Blog
Newsletter
Shop
Login
ISO/IEC 27001: Der führende IT-Sicherheitsstandard wurde reformiert
Data Privacy von Ioannis Dimas
Die weltweit führende Norm ISO/IEC 27001 zur Etablierung eines Informationssicherheitsmanagementsystems (ISMS) wurde aktualisiert, um den modernen Anforderungen unserer digitalisierten Gesellschaft besser gerecht zu werden.
Die ISO/IEC 27001 diente bereits in der Vergangenheit als Basis und Wegbereiter für andere Informationssicherheitssysteme, wie beispielsweise der TISAX®. Auch der Gesetzgeber hat sich schon von der ISO/IEC 27001 inspirieren lassen und die etablierten und bewährten Methoden aus der Norm in die EU Datenschutz-Grundverordnung (DS-GVO) einfließen lassen. Mithilfe der ISO/IEC 27001 Normreihe lässt sich ein ISMS unabhängig von der Unternehmensgröße etablieren. Nun wurde die Norm reformiert und der Standard ISO/IEC 27001:2022 veröffentlicht.
Übergangsfrist bis zum 31.10.2025
Die Norm ISO/IEC 27001:2022 bildet zukünftig die Grundlage für Zertifizierungen eines ISMS. Für die Umstellung der auf Basis der DIN EN ISO/IEC 27001:2013 einschließlich Cor 1:2014 und Cor 2:2015 bzw. DIN EN ISO/IEC 27001:2017 ausgestellten Zertifikate auf die ISO/IEC 27001:2022 wurde eine Umstellungsfrist von 3 Jahren festgelegt. Bereits zertifizierte Unternehmen haben somit bis zum 31.10.2025 Zeit, auf die neue Norm umzustellen. Zertifikate, die auf der Grundlage der alten Norm ausgestellt wurden, verlieren ab diesem Datum ihre Gültigkeit. ISO/IEC 27001:2022 ist keine vollständig überarbeitete Ausgabe. Maßgebliche Änderungen haben wir Ihnen unten aufgeführt.
Die Gründe für die Normaktualisierung
Die fortschreitende Entwicklung in der Technologie erfordert eine permanente Anpassung der eigenen Unternehmensinfrastruktur, der organisatorischen und prozessualen Vorgaben im Unternehmen. Immer mehr Aktivitäten und Prozesse, die bisher in den eignen vier Wänden des Unternehmens stattfanden, werden zu Dienstleistern oder in die Cloud ausgelagert. Damit ergeben sich neue und ausgeprägtere Bedrohungen auf IT-Systeme und Prozessabläufe. Aber auch die Norm selbst, sollte in eine Struktur überführt werden, die bereits von anderen ISO-Normen verwendet werden und somit diese Normen alle harmonisiert werden.
Angepasste Punkte:
- Die in der ISO/IEC 27001 aufgeführten Informationssicherheitsmaßnahmen wurden überarbeitet, und umstrukturiert. Die bisherige Anzahl von 114 Informationssicherheitsmaßnahmen wurden auf 93 reduziert und in vier Hauptkategorien zugeordnet:
- organisatorische Maßnahmen
- personenbezogene Maßnahmen
- physische Maßnahmen
- technologische Maßnahmen - Stärkung des Schutzes von personenbezogenen Daten durch die Hinzuziehung von weiteren Maßnahmen, um dies zu gewährleisten
- Verbesserte und verschärfte Anforderungen, um die Nutzung von Clouddiensten und -Produkten sicher und rechtskonform zu verwenden
- Maßnahmen zur Sicherstellung des Business Continuity Management (BCM) – Betriebliches Kontinuitätsmanagement
- Prozessorientierung – Beispielsweise Maßnahmen zur Definition und Einhaltung von Prozesskriterien und der Prozesssteuerung
- Risikobewertung und -behandlung
- Klarer und transparenter Umgang mit Informationen
- Regelungen zur Kommunikation – wer darf, was, wann und mit wem kommunizieren?
- Neustrukturierung von Internen Audits und Managementbewertungen und Berichtswesen
- Kontinuierliche Verbesserung / Kontinuierlicher Verbesserungsprozess (KVP)
Bedeutung der Norm für Organisationen (Unternehmen, Behörden, Institutionen etc.)
Das bisher etablierte ISMS muss gegebenenfalls an die neue Normstruktur der ISO/IEC 27001 angepasst werden. Das schlägt sich hauptsächlich in der Formulierung der organisationseigenen "Erklärung zur Anwendbarkeit" (Statement of Applicability (SoA)) sowie der Dokumentation nieder, das bedeutet nicht, dass komplett alles über Bord geworfen werden muss und neu erdacht wird, sondern dass Anpassungen vorgenommen werden müssen.
Unternehmen, die noch nicht zertifiziert wurden oder die demnächst vor einer Rezertifizierung stehen, sollten die Chance nutzen, sich nach der aktuellen neu strukturierten Fassung der Norm zertifizieren zu lassen.
Die Umsetzung der ISO/IEC 27001, bietet auch eine hervorragende Grundlage um die Anforderungen und Vorgaben der DS-GVO und der EU NIS 2 Richtlinie umzusetzen.
Vorteile durch die Umsetzung der Norm und Zertifizierung nach ISO/IEC 27001
- Wirksame und dokumentierte IT-Sicherheit in Ihrem Unternehmen
- Schutz von Informationen durch auf den Stand der Technik beruhenden Maßnahmen (Schutz von internen Daten, Konstruktionsunterlagen, Produktions- und Verfahrenstechniken usw.)
- Vermeidung externer Audits auf Initiative von Vertragspartnern und damit Offenlegung interner Prozesse
- Dokumentierte und revisionsgerechte Zugriffsrechteverwaltung
- Positive Außenwirkung gegenüber Kunden, Lieferanten, Investoren und weiteren Bezugsgruppen und dadurch Umsatz- und Gewinnzuwachs durch höheres Vertrauen
- Erfüllung der Voraussetzung für die Neukundengewinnung
- Absicherung des Managements bei Haftungsfragen
Bei Fragen stehen wir Ihnen gerne beratend und unterstützend zur Verfügung und freuen uns auf Ihre Kontaktaufnahme.
Autoren
Markus Espenhain
Unser Geschäftsführer und Gründer ist für die Strategie und den Kontakt zu Kunden & Partnern verantwortlich. Im Blog stellt er Ihnen neue Partnerschaften und Unternehmens-News vor.
Ioannis Dimas
Datenschutz und Informationssicherheit sind seine Herzensangelegenheit. Er berät Unternehmen zu diesen Themen und kann viel dazu berichten.
Chantal Nußbaum
In den Bereichen Datenschutz und Informationssicherheit liegt ihr Schwerpunkt. Durch Fortbildungen ist sie immer auf dem neusten Stand der Gesetze.
Christian Gleich
Sein Schwerpunkt liegt in dem Kontakt zu Kunden. Durch seine tägliche Arbeit mit unserem gesamten Produktportfolio landen Neuigkeiten immer zuerst bei ihm.
