Um die ISO 27001-Zertifizierung zu erhalten, müssen Unternehmen die Anforderungen der Normkapitel 4 bis 10 erfüllen und ein Informationssicherheits-Managementsystem (ISMS) betreiben. Kernanforderungen sind eine systematische Risikobeurteilung, nachweisbares Management-Commitment, regelmäßige interne Audits sowie die Umsetzung der im Statement of Applicability ausgewählten Controls aus Anhang A. Die Konformität prüft eine akkreditierte Zertifizierungsstelle in einem zweistufigen Audit (Stage 1 und Stage 2); das Zertifikat gilt drei Jahre.

Dieser Leitfaden basiert auf den Erfahrungen aus mehr als 50 Zertifizierungs- und Beratungsprojekten. Er führt durch alle Anforderungen der ISO/IEC 27001:2022 – gegliedert nach der Kapitelstruktur der Norm selbst, damit Sie jede Anforderung direkt in Ihrem Normtext und im Auditbericht wiederfinden.

Inhaltsverzeichnis:

Was fordert die ISO 27001 von Unternehmen?
Was sind die Vorteile einer Zertifizierung nach ISO 27001?
Lernen Sie die Norm ISO 27001 Anforderungen näher kennen
1. Anwendbarkeit und Kontext im Unternehmen – Die 27001 Anforderungen auf einen Blick
2. Führung – Die richtungsweisende Führungskraft
3. Planung – Vorwegnahme von Herausforderungen
4. Unterstützung – Stärkung der Sicherheitsinfrastruktur
5. Betrieb – Effektive Umsetzung von Informationssicherheit
6. Leistungsbewertung – Messung und Bewertung des Fortschritts in der Erfüllung der ISO
7. Die ISO 27001-Zertifizierung des Unternehmens mit dem finalen Audit
8. Kontinuierliche Weiterentwicklung nach der ISO 27001 Zertifizierung
Ergänzende Aspekte an die Anforderungen der Organisation
Die ISO 27001 Controls und ihr Zusammenhang mit den Anforderungen

Was fordert die ISO 27001 von Unternehmen?

Die ISO 27001 fordert den Aufbau, Betrieb und die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS), das die drei Schutzziele der Informationssicherheit gewährleistet: Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Die verbindlichen Anforderungen stehen in den Normkapiteln 4 bis 10 (Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung). Ergänzend definiert Anhang A einen Katalog von 93 Sicherheitsmaßnahmen (Controls) in vier Themenfeldern, aus dem Unternehmen risikobasiert auswählen. Die Norm schreibt keine konkreten Technologien vor – sie fordert ein funktionierendes Managementsystem, das Risiken erkennt, behandelt und dies nachweisbar dokumentiert.

Was sind die Vorteile einer Zertifizierung nach ISO 27001

Eine ISO 27001-Zertifizierung senkt das Sicherheitsrisiko messbar und öffnet Türen im B2B-Vertrieb: Immer mehr Konzerne und öffentliche Auftraggeber verlangen das Zertifikat als Lieferantenvoraussetzung. Die wichtigsten Vorteile aus unseren Kundenprojekten:

Verbessertes Sicherheitsniveau: Das strukturierte Rahmenwerk zur Identifizierung, Bewertung und Behandlung von Informationssicherheitsrisiken deckt Schwachstellen systematisch auf.
Vertrauen und Glaubwürdigkeit: Das international anerkannte Zertifikat signalisiert Kunden, Partnern und Versicherern geprüfte Sicherheitsstandards.
Erfüllung von Kundenanforderungen: Ausschreibungen und Lieferantenaudits setzen ISO 27001 zunehmend voraus – die Zertifizierung wird zum Wettbewerbsvorteil.
Regulatorische Konformität: Die Norm unterstützt bei der Erfüllung von DSGVO-Pflichten und dient als anerkannter Umsetzungsrahmen für die NIS-2-Anforderungen [2].
Effizienzsteigerung: Klare Prozesse, Verantwortlichkeiten und Kennzahlen reduzieren Sicherheitsvorfälle und Reibungsverluste.
Wirtschaftliche Vorteile: Laut der ISO 27001-Studie von Mirtsch [4] bewerten zertifizierte Unternehmen ihre Umsatzsteigerung (2,8 vs. 1,8 auf einer 5er-Skala) und ihren Reputationsgewinn (3,4 vs. 2,5) signifikant höher als Unternehmen, die die Norm ohne Zertifikat anwenden.

Aus der Praxis: Wir beraten nicht nur zur ISO 27001 – wir haben den Weg selbst durchlaufen und sind nach DAkkS-akkreditiertem Standard zertifiziert. Die größte Hürde war dabei nicht die Technik, sondern der eigene Anspruch: Prozesse, die jahrelang „einfach funktioniert“ hatten, mussten erstmals nachweisbar dokumentiert werden. Was wir dabei gelernt haben, steht in unserem Erfahrungsbericht zur eigenen ISO 27001-Zertifizierung.

Lernen Sie die Norm ISO 27001 Anforderungen näher kennen

Übersicht über die ISO 27001-Anforderungen

Die ISO 27001 ist eine international anerkannte Norm, die Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung sowie die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) definiert. Diese Übersicht bietet eine strukturierte und leicht verständliche Darstellung der ISO 27001 Anforderungen. Jeder Abschnitt und jede Anforderung wird mit praktischen Beispielen illustriert, um die Konzepte greifbarer zu machen und die Umsetzung im Unternehmen zu erleichtern.

1. Anwendbarkeit und Kontext im Unternehmen - Die 27001 Anforderungen auf einen Blick

1.1. Die Organisation und ihr Kontext: Die interne und externe Landschaft verstehen

Identifizieren Sie interne und externe Faktoren, die die Fähigkeit der Organisation zur Erreichung der beabsichtigten Ergebnisse des Informationssicherheitsmanagementsystems (ISMS) beeinflussen können.
Beispiele: Aufsetzen einer Unternehmensstrategie, Recherche von Marktbedingungen, Prüfung von gesetzlichen Anforderungen.

1.2. Bedürfnisse und Erwartungen der interessierten Parteien

Bestimmen Sie die Anforderungen und Erwartungen relevanter Stakeholder (z.B. Kunden, Gesetzgeber, Mitarbeiter).
Beispiele: Systematische Erfassung von Kundenanforderungen und gesetzlicher Vorschriften.

1.3. Festlegung des Anwendungsbereichs des ISMS

Definieren Sie, welche Teile der Organisation und welche Informationsressourcen durch das ISMS abgedeckt werden.
Beispiele: Dazu können Geschäftsprozesse, Technologien oder geografische Standorte gehören.

2. Führung - Die richtungsweisende Führungskraft

2.1. Führungsverpflichtung

Sicherstellen, dass das Top-Management die Implementierung des ISMS unterstützt und dafür verantwortlich sieht.
Beispiele: Durch die Bereitstellung von Ressourcen und der Förderung einer Sicherheitskultur.

2.2. Informationssicherheitspolitik

Entwickeln und kommunizieren Sie eine Sicherheitsrichtlinie, die die Informationssicherheitsziele und das Engagement der Organisation definiert.
Beispiele: Unternehmensrichtlinien zur Informationssicherheit festlegen und öffentliche Sicherheitserklärungen abgeben.

2.3. Rollen, Verantwortlichkeiten und Befugnisse

Festlegen und kommunizieren Sie klare Rollen und Verantwortlichkeiten für die Informationssicherheit.
Beispiele: Festlegen eines Informationssicherheitsbeauftragten(ISB) im Unternehmen und Aufsetzen eines Incident-Response-Teams.

3. Planung - Vorwegnahme von Herausforderungen

3.1. Risikomanagement

Identifizieren und bewerten Sie Informationssicherheitsrisiken und planen Sie Maßnahmen zur Behandlung dieser Risiken.
Beispiele: Durchführung von regelmäßigen Risikoanalysen mit Hilfe von Risikomanagementplänen.

3.2. Informationssicherheitsziele und Planung zur Zielerreichung

Festlegen von messbaren Sicherheitszielen und Planung von Maßnahmen, um diese Ziele zu erreichen.
Beispiele: Gezielte Reduzierung von Sicherheitsvorfällen durch Erhöhung der Mitarbeiter Bewusstseinsquote und über die Durchführung von regelmäßigen Schulungen.

3.3. Maßnahmen zur Behandlung von Risiken

Entwickeln Sie Maßnahmen zur Behandlung identifizierter Risiken, einschließlich Akzeptanz, Reduzierung, Transfer oder Vermeidung.
Beispiele: Implementierung technischer Kontrollen und Abschluss von Versicherungen für bestehende Sicherheitslücken.

4. Unterstützung - Stärkung der Sicherheitsinfrastruktur

4.1. Ressourcenmanagement

Sicherstellen, dass ausreichende Ressourcen (Zeit, Geld, Personal) für die Implementierung und Aufrechterhaltung des ISMS bereitgestellt werden.
Beispiele: Klare Budgetzuweisungen und Personalschulungen zur Vorbereitung auf die Zertifizierung nach Standard ISO 27001.

4.2. Kompetenz und Schulung

Ermitteln Sie notwendige Kompetenzen und sorgen Sie für Schulungen, um diese Kompetenzen zu entwickeln.
Beispiele: Schulungen zur Informationssicherheit sowie Einführung von Zertifizierungsprogrammen der Mitarbeitenden bis hin zur Ausbildung als Lead Auditor für das Unternehmen.

4.3. Bewusstsein und Kommunikation

Fördern Sie das Bewusstsein für Informationssicherheit und etablieren Sie effektive Kommunikationsprozesse.
Beispiele: Sensibilisierungskampagnen zum Umgang mit Risiken und Chancen. Aufsetzen von internen Kommunikationsrichtlinien.

4.4. Dokumentierte Informationen

Erstellen und pflegen Sie dokumentierte Informationen, um das ISMS zu unterstützen.
Beispiele: Sicherheitsrichtlinien klar niederschreiben, systematische Prozessdokumentationen einführen und Aufzeichnungen von Incidents erstellen.

5. Betrieb - Effektive Umsetzung von Informationssicherheit

5.1. Operative Planung und Steuerung

Planen, implementieren und steuern Sie Prozesse, um Informationssicherheitsanforderungen zu erfüllen.
Beispiele: Entwicklung von Betriebsplänen und kontinuierliche Prozesskontrollen einfordern.

5.2. Risikobehandlung im Unternehmen

Implementieren Sie Risikobehandlungsmaßnahmen und stellen Sie sicher, dass sie wie geplant wirken.
Beispiel: Technische Kontrollen durch IT-Abteilung durchführen lassen.

5.3. Management von Sicherheitsvorfällen

Erkennen und reagieren Sie auf Informationssicherheitsvorfälle und stellen Sie die Umsetzung von Maßnahmen sicher.
Beispiele: Incident-Response-Pläne durch den Sicherheitsbeauftragte (ISB) erstellen lassen und klare Eskalationsprozesse etablieren.

5.4. Notfallmanagement und Wiederherstellung

Entwickeln und implementieren Sie Pläne für den Notfall und zur Wiederherstellung nach einem Vorfall.
Beispiele: Notfallpläne und Wiederherstellungsmaßnahmen durch den Sicherheitsbeauftragten definieren lassen.

6. Leistungsbewertung - Messung und Bewertung des Fortschritts in der Erfüllung der ISO

6.1. Überwachung und Messung

Überwachen und messen Sie die Leistung des ISMS anhand festgelegter Kennzahlen.
Beispiele: Mit Hilfe von Sicherheitsmetriken können regelmäßige Überwachungsberichte verfasst werden.

6.2. Interne Audits

Planen und führen Sie regelmäßige interne Assessments durch, um die Wirksamkeit des ISMS zu überprüfen.
Beispiele: Auditpläne und Auditberichte sind die Grundlagen für fortlaufende interne Assessments.

6.3. Managementbewertungen

Das Management bewertet regelmäßig die Eignung und Wirksamkeit des ISMS an Hand von ISMS-KPIs, die die Wirksamkeit der Informationssicherheitsmaßnahmen widerspiegeln. z.B. die Wirksamkeit der MA Sensibilierungsmaßnahmen, die Anzahl der auditierten Systeme oder der Systeme in automatisierten Patching usw.
Beispiele: Erstellen von klaren, präzisen Sitzungsprotokollen, die wichtige Diskussionspunkte, Entscheidungen und Verantwortlichkeiten festhalten. Etablieren von aussagekräftigen Metriken zur Messung der ISMS-Leistung.

7. Die ISO 27001-Zertifizierung des Unternehmens mit dem finalen Audit

Verfahren zur Erlangung und Aufrechterhaltung der ISO 27001 Zertifizierung durch einen externen Auditor. Mit der Zertifizierung erhalten Sie auch den entsprechenden Nachweis für Ihr Unternehmen.
Der Prozess zur Erlangung und Aufrechterhaltung der ISO 27001 Zertifizierung umfasst mehrere wichtige Schritte:
- - Durchführung einer Gap-Analyse
  - Implementierung notwendiger Maßnahmen
  - Interne Assessments mit Unterstützung unserer Berater
  - Formelle Zertifizierung durch einen externen Auditor.
Die Zertifizierung bestätigt, dass das ISMS den Anforderungen der ISO 27001 entspricht und effektiv implementiert wurde.
Regelmäßige Überwachungsaudits stellen sicher, dass die Einhaltung kontinuierlich gewährleistet ist und dass das System laufend verbessert wird.
Beispiele: Interne Audits, externe Audits und die dazugehörenden Zertifizierungsprozesse.

