ISO 27001 Anforderungen einfach erklärt: Kapitel 4–10 und 93 Controls
ISO 27001 Anforderungen verständlich erklärt: Managementsystem, Risikoprozess, Kapitel 4 bis 10 und die 93 Controls aus Anhang A.
ISO/IEC 27001 besteht aus verbindlichen Managementsystemanforderungen in den Kapiteln 4 bis 10 und einem Referenzsatz von 93 Informationssicherheitskontrollen in Anhang A. Die 93 Controls sind keine pauschale Einkaufsliste: Die Organisation wählt anhand ihrer Risiken, rechtlichen Pflichten und Kundenanforderungen die notwendigen Kontrollen aus und begründet dies im Statement of Applicability.
Die Logik der Norm
Die Norm verbindet Führung, Planung, Betrieb und Verbesserung mit einem risikobasierten Sicherheitsprozess. Dadurch geht es nicht nur um Firewalls und Passwörter, sondern ebenso um Rollen, Lieferanten, Personal, physische Sicherheit, dokumentierte Entscheidungen und die Wirksamkeit des Gesamtsystems.
Kapitel 4 bis 10 im Überblick
| Kapitel | Kernfrage |
|---|---|
| 4 Kontext | Welche internen, externen und interessierten Parteien beeinflussen das ISMS? |
| 5 Führung | Wer trägt Verantwortung, gibt Leitlinien vor und stellt Ressourcen bereit? |
| 6 Planung | Wie werden Risiken, Chancen, Ziele und Risikobehandlung gesteuert? |
| 7 Unterstützung | Welche Kompetenzen, Kommunikation und dokumentierten Informationen sind erforderlich? |
| 8 Betrieb | Wie werden Risikobewertung und Risikobehandlung praktisch durchgeführt? |
| 9 Bewertung | Wie werden Kennzahlen, internes Audit und Managementbewertung genutzt? |
| 10 Verbesserung | Wie behandelt die Organisation Abweichungen und verbessert das ISMS? |
Was die 93 Controls bedeuten
Anhang A gruppiert die Controls in organisatorische, personelle, physische und technologische Themen. Die Detailhinweise zur Umsetzung stehen vor allem in ISO/IEC 27002. Für jedes Control muss die Organisation entscheiden, ob es benötigt wird, wie es umgesetzt ist und welche Nachweise die Wirksamkeit zeigen.
Auch zusätzliche Kontrollen außerhalb von Anhang A können notwendig sein. Entscheidend ist nicht das Abhaken einer Liste, sondern eine nachvollziehbare Verbindung zwischen Risiken, Behandlung, Controls und Nachweisen.
Welche Nachweise Auditoren typischerweise erwarten
- Freigegebener Scope und Informationssicherheitsleitlinie
- Nachvollziehbare Risikobewertung und Risikobehandlungsplan
- Statement of Applicability mit Begründungen
- Rollen, Kompetenzen und Schulungsnachweise
- Betriebliche Nachweise wie Tickets, Protokolle, Prüfungen und Reviews
- Internes Audit, Managementbewertung und Korrekturmaßnahmen
Wie Sternberg Consulting unterstützt
Wir unterstützen KMU dabei, den beschriebenen Schritt in ein schlankes, auditfähiges ISMS zu übersetzen. Die ISO-27001-Beratung reicht von Scoping und Gap-Analyse bis zur Auditvorbereitung.
Häufig gestellte Fragen
Sind alle 93 Controls verpflichtend?
Sie müssen vollständig betrachtet werden. Ob ein Control notwendig ist, ergibt sich aus Risiken, Pflichten und Anforderungen und wird im SoA begründet.
Reicht eine Dokumentensammlung?
Nein. Auditoren prüfen, ob die beschriebenen Prozesse umgesetzt werden und wirksam sind.
Was ist der Unterschied zu ISO 27002?
ISO 27001 enthält zertifizierbare Anforderungen; ISO 27002 bietet ausführlichere Umsetzungshinweise zu Informationssicherheitskontrollen.