ISO/IEC 27001:2022
ISO 27001 umsetzen mit Software, die Ihre Assets wirklich kennt
Für die ISO-27001-Zertifizierung müssen Sie nachweisen, dass Sie Ihre Informationswerte kennen, Risiken systematisch bewerten und Maßnahmen wirksam umsetzen. DataGerry verbindet Asset-Inventar, Risikobewertung und Maßnahmen in einer Datenbasis, damit Ihr Audit auf Fakten statt auf Excel-Listen beruht.
Was ist ISO 27001?
ISO/IEC 27001 ist der international anerkannte Standard für Informationssicherheitsmanagementsysteme (ISMS). Er beschreibt in den Kapiteln 4 bis 10 die Anforderungen an Aufbau, Betrieb und kontinuierliche Verbesserung eines ISMS. Anhang A der aktuellen Version 2022 enthält 93 Controls in vier Themenbereichen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34).
Warum ein CMDB-basiertes ISO-27001-Tool?
Viele ISMS-Tools verwalten Policies und Controls, kennen aber die tatsächliche IT nicht. Das Asset-Inventar wird dann separat gepflegt und veraltet schnell; ein häufiger Befund im Audit. DataGerry dreht das um: Die Risikobewertung baut auf der CMDB auf, die Ihre IT ohnehin abbildet und über Schnittstellen aktuell hält.
ISO 27001 als Basis für NIS2
Wer ein ISMS nach ISO 27001 betreibt, erfüllt bereits einen großen Teil der NIS2-Anforderungen an das Risikomanagement. Mit DataGerry nutzen Sie dieselben Daten für beide.
Der Weg zur ISO-27001-Zertifizierung
1. Anwendungsbereich festlegen
Legen Sie fest, welche Standorte, Organisationseinheiten, Prozesse und Systeme das ISMS umfasst. Berücksichtigen Sie dabei die Anforderungen von Kunden, Gesetzgeber und anderen interessierten Parteien (Kapitel 4). Ein klar abgegrenzter Scope hält Aufwand und Auditkosten im Rahmen.
2. Asset-Inventar aufbauen
Erfassen Sie alle Informationswerte im Anwendungsbereich – von Servern und Anwendungen über Cloud-Services bis zu Dienstleistern – und ordnen Sie jedem einen Eigentümer zu (Annex A 5.9). In DataGerry bauen Sie das Inventar in der CMDB auf oder importieren bestehende Daten und bilden dabei gleich die Abhängigkeiten ab.
3. Risiken beurteilen
Definieren Sie eine einheitliche Methode und bewerten Sie Bedrohungen und Schwachstellen nach Wahrscheinlichkeit und Auswirkung (Kapitel 6.1.2). In DataGerry erfolgt die Bewertung direkt am Asset; das Risiko wird automatisch berechnet und in einer Risikomatrix dargestellt.
4. Risiken behandeln
Entscheiden Sie für jedes Risiko, ob Sie es mindern, vermeiden, übertragen oder akzeptieren (Kapitel 6.1.3). Gleichen Sie die gewählten Maßnahmen mit den 93 Controls aus Anhang A ab und begründen Sie in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA), welche Controls Sie anwenden und welche nicht.
5. Maßnahmen umsetzen und dokumentieren
Weisen Sie jeder Maßnahme eine verantwortliche Person und einen Termin zu und verfolgen Sie den Umsetzungsstatus. Ergänzend erstellen Sie die geforderten Richtlinien und Dokumente. Der Audit Trail in DataGerry zeigt jederzeit, wer was wann geändert hat.
6. Internes Audit und Managementbewertung
Prüfen Sie vor dem Zertifizierungsaudit in einem internen Audit, ob das ISMS die Anforderungen erfüllt und wirksam ist (Kapitel 9.2). Die Geschäftsleitung bewertet anschließend die Ergebnisse (Kapitel 9.3). Abweichungen beheben Sie mit dokumentierten Korrekturmaßnahmen (Kapitel 10).
7. Zertifizierungsaudit
Eine akkreditierte Zertifizierungsstelle prüft in Stufe 1 Ihre Dokumentation und in Stufe 2 die Wirksamkeit des ISMS in der Praxis mit Interviews, Stichproben und Nachweisen. Das Zertifikat gilt drei Jahre; dazwischen finden jährliche Überwachungsaudits statt, danach ein Rezertifizierungsaudit.
DataGerry unterstützt die Schritte 2 bis 6 und hält die Daten danach aktuell, damit Überwachungsaudits nicht jedes Jahr zum Großprojekt werden.
