ISO/IEC 27001: Welche Fragen die Geschäftsführung im Audit beantworten können muss

Ein Informationssicherheitsmanagementsystem ist keine reine Aufgabe der IT-Abteilung. Die Geschäftsführung trägt die Gesamtverantwortung dafür, dass Informationssicherheit in die Unternehmensprozesse integriert, angemessen gesteuert und fortlaufend verbessert wird.

Im Audit zur ISO/IEC 27001:2022 (einschließlich Amd 1:2024) stehen deshalb die Kapitel 4 bis 10 im Mittelpunkt. Seit der Ergänzung von 2024 gehört dazu auch die Frage, ob der Klimawandel für den Kontext der Organisation ein relevantes Thema ist und ob interessierte Parteien hierzu Anforderungen haben. Das Management sollte vor allem auf die folgenden Fragen klare und nachvollziehbare Antworten geben können. Die Maßnahmen aus Anhang A und die Erklärung zur Anwendbarkeit behandeln wir gesondert im Beitrag „Die 93 Controls der ISO/IEC 27001“.

Was umfasst der ISMS-Geltungsbereich

Die Geschäftsführung sollte den Geltungsbereich konkret benennen können, etwa: „Entwicklung, Bereitstellung und Betrieb unserer digitalen Dienstleistungen einschließlich der dafür erforderlichen Prozesse, IT-Systeme, Mitarbeitenden, Standorte und relevanten externen Dienstleister“.

Entscheidend ist, dass die Grenzen des ISMS, die Schnittstellen und die Abhängigkeiten eindeutig festgelegt und sachlich begründet sind.

Welche wesentlichen Informationssicherheitsrisiken bestehen

Zu den typischen wesentlichen Risiken gehören insbesondere:

• Cyberangriffe und Schadsoftware,
• Ausfälle von Systemen oder Dienstleistern,
• Verlust oder Manipulation von Daten,
• unberechtigte Zugriffe,
• menschliche Fehler,
• Störungen der Verfügbarkeit und
• Abhängigkeiten von wichtigen Lieferanten.

Diese Risiken müssen systematisch bewertet, verantwortlichen Personen zugeordnet und durch geeignete Maßnahmen behandelt werden.

Welche Sicherheitsziele verfolgt das Unternehmen

Grundlegendes Ziel ist, die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen und Systeme dauerhaft sicherzustellen. Gleichzeitig sollen Sicherheitsvorfälle vermieden, gesetzliche und vertragliche Anforderungen erfüllt und die Betriebsfähigkeit des Unternehmens geschützt werden.

Die Sicherheitsziele müssen, soweit praktikabel, messbar sein, überwacht und kommuniziert werden. Außerdem muss geplant sein, wer sie bis wann mit welchen Mitteln erreicht.

Wer trägt welche Verantwortung

Die Geschäftsführung trägt die Gesamtverantwortung für das ISMS und stellt die erforderlichen Ressourcen bereit. Eine von ihr benannte Rolle, in der Praxis meist der Informationssicherheitsbeauftragte, koordiniert das Managementsystem und berichtet über dessen Leistung. Die Norm schreibt diese Bezeichnung nicht vor; sie verlangt, dass Verantwortlichkeiten und Befugnisse zugewiesen und bekannt gemacht werden.

Prozess-, System- und Risikoverantwortliche setzen die festgelegten Maßnahmen in ihren jeweiligen Bereichen um. Alle Mitarbeitenden sind verpflichtet, die geltenden Sicherheitsvorgaben einzuhalten und Auffälligkeiten zu melden.

Wie werden Vorfälle und Abweichungen behandelt

Informationssicherheitsvorfälle und festgestellte Abweichungen werden gemeldet, dokumentiert, bewertet und nach festgelegten Zuständigkeiten bearbeitet.

Dabei werden Ursachen und Auswirkungen untersucht, erforderliche Sofort- und Korrekturmaßnahmen festgelegt und deren Umsetzung kontrolliert. Die gewonnenen Erkenntnisse fließen anschließend in die Verbesserung des ISMS ein.

Wie wird die Wirksamkeit der Maßnahmen überwacht

Die Wirksamkeit des ISMS wird unter anderem durch folgende Instrumente überwacht:

• definierte Kennzahlen,
• regelmäßige Risikobewertungen,
• interne Audits,
• technische Kontrollen,
• Notfall- und Wiederherstellungstests,
• Überprüfung offener Maßnahmen sowie
• regelmäßige Managementbewertungen.

Damit wird nicht nur kontrolliert, ob Maßnahmen vorhanden sind, sondern auch, ob sie tatsächlich funktionieren.

Welche Verbesserungen sind bis zum Zertifizierungsaudit erforderlich

Vor dem Zertifizierungsaudit sollten insbesondere offene Maßnahmen und Feststellungen aus internen Audits abgeschlossen werden. Darüber hinaus sind Risikobewertungen kritisch zu überprüfen und gegebenenfalls nachzuschärfen.

Weitere Schwerpunkte können die Dokumentation von Notfall- und Wiederherstellungstests, die Informationsklassifizierung, das Lieferantenmanagement sowie die Sensibilisierung und Schulung der Mitarbeitenden sein.

Wie unterstützt die Geschäftsführung das ISMS

Die Geschäftsführung stellt die erforderlichen personellen, zeitlichen, finanziellen und technischen Ressourcen bereit. Sie legt Verantwortlichkeiten fest, priorisiert Sicherheitsmaßnahmen und überprüft regelmäßig den Umsetzungsstand.

Ihre Unterstützung zeigt sich nicht allein durch die Freigabe von Dokumenten, sondern vor allem durch konkrete Entscheidungen, ausreichende Ressourcen und die aktive Einbindung der Informationssicherheit in die Unternehmenssteuerung.

Für besonders wichtige und wichtige Einrichtungen nach dem BSI-Gesetz ist das seit dem 06.12.2025 zusätzlich gesetzliche Pflicht: Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG).

Fazit

Ein wirksames ISMS lebt nicht von der Anzahl seiner Dokumente, sondern von klaren Verantwortlichkeiten, nachvollziehbaren Entscheidungen und tatsächlich umgesetzten Sicherheitsmaßnahmen.

Die Geschäftsführung muss deshalb im Audit überzeugend darstellen können, welche Risiken für das Unternehmen wesentlich sind, welche Ziele verfolgt werden und wie die Wirksamkeit und fortlaufende Verbesserung des ISMS gewährleistet werden.