ISO 27001 ist eine von der Internationalen Organisation für Normung (ISO) herausgegebene internationale Norm, die Managementsysteme für die Informationssicherheit definiert. Diese Norm wurde aus der britischen Norm BS 7799-2 entwickelt; sie wurde erstmals als ISO/IEC 27001:2005 veröffentlicht und hat sich inzwischen zu einer führenden internationalen Norm für Informationssicherheit entwickelt.

Die Umsetzung von ISO 27001 verringert die Risiken im Zusammenhang mit der Vertraulichkeit, Verfügbarkeit und Integrität von Informationen in einer Organisation. Sie hilft der Organisation auch, die Konformität mit den Gesetzen zum Schutz vertraulicher Informationen, zum Schutz von Informationssystemen, zum Schutz personenbezogener Daten usw. zu erreichen, die in den meisten Ländern bereits in Kraft sind. Schließlich dürfte die Umsetzung des Standards die Geschäftskosten aufgrund der geringeren Anzahl von Zwischenfällen senken und das Marketing aufgrund der Bekanntheit des Standards verbessern. Ein ISO 27001-Zertifikat hat eine Gültigkeit von drei Jahren.

Dies hängt von einer Vielzahl von Faktoren ab, aber im Allgemeinen benötigen kleinere Organisationen 6 Monate, Organisationen mit bis zu 500 Mitarbeitern 8 bis 12 Monate und größere Organisationen 12 Monate oder mehr.

Das hängt auch von den folgenden Fragen ab:

• Haben Sie einen Mitarbeiter, der dieses Projekt koordinieren und leiten wird?
• Haben Sie bereits einen anderen Standard wie ITIL, ISO 9001 oder ähnliches eingeführt?
• Haben Sie mehrere Standorte?

Es ist fast unmöglich, die Kosten zu kalkulieren, bevor die GAP-Analyse, die Risikobewertung und die Erklärung zur Anwendbarkeit abgeschlossen sind. Der größte Teil der Kosten entfällt in der Regel nicht auf Hardware oder Software, sondern auf die Entwicklung von Verfahren und deren Einführung, die Sensibilisierung und Schulung der Mitarbeiter, die Zertifizierung usw. Die Kosten hängen auch von der Größe des Unternehmens ab, aber es ist gut zu wissen, dass nicht alle Sicherheitskontrollen sofort implementiert werden müssen, und dass die Implementierung einiger von ihnen verschoben werden kann.

Auf jeden Fall! Einige Teile von ISO 27001 und ISO 9001 sind praktisch identisch – z. B. Dokumentationsmanagement, interne Audits, Managementbewertung und Korrekturmaßnahmen. Wenn die genannten Verfahren bereits für ISO 9001 verwendet werden, können sie mit nur geringfügigen Änderungen auch für ISO 27001 eingesetzt werden. Mit anderen Worten: Organisationen, die bereits ISO 9001 eingeführt haben, werden es leichter haben, ISO 27001 einzuführen (und umgekehrt).

Nein. IT-Sicherheit ist Teil der Informationssicherheit – IT-Sicherheit umfasst z. B. Backup-Verfahren oder den Einsatz einer Firewall, während Informationssicherheit auch die Definition von Sicherheitsrollen und -verantwortlichkeiten, Betriebsverfahren, Schulung und Sensibilisierung, rechtliche Beziehungen zu Mitarbeitern und Lieferanten, physische Sicherheit usw. umfasst. Die IT-Sicherheit macht in der Regel 50 % der Informationssicherheit aus.