ISO 27001 und 27002: das Managementsystem für Informationssicherheit
Was ein Managementsystem für Informationssicherheit für Beschäftigte und die Geschäftsleitung ändert, mit Ressourcen von NIST und NCSC.
In 30 Sekunden
- Wo es vorkommt
- In jeder Organisation, die Cyberrisiken strukturiert steuert, auf Leitungsebene ebenso wie in den Teams.
- Worauf es zielt
- Sicherheitsmaßnahmen nach den tatsächlichen Risiken der Organisation festlegen und nicht, um eine Anforderung abzuhaken2.
- Der Reflex
- Wenn Ihnen eine Aktivität oder ein Verhalten verdächtig vorkommt, melden Sie es, denn schon die Meldung zählt7.
Worum es geht
Dieser Beitrag behandelt das Management der Informationssicherheit in einer Organisation (ISMS) aus Sicht der Beschäftigten und der Geschäftsleitung. Nur eine der hier zitierten Quellen erwähnt eine ISO-Norm, nämlich ISO/IEC 27001:20221.
Die hier zitierten Quellen stammen von öffentlichen Stellen in den USA und im Vereinigten Königreich (NIST, NCSC, CISA). Sie geben weder den Text der ISO-Normen noch den der NIS-2-Richtlinie noch Veröffentlichungen der ANSSI wieder. Diese Punkte werden hier daher nicht beschrieben: Der Beitrag beschränkt sich auf das, was diese Quellen zu Risikomanagement, zur Rolle der Geschäftsleitung und zu Maßnahmenkatalogen belegen.
Direkte Fragen
Was ist ein ISMS konkret?
Die hier zitierten Quellen definieren den Begriff nicht. Das NCSC beschreibt ein verwandtes Vorgehen: grundlegende Konzepte, dann übergeordnete Schritte, die als Grundlage für jeden Prozess des Cyberrisikomanagements dienen können2.
Wie hängt es mit ISO 27001 und 27002 zusammen?
Die hier zitierten Quellen beschreiben diese Normen nicht. Nur eine erwähnt sie: Das NIST veröffentlicht eine Zuordnung zwischen seinem Maßnahmenkatalog SP 800-53 Rev. 5 und ISO/IEC 27001:20221. Das NIST fügt hinzu, dass diese Tabellen einen allgemeinen Hinweis auf die Abdeckung geben, dass aus ihnen keine Gleichwertigkeit abgeleitet werden darf und dass die Zuordnungen nicht immer eins zu eins sind1.
Was muss die Geschäftsleitung tun?
Das NCSC hat ein Toolkit für Leitungsgremien (Boards) verfasst. Es begleitet einen Verhaltenskodex für Cyber-Governance und soll Boards helfen, Resilienz und Risikomanagement in den Menschen, Systemen, Prozessen und Technologien der Organisation zu verankern3.
Was muss ein Beschäftigter tun?
Die CISA zählt starke Passwörter, Software-Updates, Vorsicht bei verdächtigen Links und Multifaktor-Authentifizierung zur grundlegenden Hygiene7. Sie schreibt, diese Grundlagen gälten für Privatpersonen ebenso wie für Organisationen7. Sie ruft außerdem dazu auf, jedes verdächtige Verhalten zu melden7.
1Was sich für Beschäftigte ändert1 min
Für Beschäftigte zeigt sich ein Managementsystem vor allem in den Regeln des Alltags und darin, zu wissen, an wen man sich wendet. Die CISA nennt die grundlegenden Hygienemaßnahmen: starke Passwörter, Updates, Vorsicht bei Links, Multifaktor-Authentifizierung7. Sie bietet außerdem Schulungen und Workshops an, etwa einen Einführungsworkshop für lokale Verantwortliche zu gängigen Bedrohungen und Grundpraktiken7.
Die Meldung gehört zum Vorgehen. Die CISA erklärt, jeder könne helfen, eine Bedrohung abzuwehren, indem er verdächtige Aktivitäten oder merkwürdiges Verhalten meldet7. Die hier zitierten Quellen nennen nicht das interne Verfahren eines bestimmten Unternehmens: Es hängt von der Organisation ab, und sie teilt es mit.
2Was sich für die Geschäftsleitung ändertGeschäftsleitung1 min
Das NCSC schreibt, die Verbesserung der Geschäftsergebnisse müsse der wichtigste Antrieb des Cyberrisikomanagements sein. Es befürwortet ein Management, das „illuminates the real cyber risks“ der Organisation, statt Techniken, die nur Compliance-Anforderungen erfüllen wollen2. Es stellt klar, dass sein Leitfaden nicht vorschreibend ist und dass keine Technik für alle Situationen passt2.
