Normenreihe ISO 27000 – Vollständiger Leitfaden

Angesichts zunehmender Datenpannen suchen immer mehr Unternehmen nach Anbietern, die ihre sensiblen Daten schützen können. Um diese Garantie zu gewährleisten, ist die Einhaltung höchster Sicherheitsstandards unerlässlich. Die ISO-27000-Normenreihe bietet hierfür einen guten Ausgangspunkt.

Die ISO 27000 ist eine Reihe von Informationssicherheitsstandards, die dazu beitragen, dass Ihre Organisation über geeignete Schutzmaßnahmen verfügt, um Risiken zu minimieren und ein robustes Informationssicherheitsmanagementsystem (ISMS) aufzubauen.

In diesem Artikel erfahren Sie, worum es bei den ISO/IEC 27000-Normen geht, warum sie wichtig sind und womit sich die einzelnen Normen dieser Familie befassen.

Was ist die Normenreihe ISO/IEC 27000?

ISO/IEC 27000 ist eine Normenreihe bzw. eine Normenfamilie, die von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) herausgegeben wird. Sie wird auch als „ISO27K“ abgekürzt und vereint verschiedene Standards zur Informationssicherheit zu einem umfassenden Rahmenwerk, das Organisationen bei der Stärkung ihres Informationssicherheitsmanagementsystems (ISMS) unterstützt.

Die Reihe beginnt mit ISO/IEC 27000, die ein Glossar mit Schlüsselbegriffen für das ISMS enthält. Darauf folgen verschiedene Normen, die jeweils einen spezifischen Aspekt der Informationssicherheit behandeln. Zum Beispiel: ISO / IEC 27001 ISO/IEC 27005 beschreibt die grundlegenden Anforderungen für die Konzeption und Implementierung eines ISMS, ISO/IEC 27017 konzentriert sich auf das Risikomanagement und bietet Richtlinien für Cloud-Dienste.

Die Reihe bietet einen strukturierten Rahmen mit Umsetzungshinweisen zum Schutz sensibler Informationen, zur Erfüllung regulatorischer Anforderungen und zum Aufbau von Marktglaubwürdigkeit.

Die Kategorisierung der ISO 27000-Normenreihe verstehen

Die Normenfamilie ISO 27000 lässt sich anhand ihrer Funktion grob in vier Kategorien einteilen. Jede Kategorie verfolgt einen bestimmten Zweck und kann normativ oder informativ sein. 

Normative Elemente beschreiben den Anwendungsbereich jeder Norm und wie diese einzuhalten ist. Zu diesen Elementen gehören Empfehlungen, Anforderungen und Möglichkeiten. 

Informative Elemente sind beschreibender Natur und helfen, die Konzepte zu verstehen. Sie liefern Kontext, Hintergrundinformationen, zusätzliche Empfehlungen und stellen Beziehungen zu anderen Elementen her. 

Nur die normativen Standards können auf Einhaltung geprüft werden. 

Zweck	Standardname	Typ
Überblick und Terminologie	ISO 27000	Informativ
Voraussetzungen:	ISO 27001, ISO 27006, ISO 27009	Vorschriften
Allgemeine Richtlinien	ISO 27002, ISO 27003, ISO 27004, ISO 27005, ISO 27007, ISO 27013, ISO 27014, ISO 27021, TR 27008, TR 27016	Informativ
Branchenspezifische Leitlinien	ISO 27010, ISO 27011, ISO 27017, ISO 27018, ISO 27019	Informativ

Liste der Normenreihe ISO 27000

Die ISMS-Normenfamilie ist miteinander verknüpft und konzentriert sich auf die Anforderungen an ein ISMS-System. Hier ist eine Zusammenfassung dessen, was die einzelnen Normen beschreiben und worauf sie sich beziehen: 

ISO 27000 – Informationssicherheits-Managementsysteme 

ISO 27000 bietet einen Überblick, Definitionen und eine Einführung in die Normenfamilie für Informationssicherheitsmanagementsysteme (ISMS). Diese Normenfamilie unterstützt Organisationen dabei, ihre digitalen Assets effizient zu verwalten.  

