Informationssicherheitsrisiken systematisch erkennen, bewerten und behandeln: ISO/IEC 27005 bietet Unternehmen einen international anerkannten Leitfaden für ein strukturiertes Risikomanagement. Die Norm unterstützt insbesondere die Umsetzung eines Informationssicherheitsmanagementsystems (ISMS) nach ISO/IEC 27001. Sie hilft dabei, Sicherheitsentscheidungen nachvollziehbar zu treffen und Maßnahmen an den tatsächlichen Risiken auszurichten.

 

Was ist ISO/IEC 27005?

Die Norm ISO/IEC 27005:2022 trägt den Titel „Information security, cybersecurity and privacy protection – Guidance on managing information security risks“. Sie beschreibt Grundsätze und Vorgehensweisen für das Management von Informationssicherheitsrisiken.

Im Mittelpunkt stehen Risiken, die beispielsweise die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen beeinträchtigen können. Dazu gehören Cyberangriffe, Datenverlust, Fehlkonfigurationen, Systemausfälle sowie Risiken durch Dienstleister und Cloud-Anbieter.

ISO/IEC 27005 schreibt keine einzelne, universell verbindliche Bewertungsmethode vor. Unternehmen können ihr Vorgehen an Größe, Geschäftsmodell, Schutzbedarf und Risikosituation anpassen.

 

Wie funktioniert das Risikomanagement nach ISO/IEC 27005?

Ein wirksamer Risikomanagementprozess umfasst mehrere miteinander verbundene Schritte:

• Kontext festlegen: Geschäftsziele, Geltungsbereich und Risikokriterien bestimmen.
• Risiken identifizieren: Relevante Informationen, Systeme, Bedrohungen, Schwachstellen und mögliche Schadensszenarien erfassen.
• Risiken analysieren: Eintrittswahrscheinlichkeit und mögliche Auswirkungen bewerten. Je nach Methode können qualitative oder quantitative Verfahren eingesetzt werden.
• