Informationssicherheits-Managementsystem
Einführung von ISO/IEC 27001:2022
Wir führen Ihr Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001:2022 ein und integrieren es mit dem ENS, wenn dieses ebenfalls für Sie gilt. Wir sind seit 2020 nach ISO/IEC 27001 zertifiziert.
Die Norm
Was ist ISO/IEC 27001?
ISO/IEC 27001 ist die internationale Norm, die die Anforderungen an ein Informationssicherheits-Managementsystem festlegt. Sie beruht auf Risikoanalyse und kontinuierlicher Verbesserung: Die Organisation entscheidet, welche Controls sie braucht, wendet sie an, misst ihre Wirksamkeit und überprüft sie.
Die geltende Fassung von 2022 gliedert ihren Anhang A in 93 organisatorische, personenbezogene, physische und technologische Controls. Die Zertifizierung ist bei Technologieunternehmen, die mit Daten Dritter arbeiten, weit verbreitet und eine gute Basis für alle, die zusätzlich das ENS erfüllen müssen.
ENS + ISO/IEC 27001
Ein System für beide Regelwerke
ENS und ISO/IEC 27001 folgen derselben Logik des Risikomanagements. Integriert arbeitet man mit einer einzigen Risikoanalyse, einer gemeinsamen Richtlinie und einer Dokumentation, die für beide Audits dient.
| Aspekt | ENS (RD 311/2022) | ISO/IEC 27001:2022 |
|---|---|---|
| Charakter | Verpflichtend für den öffentlichen Sektor und seine Lieferanten (RD 311/2022). | Internationale Norm, freiwillig anwendbar. |
| Ansatz | Sicherheitsmaßnahmen abhängig von der Kategorie des Systems. | Managementsystem mit Controls, die anhand der Risikoanalyse ausgewählt werden. |
| Maßnahmen oder Controls | Anhang II: organisatorischer und operativer Rahmen sowie Schutzmaßnahmen. | Anhang A: 93 organisatorische, personenbezogene, physische und technologische Controls. |
| Zentrales Dokument | Anwendbarkeitserklärung. | Erklärung zur Anwendbarkeit (SoA). |
| Konformität | Erklärung (BASIS) oder Zertifizierung (MITTEL und HOCH) durch eine akkreditierte Stelle. | Zertifizierung durch eine akkreditierte Stelle. |
| Audits | Mindestens alle zwei Jahre. | Dreijahreszyklus mit jährlichen Überwachungsaudits. |
Methodik
Phasen der ISMS-Einführung
-
Kontext und Geltungsbereich
Interessierte Parteien, gesetzliche und vertragliche Anforderungen sowie Geltungsbereich des ISMS, abgestimmt auf den des ENS, falls zutreffend.
-
Führung und Richtlinie
Engagement der Leitung, Sicherheitsrichtlinie, Ziele und Rollen.
-
Risiken und SoA
Risikobeurteilung und -behandlung sowie Erklärung zur Anwendbarkeit der Controls aus Anhang A.
-
Einführung
Controls, Verfahren, Schulung und Sensibilisierung sowie Nachweisregister.
-
Internes Audit
Internes Audit und Managementbewertung vor der Zertifizierung.
-
Zertifizierung
Begleitung in Stufe 1 und 2 des Audits der Zertifizierungsstelle.
Eigene Erfahrung
Seit 2020 nach ISO/IEC 27001 zertifiziert
Wir haben die Zertifizierung aufgrund unserer täglichen Arbeit mit Daten von Einrichtungen des öffentlichen und privaten Sektors erworben und halten sie gemeinsam mit dem ENS Kategorie MITTEL aufrecht. Mit diesem System entwickeln wir die Individualsoftware und die Lösungen, die wir bei unseren Kunden installieren.
Unsere Zertifizierungen ansehen
Häufige Fragen
Fragen zu ISO/IEC 27001
Erfülle ich mit ISO/IEC 27001 bereits das ENS?
Nicht automatisch. Ein Großteil der Arbeit lässt sich wiederverwenden (Risikoanalyse, Richtlinie, Controls und Dokumentation), aber das ENS hat eigene, kategorieabhängige Maßnahmen und ein eigenes Konformitätsverfahren. Deshalb empfiehlt sich eine integrierte Einführung.
Ist ISO/IEC 27001 Pflicht für die Arbeit mit der öffentlichen Verwaltung?
Gesetzlich ist sie anders als das Nationale Sicherheitsschema nicht vorgeschrieben, aber manche Ausschreibungen verlangen sie als Anforderung oder bewerten sie als Zuschlagskriterium.
Was hat sich in der Version 2022 der Norm geändert?
Anhang A wurde von 114 Controls in 14 Domänen auf 93 Controls in vier Themen umgestellt: organisatorisch, personenbezogen, physisch und technologisch. Hinzu kamen 11 neue Controls, etwa Threat Intelligence, Sicherheit bei Cloud-Diensten, sichere Programmierung oder Verhinderung von Datenabfluss.
Wie lange gilt die ISO/IEC 27001-Zertifizierung?
Das Zertifikat hat einen Zyklus von drei Jahren, mit jährlichen Überwachungsaudits und einem Rezertifizierungsaudit am Ende des Zyklus.
Möchten Sie sich nach ISO/IEC 27001 zertifizieren lassen?
Wir schlagen Ihnen einen mit dem ENS integrierten Einführungsplan vor, zugeschnitten auf den Geltungsbereich Ihrer Organisation.
