ISO 27001 vs. ISMS: Norm und Managementsystem direkt vergleichen

ISMS, ISO 27001 und Zertifizierung unterscheiden

Ein ISMS ist das Informationssicherheitsmanagementsystem, das ein Unternehmen tatsächlich betreibt. Dazu gehören Ziele, Zuständigkeiten, Risikobewertungen, Regeln und die Überprüfung ihrer Anwendung. ISO/IEC 27001 ist die Norm, die Anforderungen an ein solches Managementsystem beschreibt.

Eine Zertifizierung ist ein zusätzlicher, unabhängiger Nachweis. Dabei bewertet eine Zertifizierungsstelle die Konformität des Managementsystems innerhalb des angegebenen Geltungsbereichs. Die drei Begriffe bezeichnen damit unterschiedliche Dinge, die miteinander zusammenhängen.

Die Unterschiede an einem Beispiel verstehen

Ein IT-Unternehmen regelt die Vergabe von Zugängen, bewertet Risiken und überprüft seine Sicherheitsprozesse. Diese organisatorische Arbeit ist Teil seines ISMS. Wenn es sich an ISO/IEC 27001 ausrichtet, prüft es zusätzlich, ob das gesamte Managementsystem die maßgeblichen Anforderungen erfüllt.

Erst eine entsprechende externe Prüfung kann zu einem Zertifikat führen. Dass ein Unternehmen einzelne Kontrollen an der Norm orientiert, bedeutet noch nicht, dass es zertifiziert ist oder sämtliche Anforderungen erfüllt.

Welche Aussage jeweils möglich ist

• „Wir betreiben ein ISMS“ beschreibt ein vorhandenes Managementsystem und sollte durch dessen tatsächliche Anwendung gestützt sein.
• „Wir orientieren uns an ISO 27001“ benennt eine Grundlage, aber keinen unabhängigen Konformitätsnachweis.
• „Unser ISMS ist zertifiziert“ benötigt ein gültiges Zertifikat mit passendem Geltungsbereich.

Diese Unterscheidung hilft, Kundenangaben präzise zu halten und Missverständnisse über den Umfang eines Nachweises zu vermeiden.

Sicherheitsarbeit bleibt unabhängig vom Zertifikat notwendig

Ein Unternehmen kann sein ISMS auch ohne Zertifizierung betreiben. Ob ein bestimmter Nachweis oder zusätzliche Maßnahmen erforderlich sind, ergibt sich aus den jeweiligen geschäftlichen, vertraglichen und gesetzlichen Anforderungen.

Ein Zertifikat ersetzt weder die laufende Risikobewertung noch die Umsetzung im Alltag. Ebenso wenig ist ein ISMS mit einem einzelnen Sicherheitsprodukt oder einer Sammlung von Vorlagen gleichzusetzen.

Welche Entscheidung steht tatsächlich an?

Wenn ein Unternehmen seine Risiken und Sicherheitsabläufe ordnen möchte, ist zunächst der Aufbau oder die Verbesserung des ISMS die Aufgabe. Soll es sich dabei an ISO 27001 ausrichten, müssen die Anforderungen der Norm berücksichtigt werden. Verlangt ein Kunde zusätzlich ein Zertifikat, kommt das unabhängige Zertifizierungsverfahren hinzu.

Diese drei Entscheidungen sollten im Auftrag getrennt festgehalten werden. Sonst kann beispielsweise eine vereinbarte organisatorische Beratung fälschlich als vollständige Zertifizierungsvorbereitung verstanden werden. Umgekehrt kann bereits hilfreiche Sicherheitsarbeit stattfinden, während die Entscheidung über eine Zertifizierung noch offen ist.

Die ISMS-Einführung beginnt bei Ziel, Umfang und Zuständigkeiten. Ist ein unabhängiger Nachweis gefordert, muss zusätzlich das Zertifizierungsverfahren mit seinen eigenen Prüfungen eingeplant werden.

Quellen und fachliche Grundlagen

• ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
• Zertifizierungsstellen für Managementsysteme – Deutsche Akkreditierungsstelle (DAkkS)