ISO 27001 – Informationssicherheit, Cybersicherheit und Datenschutz 

Dieses Dokument befasst sich mit den normativen Anforderungen für die Entwicklung, Implementierung, Überwachung, Verwaltung und den Betrieb von Informationssicherheitsmanagementsystemen (ISMS) und unterstützt Sie bei der Auswahl von Kontrollmaßnahmen zur Minderung von Risiken im Zusammenhang mit Ihren datenspezifischen Beständen. Es beschreibt detailliert die in Anhang A aufgeführten Kontrollmaßnahmen und Kontrollziele, die Sie im Rahmen Ihres ISMS auswählen müssen, um die Anforderungen zu erfüllen. 

Die Norm ISO/IEC 27001:2013 wurde aktualisiert und trägt nun den Namen ISO/IEC 27001:2022. Was gibt´s neues.

ISO 27002 – Informationssicherheit, Cybersicherheit und Datenschutz 

ISO 27002 unterstützt Organisationen bei der Auswahl und Implementierung gängiger Informationssicherheitskontrollen zur Stärkung ihrer Informationssicherheit. Sie bietet Best Practices und Anleitungen zur Implementierung, zum Aufbau und zur Verbesserung Ihres Informationssicherheitsmanagementsystems (ISMS). Darüber hinaus beschreibt ISO/IEC 27002 die Praktiken im Bereich Cybersicherheit, wie z. B. Zugriffskontrolle, Reaktion auf Sicherheitsvorfälle und effektives Bedrohungsmanagement.

ISO 27003 – Leitfaden zur Implementierung eines Informationssicherheits-Managementsystems

ISO 27003 Dieses Buch erklärt und leitet die erfolgreiche Implementierung eines ISMS gemäß ISO 27001. Es unterstützt Anwender bei der Analyse organisatorischer Probleme, der Erfüllung von Stakeholder-Erwartungen, der Entwicklung von Richtlinien, der Festlegung des ISMS-Geltungsbereichs, dem Risikomanagement und der Bewertung der ISMS-Performance. 

ISO 27004 – Informationssicherheitsmanagement – ​​Überwachung, Messung, Analyse und Bewertung

Leitet Organisationen an und unterstützt sie bei der Bewertung und Messung der Leistungsfähigkeit ihres ISMS gemäß den Anforderungen von ISO 27001:2013, Abschnitt 9.1. Anwendbar für Organisationen aller Größen und Arten. ISO 27004 Beschreibt Folgendes:

1. Wie man die ISMS-Leistung überwacht und misst
2. Wie man die Wirksamkeit von ISMS-Prozessen und -Kontrollen überwacht und misst
3. Analysieren und bewerten Sie die Ergebnisse der ISMS-Überwachung und -Messung.

ISO 27005 – Leitfaden zum Management von Informationssicherheitsrisiken

Diese Norm leitet Organisationen bei der Implementierung von Risikomanagementprozessen gemäß ISO 27001, um Sicherheitsrisiken zu begegnen und Risikobewertungen sowie Risikobehandlungen durchzuführen. Sie gilt für Organisationen aller Art und Größe. Die neueste Ausgabe erschien 2022. 

ISO 27006 – Anforderungen an Stellen, die Audits und Zertifizierungen von ISMS durchführen

Bietet Leitlinien und legt Anforderungen für Organisationen fest, die Auditdienstleistungen und ISMS-Zertifizierungen gemäß ISO 27001 anbieten. Diese Dienstleister müssen Kompetenz und Zuverlässigkeit im Einklang mit den Anforderungen der ISO 17021 nachweisen. 

Auditoren, die Zertifizierungsdienstleistungen anbieten, müssen sich mit den Kontrollen, Anforderungen, der Terminologie, den Prinzipien, den Referenzen und den rechtlichen Vorgaben der ISO 27001 und 27002 vertraut machen. Sie sollten wissen, wie man ISMS überwacht, misst, bewertet und analysiert und welche technischen Aspekte bei der Auditierung von Systemen zu beachten sind. 

