Als Admin setzen Sie ISO/IEC 27001 praktisch um, indem Sie den vereinbarten Geltungsbereich des Informationssicherheits-Managementsystems (ISMS) in den IT-Betrieb übersetzen: Sie liefern technische Fakten, stimmen Risiken und Kontrollen mit den Verantwortlichen ab, betreiben beschlossene Maßnahmen und halten passende Nachweise auffindbar. Sie verantworten damit einen wichtigen Teil der Umsetzung – aber weder den ISMS-Umfang noch die Risikoakzeptanz oder die Geschäftsprioritäten allein.
Was ISO/IEC 27001 von der Organisation verlangt
ISO/IEC 27001:2022 ist ein Anforderungsstandard für ein ISMS. Die Norm soll Organisationen jeder Größe und Branche beim Aufbau, bei der Umsetzung, Pflege und kontinuierlichen Verbesserung eines ISMS unterstützen. Das System muss zum Kontext, zu den Zielen, Prozessen und Risiken des jeweiligen Unternehmens passen; es gibt keine universelle technische Konfiguration, die für alle Betriebe genügt. Die maßgeblichen Anforderungen stehen in den Abschnitten 4 bis 10. Für verbindlichen Wortlaut und Konformitätsentscheidungen ist die lizenzierte Norm maßgeblich: ISO/IEC 27001:2022 bei ISO.
As an Amazon Associate I earn from qualifying purchases.
Für Admins bedeutet das: erst den betrieblichen Rahmen verstehen, dann passende Kontrollen in Technik und Abläufe übersetzen. Ein Server-Hardening, eine Backup-Konfiguration oder eine Zugriffsregel ist nicht für sich allein ein ISMS. Wirksam wird die Arbeit, wenn sie zu identifizierten Risiken, klaren Zuständigkeiten und überprüfbaren Abläufen gehört.
The Tool Desk
Outbyte Driver Updater FREEFix the driver behind crashes, sound loss and screen glitchesFind Drivers →Outbyte PC Repair FREERepair Windows errors before they cause bigger problemsFix Now →So gehen Admins bei der Umsetzung vor
Die folgende Abfolge ist ein praktischer Arbeitsrahmen, keine offizielle ISO-Checkliste. Die Organisation legt Umfang, Kriterien und Verantwortlichkeiten fest; Admins bringen Betriebswissen ein und setzen vereinbarte Maßnahmen um. Das ISO/IEC-JTC-1/SC-27-Material zur ISMS-Umsetzung betont den Zusammenhang zwischen Organisationskontext, Risiko, Kontrollen und laufender Umsetzung: Implementing an ISMS based on ISO/IEC 27001.
#1 Best Overall
1. Kontext und ISMS-Geltungsbereich klären
Finden Sie mit den Verantwortlichen heraus, welche Geschäftsprozesse, Informationen, Systeme, Standorte, Teams und externen Dienstleister im ISMS liegen. Klären Sie auch, welche interessierten Parteien Anforderungen stellen – etwa Kunden, Geschäftspartner oder Aufsichtsstellen, soweit diese für das Unternehmen relevant sind. Der Umfang ist eine Organisationsentscheidung. Als Admin können Sie Abhängigkeiten und technische Grenzen sichtbar machen, sollten den Geltungsbereich aber nicht eigenmächtig festlegen.
Praktisch hilfreich ist eine nachvollziehbare Zuordnung: Welche Systeme unterstützen welche Prozesse? Wo liegen die dafür benötigten Informationen? Welche externen Dienste oder Schnittstellen sind beteiligt? Diese Übersicht erleichtert später die Risikobewertung und macht erkennbare Lücken im Betriebswissen sichtbar.
2. Rollen und Entscheidungsrechte festlegen
Die Unternehmensleitung, Prozessverantwortliche, Risikoeigentümer und IT müssen wissen, wer welche Entscheidungen trifft. Admins beschreiben technische Risiken und Abhängigkeiten, beraten bei möglichen Behandlungen und betreiben beschlossene Kontrollen. Die Organisation entscheidet über Prioritäten und darüber, ob ein Risiko akzeptiert, behandelt oder anders gesteuert wird. Eine technische Empfehlung ist wichtig, ersetzt aber nicht die Zustimmung der zuständigen Verantwortlichen.
3. Risiken mit geeigneten Kriterien bewerten
Die Organisation braucht ein nachvollziehbares Verfahren, um Risiken für Informationen und Geschäftsprozesse zu erkennen, Ergebnisse vergleichbar zu beurteilen und daraus erforderliche Behandlungen abzuleiten. ISO/IEC 27001 schreibt keine einzelne Risikomethode oder universelle Bewertungsmatrix vor. Kriterien, Skalen und Akzeptanzgrenzen müssen daher zum Unternehmen passen und intern festgelegt sein. Hinweise der ISO/IEC JTC 1/SC 27 Auditing Practices Group zur Risikobewertung erläutern diese Methodenfreiheit: Hinweis zu Risikobewertungsmethoden.
Der Admin liefert dafür konkrete Fakten: etwa betroffene Systeme, technische Schwachstellen, Ausfallfolgen, Abhängigkeiten, bestehende Schutzmaßnahmen und Wiederherstellungsoptionen. So lassen sich Risiken an den möglichen Auswirkungen auf den Geschäftsbetrieb beurteilen, statt nur eine technische Liste ohne Priorisierung zu erstellen.
