- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
ISO 27001 einfach erklärt: Was die Norm im IT-Alltag verlangt
ISO/IEC 27001 ist eine internationale Norm, die beschreibt, wie eine Organisation ihre Informationssicherheit planmäßig organisiert: mit klaren Zuständigkeiten, einer Bewertung der Risiken, passenden Maßnahmen und regelmäßigen Kontrollen. Dieses System heißt Informationssicherheits-Managementsystem, kurz ISMS.
Praktisch bedeutet das: Virenschutz und Backup allein reichen nicht. Man muss zeigen können, warum genau diese Maßnahmen gewählt wurden, wer dafür zuständig ist und ob sie wirken. Besteht das ISMS die Prüfung durch eine akkreditierte Zertifizierungsstelle, erhält das Unternehmen ein Zertifikat. In Österreich akkreditiert Akkreditierung Austria solche Stellen.
Für kleine IT-Teams ist ISO 27001 vor allem eine Organisationsaufgabe. Viele der verlangten Belege entstehen ohnehin im Tagesgeschäft, etwa beim Eintritt neuer Kolleginnen, bei Störungen oder bei Änderungen an der Firewall. Sie müssen nur festgehalten werden.
Das Wichtigste in Kürze
- Aktuelle Fassung: ISO/IEC 27001:2022, 2024 um einen Punkt zum Klimawandel ergänzt. Zertifikate nach der alten Fassung von 2013 sind seit 31. Oktober 2025 abgelaufen.
- Inhalt: Anforderungen an das Managementsystem und ein Katalog mit 93 Maßnahmen, aus dem man begründet auswählt.
- Pflicht? Die Norm ist freiwillig. Das NISG 2026 verlangt von wesentlichen und wichtigen Einrichtungen Risikomanagementmaßnahmen und verweist dabei auf einschlägige Normen, schreibt aber kein Zertifikat vor.
- Microsoft 365: Das ISO-Zertifikat von Microsoft gilt für die Cloud-Dienste, nicht für die eigene Konfiguration und die eigenen Abläufe.
Stand: November 2026 · Fachlich abgeglichen mit dem NISG 2026 im Rechtsinformationssystem des Bundes, mit Microsoft Learn und den Normangaben von DIN Media (Quellen am Ende des Artikels)
Was ein ISMS im Alltag bedeutet
Ein ISMS klingt nach Ordnern. Im Kern beantwortet es vier Fragen: Was schützen wir? Wovor? Wie? Und woran merken wir, dass es funktioniert?
1. Festlegen, was dazugehört
Angenommen, ein Handelsunternehmen hat seine Zentrale in Linz, ein Lager in Wels und eine Filiale in Wien. Die IT betreuen drei Personen, unterstützt von einem externen Dienstleister. Zuerst wird der Geltungsbereich festgelegt: alle drei Standorte, Microsoft 365, das Warenwirtschaftssystem und der Fernzugang des Dienstleisters. Was nicht dazugehört, wird begründet ausgeschlossen. Auf genau diesen Bereich bezieht sich später das Zertifikat.
2. Risiken bewerten
Für jeden wichtigen Wert, etwa Kundendaten, Kassensystem oder Postfächer, fragt das Team: Was kann passieren, wie wahrscheinlich ist es und wie schlimm wäre es? Ein gestohlener Laptop ohne Verschlüsselung ist ein anderes Risiko als ein Stromausfall im Lager. Jedes Risiko bekommt einen Verantwortlichen.
3. Maßnahmen auswählen
Der Anhang A der Norm enthält 93 Maßnahmen in vier Gruppen. Im Alltag sehen sie so aus:
- Organisatorisch (37): Regeln für den Umgang mit Informationen, Sicherheitsvereinbarungen mit Lieferanten, ein Ablauf für Sicherheitsvorfälle.
- Personen (8): Schulungen, Pflichten nach dem Austritt, ein einfacher Weg, verdächtige E-Mails zu melden.
- Physisch (14): ein versperrter Serverraum, aufgeräumte Schreibtische und gesperrte Bildschirme, die sichere Entsorgung alter Festplatten.
- Technisch (34): Updates, Datensicherung, Protokollierung, Administratorrechte nur für die, die sie brauchen.
Welche Maßnahmen gelten und welche nicht, steht in der Erklärung zur Anwendbarkeit. Ein Betrieb ohne eigene Softwareentwicklung kann zum Beispiel die Maßnahmen zur sicheren Programmierung begründet ausschließen.
4. Prüfen und nachbessern
Mindestens ein internes Audit und eine Managementbewertung durch die Geschäftsführung gehören zum festen Ablauf. Was dabei auffällt, wird als Korrekturmaßnahme verfolgt, bis es erledigt ist.
ISO 27001, NISG 2026 und Microsoft 365: Was gilt wofür?
