ISO/IEC 27001:2022
Einführung von ISO/IEC 27001
Bauen Sie ein Informationssicherheits-Managementsystem (ISMS) auf, das Ihr Team betreiben und ein Auditor prüfen kann. Aegentra legt den Anwendungsbereich fest, führt die Risikobeurteilung durch, erstellt die Erklärung zur Anwendbarkeit, setzt vereinbarte Maßnahmen um und ordnet die Nachweise für eine unabhängige Zertifizierungsstelle – mit Beraterinnen und Beratern in Europa, remote und vor Ort in Deutschland.
Was wir liefern
Was die Einführung liefert
Ihr schriftlicher Leistungsumfang legt die Ergebnisse und die Verantwortlichen fest. Das Projekt ist auf diese Ergebnisse ausgerichtet.
- Anwendungsbereich und Kontext
- Eine klare Abgrenzung von Leistungen, Standorten, Systemen und Lieferanten, mit den Anforderungen interessierter Parteien und den für Sie geltenden Verpflichtungen.
- Risikobeurteilung und -behandlung
- Vereinbarte Risikokriterien, ein Register der Informationssicherheitsrisiken, Behandlungsentscheidungen und verantwortliche Personen.
- Erklärung zur Anwendbarkeit
- Die Maßnahmen, die Ihre Risiken erfordern, ihr Umsetzungsstand und die Begründung jeder Aufnahme und jedes Ausschlusses, abgeglichen mit den 93 Referenzmaßnahmen in Anhang A.
- Richtlinien und Verfahren
- Die dokumentierte Information, die die Norm verlangt, so geschrieben, wie Ihre Organisation tatsächlich arbeitet.
- Umgesetzte Maßnahmen und Nachweise
- Vereinbarte Umsetzungsarbeit und ein Nachweisregister, das zeigt, was wirkt, wer verantwortlich ist und wann es zuletzt geprüft wurde.
- Managementbewertung und Übergabe
- Vorbereitung der Managementbewertung, eine Liste offener Maßnahmen und eine geordnete Übergabe für das Zertifizierungsaudit.
Hintergrund
Was ISO/IEC 27001 ist
ISO/IEC 27001:2022 ist die internationale Norm für Informationssicherheits-Managementsysteme. Die Abschnitte 4 bis 10 enthalten die Anforderungen an das Managementsystem; Anhang A listet 93 Referenzmaßnahmen, mit denen Sie die aus Ihrer Risikobehandlung abgeleiteten Maßnahmen abgleichen. Die Norm verlangt risikobasiert ausgewählte Maßnahmen, keine feste Checkliste.
Die Zertifizierung erfolgt durch eine unabhängige Zertifizierungsstelle in zwei Stufen: Stufe 1 prüft das dokumentierte System, Stufe 2 die Wirksamkeit im Betrieb. Aegentra führt ein und bereitet vor; die Zertifizierungsstelle entscheidet.
ISO/IEC 27001 und NIS2
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) verpflichtet wesentliche und wichtige Einrichtungen zu geeigneten Risikomanagementmaßnahmen im Bereich der Cybersicherheit (Artikel 21), darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette und Zugriffskontrolle. ISO/IEC 27001 wird häufig genutzt, um diese Maßnahmen zu strukturieren und nachzuweisen.
Ein ISO/IEC-27001-Zertifikat belegt für sich genommen nicht die Einhaltung von NIS2. Ob und wie die Richtlinie für Sie gilt und was die nationale Umsetzung verlangt, muss gesondert geprüft werden. Wir ordnen das ISMS den Maßnahmen aus Artikel 21 zu, damit ein System beides unterstützt.
Was diese Leistung nicht ist
Sie ist keine Zertifizierung, keine Rechtsberatung und kein internes Audit unserer eigenen Arbeit. Interne Audits werden gesondert beauftragt und von einer Person durchgeführt, die an der Einführung nicht beteiligt war, oder von einem anderen Anbieter.
So läuft es ab
Vom Erstgespräch zum Zertifizierungsaudit
Erstgespräch
Wir klären, warum Sie ISO/IEC 27001 benötigen, welche Leistungen und Standorte in den Anwendungsbereich gehören, welche Maßnahmen bereits bestehen und welche Termine Sie anstreben. Danach erhalten Sie ein Festpreisangebot.