Wie unterstützt DataGerry bei der Umsetzung der ISO-27001-Anforderungen?
| ISO-27001-Anforderung | So unterstützt DataGerry |
| Annex A 5.9 – Inventar der Informationen und zugehörigen Werte | Vollständiges, aktuelles Asset-Inventar in der CMDB, inklusive Eigentümern |
| Annex A 8.9 – Konfigurationsmanagement | Konfigurationen von Systemen und Services zentral dokumentiert und nachvollziehbar |
| Kapitel 6.1.2 / 8.2 – Risikobeurteilung | Risiken direkt an Assets bewerten, automatische Berechnung, Risikomatrix |
| Kapitel 6.1.3 / 8.3 – Risikobehandlung | Maßnahmen mit Risk Owner und Status zuordnen |
| Annex A 5.19–5.22 – Lieferantenbeziehungen | Lieferanten erfassen und mit abhängigen Services verknüpfen |
| Annex A 5.24–5.28 – Umgang mit Sicherheitsvorfällen | Betroffene Services über Abhängigkeiten sofort erkennen; SIEM- und Ticketing-Anbindung |
| Annex A 5.30 – IKT-Bereitschaft für Business Continuity | Kritische Services identifizieren als Basis für BIA und Notfallplanung |
| Annex A 8.8 – Management technischer Schwachstellen | Integration von Schwachstellenscannern, Zuordnung zu betroffenen Assets |
| Kapitel 7.5 / 9.2 – Dokumentierte Information und internes Audit | Audit Trail und Berichte als Nachweis für Auditoren |
ISO-27001-Anforderung: Annex A 5.9 – Inventar der Informationen und zugehörigen WerteSo unterstützt DataGerry: Vollständiges, aktuelles Asset-Inventar in der CMDB, inklusive Eigentümern
ISO-27001-Anforderung: Annex A 8.9 – Konfigurationsmanagement
So unterstützt DataGerry: Konfigurationen von Systemen und Services zentral dokumentiert und nachvollziehbar
ISO-27001-Anforderung: Kapitel 6.1.2 / 8.2 – Risikobeurteilung
So unterstützt DataGerry: Risiken direkt an Assets bewerten, automatische Berechnung, Risikomatrix
ISO-27001-Anforderung: Kapitel 6.1.3 / 8.3 – Risikobehandlung
So unterstützt DataGerry: Maßnahmen mit Risk Owner und Status zuordnen
ISO-27001-Anforderung: Annex A 5.19–5.22 – Lieferantenbeziehungen
So unterstützt DataGerry: Lieferanten erfassen und mit abhängigen Services verknüpfen
ISO-27001-Anforderung: Annex A 5.24–5.28 – Umgang mit Sicherheitsvorfällen
So unterstützt DataGerry: Betroffene Services über Abhängigkeiten sofort erkennen; SIEM- und Ticketing-Anbindung
ISO-27001-Anforderung: Annex A 5.30 – IKT-Bereitschaft für Business Continuity
So unterstützt DataGerry: Kritische Services identifizieren als Basis für BIA und Notfallplanung
ISO-27001-Anforderung: Annex A 8.8 – Management technischer Schwachstellen
So unterstützt DataGerry: Integration von Schwachstellenscannern, Zuordnung zu betroffenen Assets
ISO-27001-Anforderung: Kapitel 7.5 / 9.2 – Dokumentierte Information und internes Audit
So unterstützt DataGerry: Audit Trail und Berichte als Nachweis für Auditoren
DataGerry als Grundlage für ISO 27001 und NIS2
Ein sauber aufgebautes ISMS ist die gemeinsame Basis für Zertifizierungen und gesetzliche Pflichten. Mit DataGerry pflegen Sie Assets, Risiken und Maßnahmen nur einmal und nutzen sie gleichzeitig für:
- ISO 27001: Asset-Inventar, Risikobehandlung und Audit-Nachweise für die Zertifizierung. → Mehr zu ISO 27001 mit DataGerry
- NIS2: Risikomanagement, Lieferkettensicherheit und Meldefähigkeit für betroffene Einrichtungen. → Mehr zur NIS2-Umsetzung mit DataGerry
- BSI IT-Grundschutz++: Der modernisierte IT-Grundschutz des BSI setzt auf schlankere, maschinenlesbare Anforderungen. DataGerry liefert die strukturierte Asset- und Service-Basis, auf die sich diese Anforderungen direkt beziehen lassen.
Weitere Infos zum Zusammenspiel von NIS2, ISO 27001 und Grundschutz++ erhalten Sie in unserem kostenlosen Whitepaper.
Sind Sie bereit, die Kontrolle über Ihre Daten zu übernehmen?
Starten Sie noch heute Ihre 14-tägige kostenlose Testversion von DataGerry.
Probieren Sie DataGerry aus, die Open-Source-CMDB, die Struktur und Flexibilität in Ihre IT-Dokumentation bringt. Entdecken Sie leistungsstarke Funktionen, automatisieren Sie Ihre Arbeitsabläufe und verschaffen Sie sich einen vollständigen Überblick über Ihre Assets – ganz ohne Verpflichtungen.
FAQ – ISO 27001 mit DataGerry
Kommen Sie auf uns zu
Kontaktieren Sie das DataGerry-Team
Haben Sie Fragen oder stehen Sie vor einer besonderen Herausforderung?
Unser engagiertes DataGerry-Team berät Sie gerne.
Büroanschrift
Hauptstraße 8b, 82008 Unterhaching, Deutschland
E-Mail
info@datagerry.com
Telefon
+49 89 608668 0
Folgen Sie uns auf