ISO/IEC 27001:2022 betrifft ein Informationssicherheitsmanagementsystem für Vertraulichkeit, Integrität und Verfügbarkeit. Ein Zertifikat garantiert nicht, dass jeder Angriff scheitert.

01

Informations- und Betriebsgrenzen bestimmen

Beschreiben Sie Dienste, Prozesse, Standorte, Menschen, Informationen und Technik im Geltungsbereich. Zeigen Sie Schnittstellen zu Cloudanbietern und Fernarbeit. Eine ausgelagerte Plattform beseitigt Verantwortung für Berechtigungen, Verträge oder Datenverarbeitung nicht. Ein Zertifikat für einen gehosteten Dienst deckt nicht automatisch alle Produkte und Standorte ab.

02

Risiken mit der Anwendbarkeitserklärung verbinden

Bewerten Sie Risiken nach vereinbarten Kriterien, wählen Sie Behandlung und benennen Sie Verantwortliche. Die Anwendbarkeitserklärung erläutert notwendige Maßnahmen, Umsetzungsstatus sowie Gründe für Aufnahme oder Ausschluss gegenüber dem Referenzsatz. Eine fremde Maßnahmenliste ohne eigene Risikoentscheidung unterbricht den Nachweis. Tätigkeit und Verpflichtungen können zusätzliche Maßnahmen erfordern.

03

Grenzen anhand eines Vorgangs prüfen

Bei einem hypothetischen Lohnabrechnungsdienst zeigen Sie, wer Zugriff gewährt, Dateien speichert, das System unterstützt und Daten wiederherstellt. Ein aktives Konto ausgeschiedener Beschäftigter verbindet ein Risiko mit dem Entzugsprozess und Prüfnachweisen. Ein Penetrationstest allein belegt nicht alle organisatorischen, personellen und physischen ISMS-Maßnahmen.

04

Antrag und unabhängige Zuständigkeit

Legen Sie Umfang, Standorte, Personal, Abhängigkeiten, Risikobewertung, Behandlung und Umsetzungsstand vor. ISO/IEC 27006-1 ergänzt Anforderungen an Fachkompetenz und Unparteilichkeit von ISMS-Zertifizierungsstellen. ISO stellt keine Zertifikate aus; prüfen Sie Aussteller und beanspruchten Akkreditierungsumfang für Standard und Tätigkeit. Der Antragsteller setzt das System um und erstellt seine betriebsspezifischen Verfahren und Aufzeichnungen. Eine Zertifizierungsanfrage an Kayra betrifft tatsächliche Tätigkeiten und Standorte, Antragsangaben, Befugnisse und Unparteilichkeitsrisiken; diese Rolle umfasst keine Gestaltung oder Umsetzung des Kundensystems. Die Managementsystem-Zertifizierungsstelle, andere Teile derselben juristischen Person und Organisationen unter ihrer organisatorischen Kontrolle dürfen keine Managementsystemberatung anbieten oder erbringen; getrennte Verträge heben diese Grenze nicht auf.

Quellen und Anwendungsgrenzen

Das Beispiel ist hypothetisch. Der Katalog führt ISO/IEC 27001:2022 mit Änderung von 2024; Ausgabe und Status des tatsächlichen Zertifikats sind gesondert zu prüfen.