In Gesprächen mit Kunden, Dienstleistern und der Geschäftsführung werden drei Dinge oft vermischt: die Norm, das Gesetz und die Zertifikate der Cloud-Anbieter.
| ISO/IEC 27001 | NISG 2026 |
|---|---|
| Art | |
| Freiwillige internationale Norm | Bundesgesetz, BGBl. I Nr. 94/2025 |
| Gilt für | |
| Jede Organisation, die sich danach richtet | Wesentliche und wichtige Einrichtungen |
| Stand | |
| Fassung 2022, ergänzt 2024 | In Kraft seit 1. Oktober 2026 |
| Inhalt | |
| ISMS mit 93 Maßnahmen | Maßnahmen gegen Risiken nach § 32 |
| Verhältnis | |
| Hilft, Maßnahmen geordnet umzusetzen | Verweist auf einschlägige Normen |
§ 32 NISG 2026 nennt unter anderem Konzepte zur Risikoanalyse, die Bewältigung von Cybersicherheitsvorfällen, Backup und Wiederherstellung sowie die Sicherheit der Lieferkette. Wer ein ISMS nach ISO 27001 betreibt, hat für diese Punkte bereits Abläufe. Ob ein Unternehmen unter das Gesetz fällt, ist eine eigene Prüfung.
Was das Zertifikat von Microsoft abdeckt
Microsoft lässt Microsoft 365 jährlich nach ISO 27001 prüfen, das aktuelle Zertifikat bezieht sich auf die Fassung 2022. Laut Microsoft Learn dürfen Kunden diese Zertifizierung für die eigene Bewertung nutzen, müssen ihre eigenen Kontrollen und Prozesse aber selbst prüfen lassen. Für das ISMS heißt das: Microsoft 365 wird als Cloud-Dienst nach Maßnahme 5.23 geführt, und die eigene IT regelt, wer Administrator ist, wie die Multi-Faktor-Authentifizierung eingerichtet ist und wer in Teams und SharePoint was freigeben darf. Unterstützung dabei bieten die Microsoft-365-Leistungen von KYBERNA.
Und der IT-Dienstleister?
Ein externer Dienstleister mit Administratorzugang ist ein Lieferant im Sinne der Maßnahmen 5.19 bis 5.22. Dazu gehören Sicherheitsvereinbarungen, ein Überblick, wer welchen Zugang hat, und eine regelmäßige Kontrolle der Leistung. Ein ISO-Zertifikat des Dienstleisters ersetzt diese Kontrolle nicht, macht sie aber einfacher. Mehr zur Zusammenarbeit mit IT-Dienstleistern und MSPs.
Fünf Situationen aus dem IT-Alltag
So sieht ISO 27001 aus, wenn man sie auf gewöhnliche Arbeitstage herunterbricht. Die Situationen sind angenommen, die Nummern verweisen auf Maßnahmen aus Anhang A.
Eine neue Kollegin in Graz
Die Vertriebsleitung beantragt Konto, Laptop und Zugriff auf das CRM. Die IT legt das Konto an und vergibt Rechte nach Rolle, nicht nach Zuruf (5.16, 5.18). Antrag und Freigabe bleiben im Ticket nachvollziehbar.
Eine verdächtige E-Mail
Ein Mitarbeiter in Wien meldet eine Phishing-Mail über das Serviceportal (6.8). Die IT bewertet, ob daraus ein Sicherheitsvorfall wird (5.25), sperrt bei Bedarf das Konto (5.26) und hält fest, was beim nächsten Mal schneller gehen soll (5.27).
Eine Firewall-Regel für den Lieferanten
Der Dienstleister braucht Zugang zu einem Server in Linz. Die Änderung läuft als Change mit Begründung, Freigabe, Test und Ablaufdatum (8.32). Nach drei Monaten fragt das System nach, ob die Regel noch gebraucht wird.
Ein Austritt im Lager Wels
Am letzten Arbeitstag werden das Konto deaktiviert, Laptop und Schlüssel zurückgenommen (5.11) und Zugänge beim Dienstleister mitentzogen. Die Pflichten zur Vertraulichkeit gelten weiter (6.5).
Ein Server-Update am Wochenende
Ein kritisches Sicherheitsupdate wird eingespielt (8.8), vorher wird die Datensicherung geprüft (8.13), und die Filialen werden über das Wartungsfenster informiert.
Allen fünf Fällen ist gemeinsam: Sie laufen am besten als Ticket mit festem Ablauf. Dann ist der Nachweis kein Zusatzaufwand. In ky2help® erfassen Mitarbeitende Meldungen und Anfragen über Self-Service-Portale, das IT-Team passt die Workflows im Prozessdesigner selbst an, ohne Programmierung.
Checkliste: Bereit für das Zertifizierungsaudit?
Das Zertifizierungsaudit läuft in zwei Stufen. Stufe 1 prüft Unterlagen und Bereitschaft, Stufe 2 die Wirksamkeit im Betrieb. Danach folgen jährliche Überwachungsaudits, nach drei Jahren die Rezertifizierung. Vor Stufe 1 sollten diese Punkte erledigt sein:
- Der Geltungsbereich ist schriftlich festgelegt, inklusive Standorte und Cloud-Dienste.
