Die ISO/IEC 27000 Normenfamilie umfasst mittlerweile mehrere Dutzend Einzelstandards rund um Informationssicherheit. Für Unternehmen stellt sich dabei häufig dieselbe Frage: Welche dieser Normen liefert nur Begriffe, welche ist ein unverbindlicher Leitfaden – und welche Norm lässt sich tatsächlich zertifizieren? Diese Unterscheidung ist wichtig, denn nicht jede Norm der Reihe eignet sich für ein Zertifizierungsaudit. Wer ein Informationssicherheits-Managementsystem (ISMS) aufbauen möchte, sollte die Rolle jeder Norm kennen, bevor er in Beratung oder Audit investiert. Dieser Beitrag ordnet die wichtigsten Normen der ISO/IEC 27000-Familie den drei Kategorien Definition, Leitfaden und Zertifizierungsnorm zu.
Was ist die ISO/IEC 27000-Normenfamilie?
Die ISO/IEC 27000-Normenfamilie ist eine international anerkannte Reihe von Standards für Informationssicherheits-Managementsysteme. Sie wird gemeinsam von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) veröffentlicht. Innerhalb der Familie übernehmen einzelne Normen unterschiedliche Rollen: Grundlagen, Umsetzungshilfen oder Zertifizierungsanforderungen.
Die Reihe geht auf den britischen Standard BS 7799 aus den 1990er-Jahren zurück und wurde seither kontinuierlich erweitert. Heute zählt die Familie über 40 Einzelstandards, die von allgemeinen Begriffsdefinitionen über konkrete Anforderungen bis hin zu branchenspezifischen Leitfäden reichen. Nicht jede dieser Normen richtet sich an Unternehmen, die ein ISMS betreiben – einige adressieren ausschließlich Zertifizierungsstellen oder Auditoren. Genau deshalb lohnt sich eine klare Einordnung nach Funktion statt nach Normnummer.
Welche Norm liefert grundlegende Definitionen?
Die ISO/IEC 27000 selbst übernimmt diese Rolle. Sie enthält das Vokabular der gesamten Normenreihe, erklärt zentrale Begriffe wie Risiko, Schutzziel oder Managementsystem und gibt eine kompakte Einführung in das Konzept eines ISMS.
Diese Grundlagennorm ist bewusst kein Anforderungsdokument. Unternehmen werden nicht nach ISO/IEC 27000 auditiert oder zertifiziert – sie dient als Referenz, um die übrigen Normen der Familie korrekt zu verstehen. Praktisch bedeutet das: Wer zum ersten Mal ein ISMS plant, findet hier die begriffliche Grundlage, bevor die eigentliche Anforderungsnorm zur Anwendung kommt. Anders als viele andere ISO-Normen ist die ISO/IEC 27000 zudem kostenfrei zugänglich, was den Einstieg zusätzlich erleichtert.
Welche Normen der ISO/IEC 27000 Familie sind Leitfäden?
Der überwiegende Teil der ISO/IEC 27000-Familie besteht aus Leitfäden. Sie geben Empfehlungen und bewährte Vorgehensweisen vor, sind aber selbst nicht Gegenstand eines Zertifizierungsaudits. Zu den wichtigsten zählen:
- ISO/IEC 27002 – Leitfaden zu Sicherheitsmaßnahmen, der die Controls aus Anhang A der ISO/IEC 27001 näher erläutert
- ISO/IEC 27003 – Anleitung zur Einführung und Ausgestaltung eines ISMS
- ISO/IEC 27004 – Leitfaden zu Monitoring, Messung und Bewertung der Wirksamkeit
- ISO/IEC 27005 – Leitfaden für das Risikomanagement der Informationssicherheit
- ISO/IEC 27007 und ISO/IEC 27008 – Anleitungen für interne Audits von ISMS und Sicherheitsmaßnahmen
- ISO/IEC 27017, 27018 und 27019 – themen- beziehungsweise sektorspezifische Leitfäden für Cloud-Dienste, den Schutz personenbezogener Daten in Cloud-Umgebungen sowie die Energiewirtschaft
Diese Leitfäden unterstützen Unternehmen bei der praktischen Umsetzung, ersetzen aber nicht die eigentliche Anforderungsnorm. Ein Auditor prüft bei der Zertifizierung nicht, ob ein Unternehmen ISO/IEC 27002 oder ISO/IEC 27005 wörtlich befolgt – er prüft, ob die Anforderungen der ISO/IEC 27001 erfüllt sind. Auch ISO/IEC 27006 gehört in diesen weiteren Rahmen: Sie richtet sich nicht an zertifizierungswillige Unternehmen, sondern legt Anforderungen an Zertifizierungsstellen selbst fest und bildet damit eine Grundlage für deren Akkreditierung.
