Die ISO/IEC 27001 und Integrierte Management-Systeme (IMS)

Integrierte Managementsysteme sind in Unternehmen heute eher die Regel als die Ausnahme. Dank ihrer gemeinsamen Struktur und der Harmonisierung der bestehenden Managementsysteme gibt es in den Normen viele Kapitel mit vergleichbaren Forderungen. Für eine Organisation, die ein Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001 erstmals einführen möchte, stellen sich zwei Aufgaben gleichzeitig: der Aufbau des Managementsystems und die Integration der Anforderungen in das bestehende normative Gerüst des IMS. Das große Ziel sollte dabei darin bestehen, erstens ein zertifizierfähiges ISMS gemäß den Anforderungen der ISO/IEC 27001 zu implementieren und zweitens die bestehenden Regelungen des IMS für vergleichbare Forderungen der ISO/IEC 27001 zu nutzen, um Redundanzen im Gesamtsystem zu vermeiden.
Kompatibilität der ISO/IEC 27001 mit IMS

Diese Fachbroschüre liefert allen Beteiligten am Aufbau eines Informationsmanagementsystems eine wertvolle Unterstützung: Sie erläutert zunächst die Struktur der ISO/IEC 27001 und zeigt die grundlegenden Anforderungen, die an ein ISMS gestellt werden. Sie zeigt, wie die Forderungen der ISO/IEC 27001 an das Informationssicherheitsmanagement implementiert und in einem Integrierten Managementsystem, bestehend aus ISO 9001 (Qualität), ISO 14001 (Umweltschutz) und ISO 45001 (Arbeits- und Gesundheitsschutz), zusammengefasst werden können.

Hierzu werden alle operativen Normkapitel von 4 "Kontext der Organisation" bis 10 "Bewertung" einzeln betrachtet und auf ihre Kompatibilität (hoch, mittel, gering) mit den IMS analysiert. Die Normforderungen werden beschrieben und es wird dargestellt, inwieweit bestehende Prozesse übernommen oder erweitert werden können bzw. an welchen Stellen die ISO/IEC 27001 wenig oder gar keinen keinen Bezug zu den Regelungen des IMS hat.

Der Übersicht halber sind die Ergebnisse nach folgenden Punkten einheitlich gegliedert:

Punkt 1 gibt mittels Farbcodes und Kategorie (A, B, C) Hinweis auf die Kompatibilität im IMS
Punkt 2 enthält ggf. Erläuterungen und Hintergrundinformationen zur Forderung des Normenkapitels, wenn dieses nicht selbsterklärend ist
Punkt 3 beschreibt die Forderungen der ISO/IEC 27001 Punkt 4 zeigt die Kompatibilität der Forderungen und die Form der Integration der Anforderung des ISMS ins IMS
Punkt 5 enthält die dazu notwendigen Aktivitäten
Punkt 6 wird ggf. genutzt, um weitere Hinweise zur Erläuterung der Umsetzung oder Integration zu geben

Arbeitshilfen und Muster

Folgende Arbeitshilfen werden als Excel-Tabellen mitgeliefert und helfen bei Aufbau und Integration eines ISMS:

Verweismatrix ISO/IEC 27001:2022 zu ISO/IEC 27001:2013
Verweismatrix der Normen im betrachteten IMS
Kompatibilität ISO/IEC 27001:2022 zu ISO 9001, ISO 14001, ISO 45001
Informationssicherheitsrisikobeurteilung ISO/IEC 27001:2022 (nach Nohl)
Risikobehandlungsplan
Zuordnung ISMS-Prozesse/Nachweise zum Anhang A (ISO/IEC 27001:2022)