- Die Geschäftsführung hat die Leitlinie zur Informationssicherheit beschlossen.
- Es gibt ein aktuelles Verzeichnis von Geräten, Anwendungen und Cloud-Diensten mit Verantwortlichen.
- Die Risikobewertung ist dokumentiert, jedes Risiko hat einen Verantwortlichen.
- Die Erklärung zur Anwendbarkeit ist vollständig und begründet.
- Schulungen sind nachweisbar, auch für neue Kolleginnen und Kollegen.
- Sicherheitsereignisse und Vorfälle sind als Tickets dokumentiert.
- Mindestens ein internes Audit und eine Managementbewertung haben stattgefunden.
- Korrekturmaßnahmen werden bis zum Abschluss verfolgt.
Was kleine Teams unterschätzen
Selten den Aufbau, häufiger die Pflege. Das ISMS muss auch dann laufen, wenn jemand im Urlaub ist. Deshalb sollten Aufgaben wie die Prüfung von Berechtigungen oder das Nachfassen bei offenen Maßnahmen als wiederkehrende Tickets angelegt sein, mit Vertretung. Der Dienstleister gehört in die Planung des Audits, weil der Auditor auch seine Zugänge sehen will. Wer bei technischen Schutzmaßnahmen Verstärkung sucht, findet sie bei den Cybersecurity Services von KYBERNA.
Häufige Fragen
Was ist ISO 27001, einfach erklärt?
ISO 27001 ist eine internationale Norm dafür, Informationssicherheit planmäßig zu organisieren. Ein Unternehmen legt fest, was es schützt, bewertet die Risiken, wählt passende Maßnahmen und prüft regelmäßig, ob sie wirken. Besteht das ISMS die Prüfung durch eine akkreditierte Stelle, erhält das Unternehmen ein Zertifikat.
Muss ein kleines Unternehmen in Österreich nach ISO 27001 zertifiziert sein?
Nein, eine allgemeine Pflicht gibt es nicht. Das NISG 2026 verlangt von wesentlichen und wichtigen Einrichtungen Risikomanagementmaßnahmen, schreibt aber kein ISO-Zertifikat vor. Häufig verlangen Kunden oder Ausschreibungen einen Nachweis, dann ist das Zertifikat ein anerkannter Weg.
Reicht das ISO-27001-Zertifikat von Microsoft für unsere Microsoft-365-Umgebung?
Nein. Das Zertifikat von Microsoft gilt für die Cloud-Dienste von Microsoft. Laut Microsoft Learn bleibt der Kunde dafür verantwortlich, seine eigenen Kontrollen und Prozesse prüfen zu lassen, etwa Administratorrechte, MFA und Freigaberegeln.
Was ist die Erklärung zur Anwendbarkeit?
Die Erklärung zur Anwendbarkeit, auf Englisch Statement of Applicability, listet alle 93 Maßnahmen aus Anhang A auf. Für jede Maßnahme steht darin, ob sie umgesetzt ist und warum sie aufgenommen oder ausgeschlossen wurde.
Wie läuft das Zertifizierungsaudit ab?
Das Audit hat zwei Stufen. In Stufe 1 prüft die Zertifizierungsstelle die Unterlagen und ob das Unternehmen bereit ist, in Stufe 2 die Wirksamkeit im Betrieb anhand von Gesprächen und Stichproben. Das Zertifikat gilt drei Jahre, dazwischen gibt es jährliche Überwachungsaudits.
Wie hilft ky2help® kleinen IT-Teams bei ISO 27001?
ky2help® führt Störungen, Anfragen und Änderungen als Tickets mit festem Ablauf und automatischer Historie. Mitarbeitende melden Vorfälle über Self-Service-Portale, und das IT-Team passt die Workflows im Prozessdesigner ohne Programmierung an. So entstehen viele Nachweise im Tagesgeschäft.
Quellen und weiterführende Artikel
Quellen
- RIS: § 32 NISG 2026 – Risikomanagementmaßnahmen
- EUR-Lex: Richtlinie (EU) 2022/2555 (NIS 2)
- Microsoft Learn: ISO/IEC 27001 bei Microsoft-Clouddiensten
- Microsoft Learn: Gemeinsame Verantwortung in der Cloud
- DIN Media: EN ISO/IEC 27001 (Normangaben)
- Kiwa (Zertifizierungsstelle): Änderungen der Fassung 2022 und Übergangsfrist
- Akkreditierung Austria
- Österreichisches Informationssicherheitshandbuch
Weiterlesen im Glossar und bei KYBERNA
- ISO 27001 aus Sicht der IT-Sicherheitsberatung (Glossar Cloud & IT Services)
- Helpdesk und Incident
- MFA und Single Sign-on
- Active Directory
- ISO/IEC 27001-Zertifikat der KYBERNA AG
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