ISO 27009 – Informationstechnik – Sicherheitstechniken – Branchenspezifische Anwendung von ISO/IEC 27001 – Anforderungen

Beschreibt die Anforderungen für die Erstellung von Normen in einem bestimmten Sektor durch Erweiterung von ISO 27001 und Ergänzung von ISO 27002. Es legt außerdem fest, wie… 

• Die Anforderungen der ISO 27001 interpretieren und einbeziehen
• Berücksichtigen Sie Kontrollen, die in ISO 27001 und 27002 nicht erwähnt werden.
• Die in ISO 27001 und 27002 genannten Kontrollen modifizieren
• Ändern Sie die Leitlinien der ISO 27002 oder aktualisieren Sie sie.

ISO 27007 – Leitfaden für die Auditierung von Informationssicherheitsmanagementsystemen 

Dieses Dokument leitet Organisationen bei der Durchführung von ISMS-Audits an und erörtert die Kompetenz von ISMS-Auditoren gemäß ISO 27001. Es ergänzt ISO 19011 und richtet sich an alle, die interne oder externe ISMS-Audits durchführen oder ein ISMS-Auditprogramm verwalten möchten. 

ISO 27013 – Leitfaden zur integrierten Umsetzung von ISO/IEC 27001 und ISO/IEC 20000

Leitet Organisationen, die beabsichtigen,

1. Implementieren Sie ISO 27001, wenn ISO 20000-1 (Standard für Service-Management-Systeme) bereits vorhanden ist, oder implementieren Sie ISO 20000-1, wenn ISO 27001 bereits vorhanden ist.
2. Implementieren Sie sowohl ISO/IEC 27001 als auch ISO/IEC 20000-1 gemeinsam.
3. Integrieren Sie Ihre Managementsysteme gemäß ISO/IEC 27001 und ISO/IEC 20000-1
4. Es hilft Organisationen auch dabei, die Gemeinsamkeiten und Unterschiede zwischen diesen beiden zu verstehen. 

ISO 27014 – Governance der Informationssicherheit

Leitet die Anwender hinsichtlich der Prinzipien, Ziele und Prozesse zur Steuerung der Informationssicherheit so an, dass sie in der Lage sind, ISMS-Prozesse zu bewerten, zu überwachen, zu messen und den Stakeholdern innerhalb der Organisation zu kommunizieren. 

Das Dokument ISO 27014 soll die oberste Führungsebene einer Organisation, die Leitungsgremien und die für das ISMS-Management und die Bewertung auf der Grundlage von ISO 27001 verantwortlichen Personen dabei unterstützen, den Governance-Aspekt zu erfüllen. 

ISO 27021 – Kompetenzanforderungen an Fachkräfte für Informationssicherheitsmanagementsysteme

Beabsichtigt, einer Reihe von Organisationen zu helfen, wie zum Beispiel: 

1. Personen, die ihre Kompetenz als ISMS-Experten unter Beweis stellen oder sich das nötige Wissen für die Arbeit in diesem Bereich aneignen möchten.
2. Organisationen, die ISMS-Fachkräfte einstellen
3. Stellen, die ISMS-Fachkräfte zertifizieren
4. Organisationen oder Institute, die Kurse zur Aus- oder Weiterbildung von Kandidaten für ISMS anbieten 

ISO TS 27008 – Leitfaden für die Bewertung von Informationssicherheitskontrollen 

Dieses Dokument, das zuvor unter der Bezeichnung ISO/IEC TR 27008:2011 bekannt war, dient Organisationen als Leitfaden zur Überprüfung und Bewertung der Wirksamkeit von Informationssystemkontrollen im Einklang mit den spezifischen Verpflichtungen des Unternehmens. 

Es ist anwendbar für Organisationen aller Art und Größe, wie beispielsweise Aktiengesellschaften, private Firmen, Regierungsbehörden, gemeinnützige Organisationen und andere. 

TR 27016 – Informationssicherheitsökonomie

Diese Richtlinie ermöglicht es Organisationen, fundierte Entscheidungen über ihre Vermögenswerte zu treffen, gleichzeitig die wirtschaftliche Nachhaltigkeit zu gewährleisten und Einblicke in die wirtschaftlichen Folgen ihrer Entscheidungen zu gewinnen. Im Mittelpunkt steht die Ökonomie der Informationssicherheit, die Angebot und Nachfrage von Gütern und Dienstleistungen beeinflusst. 

