ISO/IEC 27001: Informationssicherheit, nachgewiesen.
ISO/IEC 27001 verlangt, die Risiken für Informationen zu bewerten, Maßnahmen zu ihrer Behandlung zu wählen und nachzuweisen, dass sie wirken. Kunden verlangen sie, die italienische öffentliche Verwaltung für die Cloud ebenso, und sie hilft allen, die für NIS2 geradestehen müssen.
Worum es geht
Bewertete Risiken, gewählte Maßnahmen, gesammelte Nachweise.
Die Norm verlangt ein Managementsystem, das Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch einen Risikomanagementprozess schützt. Sie gilt für jede Branche; die IT ist die mit den meisten Zertifikaten. Zertifikate nach der Ausgabe 2013 sind seit dem 31.10.2025 nicht mehr gültig.
Für wen
- Wer Software entwickelt oder Daten im Auftrag von Kunden verwaltet
- Wer Cloud-Dienste für die italienische öffentliche Verwaltung anbietet
- Wer unter NIS2 fällt und eine anerkannte Methode für die Sicherheitsmaßnahmen will
- Wer Sicherheitsfragebögen von Kunden bekommt und mit einem Zertifikat antworten will
Was sie Ihnen bringt
Um einen Cloud-Dienst für die öffentliche Verwaltung auf Stufe QC1 zu qualifizieren, verlangt ACN, die italienische Nationale Agentur für Cybersicherheit, ISO/IEC 27001 mit den Erweiterungen 27017 und 27018 oder CSA STAR Level 2.
ACN, Maßnahmen für Cloud-Dienste, Stufe QC1Wer zertifiziert ist, hat eine Brücke zu den NIS-Basismaßnahmen: UNI/PdR 174:2025, entwickelt mit Unterstützung von ACN.
ACN, UNI/PdR 174:2025Bei italienischen Ausschreibungen, die es vorsehen, sinkt die Sicherheitsleistung um bis zu 20 %: ISO/IEC 27001 gehört zu den Zertifizierungen in Anhang II.13.
D.Lgs. 36/2023, art. 106 c. 8 und allegato II.13
Der Weg
Von der Analyse zum Zertifikat, in vier Schritten.
- 1
Geltungsbereich und Risiken
Man legt fest, was geschützt wird — Standorte, Systeme, Prozesse — und bewertet die Risiken für die Informationen.
- 2
Maßnahmen und Anwendbarkeit
Man wählt die Maßnahmen, begründet schriftlich, warum jede angewendet oder ausgeschlossen wird, und setzt sie um.
- 3
Internes Audit und Bewertung
Bevor die Zertifizierungsstelle kommt, zeigen ein internes Audit und die Managementbewertung, ob das System trägt.
- 4
Zertifizierungsaudit
Die akkreditierte Stelle führt es in zwei Stufen durch, die zweite an den Standorten des Unternehmens. Das Zertifikat gilt drei Jahre, mit einer Überwachung pro Jahr.
10ISO
Wie 10ISO Ihnen helfen wird
Die Arbeit, die sich wiederholt, übernehmen die Agenten; die Entscheidungen bleiben bei Ihnen und bei denen, die Sie begleiten. 10ISO ist in Vorbereitung: Das ist, was wir bauen.
- Die Risikobewertung und die gewählten Maßnahmen, abgeglichen, wenn sich etwas ändertDemnächst
- Die Nachweise zu den Maßnahmen dort gesammelt, wo sie entstehen: Zugriffe, Backups, Schulungen, LieferantenDemnächst
- Die NIS-Maßnahmen, die 27001 schon abdeckt, und die, die fehlenDemnächst
- Eine weitere Norm, 22301 oder 9001, auf denselben KapitelnDemnächst
Fragen
Die ersten Fragen zu ISO/IEC 27001.
Reicht ISO/IEC 27001, um NIS2 zu erfüllen?
Nein. ACN misst die Konformität an der Umsetzung aller Anforderungen ihrer Basismaßnahmen, nicht an einem Zertifikat. Wer zertifiziert ist, hat einen Vorsprung, und UNI/PdR 174:2025 hilft zu sehen, was fehlt.
Bin ich mit 27001 GDPR-konform?
Nein. Accredia schreibt es klar: Ein Systemzertifikat garantiert keine Rechtskonformität. Für die GDPR gibt es nur die Zertifizierungen nach Art. 42.
Ich habe noch ein Zertifikat nach ISO/IEC 27001:2013: Gilt es?
Nein. Zertifikate nach der Ausgabe 2013 sind am 31.10.2025 abgelaufen oder wurden zurückgezogen: Sie brauchen eine Zertifizierung nach der Ausgabe 2022.
Quellen
Jeder Verweis in diesem Steckbrief stammt aus einer dieser Quellen, geprüft am 28.09.2026. Ändert sich ein Gesetz oder eine Norm, wird der Steckbrief aktualisiert.
Quellen
- ISO — ISO/IEC 27001:2022, Information security management systems (öffnet in einem neuen Tab)
- IAF MD 26 — Transition requirements for ISO/IEC 27001:2022 (öffnet in einem neuen Tab)
- ACN — servizi cloud per la PA, misure del livello QC1 (öffnet in einem neuen Tab)
- ACN — UNI/PdR 174:2025 per i soggetti NIS certificati ISO/IEC 27001 (öffnet in einem neuen Tab)
- ACN — FAQ NIS su misure di sicurezza e notifica degli incidenti (öffnet in einem neuen Tab)
- Accredia — Organismi di certificazione dei sistemi di gestione (öffnet in einem neuen Tab)
- D.Lgs. 36/2023, art. 106 — garanzie per la partecipazione (Normattiva) (öffnet in einem neuen Tab)
- D.Lgs. 36/2023, allegato II.13 — certificazioni per la riduzione delle garanzie (testo della GU n. 77 del 31/03/2023) (öffnet in einem neuen Tab)
Warteliste
Wir schreiben Ihnen, wenn 10ISO startet.
Eine Minute: wer Sie sind, Ihre E-Mail und die Norm, die Sie interessiert. Das ist kein Abo, und wir fragen nicht nach einer Karte.