Was es ist

Legt Anforderungen fest, die ein ISMS erfüllen muss: aufbauen, umsetzen, aufrechterhalten und fortlaufend verbessern. Für Organisationen jeder Größe und Branche. Konformität bedeutet laut ISO, dass ein System zur Steuerung von Risiken für die Sicherheit der eigenen oder verarbeiteten Daten besteht.

Herausgeber und Fassung

ISO und IEC, gemeinsames Komitee ISO/IEC JTC 1/SC 27. ISO/IEC 27001:2022, Edition 3, veröffentlicht 2022-10, 19 Seiten, ersetzt ISO/IEC 27001:2013 mit Corrigenda. Amendment 1:2024 „Climate action changes“.

Wer zertifiziert

ISO selbst zertifiziert nicht. ISO entwickelt die Normen; Zertifikate stellen Zertifizierungsstellen aus. Ihre Kompetenz bestätigt eine nationale Akkreditierungsstelle, in Deutschland die DAkkS. Akkreditierung ist laut ISO nicht verpflichtend; akkreditierte Zertifizierungen lassen sich in der IAF-Datenbank CertSearch prüfen.

Bezug zum Rechenzentrum

Sicherheitsnachweis für den Betrieb; die Norm ist branchenneutral und enthält keine RZ-spezifischen Bauvorgaben.

Verhältnis zu NIS2, DORA, KRITIS

§ 39 Abs. 1 BSIG lässt Betreiber kritischer Anlagen ihre Maßnahmen durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen (KRITIS-Nachweis nach § 39 BSIG). Welche Nachweise geeignet sind, kann das BSI nach § 39 Abs. 2 festlegen.

Abgrenzung

• ISO 27001 auf Basis von IT-Grundschutz: ISO 27001 auf Basis IT-Grundschutz, ausgestellt vom BSI.
• BSI C5: Testat für Cloud-Dienste; der C5:2026 berücksichtigt ISO/IEC 27001:2022.
• SOC 2: Prüfbericht nach US-Standard, kein Zertifikat.
• TSI und Uptime Tier: physische RZ-Infrastruktur.