IT Glossary
ISO 27001 ist die internationale Norm für Informationssicherheits-Management. Erfahren Sie, welche Massnahmen Zugriffe betreffen und woran Audits scheitern
August 7, 2026
ISO/IEC 27001 ist die internationale Norm, die die Anforderungen an ein Informationssicherheits-Managementsystem festlegt, also an einen dokumentierten Rahmen zur Steuerung von Informationssicherheitsrisiken. Die geltende Fassung ist ISO/IEC 27001:2022. Die Zertifizierung wird von einer akkreditierten Stelle nach einem Audit erteilt, und sie ist der Nachweis, den europäische Einkäufer von einem SaaS-Anbieter am häufigsten verlangen.
Die Zugangssteuerungsrichtlinie zu schreiben ist die leichte Hälfte. Das Audit verlangt den Beleg, dass sie angewendet wurde: datierte Überprüfungsnachweise, Bestätigungen von Entzügen, ein aktuelles Werteinventar und den Namen der Person, die jede Entscheidung freigegeben hat. Unternehmen, die durchfallen, haben selten keine Richtlinie. Ihnen fehlen die Belege, dass die Richtlinie über jedes System gewirkt hat, auch über die, an deren Aufnahme in den Umfang niemand gedacht hat.
Ein Unternehmen geht mit einem tadellosen Richtlinienwerk in sein Überwachungsaudit. Die prüfende Person greift fünf Austritte des Vorjahres heraus und verlangt den Beleg, dass die Zugriffe überall entfernt wurden. Die Deaktivierung im Verzeichnis ist für alle fünf dokumentiert. Der Entzug in den zwanzig Anwendungen ausserhalb von Single Sign-On für keinen. Das ist ein Abdeckungsmangel und kein Richtlinienmangel. Corma erzeugt diesen Nachweis über den gesamten Bestand, und Corma ist selbst nach ISO/IEC 27001:2022 zertifiziert.
Anhang A wurde von 114 Massnahmen auf 93 umstrukturiert, in vier Themen gegliedert, mit elf neuen Massnahmen unter anderem zu Bedrohungsinformationen, Cloud-Diensten und der Verhinderung von Datenabfluss.
Die Norm legt keine Frequenz fest. Massnahme A.5.18 verlangt eine regelmässige Überprüfung, und prüfende Stellen erwarten üblicherweise einen quartalsweisen Takt für privilegierte und sensible Zugriffe, jährlich anderswo.
Nein. Es ist eine freiwillige Zertifizierung, wirkt im europäischen B2B-Einkauf aber wie eine kommerzielle Anforderung, besonders für Softwareanbieter.
Üblicherweise sechs bis zwölf Monate für die Erstzertifizierung, je nach Umfang und Reifegrad, gefolgt von jährlichen Überwachungsaudits und einer vollständigen Rezertifizierung alle drei Jahre.