8. Kontinuierliche Weiterentwicklung nach der ISO 27001 Zertifizierung

8.1. Korrekturmaßnahmen

Ergreifen Sie Maßnahmen zur Beseitigung der Ursachen von Nichtkonformitäten, um deren Wiederholung zu verhindern.
Beispiele: Durchführung einer Ursachenanalyse mit anschließenden Korrekturmaßnahmen.

8.2. Fortlaufende Verbesserungen

Identifizieren und implementieren Sie Verbesserungsmöglichkeiten für das ISMS.
Beispiele: Aufsetzen von Verbesserungsprojekten mit zuvor erstellten Best-Practice-Analysen.

8.3. Überwachungsaudit

In den Jahren 1 und 2 nach Ausstellung des Zertifikats findet jeweils ein Überwachungsaudit statt – ein erneuter Antrag ist dafür nicht nötig, da es Teil der laufenden Zertifizierung ist. Basis ist der Ablauf einer Zertifizierung gemäß BSI Vorgaben.
Beispiele: Aufsetzen von Verbesserungsprojekten mit zuvor erstellten Best-Practice-Analysen.

8.4. Rezertifizierung

Soll die Zertifizierung über die dreijährige Gültigkeit hinaus fortbestehen, ist ein erneuter Zertifizierungsantrag erforderlich; die erneute Prüfung eines bereits zertifizierten Informationsverbunds wird als Re-Zertifizierung bezeichnet
Beispiele: vollständiges Wiederholungsaudit des ISMS mit erneuter Bewertung von Geltungsbereich, Risikobehandlung und Statement of Applicability.

Ergänzende Aspekte an die Anforderungen der Organisation

Zugriffsrechte, IAM und Compliance im ISMS

Ein wirksames Informationssicherheitsmanagement endet nicht bei der formalen Erfüllung der ISO 27001 Anforderungen, sondern umfasst auch die praktische Steuerung von Zugriffsrechten, Identitäten und privilegierten Konten. Gerade im Bereich Access Control spielen ein sauberes Identity and Access Management (IAM), Role-based Access Control (RBAC), Multi-Faktor-Authentifizierung (MFA) sowie ein gezieltes Privileged Access Management (PAM) eine zentrale Rolle, um unberechtigte Zugriffe zu verhindern und das Prinzip der geringsten Rechte umzusetzen.

Dazu gehören die regelmäßige Vergabe, Prüfung und Rezertifizierung von Berechtigungen, die saubere Trennung von Rollen, die Verwaltung von Joiner-Mover-Leaver-Prozessen sowie die Absicherung von Zugangsdaten, Sessions und administrativen Rechten.

Für KRITIS-nahe Unternehmen ist zudem wichtig, die ISO 27001 mit weiteren Rahmenwerken und regulatorischen Anforderungen wie ISO 27002, DSGVO und – je nach Branche – B3S oder KRITIS in Einklang zu bringen, um Informationssicherheit und Compliance ganzheitlich abzudecken.

Wie hängen Anforderungen und Controls zusammen?

Die Anforderungen der Kapitel 4 bis 10 legen fest, wie ein ISMS aufgebaut und betrieben werden muss – sie sind vollständig verpflichtend. Die Controls aus Anhang A sind dagegen konkrete Maßnahmen zur Risikobehandlung, die risikobasiert ausgewählt werden: Im Statement of Applicability dokumentiert das Unternehmen für jedes der 93 Controls, ob es angewendet wird, und begründet Auswahl oder Ausschluss. Die inhaltliche Umsetzungshilfe zu jedem Control liefert die begleitende ISO 27002 – sie ist ein Leitfaden, nach dem man sich nicht zertifizieren lassen kann. Wie ein ISMS entlang dieser Logik aufgebaut wird, zeigt unser Leitfaden zum ISMS-Aufbau.

Aus der Praxis: Wie ein begründeter Ausschluss im SoA aussieht, zeigt unser eigenes ISMS: Als Remote-First-Unternehmen haben wir mehrere physische Controls (A.7) aus dem Scope genommen, und da wir keine Software entwickeln, ebenso die Controls zur sicheren Entwicklung. Genau diese Transparenz erwartet der Auditor – nicht die Umsetzung aller 93 Controls, sondern eine nachvollziehbare Begründung für jede Auswahl und jeden Ausschluss.

