--- id: CP-376 slug: iso-27001-27002-isms-de lang: de title: "ISO 27001 und 27002: das Managementsystem für Informationssicherheit" description: Was ein Managementsystem für Informationssicherheit für Beschäftigte und die Geschäftsleitung ändert, mit Ressourcen von NIST und NCSC. canonical_url: https://startbrain.io/cyberpedia/de/articles/iso-27001-27002-isms-de/ markdown_url: https://startbrain.io/cyberpedia/de/articles/iso-27001-27002-isms-de.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „ISO 27001 und 27002: das Managementsystem für Informationssicherheit“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/iso-27001-27002-isms-de/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-032 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/iso-27001-27002-isms-de/ fr: https://startbrain.io/cyberpedia/fr/articles/iso-27001-27002-smsi/ en: https://startbrain.io/cyberpedia/en/articles/iso-27001-27002-isms/ es: https://startbrain.io/cyberpedia/es/articles/iso-27001-27002-sgsi/ sources: - "n": 1 title: Security and Privacy Controls for Information Systems and Organizations publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" - "n": 2 title: Risk management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/risk-management published: "2023-06-23" accessed: "2026-11-03" - "n": 3 title: Cyber Security Toolkit for Boards publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/board-toolkit published: "2023-03-30" accessed: "2026-11-03" - "n": 4 title: Guide for Conducting Risk Assessments publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/30/r1/final accessed: "2026-11-03" - "n": 5 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" - "n": 6 title: CSF 2.0 Resources publisher: NIST url: https://www.nist.gov/cyberframework/resources published: "2024-03-06" accessed: "2026-11-03" - "n": 7 title: Cybersecurity Best Practices publisher: CISA url: https://www.cisa.gov/topics/cybersecurity-best-practices accessed: "2026-11-03" - "n": 8 title: Cybersecurity and Privacy Reference Tool CPRT publisher: NIST url: https://csrc.nist.gov/projects/cprt/catalog accessed: "2026-11-03" --- # ISO 27001 und 27002: das Managementsystem für Informationssicherheit Dieser Beitrag behandelt das Management der Informationssicherheit in einer Organisation (ISMS) aus Sicht der Beschäftigten und der Geschäftsleitung. Nur eine der hier zitierten Quellen erwähnt eine ISO-Norm, nämlich ISO/IEC 27001:2022 [1]. Die hier zitierten Quellen stammen von öffentlichen Stellen in den USA und im Vereinigten Königreich (NIST, NCSC, CISA). Sie geben weder den Text der ISO-Normen noch den der NIS-2-Richtlinie noch Veröffentlichungen der ANSSI wieder. Diese Punkte werden hier daher nicht beschrieben: Der Beitrag beschränkt sich auf das, was diese Quellen zu Risikomanagement, zur Rolle der Geschäftsleitung und zu Maßnahmenkatalogen belegen. ## In 30 Sekunden - Wo es vorkommt: in jeder Organisation, die Cyberrisiken strukturiert steuert, auf Leitungsebene ebenso wie in den Teams. - Worauf es zielt: Sicherheitsmaßnahmen nach den tatsächlichen Risiken der Organisation festlegen und nicht, um eine Anforderung abzuhaken [2]. - Der Reflex: Wenn Ihnen eine Aktivität oder ein Verhalten verdächtig vorkommt, melden Sie es, denn schon die Meldung zählt [7]. ## Direkte Fragen ### Was ist ein ISMS konkret? Die hier zitierten Quellen definieren den Begriff nicht. Das NCSC beschreibt ein verwandtes Vorgehen: grundlegende Konzepte, dann übergeordnete Schritte, die als Grundlage für jeden Prozess des Cyberrisikomanagements dienen können [2]. ### Wie hängt es mit ISO 27001 und 27002 zusammen? Die hier zitierten Quellen beschreiben diese Normen nicht. Nur eine erwähnt sie: Das NIST veröffentlicht eine Zuordnung zwischen seinem Maßnahmenkatalog SP 800-53 Rev. 5 und ISO/IEC 27001:2022 [1]. Das NIST fügt hinzu, dass diese Tabellen einen allgemeinen Hinweis auf die Abdeckung geben, dass aus ihnen keine Gleichwertigkeit abgeleitet werden darf und dass die Zuordnungen nicht immer eins zu eins sind [1]. ### Was muss die Geschäftsleitung tun? Das NCSC hat ein Toolkit für Leitungsgremien (Boards) verfasst. Es begleitet einen Verhaltenskodex für Cyber-Governance und soll Boards helfen, Resilienz und Risikomanagement in den Menschen, Systemen, Prozessen und Technologien der Organisation zu verankern [3]. ### Was muss ein Beschäftigter tun? Die CISA zählt starke Passwörter, Software-Updates, Vorsicht bei verdächtigen Links und Multifaktor-Authentifizierung zur grundlegenden Hygiene [7]. Sie schreibt, diese Grundlagen gälten für Privatpersonen ebenso wie für Organisationen [7]. Sie ruft außerdem dazu auf, jedes verdächtige Verhalten zu melden [7]. ## Was sich für Beschäftigte ändert Für Beschäftigte zeigt sich ein Managementsystem vor allem in