Zielgruppe dieser Richtlinie sind die Führungskräfte, die für die strategische Planung der Ressourcenallokation zur Unterstützung der Kontrollumsetzung verantwortlich sind. 

TR 27016 hilft Unternehmen dabei, die negativen Auswirkungen auf ihre Ziele zu reduzieren, die Folgen finanzieller Verluste zu minimieren, rechtliche Verpflichtungen zu erfüllen, Kundenerwartungen zu managen, den Ruf ihrer Marke zu verbessern und genaue Finanzberichte zu erstellen. 

ISO 27010 – Informationssicherheitsmanagement für die branchen- und organisationsübergreifende Kommunikation

Dieses Dokument bietet Leitlinien und Kontrollmechanismen zur Initiierung, Implementierung, Aufrechterhaltung und Verbesserung der Informationssicherheit mit anderen Organisationen und Sektoren. Es legt die Prinzipien fest, um die Anforderungen durch verschiedene technische Prozesse zu erfüllen. Ziel dieses Dokuments ist es, Vertrauen beim Austausch von Daten und sensiblen Informationen jeglicher Art zu gewährleisten und so das internationale Wachstum zu fördern. 

ISO 27011 – Leitlinien für das Informationssicherheitsmanagement von Telekommunikationsorganisationen 

Unterstützt Telekommunikationsunternehmen bei der Implementierung von Informationssicherheitskontrollen. Es hilft ihnen, Sicherheitsmanagementanforderungen wie Integrität, Vertraulichkeit und Verfügbarkeit zu erfüllen. Die Richtlinien dieses Dokuments basieren auf den Kontrollen und Zielen von ISO 27002 . 

ISO 27017 – Verhaltenskodex für Informationssicherheitskontrollen für Cloud-Dienste

Leitet Cloud-Service-Anbieter bei der Implementierung von Sicherheitskontrollen gemäß und zusätzlich zu ISO 27002 an. ISO 27017 richtet sich an Cloud-Service-Kunden, die die Kontrollmechanismen implementieren möchten, sowie an Cloud-Service-Anbieter, die die Implementierung der Kontrollmechanismen unterstützen möchten. 

ISO 27018 – Verhaltenskodex für den Schutz personenbezogener Daten in öffentlichen Clouds, die als Auftragsverarbeiter personenbezogener Daten fungieren

Legt Kontrollziele, Kontrollen und Richtlinien zum Schutz personenbezogener Daten (PII) für Cloud-Computing gemäß ISO 29100 fest. Ziel ist es, die Kontrollziele der ISO 27002 zu kombinieren, um Sicherheitskontrollen zu schaffen, die von Cloud-Dienstanbietern implementiert werden können, die als PII-Verarbeiter gelten. 

Anbieter von PII-Verarbeitung in öffentlichen Cloud-Umgebungen können ISO 27018 nutzen, um relevante Verpflichtungen zu erfüllen, Transparenz gegenüber ihren Kunden zu gewährleisten, problemlos vertragliche Vereinbarungen abzuschließen und die Anforderungen von Audits zu erfüllen, wenn sie Daten in einer risikobehafteten Umgebung hosten. 

ISO 27019 – Informationssicherheit für die Prozesssteuerung in der Energiewirtschaft

ISO 27019 gilt für Prozessleitsysteme der Energieversorgungsbranche und dient als Leitfaden für die Steuerung und Überwachung der Energieerzeugung, -übertragung, -verteilung und -produktion. Sie umfasst: 

• Technologie für Prozesssteuerung, Überwachung, Automatisierung und die dazugehörigen Informationssicherheitssysteme 
• Digitale Steuerungen und Automatisierungssysteme
• Komponenten der intelligenten Messinfrastruktur (AMI) 
• Technologien, die zur Kommunikation verwendet werden, wie Netzwerke, Telemetrie und Fernsteuerungsgeräte.
• Alle Informationssysteme, die den Bereich der Prozesssteuerung unterstützen

Ganz gleich, welchen Standard der ISO-27000-Reihe Sie implementieren möchten, Sprinto erleichtert Ihnen die Arbeit, indem es Risiken, Prüfungen und Bewertungen zentral zusammenfasst. Sie können: 