ISO 27001 Controls identifizieren, bewerten und behandeln Informationsrisiken

ISO 27001 Controls sind konkrete Sicherheitsmaßnahmen, die ein Unternehmen implementieren kann, um Informationssicherheitsrisiken zu managen und die Anforderungen an die ISO 27001 zu erfüllen. Diese Maßnahmen decken verschiedene Bereiche ab und geben eine Erklärung zur Anwendbarkeit:

Richtlinien und Organisation: Entwickeln und pflegen Sie klare Informationssicherheitspolitiken und definieren Sie Verantwortlichkeiten, um die Sicherheitsziele der Organisation zu unterstützen.
Personal: Alle Mitarbeiter sollen geeignete Schulungen und Sensibilisierungsprogramme erhalten, um das Verständnis und die Bedeutung der Informationssicherheit zu fördern. Die Schulungen sollten spezifische Bedrohungen und Schutzmaßnahmen abdecken und regelmäßig aktualisiert werden.
Werte: Verwaltet und schützt die Informationswerte wie Daten, Hardware und Software effektiv. Die Maßnahmen umfassen die Klassifizierung und Kennzeichnung von Informationen nach Sensibilität und Kritikalität, regelmäßige Backups, Zugriffskontrollen und physische Sicherheitsmaßnahmen zum Schutz vor Verlust, Diebstahl oder Beschädigung.
Zugangskontrollen: Regeln Sie, wer Zugriff auf welche Informationen und Systeme hat, und schützen Sie den Zugang durch Passwörter, Berechtigungen und andere Sicherheitsmechanismen.
Kryptographie: Verwenden Sie Verschlüsselung und Schlüsselmanagement, um Informationen vor unbefugtem Zugriff zu schützen.
Physische Sicherheit: Sichern Sie physische Einrichtungen wie Büros und Serverräume gegen unbefugten Zugang und Umwelteinflüsse.
Betriebssicherheit: Planen und steuern Sie betriebliche Prozesse, um sicherzustellen, dass IT-Systeme sicher betrieben werden und vor Malware und anderen Bedrohungen geschützt sind.
Kommunikationssicherheit: Schützen Sie Netzwerke und die Übertragung von Informationen, sodass Daten sicher und unverändert ankommen.
Systementwicklung und Wartung: Integrieren Sie Sicherheitsanforderungen in den gesamten Lebenszyklus von IT-Systemen. Von der Entwicklung über die Implementierung bis zur Wartung.
Lieferantenmanagement: Verwalten Sie Sicherheitsaspekte in Beziehungen mit Lieferanten, um sicherzustellen, dass diese ebenfalls die Sicherheitsanforderungen der ISO 27001-Norm einhalten.
Vorfallmanagement: Erkennen, melden und managen Sie Sicherheitsvorfälle effektiv und konsequent, um Schäden zu minimieren und aus Vorfällen zu lernen.
Kontinuitätsmanagement: Planen und implementieren Sie Maßnahmen, um die Informationssicherheit auch während der Störungen aufrechtzuerhalten.

Insgesamt helfen diese Controls und die aufgeführten Maßnahmen zum Umgang mit Risiken dabei, Informationsrisiken zu identifizieren, zu bewerten und zu behandeln. Sie bilden somit das Rückgrat eines soliden Informationssicherheits-Managementsystems. Sie sorgen dafür, dass die Anforderungen an Informationssicherheit systematisch und umfassend gemäß ISO 27001 Norm adressiert werden.

Weiterführende Artikel zur ISO 27001:

Über den Autor

Can Adiguzel ist der Gründer von 360 Digital Transformation. Er ist TISAX-Berater und ISO 27001 Lead Auditor. Er ist seit mehr als 11 Jahren im IT-Projektmanagement tätig. Seine Leidenschaft ist die Informationssicherheit für den Mittelstand und er hilft dem Mittelstand bei der Bewältigung seiner Herausforderungen im Bereich der Informationssicherheit mit einem praxisnahen Beratungsansatz.

Quellen Nachweise:

[1] Bundesamt für Sicherheit in der Informationstechnik (BSI) (2023): ISO 27001-Zertifizierung auf Basis von IT-Grundschutz. (abgerufen am 08.07.2026).

[2] Bundesamt für Sicherheit in der Informationstechnik (BSI) (2026): #nis2know: ISO/IEC 27001 im Kontext NIS-2/BSIG. (abgerufen am 08.07.2026).

[3] International Organization for Standardization (ISO) (2022): ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements. (abgerufen am 08.07.2026).

[4] Mirtsch, M. (2023). Adoption of the Information Security Management System Standard ISO/IEC 27001: A Study Among German Organizations. International Journal for Quality Research, 17(3), 747–768.

Letzte Aktualisierung: 10.07.2026