Die Sicherheitsnorm 27001 trägt wirkungsvoll zum Schutz von Informationen bei und wurde erstmals novelliert. Der Fokus liegt nun auf einem guten Risikomanagement und soll den Einstieg in die IT-Sicherheit für kleinere Unternehmen erleichtern.

Anpassung an die High Level Struktur
Durch die Anpassung von ISO 27001:2013 an die High Level Struktur sind weite Teile des Regelwerks mit anderen Managementsystemanforderungen identisch. Die High Level Struktur fordert eine deutlich klarere Definition von Verantwortlichkeiten für einzelne Aktionen, zudem erfolgt eine stärkere Integration der obersten Führungsebene des jeweiligen Unternehmens. Auch wurden die Schwerpunkte neu gewichtet, sodass z. B. die Dokumentation als eine der Support-Anforderungen zu verstehen ist. Die Novellierung setzt das Kerngeschäft anstatt der Dokumente in den Vordergrund, Thema ist ein Informationsmanagementsystem der jeweiligen Organisationen, nicht ein Dokumenten-Managementsystem.

Anforderungen an Risikokontrolle sind Neuheit
Die neuen Anforderungen an die Risikokontrolle wurde an den Risikomanagement-Standard ISO 31000 angepasst, wodurch sie deutlich anspruchsvoller sind. Die Flexibilität der zertifizierten Unternehmen steigt insgesamt, dafür fehlt etwas inhaltliche Führung durch die Norm.

Zertifizierungen nach ISO 27001:2013 seit Mai 2014
Zertifizierungen nach der neuen ISO 27001:2013 sind seit Mai 2014 möglich. Es gibt eine Übergangszeit, in der begonnene Zertifizierungsprozesse wie geplant fortgesetzt und zu jedem Überwachungsaudit umgestellt werden können. Ende der Übergangsfrist für bestehende Zertifikate nach der Vorgängernorm ist der 1. Oktober 2015. Ab Oktober 2014 erfolgen Erst- und Re-Zertifizierung nur noch auf Grundlage der neuen Norm.