspläne. Kundendaten, Angebotskalkulationen, Lieferantenkonditionen, Personalakten und Zugangsdaten zu Systemen gehören ebenso dazu. Die ISO 27001 betrachtet diese Werte unter drei Gesichtspunkten, die zusammen die Grundlage jeder Bewertung bilden.
- Vertraulichkeit: Informationen sind nur für die zugänglich, die sie wirklich benötigen.
- Integrität: Informationen bleiben vollständig und unverfälscht, lassen sich also nicht unbemerkt verändern.
- Verfügbarkeit: Informationen stehen dann zur Verfügung, wenn das Unternehmen sie braucht.
Der Zweck der Norm besteht darin, diese drei Eigenschaften planvoll abzusichern, statt sich auf Einzelmaßnahmen und Zufall zu verlassen. Ein zertifiziertes ISMS ist zugleich ein Nachweis nach außen: Es zeigt Kunden, Partnern und Aufsichtsbehörden, dass das Unternehmen Informationssicherheit ernst nimmt und nach einem geprüften, international anerkannten Standard betreibt.
Der aktuelle Stand: ISO 27001:2022
Die derzeit gültige Fassung ist die ISO/IEC 27001:2022, in Deutschland veröffentlicht als DIN EN ISO/IEC 27001:2024-01. Sie löst die Vorgängerversionen aus den Jahren 2013 und 2017 ab. Für bestehende Zertifikate galt eine dreijährige Übergangsfrist, die am 31. Oktober 2025 endete.
Wichtig für die Praxis
Seit dem 31. Oktober 2025 ist die Version 2022 die einzig zertifizierungsfähige Fassung. Zertifikate nach den älteren Versionen von 2013 und 2017 haben ihre Gültigkeit verloren. Wer neu einsteigt, baut sein ISMS von vornherein nach der aktuellen Version auf und muss sich um die alte Fassung nicht mehr kümmern.
Für Unternehmen, die eine Einführung erst planen, ist das eine gute Nachricht: Es gibt nur noch einen aktuellen Stand, an dem man sich orientiert. Die Frage „2013, 2017 oder 2022?“ stellt sich nicht mehr.
Was sich gegenüber der Vorversion geändert hat
Die Überarbeitung war keine grundlegende Neuerfindung, sondern eine Modernisierung. Die größten sichtbaren Veränderungen betreffen den sogenannten Anhang A, also den Katalog der möglichen Schutzmaßnahmen. Er wurde gestrafft und neu geordnet.
Bisher (2013 / 2017)
- 114 Maßnahmen im Anhang A
- 14 thematische Kategorien
- Titel: „Information technology, Security techniques“
- Eigenständige Kapitelstruktur
Aktuell (2022 / 2024)
- 93 Maßnahmen im Anhang A
- 4 übergeordnete Kategorien
- Titel: „Information Security, Cybersecurity and Privacy Protection“
- Harmonisierte Struktur (gemeinsam mit anderen ISO-Normen)
Die Reduzierung von 114 auf 93 Maßnahmen bedeutet nicht, dass Anforderungen weggefallen sind. Viele Maßnahmen wurden zusammengefasst und logischer gruppiert. Statt der bisherigen 14 Kategorien gibt es nun vier übergeordnete Themenfelder: organisatorische, personenbezogene, physische und technologische Maßnahmen. Das macht den Katalog übersichtlicher und für Nicht-Fachleute leichter zugänglich.
Elf neue Maßnahmen für moderne Risiken
Die inhaltlich wichtigste Neuerung sind elf zusätzliche Maßnahmen, die Themen abdecken, die 2013 noch keine große Rolle spielten. Sie spiegeln wider, wie sich die Bedrohungslage und die Arbeitsweise von Unternehmen seither verändert haben. Dazu zählen unter anderem die Absicherung von Cloud-Diensten, der systematische Umgang mit Bedrohungsdaten (Threat Intelligence), die Maskierung sensibler Daten (Data Masking) und sicheres Programmieren (Secure Coding).
Hinzu kommt die Anpassung an die harmonisierte Struktur, die alle moderneren ISO-Managementnormen teilen. Das klingt technisch, hat aber einen handfesten Vorteil: Ein Unternehmen, das später noch ein Umwelt- oder Qualitätsmanagementsystem aufbaut, kann diese Systeme deutlich leichter miteinander verzahnen, weil sie demselben Grundaufbau folgen.
93
Maßnahmen im Anhang A, gruppiert in nur noch vier statt vierzehn Kategorien
11
neue Maßnahmen, unter anderem zu Cloud, Bedrohungsdaten und sicherem Programmieren
2025
seit dem 31. Oktober ist die Version 2022 die einzig zertifizierungsfähige Fassung
ISO/IEC 27001:2022 · DIN EN ISO/IEC 27001:2024-01
Welche Vorteile eine Einführung bringt
Eine ISO-27001-Einführung ist mit Aufwand verbunden, doch der Nutzen geht weit über das Zertifikat an der Wand hinaus. Für ein mittelständisches Unternehmen wirken sich vor allem die folgenden Punkte aus.
