ISO/IEC 27001 ist der international anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS). Er definiert die Anforderungen für die systematische Einführung, den Betrieb, die Überwachung und die kontinuierliche Verbesserung eines ISMS – eines Rahmens aus Richtlinien, Prozessen und Kontrollen, der Informationsrisiken systematisch identifiziert und handhabt. Eine ISO-27001-Zertifizierung ist der international akzeptierte Nachweis, dass ein Unternehmen Informationssicherheit nach definierten Standards betreibt.
Für Automationsdienstleister ist ISO 27001 zunehmend nicht nur eine optionale Qualitätsmaßnahme, sondern eine Zugangsvoraussetzung für Unternehmenskunden: Enterprise-Kunden aus regulierten Branchen (Banken, Versicherungen, Gesundheitswesen, öffentlicher Sektor) fordern ISO-27001-Zertifizierung als Mindestanforderung für externe Dienstleister, die Zugang zu sensiblen Systemen oder Daten erhalten.
ISO 27001 Anhang A – ausgewählte Kontrollbereiche
A.5 Informationssicherheits-Richtlinien: Dokumentierte Richtlinien, die regelmäßig überprüft und aktualisiert werden
A.6 Organisation der Informationssicherheit: Rollen, Verantwortlichkeiten, Kontakt zu Behörden und Sicherheitsorganisationen
A.8 Asset Management: Inventar aller Informationswerte, Klassifizierung nach Schutzwürdigkeit, klare Eigentümerschaft
A.9 Zugangskontrolle: Berechtigungskonzept, Least Privilege, regelmäßige Zugriffsreviews, MFA für privilegierte Zugänge
A.10 Kryptographie: Verschlüsselungsrichtlinien, Schlüsselmanagement, TLS-Standards
A.12 Betrieb: Patch-Management, Malware-Schutz, Logging, Backup, Kapazitätsplanung
A.16 Informationssicherheitsvorfälle: Incident-Response-Prozess, Klassifizierung, Reporting, Post-Mortem-Analyse
A.18 Compliance: Identifikation anwendbarer Rechtsvorschriften, regelmäßige Compliance-Überprüfungen
Praxisbeispiel
Ein Automationsdienstleister strebt ISO-27001-Zertifizierung an und plant den 12-monatigen Aufbauweg. Phase 1 (Monate 1–3): Scope definieren (welche Systeme und Dienste umfasst das ISMS?). Risikoregister erstellen: alle Informationswerte, Bedrohungen, Schwachstellen, Risikobewertung. Gap-Analyse gegen ISO 27001 Anhang A: welche Kontrollen fehlen? Phase 2 (Monate 4–8): Fehlende Kontrollen implementieren – Berechtigungskonzept finalisieren, Logging-Strategie umsetzen, Incident-Response-Plan dokumentieren, Mitarbeiterschulungen durchführen, Lieferantenbewertungen einführen. Phase 3 (Monate 9–11): Internes Audit, Managementreview, Dokumentation vervollständigen. Phase 4 (Monat 12): Zertifizierungsaudit durch akkreditierten Auditor. Ergebnis: Zertifizierung erteilt. 3 Unternehmenskunden, die ISO 27001 voraussetzen, können nun bedient werden. Gesamtinvestition: 8 Monate Aufwand eines 0,5-FTE-Mitarbeiters plus Audit-Kosten von ca. 8.000 Euro.