Gap-Analyse
Wir vergleichen den heutigen Stand mit der Norm und vereinbaren Prioritäten mit verantwortlichen Personen.
Risiko und Anwendbarkeit
Wir führen die Risikobeurteilung durch, vereinbaren die Behandlung und dokumentieren die ausgewählten Maßnahmen in der Erklärung zur Anwendbarkeit.
Aufbau
Richtlinien, Verfahren und vereinbarte Änderungen werden mit Ihrem Team umgesetzt und als Nachweis dokumentiert.
Internes Audit und Managementbewertung
Ein gesondert beauftragtes, unabhängiges internes Audit prüft das ISMS; danach bewertet die Leitung Ergebnisse, Risiken und Maßnahmen.
Übergabe zur Zertifizierung
Wir ordnen das Nachweispaket und die offenen Maßnahmen für Stufe 1 und Stufe 2. Die Audittermine legt die von Ihnen gewählte Zertifizierungsstelle fest.
Für wen es passt
Für wen sich die Leistung eignet
- Organisationen, deren Kunden oder Ausschreibungen eine ISO/IEC-27001-Zertifizierung verlangen.
- Einrichtungen, die Risikomanagementmaßnahmen nach NIS2 vorbereiten und dafür eine anerkannte Managementsystem-Struktur nutzen möchten.
- Software- und Dienstleistungsunternehmen, die Kundendaten in der Cloud verarbeiten.
- Teams mit einem stockenden oder vorlagenbasierten ISMS, das einem Audit der Stufe 2 nicht standhalten würde.
- Organisationen mit einer anderen ISO-Zertifizierung, die Informationssicherheit integrieren möchten.
Fragen
Häufige Fragen
Macht uns eine ISO/IEC-27001-Zertifizierung NIS2-konform?
Nein. ISO/IEC 27001 kann viele der Risikomanagementmaßnahmen strukturieren und nachweisen, die Artikel 21 der Richtlinie (EU) 2022/2555 verlangt. Ein Zertifikat belegt für sich genommen aber nicht die Einhaltung von NIS2. Ihre Pflichten hängen davon ab, ob Sie in den Anwendungsbereich fallen, und von der nationalen Umsetzung; beides muss gesondert geprüft werden.
Müssen wir alle 93 Maßnahmen aus Anhang A umsetzen?
Nein. Anhang A ist eine Referenzliste. Sie wählen die Maßnahmen, die Ihre Risikobehandlung erfordert, dokumentieren sie in der Erklärung zur Anwendbarkeit und begründen jeden Ausschluss.
Stellt Aegentra das Zertifikat aus?
Nein. Aegentra ist keine Zertifizierungsstelle. Eine unabhängige akkreditierte Zertifizierungsstelle führt die Audits der Stufen 1 und 2 durch und entscheidet über die Zertifizierung. Ihre Gebühren sind gesondert und werden direkt an sie gezahlt.
Wie lange dauert die Einführung?
Das hängt vom Anwendungsbereich, Ihrem Ausgangsstand, der technischen Komplexität und davon ab, wie schnell Entscheidungen und Nachweise vorliegen. Wir bestätigen einen Plan nach dem Erstgespräch und versprechen keinen Zertifizierungstermin, da die Audittermine von der Zertifizierungsstelle bestimmt werden.
Was kostet es?
Wir veröffentlichen keinen Preis. Nach einem Erstgespräch bieten wir einen Festpreis für den vereinbarten Umfang an, mit schriftlich festgehaltenen Annahmen, Verantwortlichkeiten und Ausschlüssen.
Können Sie auch unser internes Audit durchführen?
Ja, als gesonderten Auftrag. Das Audit übernimmt eine Person, die an der Einführung Ihres ISMS nicht beteiligt war, nach dokumentierter Prüfung von Kompetenz, früherer Beteiligung und Interessenkonflikten. Lässt sich die Objektivität nicht sicherstellen, ist ein anderer Anbieter erforderlich.
Sie planen ISO/IEC 27001?
Nennen Sie uns Umfang und Termin. Wir sagen Ihnen ehrlich, was dafür nötig ist.