ISO/IEC 27001 ist die Basis: das zertifizierbare Managementsystem für Informationssicherheit (ISMS). ISO 22301 ergänzt es um das Notfallmanagement (Business Continuity). Für einzelne Bereiche gibt es Erweiterungen: ISO/IEC 27019 für die Energieversorgung, ISO/IEC 27701 für den Datenschutz, ISO/IEC 27017 und 27018 für Cloud-Dienste. IEC 62443 gilt für industrielle Steuerungstechnik. Die meisten IT-Dienstleister mit Kunden aus regulierten Branchen brauchen ISO 27001 und ein Notfallkonzept. Der Rest hängt von Branche und Kunden ab.
Die Normen im Überblick
| Norm | Gegenstand | Zertifizierbar | Wer sie verlangt oder anerkennt |
|---|---|---|---|
| ISO/IEC 27001:2022 | Managementsystem für Informationssicherheit (ISMS), 93 Maßnahmen in Anhang A | Ja | Kundenfragebögen, KRITIS-Nachweis, NIS-2 als Stand der Technik, DORA-Kunden |
| ISO/IEC 27002:2022 | Leitfaden zu den Maßnahmen aus Anhang A | Nein, Umsetzungshilfe | Auditoren als Referenz |
| ISO/IEC 27005 | Leitfaden Risikomanagement für Informationssicherheit | Nein | ISO-27001-Audit, Risikoanalyse |
| ISO 22301:2019 | Managementsystem für Business Continuity (BCMS) | Ja | Kunden mit Verfügbarkeitsanforderungen, KRITIS, Versicherer |
| BSI-Standard 200-4 | BCMS-Methodik, drei Stufen, kompatibel zu ISO 22301 | Nein | KRITIS-Prüfung (RUN), Behörden, IT-Grundschutz |
| ISO/IEC 27019 | Ergänzung zu 27001 für Prozessleittechnik der Energieversorgung | Ja, als Erweiterung des 27001-Zertifikats | IT-Sicherheitskatalog der Bundesnetzagentur für Netzbetreiber |
| ISO/IEC 27017 und 27018 | Maßnahmen für Cloud-Dienste und Schutz personenbezogener Daten in der Cloud | Als Erweiterung des 27001-Zertifikats | Cloud-Kunden, ergänzend zu C5 |
| ISO/IEC 27701 | Datenschutz-Managementsystem als Erweiterung von 27001 | Ja, als Erweiterung | Kunden mit Auftragsverarbeitung, Datenschutzbeauftragte |
| IEC 62443 | Sicherheit industrieller Automatisierungs- und Steuerungssysteme (OT) | Ja, Teile für Produkte, Prozesse und Betreiber | Produktion, Energie, Wasser, Medizintechnik-Hersteller |
| ISO/IEC 20000-1 | IT-Service-Management | Ja | Kunden, die Servicequalität fordern, Ausschreibungen |
Zertifizierbar heißt: Eine akkreditierte Stelle stellt ein Zertifikat aus. Leitfäden wie 27002 und 27005 werden nicht zertifiziert. Auditoren nutzen sie als Maßstab. Die Angaben zur Zertifizierbarkeit der Erweiterungsnormen beruhen auf Normkenntnis. Maßgeblich ist das Programm der jeweiligen Zertifizierungsstelle.
Welche Kombination zu wem passt
- IT-Dienstleister mit Kunden aus regulierten Branchen: ISO 27001, dazu ein Notfallkonzept nach BSI-Standard 200-4. ISO 22301 erst, wenn Kunden es verlangen.
- Betreiber kritischer Anlagen: ISO 27001 oder ein branchenspezifischer Sicherheitsstandard (B3S) als Prüfgrundlage. Dazu ein vollständiges Notfallmanagement nach 200-4 (Standard-BCMS) oder ISO 22301, bei Steuerungstechnik IEC 62443. Energienetzbetreiber brauchen zusätzlich 27019 nach dem IT-Sicherheitskatalog.
- Cloud-Anbieter: ISO 27001 mit 27017 und 27018, C5-Testat für Behörden und Healthcare.
- Unternehmen, die viele personenbezogene Daten im Auftrag ihrer Kunden verarbeiten: ISO 27001 mit 27701.
- Einrichtungen unter NIS-2 ohne Zertifizierungspflicht: Das Gesetz schreibt keine Norm vor. ISO 27001 ist der anerkannte Weg, den Stand der Technik zu belegen. Für die Einrichtungsarten der Durchführungsverordnung (EU) 2024/2690, etwa Managed Service Provider und Cloud-Anbieter, gilt zusätzlich deren Anhang.
Mit welcher Norm Sie anfangen
Mit ISO 27001. Die übrigen ISO-Normen der Tabelle setzen sie voraus oder bauen auf derselben Struktur auf. Haben Sie 27001, ergänzen Sie 22301, 27701 oder 27019 mit überschaubarem Aufwand. Geltungsbereich, Risikomethode, internes Audit und Managementbewertung stehen dann schon. Wer mit einer Erweiterung anfängt, baut sie zweimal.
Die Ausnahme ist ein Unternehmen, dessen einziges Problem die Verfügbarkeit ist, etwa ein Logistiker ohne sensible Daten. Dort kann 22301 zuerst kommen.