Anders als der EU AI Act, die DSGVO, der Cyber Resilience Act oder NIS2 ist ISO 27001 kein Gesetz, sondern eine internationale Norm. Sie beschreibt Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) und wird von der Internationalen Organisation für Normung (ISO) herausgegeben. Eine Zertifizierung ist freiwillig – gewinnt aber durch neue Regulierung wie NIS2 zunehmend an praktischer Verbindlichkeit.
Worum es geht
ISO 27001 legt fest, wie Unternehmen systematisch mit Informationssicherheitsrisiken umgehen: von der Risikobewertung über technische und organisatorische Maßnahmen bis zur kontinuierlichen Verbesserung des ISMS. Die Norm ist branchenunabhängig anwendbar und weltweit als Nachweis für ein funktionierendes Sicherheitsmanagement anerkannt.
Die aktuelle Version: ISO 27001:2022
Die Übergangsfrist von der alten Version ISO 27001:2013 zur überarbeiteten Fassung ISO 27001:2022 ist am 31. Oktober 2025 abgelaufen. Seither ist ausschließlich die Version 2022 zertifizierungsfähig – Zertifikate nach der 2013er-Norm sind ungültig. Wer die Umstellung verpasst hat, muss eine vollständige Neuzertifizierung mit Stage-1- und Stage-2-Audit durchlaufen, statt nur die Änderungen in einem Delta-Audit prüfen zu lassen. Das bedeutet spürbar mehr Aufwand und Kosten.
Inhaltlich hat die Version 2022 die Controls im Anhang A von 114 auf 93 reduziert und in vier statt vierzehn Kategorien neu geordnet. Hinzugekommen sind elf neue Controls, die aktuelle Risikofelder wie Cloud Security, Threat Intelligence und Data Masking abdecken.
Die Verbindung zu NIS2
Auch wenn ISO 27001 formal freiwillig bleibt, macht die NIS2-Richtlinie die Norm für viele Unternehmen faktisch zur Pflicht: Rund 29.500 Unternehmen in Deutschland fallen unter NIS2 und müssen ein Risikomanagement für Cybersicherheit nachweisen. ISO 27001 bietet dafür ein anerkanntes, prüfbares Rahmenwerk – eine Zertifizierung erleichtert es erheblich, die NIS2-Anforderungen im Ernstfall auch gegenüber Aufsichtsbehörden zu belegen.
Was Unternehmen jetzt tun sollten
Wer noch nach der alten Norm zertifiziert war oder ein ISMS plant, sollte zunächst prüfen, ob die Umstellung auf ISO 27001:2022 bereits erfolgt ist. Bestehende Risikobewertungen und Controls sollten mit der neuen Struktur des Anhangs A abgeglichen werden, insbesondere im Hinblick auf die elf neuen Controls. Unternehmen, die gleichzeitig unter NIS2 fallen, sollten die Zertifizierung von vornherein als Baustein ihrer regulatorischen Compliance einplanen – nicht als separates Projekt.