• Integrieren Sie Ihre Cloud-Infrastruktur, um Risiken automatisch anhand von Kategorie, Schweregrad und Kritikalität zu identifizieren, zu klassifizieren und zu managen. 
• Überprüfen und optimieren Sie Ihr ISMS gemäß den 27 geltenden Standards mithilfe automatisierter Prüfungen und Echtzeitüberwachung. Überwachen Sie die Kontrollen kontinuierlich über ein zentrales Dashboard.
• Beauftragen Sie einen akkreditierten Sprinto-Partnerauditor mit der Zertifizierung und nutzen Sie die automatisierte Nachweiserfassung, um die Einhaltung der Vorschriften nachzuweisen.

Wie erhalte ich eine Zertifizierung für die Normenfamilie ISO 27000?

Eine ISO-27000-Zertifizierung existiert nicht. Die Normenreihe bietet lediglich einen Rahmen und ein Vokabular für Informationssicherheit; die Zertifizierung erfolgt über ISO 27001, den Kernstandard der Reihe.

Was andere Standards betrifft, so können Sie sich daran anpassen und diese einhalten, aber die Eine Zertifizierung wird nur für ISO 27001 erreicht..

Um die ISO 27001-Zertifizierung zu erhalten:

1. Machen Sie sich mit den Anforderungen der ISO 27001 vertraut und führen Sie eine Gap-Analyse durch, um Ihre aktuellen Informationssicherheitsprozesse mit dem Standard zu vergleichen.
2. Entwerfen und implementieren Sie ein ISMS, das den Anforderungen der ISO 27001 entspricht, und schulen Sie Ihre Mitarbeiter.
3. Führen Sie interne Audits durch, um sicherzustellen, dass die Kontrollen wie vorgesehen funktionieren, und beheben Sie etwaige Probleme.
4. Wählen Sie eine akkreditierte Zertifizierungsstelle und durchlaufen Sie das Audit – Phase 1 ist die Dokumentenprüfung und Phase 2 ein Vor-Ort-Audit.
5. Gewährleisten Sie die fortlaufende Einhaltung der Vorschriften und gehen Sie proaktiv auf Abweichungen ein, um für das Rezertifizierungsaudit bestens vorbereitet zu sein.

Wie die Normenreihe ISO 27000 das Sicherheitsmanagement optimiert

Informationssicherheit ohne strukturiertes Rahmenwerk zu managen, führt zu unzusammenhängenden und unorganisierten Bemühungen. Deshalb sollten Sie für Ihr ISMS einen international anerkannten Standard verwenden. 

• Schwachstellen reduzierenDie Implementierung eines ISMS reduziert Schwachstellen in Ihrer IT-Infrastruktur und ermöglicht Ihnen nachhaltigen Sicherheitserfolg. 
• Kosten optimierenEs handelt sich um ein strukturiertes Rahmenwerk, das Ihnen hilft, einen umfassenden und kosteneffektiven Prozess über alle Betriebsabläufe hinweg zu implementieren und aufrechtzuerhalten. 
• Sicherheitsmanagement optimieren: Es unterstützt Sie dabei, Sicherheit ganzheitlich und verantwortungsvoll durch bessere Bildung und Ausbildung zu managen.
• Sicherheitsmanagement verbessernDie Implementierung eines international anerkannten Sicherheitsstandards gibt Ihnen die Flexibilität, die Kontrollen kontinuierlich zu verbessern, um mit den dynamischen Sicherheitsanforderungen Schritt zu halten.  
• Kunden- und Stakeholdervertrauen stärkenEs ermöglicht Ihnen, die Informationssicherheit auf wirtschaftliche Weise zu managen und das Vertrauen der Stakeholder zu stärken. 

Optimieren Sie ISO 27001 mithilfe von Checkliste zur Einhaltung der ISO 27001-Norm.

Warum sollten Sie die ISO 27000-Normen implementieren?

Die Richtlinienreihe ISO 27000 bietet Ihrem Unternehmen einen Rahmen zur Risikobewertung und zur Implementierung individueller Sicherheitsprotokolle. Sie bietet jedoch mehr als nur Richtlinien – Sie profitieren von einer Vielzahl weiterer Vorteile. 