4. Erforderliche Kontrollen auswählen und betreiben
Leiten Sie Kontrollen aus der Risikobehandlung und den Anforderungen des Unternehmens ab. Vergleichen Sie sie mit Annex A, dem Referenzbestand der Norm, und prüfen Sie zusätzlich, ob weitere Kontrollen erforderlich sind. Typische Admin-Aufgaben können Zugriffsverwaltung, sichere Konfiguration, Sicherungen, Protokollierung, Wiederherstellung und die technische Behandlung von Lieferantenabhängigkeiten umfassen. Welche Maßnahmen tatsächlich nötig sind, hängt vom jeweiligen Risiko und Anwendungsfall ab.
Annex A der Ausgabe 2022 umfasst laut BSI Group 93 Kontrollen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Kontrollen. Diese Zahl ist kein Auftrag, jeden Eintrag ungeprüft und identisch in jedem Unternehmen umzusetzen. Annex A dient als Referenz für die Auswahl; die Organisation muss die für ihren Kontext erforderlichen Kontrollen bestimmen. BSI Group: Übersicht zu den Annex-A-Kontrollen.
What’s actually slowing this PC down?
Pick the symptom - the matching free tool is one click away.
5. Statement of Applicability (SoA) und Nachweise zusammenführen
Die Statement of Applicability (SoA) hält die notwendigen Kontrollen, ihre Anwendbarkeit und begründete Ausschlüsse fest. Sie sollte mit der Risikobewertung und dem Risikobehandlungsplan übereinstimmen. Eine notwendige Kontrolle darf nicht allein deshalb weggelassen werden, weil sie nicht in Annex A steht; umgekehrt macht das bloße Übernehmen aller Annex-A-Einträge eine Umsetzung nicht automatisch passend. Weitere fachliche Hinweise dazu finden sich in einer Auditing Practices Note der ISO/IEC JTC 1/SC 27 Auditing Practices Group vom 10. September 2022. Sie ist ein Audit-Hinweis, kein von ISO/IEC gebilligter Normtext: Hinweis zur Statement of Applicability.
Im Betrieb sollten die zugehörigen Zuständigkeiten, Abläufe und Belege so gepflegt werden, dass Verantwortliche nachvollziehen können, ob die beschlossenen Kontrollen tatsächlich funktionieren. Welche Nachweise sinnvoll sind, richtet sich nach Prozess und Kontrolle. Eine Tabelle oder Richtlinie allein belegt nicht, dass eine Maßnahme wirksam betrieben wird.
6. Änderungen, Abweichungen und Verbesserungen verfolgen
Überprüfung und Managementbewertung helfen, Veränderungen im Unternehmenskontext, neue Risiken, Abweichungen und Verbesserungsmöglichkeiten sichtbar zu machen. Admins können Betriebsänderungen, technische Vorfälle und wiederkehrende Probleme einbringen und vereinbarte Anpassungen umsetzen. Der passende Überprüfungsrhythmus richtet sich nach dem ISMS und den betrieblichen Anforderungen; eine allgemeingültige Frequenz lässt sich daraus nicht ableiten.
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.Was in der Admin-Rolle liegt – und was nicht
| Admin-Aufgabe | Verantwortung der Organisation |
|---|---|
| Systeme, Informationen, Abhängigkeiten und technische Risiken im vereinbarten Umfang beschreiben. | Den Geltungsbereich des ISMS und relevante Anforderungen festlegen. |
| Technische Optionen für Risikobehandlungen erläutern und beschlossene Kontrollen umsetzen. | Risikokriterien, Prioritäten und erforderliche Behandlung bestimmen. |
| Kontrollen im Alltag betreiben und passende betriebliche Nachweise pflegen. | Risiken akzeptieren oder weitere Maßnahmen beschließen und Verantwortliche benennen. |
| Änderungen, Abweichungen und technische Verbesserungsmöglichkeiten an die zuständigen Stellen melden. | Das ISMS bewerten, Entscheidungen treffen und seine kontinuierliche Verbesserung steuern. |
Die Organisation behält die letzte Autorität und Verantwortung für ihr ISMS einschließlich der SoA. Daher kann ein Admin die Umsetzung entscheidend voranbringen, aber weder allein das gesamte Managementsystem verantworten noch die Zertifizierung im Alleingang sicherstellen.
Free tools Windows power users keep installed
One-click scans. No signup required.
Quick Recap
Weiterführende Quellen und Orientierung
- ISO/IEC 27001:2022 ist die Primärquelle für konkrete Anforderungen. ISO führt sie als dritte Ausgabe, veröffentlicht im Oktober 2022.
- Der 2024 erschienene ISO-Leitfaden ISO/IEC 27001:2022 – Information Security Management Systems: A practical guide for SMEs erläutert die Abschnitte 4 bis 10 und enthält Beispiele und Fallstudien.
- Die BSI-Schulungsseite zur ISO/IEC 27001 beschreibt Implementierungsschulungen zur Ausgabe 2022 und zu den Änderungen gegenüber der Ausgabe 2013. Format, Termine, Preis und regionale Verfügbarkeit sind beim Anbieter aktuell zu prüfen.
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