den Regeln des Alltags und darin, zu wissen, an wen man sich wendet. Die CISA nennt die grundlegenden Hygienemaßnahmen: starke Passwörter, Updates, Vorsicht bei Links, Multifaktor-Authentifizierung [7]. Sie bietet außerdem Schulungen und Workshops an, etwa einen Einführungsworkshop für lokale Verantwortliche zu gängigen Bedrohungen und Grundpraktiken [7]. Die Meldung gehört zum Vorgehen. Die CISA erklärt, jeder könne helfen, eine Bedrohung abzuwehren, indem er verdächtige Aktivitäten oder merkwürdiges Verhalten meldet [7]. Die hier zitierten Quellen nennen nicht das interne Verfahren eines bestimmten Unternehmens: Es hängt von der Organisation ab, und sie teilt es mit. ## Was sich für die Geschäftsleitung ändert Das NCSC schreibt, die Verbesserung der Geschäftsergebnisse müsse der wichtigste Antrieb des Cyberrisikomanagements sein. Es befürwortet ein Management, das „illuminates the real cyber risks“ der Organisation, statt Techniken, die nur Compliance-Anforderungen erfüllen wollen [2]. Es stellt klar, dass sein Leitfaden nicht vorschreibend ist und dass keine Technik für alle Situationen passt [2]. Für Boards hat das NCSC ein Toolkit veröffentlicht, das sich am Cyber Governance Code of Practice orientiert. Es enthält zwei Einführungsmodule, darunter eines für Einsteiger in die Cybersicherheit, sowie ein Dokument mit Fragen, die das Board stellen kann, um die Leistung der Organisation zu beurteilen [3]. In seinem Leitfaden SP 800-30 Rev. 1 (September 2012) beschreibt das NIST die Risikobewertung als Teil eines übergreifenden Risikomanagementprozesses, der Führungskräften die Informationen für ihre Entscheidungen liefert [4]. ## Was der Text sagt Die ISO-Texte sind in den hier zitierten Quellen nicht enthalten: Ihr genauer Inhalt (Anforderungen, Maßnahmen, Geltungsbereich, Erklärung zur Anwendbarkeit, Ablauf einer Zertifizierung) wird hier daher nicht zusammengefasst. Die Quellen liefern dagegen Angaben zu verwandten Regelwerken. Der Katalog SP 800-53 Rev. 5 des NIST (veröffentlicht im September 2020) bündelt Sicherheits- und Datenschutzmaßnahmen, die Betrieb, Werte und Personen vor vielfältigen Bedrohungen schützen sollen, darunter feindliche Angriffe, menschliche Fehler und Naturkatastrophen [1]. Er enthält Maßnahmenfamilien wie Zugriffskontrolle, Sensibilisierung und Schulung, Reaktion auf Vorfälle oder Risikobewertung [1]. Das Cybersecurity Framework des NIST in Version 2.0 wird als Werkzeug zur Verringerung von Cyberrisiken vorgestellt, mit Schnellstartleitfäden, Profilen und Zuordnungstabellen zu anderen Ressourcen [5]. Ein Einstiegsleitfaden für kleine und mittlere Unternehmen bietet Ressourcen, um eine Strategie für das Risikomanagement zu starten [6]. Schließlich bietet das NIST ein Online-Referenzwerkzeug zu Cybersicherheit und Datenschutz an, das CPRT [8]. ## Stand der Umsetzung Keine der hier zitierten Quellen behandelt die Umsetzung von NIS 2, die europäische Regulierung oder Ressourcen der ANSSI. Keine nennt die Dauer oder den Zeitplan einer ISO-27001-Zertifizierung. Diese Punkte müssen noch mit geeigneten Quellen belegt werden. Was die Quellen zum Stand der genannten Regelwerke erlauben: Das NIST hat am 27. August 2025 eine Zwischenversion von SP 800-53 veröffentlicht, die Version 5.2.0, mit neuen Maßnahmen und Überarbeitungen bestehender Maßnahmen [1]. Es hat außerdem drei einführende Selbstlernkurse online gestellt, zum Katalog SP 800-53, zu seinen Bewertungsverfahren (SP 800-53A) und zu seinen Baselines (SP 800-53B) [6]. Das NCSC gibt für sein Toolkit eine Version 3.0 an, überprüft am 8. April 2025 [3]. ## Quellen 1. NIST, „Security and Privacy Controls for Information Systems and Organizations“. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (abgerufen am 3. November 2026) 2. NCSC (Royaume-Uni), „Risk management“, 23. Juni 2023. https://www.ncsc.gov.uk/collection/risk-management (abgerufen am 3. November 2026) 3. NCSC (Royaume-Uni), „Cyber Security Toolkit for Boards“, 30. März 2023. https://www.ncsc.gov.uk/collection/board-toolkit (abgerufen am 3. November 2026) 4. NIST, „Guide for Conducting Risk Assessments“. https://csrc.nist.gov/pubs/sp/800/30/r1/final (abgerufen am 3. November 2026) 5. NIST, „Cybersecurity Framework“. https://www.nist.gov/cyberframework (abgerufen am 3. November 2026) 6. NIST, „CSF 2.0 Resources“, 6. März 2024. https://www.nist.gov/cyberframework/resources (abgerufen am 3. November 2026) 7. CISA, „Cybersecurity Best Practices“. https://www.cisa.gov/topics/cybersecurity-best-practices (abgerufen am 3. November 2026) 8. NIST, „Cybersecurity and Privacy Reference Tool CPRT“. https://csrc.nist.gov/projects/cprt/catalog (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/iso-27001-27002-isms-de/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.