Kurz-Fakten

  • Aktuelle Fassung: ISO/IEC 27001:2022
  • Gegenstand ist das Managementsystem, nicht ein Produkt und nicht ein einzelner Dienst
  • Der Geltungsbereich ist frei wählbar und entscheidet über die Aussagekraft des Zertifikats
  • Zertifikate stellen akkreditierte Stellen aus, üblich sind drei Jahre Laufzeit mit jährlicher Überwachung
  • Das BSI kennt eine deutsche Variante: ISO 27001 auf Basis von IT-Grundschutz

Bedeutung in der Praxis

Die Frage an ein Zertifikat lautet nie „haben Sie eines“, sondern „wofür gilt es“. Ein Zertifikat, dessen Geltungsbereich die Rechenzentrumsräume und die Personalverwaltung umfasst, sagt über den eingekauften Dienst wenig aus. Der Geltungsbereich steht auf dem Zertifikat, und er ist der Teil, den kaum jemand liest.

Der Unterschied zu BSI C5 liegt im Gegenstand: ISO 27001 prüft, ob eine Organisation Informationssicherheit systematisch steuert; C5 prüft einen konkreten Cloud-Dienst gegen einen Kriterienkatalog und verlangt zusätzlich Angaben zu Gerichtsstand, Verarbeitungsort und staatlichem Zugriff. Wer beides gleichsetzt, verlangt in der Ausschreibung etwas anderes, als er meint.

Verwandte Begriffe

Quellen und Weiterlesen