Für Boards hat das NCSC ein Toolkit veröffentlicht, das sich am Cyber Governance Code of Practice orientiert. Es enthält zwei Einführungsmodule, darunter eines für Einsteiger in die Cybersicherheit, sowie ein Dokument mit Fragen, die das Board stellen kann, um die Leistung der Organisation zu beurteilen3.
In seinem Leitfaden SP 800-30 Rev. 1 (September 2012) beschreibt das NIST die Risikobewertung als Teil eines übergreifenden Risikomanagementprozesses, der Führungskräften die Informationen für ihre Entscheidungen liefert4.
3Was der Text sagtAmtlicher Text1 min
Die ISO-Texte sind in den hier zitierten Quellen nicht enthalten: Ihr genauer Inhalt (Anforderungen, Maßnahmen, Geltungsbereich, Erklärung zur Anwendbarkeit, Ablauf einer Zertifizierung) wird hier daher nicht zusammengefasst.
Die Quellen liefern dagegen Angaben zu verwandten Regelwerken. Der Katalog SP 800-53 Rev. 5 des NIST (veröffentlicht im September 2020) bündelt Sicherheits- und Datenschutzmaßnahmen, die Betrieb, Werte und Personen vor vielfältigen Bedrohungen schützen sollen, darunter feindliche Angriffe, menschliche Fehler und Naturkatastrophen1. Er enthält Maßnahmenfamilien wie Zugriffskontrolle, Sensibilisierung und Schulung, Reaktion auf Vorfälle oder Risikobewertung1.
Das Cybersecurity Framework des NIST in Version 2.0 wird als Werkzeug zur Verringerung von Cyberrisiken vorgestellt, mit Schnellstartleitfäden, Profilen und Zuordnungstabellen zu anderen Ressourcen5. Ein Einstiegsleitfaden für kleine und mittlere Unternehmen bietet Ressourcen, um eine Strategie für das Risikomanagement zu starten6.
Schließlich bietet das NIST ein Online-Referenzwerkzeug zu Cybersicherheit und Datenschutz an, das CPRT8.
4Stand der Umsetzung1 min
Keine der hier zitierten Quellen behandelt die Umsetzung von NIS 2, die europäische Regulierung oder Ressourcen der ANSSI. Keine nennt die Dauer oder den Zeitplan einer ISO-27001-Zertifizierung. Diese Punkte müssen noch mit geeigneten Quellen belegt werden.
Was die Quellen zum Stand der genannten Regelwerke erlauben: Das NIST hat am 27. August 2025 eine Zwischenversion von SP 800-53 veröffentlicht, die Version 5.2.0, mit neuen Maßnahmen und Überarbeitungen bestehender Maßnahmen1. Es hat außerdem drei einführende Selbstlernkurse online gestellt, zum Katalog SP 800-53, zu seinen Bewertungsverfahren (SP 800-53A) und zu seinen Baselines (SP 800-53B)6. Das NCSC gibt für sein Toolkit eine Version 3.0 an, überprüft am 8. April 20253.
Merkblatt
- Kennung
- CP-376
- Flügel
- 6. Governance und GRC
- Brain-Kompetenz
- Daten schützen (safeguard_data)
- Brain-Reflex
- cr-032
- Schema
- G3 · Anatomischer Schnitt
- Sprachen
- de, en, fr
- Quellen
- 8 Quellen geprüft am 3. November 2026
Quellen8 Quellen
- NIST, „Security and Privacy Controls for Information Systems and Organizations“. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (abgerufen am 3. November 2026)
- NCSC (Royaume-Uni), „Risk management“, 23. Juni 2023. https://www.ncsc.gov.uk/collection/risk-management (abgerufen am 3. November 2026)
- NCSC (Royaume-Uni), „Cyber Security Toolkit for Boards“, 30. März 2023. https://www.ncsc.gov.uk/collection/board-toolkit (abgerufen am 3. November 2026)
- NIST, „Guide for Conducting Risk Assessments“. https://csrc.nist.gov/pubs/sp/800/30/r1/final (abgerufen am 3. November 2026)
- NIST, „Cybersecurity Framework“. https://www.nist.gov/cyberframework (abgerufen am 3. November 2026)
- NIST, „CSF 2.0 Resources“, 6. März 2024. https://www.nist.gov/cyberframework/resources (abgerufen am 3. November 2026)
- CISA, „Cybersecurity Best Practices“. https://www.cisa.gov/topics/cybersecurity-best-practices (abgerufen am 3. November 2026)
- NIST, „Cybersecurity and Privacy Reference Tool CPRT“. https://csrc.nist.gov/projects/cprt/catalog (abgerufen am 3. November 2026)
Diesen Artikel zitieren
Brain, „ISO 27001 und 27002: das Managementsystem für Informationssicherheit“, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp376_de_2026,
author = {Brain},
title = {ISO 27001 und 27002: das Managementsystem für Informationssicherheit},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/de/articles/iso-27001-27002-isms-de/},
note = {CC BY 4.0}
}