1. Hebt Lücken im Sicherheitsmanagement auf

Als Unternehmer gehen Sie möglicherweise davon aus, dass die Abläufe in Ihrem Unternehmen und die von Ihnen eingeführten Prozesse richtig und für Sie sinnvoll sind. Dies wird als Paradigmenblindheit bezeichnet und hindert Unternehmen daran, Herausforderungen zu meistern. 

Die Implementierung neuer Kontrollen und Systeme mag zunächst schwierig erscheinen. Doch die Kenntnis Ihres Sicherheitsstatus deckt bestehende Schwachstellen auf und motiviert Sie, diese zu beheben. Die Normenreihe ISO 27000 unterstützt Ihr Unternehmen dabei, Schwachstellen zu identifizieren, Hindernisse zu beseitigen, Wachstumschancen zu erkennen und Ihr Management zu optimieren. 

Zum BeispielDas Dokument ISO/IEC TR 27008 leitet Anwender bei der Implementierung und Überprüfung von Kontrollmaßnahmen anhand etablierter IT-Sicherheitsstandards an. Dadurch werden Schwachstellen unweigerlich aufgedeckt und können behoben werden. So verbessern Sie Ihre Sicherheitslage und -leistung. 

2. Verhindert kostspielige Zwischenfälle

Sicherheitslücken kosten nicht nur Geld, sondern auch Ihren Ruf. Schadensbegrenzung ist zeitaufwendig und lästig – etwas, das niemand will. Die Lösung? Verstärken Sie Ihre Sicherheitsvorkehrungen. Die Vorteile einer Starke Sicherheitslage Die Vorteile überwiegen die Kosten der Umsetzung, insbesondere langfristig. 

ISO 27001 unterstützt Sie bei der Entwicklung von Kontrollmechanismen zur Risikominderung in Ihrem Unternehmen. ISO/IEC 27005 bietet umfassende Leitlinien zur Risikobewertung. Mithilfe dieser Normen können Sie schädliches Verhalten erkennen und unterbinden, bevor es Ihr System beeinträchtigt. 

Da Cyberkriminelle immer raffinierter vorgehen, muss auch Ihre IT-Infrastruktur entsprechend angepasst werden. Angesichts der steigenden Zahl von Sicherheitsvorfällen können Sie es sich nicht länger leisten, Sicherheit als optionale Investition zu betrachten. 

3. Verschafft Wettbewerbsvorteile

Unternehmen wollen nicht, dass ihre Daten unsachgemäß behandelt oder manipuliert werden – sie brauchen einen vertrauenswürdigen Partner. ISO 27001 ist ein international anerkannter Sicherheitsstandard und eine hervorragende Möglichkeit, Vertrauen aufzubauen. Dieser branchenweit anerkannte Standard unterstützt Sie bei der effizienten Verwaltung von Finanzdaten und geistigem Eigentum Dritter. Er zeigt, dass Sie Datensicherheit ernst nehmen. 

Automatisieren Sie Ihre ISO-Konformität mit Sprinto.

Compliance-Anforderungen sind oft kompliziert und verwirrend, müssen es aber nicht sein. Sprinto bietet eine automatisierte Lösung, die Ihren Compliance-Prozess vereinfacht. Sie übernimmt alle manuellen Aufgaben – von der Richtlinienerstellung über die Zuordnung von Sicherheitskontrollen bis hin zur Überwachung von Sicherheitslücken.

Sprinto bietet außerdem eine in die App integrierte Funktion für Mitarbeiterschulungen und -verfolgung im Bereich Cybersicherheit. Diese hilft Ihren Mitarbeitern, sich über die neuesten Entwicklungen in der Cybersicherheit auf dem Laufenden zu halten und Angriffsversuche wie Phishing abzuwehren. 

Wondering Was würde Sie eine ISO 27001-Zertifizierung kosten? Haben Sie noch Fragen? Kontakt Kontaktieren Sie uns, um mehr darüber zu erfahren, wie wir Ihren Compliance-Prozess unkompliziert gestalten können.

Häufig gestellte Fragen