ISO/IEC 27001 ist die internationale Norm, die die Anforderungen an Aufbau, Betrieb und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) festlegt. Sie schützt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen auf Grundlage einer Risikobewertung. Anhang A der aktuellen Fassung von 2022 enthält 93 Maßnahmen in vier Themenbereichen; das Zertifikat wird von akkreditierten Stellen für drei Jahre erteilt.
Geltungsbereich der Norm
ISO/IEC 27001 wird gemeinsam von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) herausgegeben. Der aktuelle Text ist die im Oktober 2022 veröffentlichte dritte Ausgabe; 2024 kam eine Änderung (Amd 1:2024) hinzu, die den Klimawandel in die Kontextanalyse aufnimmt. Die Übergangsfrist von der Fassung 2013 endete am 31. Oktober 2025; gültige Zertifikate werden heute nach der Fassung 2022 erteilt.
Die Norm ist keine Technologieliste, sondern ein Managementsystem. Die Abschnitte 4–10 regeln – in derselben Struktur wie ISO 9001 – Kontext der Organisation, Führung, Risikobewertung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Hinweise zur Umsetzung der Maßnahmen enthält die eigenständige Norm ISO/IEC 27002.
Anhang A: 93 Maßnahmen, 4 Themen
| Thema | Anzahl der Maßnahmen | Beispielthemen |
|---|---|---|
| Organisatorisch | 37 | Informationssicherheitsrichtlinie, Zugriffsrechte, Lieferantenbeziehungen, Cloud-Dienste, Vorfallmanagement, Geschäftskontinuität |
| Personenbezogen | 8 | Sicherheitsüberprüfung vor der Einstellung, Vertraulichkeitsvereinbarung, Sensibilisierungsschulung, Telearbeit |
| Physisch | 14 | Zutritt zu Büro und Serverraum, Schutz der Ausrüstung, aufgeräumter Arbeitsplatz, physische Sicherheitsüberwachung |
| Technologisch | 34 | Authentifizierung, Datensicherung, Protokollierung, Verschlüsselung, Schutz vor Schadsoftware, sichere Programmierung |
Die 114 Maßnahmen der Fassung 2013 wurden zusammengeführt, aktualisiert und auf 93 reduziert. Elf Maßnahmen sind neu: Bedrohungsaufklärung (Threat Intelligence), Sicherheit bei Cloud-Diensten, IKT-Bereitschaft für die Geschäftskontinuität, physische Sicherheitsüberwachung, Konfigurationsmanagement, Löschung von Informationen, Datenmaskierung, Verhinderung von Datenabfluss, Überwachungstätigkeiten, Webfilterung und sichere Programmierung.
Wie funktioniert es?
- Der Anwendungsbereich des Systems wird festgelegt: welche Einheiten, Standorte und Prozesse einbezogen werden.
- Die Informationswerte und die auf sie gerichteten Risiken werden bewertet.
- Für jedes Risiko wird über die Behandlung entschieden: mindern, akzeptieren, vermeiden oder übertragen.
- Die Erklärung zur Anwendbarkeit (Statement of Applicability) wird erstellt; darin wird festgehalten, welche der 93 Maßnahmen aus welchem Grund angewendet oder ausgeschlossen werden.
- Richtlinien und Maßnahmen werden eingeführt, die Mitarbeitenden geschult.
- Interne Audits und die Managementbewertung werden durchgeführt; anschließend führt eine akkreditierte Stelle das zweistufige Zertifizierungsaudit durch.
Das Zertifikat ist drei Jahre gültig und wird durch jährliche Überwachungsaudits aufrechterhalten. Die einzelnen Schritte beschreibt der Beitrag Wie erhält man das ISO-27001-Zertifikat?.
Welche Daten werden in der Logistik geschützt?
- Geschäftsdaten der Kunden: Rechnungswerte, Angaben zu Käufer und Verkäufer, Frachtvereinbarungen. Gelangen sie in die Hände eines Wettbewerbers, entsteht unmittelbar ein geschäftlicher Schaden.
- Sendungsdaten: Kennzeichen, Route, aktueller Standort, Lieferzeit. Bei hochwertigen Ladungen beeinflussen diese Informationen das Diebstahlrisiko unmittelbar.
- Zolldaten: Inhalte von Zollanmeldungen, GTİP (türkische Zolltarifnummer) und Wertangaben, Zugangsberechtigungen zu den Systemen BİLGE und NCTS.
- Personenbezogene Daten: Ausweis-, Pass- und Visadaten der Fahrer; Kontaktdaten der Empfänger. In der Türkei fallen sie unter das Gesetz Nr. 6698 zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu, KVKK), und auch die TİO-Verordnung verpflichtet Genehmigungsinhaber zur Einhaltung dieser Vorschriften.
- Schnittstellen: Kundenportale, Ortungsgeräte, e-CMR- und ERP-Anbindungen.
Branchenspezifische Risiken behandelt der Beitrag ISO 27001 in der Logistik, die physische Sicherheit der Lieferkette der Beitrag ISO 28000.
Häufige Fehler
- Den Anwendungsbereich auf die IT-Abteilung beschränken; Operations- und Zollteams sind die Bereiche mit dem umfangreichsten Datenzugriff.
- Die Erklärung zur Anwendbarkeit aus einer Vorlage kopieren, ohne sie mit den tatsächlichen Risiken zu verknüpfen.
- Die Systemzugänge von Unterfrachtführern und externen Zollagenten nicht kontrollieren.
Wie unterstützt Voltim Global Sie dabei?
Voltim Global ist nach ISO/IEC 27001:2022 (Informationssicherheits-Managementsystem, IQR, gültig bis 22.10.2027) sowie nach ISO 28000 (Sicherheit der Lieferkette) und ISO 50001 (Energiemanagementsystem) zertifiziert. Bei Leistungen, in denen Standort- und Sendungsdaten geteilt werden, etwa der Sendungsverfolgung, können Datenzugriff und Weitergaberegeln gesondert mit dem Kunden vereinbart werden.