- Zugang zu Aufträgen: Immer mehr Großkunden und öffentliche Auftraggeber setzen ein Zertifikat voraus. Ohne Nachweis fällt ein Unternehmen in Ausschreibungen schnell aus dem Raster.
- Erfüllung regulatorischer Pflichten: Für viele Unternehmen, die unter NIS2 fallen, deckt ein ISMS nach ISO 27001 einen erheblichen Teil der gesetzlichen Anforderungen ab.
- Weniger Vorfälle, geringere Schäden: Wer Risiken systematisch erfasst und absichert, erlebt seltener Ausfälle und ist im Ernstfall schneller wieder handlungsfähig.
- Klare Verantwortlichkeiten: Das ISMS legt fest, wer wofür zuständig ist. Sicherheit hängt nicht mehr am Wissen einzelner Personen.
- Vertrauen und Reputation: Ein anerkanntes Zertifikat ist ein glaubwürdiges Signal an Kunden, Partner und Versicherer, dass Informationssicherheit professionell betrieben wird.
In der Praxis berichten Unternehmen zudem von einem Nebeneffekt, der oft unterschätzt wird: Der Aufbau eines ISMS zwingt dazu, die eigenen Prozesse einmal gründlich zu durchleuchten. Dabei treten regelmäßig Schwachstellen und Doppelarbeiten zutage, deren Beseitigung das Unternehmen unabhängig vom Zertifikat voranbringt. Wie ein solcher Aufbau strukturiert abläuft, zeigt unsere Beratung zur Informationssicherheit.
Zum Mitnehmen
Die ISO 27001 ist der internationale Standard für ein systematisch betriebenes Informationssicherheits-Managementsystem. Mit der Version 2022, die seit Ende Oktober 2025 allein zertifizierungsfähig ist, wurde der Maßnahmenkatalog gestrafft und um moderne Themen wie Cloud und Bedrohungsdaten ergänzt. Wer heute einsteigt, baut von Beginn an auf dem aktuellen Stand auf und sichert sich Zugang zu Aufträgen, Erfüllung regulatorischer Pflichten und ein belastbares Sicherheitsniveau.
Häufige Fragen
Ist die ISO 27001 für mein Unternehmen Pflicht?
Eine direkte gesetzliche Pflicht zur Zertifizierung gibt es nur in Einzelfällen. Faktisch wird die Norm aber für viele Unternehmen unausweichlich, weil Großkunden sie in Verträgen verlangen oder weil regulatorische Vorgaben wie NIS2 ein Sicherheitsniveau fordern, das sich mit einem ISMS nach ISO 27001 sauber nachweisen lässt. Ob und in welcher Tiefe sich eine Einführung lohnt, hängt von Branche, Kundenstruktur und regulatorischem Umfeld ab.
Müssen wir uns mit den alten Versionen von 2013 oder 2017 befassen?
Nein. Seit dem 31. Oktober 2025 ist ausschließlich die Version 2022 zertifizierungsfähig, die älteren Fassungen haben ihre Gültigkeit verloren. Wer neu einsteigt, baut sein ISMS direkt nach der aktuellen Version auf. Die Übergangsthematik betrifft nur Unternehmen, die bereits ein altes Zertifikat hatten.
Bedeutet ISO 27001, dass wir bestimmte Technik kaufen müssen?
Nein. Die Norm schreibt keine konkreten Produkte vor. Sie verlangt einen nachvollziehbaren Prozess, mit dem das Unternehmen seine Risiken bewertet und daraus die passenden Maßnahmen ableitet. Welche technischen und organisatorischen Mittel das im Einzelfall sind, ergibt sich aus dieser Bewertung und nicht aus einer Vorgabe der Norm.
Wie hängt die ISO 27001 mit NIS2 zusammen?
NIS2 ist eine EU-Vorgabe, die für viele Unternehmen verbindliche Anforderungen an die Cybersicherheit stellt. Ein ISMS nach ISO 27001 deckt einen großen Teil dieser Anforderungen ab und ist damit ein praktischer Weg, die NIS2-Pflichten strukturiert und nachweisbar zu erfüllen. Die Zertifizierung ersetzt die rechtliche Prüfung der eigenen Betroffenheit zwar nicht, liefert aber den organisatorischen Unterbau dafür.
Was sind die ersten Schritte für eine Einführung?
Am Anfang stehen eine Bestandsaufnahme der schützenswerten Informationen und eine erste Einschätzung der Risiken. Daraus ergibt sich der Geltungsbereich des künftigen ISMS. Auf dieser Grundlage lassen sich der Aufwand realistisch abschätzen und die passenden Maßnahmen aus dem Anhang A auswählen. In der Regel begleitet eine externe Beratung diesen Aufbau, bevor eine unabhängige Zertifizierungsstelle das fertige System prüft. Auf Wunsch übernehmen wir die Funktion des externen Informationssicherheitsbeauftragten; wo Informationssicherheit und Datenschutz ineinandergreifen, ergänzt der externe Datenschutzbeauftragte diese Rolle.