Welche Norm ist tatsächlich zertifizierbar?
ISO/IEC 27001 ist die einzige Norm der Familie, gegen die Unternehmen ihr gesamtes ISMS zertifizieren lassen können. Sie definiert die verbindlichen Anforderungen an Aufbau, Betrieb und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems und enthält in Anhang A eine Liste von Sicherheitsmaßnahmen, aus denen Unternehmen risikobasiert auswählen. Zertifizierungsstellen prüfen die Umsetzung dieser Norm in einem zweistufigen Audit und akkreditierte Stellen stellen dafür Zertifikate mit internationaler Anerkennung aus.
Eine Ergänzung bildet ISO/IEC 27701, die ein Datenschutz-Managementsystem (Privacy Information Management System, PIMS) beschreibt. In der ursprünglichen Fassung von 2019 war sie ausschließlich als Erweiterung eines bestehenden ISMS nach ISO/IEC 27001 zertifizierbar. Seit der überarbeiteten Fassung von 2025 lässt sich die ISO/IEC 27701 auch eigenständig implementieren und zertifizieren, ohne dass zuvor ein vollständiges ISMS bestehen muss. Für Unternehmen, die bereits nach ISO/IEC 27001 zertifiziert sind, bleibt die kombinierte Auditierung beider Normen jedoch weiterhin die naheliegende Option.
Übersicht: Definition, Leitfaden oder Zertifizierungsnorm
| Norm | Rolle | Zertifizierbar? |
|---|---|---|
| ISO/IEC 27000 | Begriffe und Überblick über die Normenfamilie | Nein |
| ISO/IEC 27001 | Anforderungen an ein ISMS | Ja – Kernnorm der Familie |
| ISO/IEC 27002 | Leitfaden zu Sicherheitsmaßnahmen (Anhang A) | Nein |
| ISO/IEC 27003 | Leitfaden zur Implementierung eines ISMS | Nein |
| ISO/IEC 27004 | Leitfaden zu Monitoring und Messung | Nein |
| ISO/IEC 27005 | Leitfaden zum Risikomanagement | Nein |
| ISO/IEC 27006 | Anforderungen an Zertifizierungsstellen | Nein – richtet sich an Zertifizierungsstellen, nicht an Unternehmen |
| ISO/IEC 27007 / 27008 | Leitfäden zur Auditierung | Nein |
| ISO/IEC 27017 / 27018 / 27019 | Sektor- und themenspezifische Leitfäden | Nein |
| ISO/IEC 27701 | Datenschutz-Managementsystem (PIMS) | Ja – eigenständig oder in Kombination mit ISO/IEC 27001 |
Häufige Fragen zur ISO 27000 Normenfamilie
Welche Norm der ISO 27000-Familie liefert Definitionen? Die ISO/IEC 27000 liefert das Vokabular und die Grundbegriffe für die gesamte Normenfamilie. Sie ist selbst nicht zertifizierbar.
Welche Normen der ISO 27000-Familie sind Leitfäden? Den größten Teil der Familie bilden Leitfäden wie ISO/IEC 27002, 27003, 27004, 27005, 27007, 27008, 27017, 27018 und 27019. Sie unterstützen die Umsetzung, sind aber kein Auditgegenstand.
Welche Norm der ISO 27000-Familie ist zertifizierbar? Zertifizierbar ist in erster Linie die ISO/IEC 27001. Ergänzend lässt sich die ISO/IEC 27701 für ein Datenschutz-Managementsystem zertifizieren.
Fazit
Die ISO/IEC 27000 Normenfamilie lässt sich klar in drei Rollen einteilen: Die ISO/IEC 27000 liefert Definitionen, zahlreiche Leitfäden wie ISO/IEC 27002 oder 27005 unterstützen die Umsetzung, und die ISO/IEC 27001 bildet die eigentliche Zertifizierungsnorm. Wer diese Struktur kennt, plant sein ISMS-Projekt gezielter und vermeidet Missverständnisse gegenüber Beratern, Auditoren und Kunden.
Sie fragen sich, welche Norm für Ihr Unternehmen am sinnvollsten ist? ADVANTA Cert berät Sie individuell und erstellt Ihnen ein auf Ihre Situation zugeschnittenes Angebot.
