Der Sicherheitsstandard, den die ganze Welt anerkennt.

ISO 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS), veröffentlicht von ISO und IEC. Sie liefert einen systematischen Ansatz, um schützenswerte Unternehmensinformationen über Risikobewertung, Sicherheitskontrollen und kontinuierliche Verbesserung zu steuern. Eine ISO-27001-Zertifizierung zeigt Kunden, Partnern, Aufsichtsbehörden und Prüfern, dass Ihre Organisation international anerkannte Praktiken der Informationssicherheit befolgt. Die aktuelle Fassung ISO 27001:2022 umfasst 93 Kontrollen in vier Themenbereichen: organisatorisch, personell, physisch und technologisch. Die Zertifizierung erteilen akkreditierte externe Auditstellen nach einem zweistufigen Bewertungsverfahren.

Annex A der ISO 27001:2022 enthält 93 Referenzkontrollen in vier Kategorien. Organisatorische Kontrollen (37) umfassen Richtlinien, Rollen, Anlagenverwaltung, Zugriffskontrolle, Lieferantenbeziehungen, Vorfallsmanagement, Betriebskontinuität und Compliance. Personelle Kontrollen (8) umfassen Überprüfung von Beschäftigten, Arbeitsbedingungen, Sensibilisierungsschulungen, Disziplinarverfahren und Pflichten nach Beendigung des Arbeitsverhältnisses. Physische Kontrollen (14) umfassen Sicherheitszonen, Zutrittskontrollen, die Sicherung von Büros, Überwachung und Geräteschutz. Technologische Kontrollen (34) umfassen Endgeräte, Zugriffsrechte, sichere Authentifizierung, Kapazitätsmanagement, Schutz vor Schadsoftware, Sicherung, Protokollierung, Netzsicherheit, sichere Entwicklung und Datenmaskierung. Venvera stellt eine vollständige Annex-A-Kontrollbibliothek mit Umsetzungshinweisen und Lückenverfolgung je Kontrolle bereit.

Eine ISO-27001-Gap-Analyse ist eine strukturierte Bewertung, die Ihre aktuellen Praktiken der Informationssicherheit den Anforderungen der ISO 27001 und ihren Annex-A-Kontrollen gegenüberstellt. Die Analyse zeigt, welche Kontrollen vollständig umgesetzt, teilweise umgesetzt, geplant oder nicht anwendbar sind, samt der Nachweise, die jede Einstufung stützen. Ergebnis ist ein priorisierter Maßnahmenplan, der genau zeigt, was für die Zertifizierungsreife zu tun ist. Venvera automatisiert diesen Prozess mit strukturierten Fragebögen je Annex-A-Kontrolle, automatischer Bewertung und einer erzeugten Maßnahmen-Roadmap mit Aufwandsschätzungen und Prioritäten.

Der Zeitrahmen bis zur ISO-27001-Zertifizierung hängt von Größe und bestehender Sicherheitsreife der Organisation ab. Für eine kleine oder mittlere Organisation, die bei null beginnt, sind 6 bis 12 Monate realistisch. Organisationen mit bereits etablierten Sicherheitsrahmenwerken schaffen es in 3 bis 6 Monaten. Der Weg umfasst die Festlegung des ISMS-Geltungsbereichs, eine Risikobewertung, die Umsetzung von Kontrollen, den Aufbau der Dokumentation, interne Audits, die Managementbewertung und danach das zweistufige externe Zertifizierungsaudit. Stufe 1 ist eine Dokumentenprüfung zur Bestätigung der Bereitschaft. Stufe 2 ist die Bewertung der Wirksamkeit der Kontrollen vor Ort. Venvera verkürzt diesen Zeitrahmen mit vorgefertigten Kontrollbibliotheken, Richtlinienvorlagen und Dashboards zur Zertifizierungsreife, die Ihren Fortschritt je Anforderung verfolgen.

ISO 27001 ist die zertifizierbare Managementsystemnorm, die festlegt, was ein ISMS enthalten muss: Kontextanalyse, Verpflichtung der Leitung, Risikobewertung, Auswahl von Kontrollen, Leistungsbewertung und kontinuierliche Verbesserung. ISO 27002 ist die begleitende Leitfadennorm mit detaillierten Umsetzungshinweisen zu jeder der 93 in ISO 27001 referenzierten Annex-A-Kontrollen. Zertifiziert wird gegen ISO 27001, und ISO 27002 dient als Referenz für die Umsetzung der Kontrollen. ISO 27002:2022 führt zudem Kontrollattribute ein (Bedrohungsarten, Cybersicherheitskonzepte, operative Fähigkeiten und Sicherheitsdomänen), die beim Kategorisieren und Priorisieren helfen. Venvera integriert die Hinweise aus ISO 27002 direkt in die Bewertung jeder Annex-A-Kontrolle.

ISO 27001 bildet eine starke Grundlage für DORA und NIS2, erfüllt aber keine der beiden Regelungen für sich allein. DORA verlangt ein finanzsektorspezifisches IKT-Risikomanagement, das Register of Information, Vorfallsmeldung binnen 4 Stunden, Resilienztests und eine Steuerung des Drittparteienrisikos, die über ISO 27001 hinausgehen. NIS2 verlangt sektorspezifische Vorfallsmeldungen binnen 24 Stunden, Maßnahmen zur Lieferkettensicherheit und eine Verantwortung der Leitungsorgane, die ISO 27001 allein nicht abdeckt. Organisationen mit ISO-27001-Zertifizierung haben jedoch typischerweise 60 bis 70 Prozent der Anforderungen aus DORA und NIS2 bereits adressiert. Venvera ordnet Kontrollen über alle drei Rahmenwerke hinweg zu, sodass Sie genau sehen, wo Ihre ISO-27001-Umsetzung Anforderungen aus DORA und NIS2 erfüllt und wo zusätzliche Maßnahmen nötig sind.

Nach der Erstzertifizierung verlangt ISO 27001 jährliche Überwachungsaudits in den Jahren eins und zwei des dreijährigen Zertifizierungszyklus, gefolgt von einem Rezertifizierungsaudit im dritten Jahr. Überwachungsaudits prüfen, ob das ISMS weiterhin wirksam arbeitet und die Organisation die Norm einhält. Prüfer sehen sich bei jedem Besuch einen Teil der Kontrollen und Abschnitte an, betrachten Korrekturmaßnahmen aus früheren Audits, bewerten die Ergebnisse der Managementbewertung, prüfen die Resultate interner Audits und beurteilen wesentliche Änderungen am ISMS-Geltungsbereich oder an der Risikolage. Bei Überwachungsaudits festgestellte Abweichungen können zur Aussetzung oder Entziehung des Zertifikats führen, wenn sie nicht fristgerecht behoben werden. Venvera verfolgt alle Feststellungen, Korrekturmaßnahmen und Nachweise, damit Sie für den nächsten Überwachungsbesuch vorbereitet sind.

Ja. Venvera ist ISO-27001-Compliance-Software rund um das ISMS und den Annex-A-Kontrollsatz. Sie erhalten eine zugeschnittene Kontrollbibliothek, eine Gap-Analyse, die Ihre Zertifizierungsreife Kontrolle für Kontrolle bewertet, und einen Nachweis-Arbeitsbereich mit Verantwortlichen, Ablauf- und Erneuerungsterminen. Weil Kontrollen über Rahmenwerke hinweg zugeordnet werden, füllen bereits vorhandene Nachweise für SOC 2 oder NIST CSF einen großen Teil Ihrer Annex-A-Ausgangslage vor. Sie können mit einem kostenlosen Gap-Bericht beginnen, bevor Sie sich zu etwas verpflichten.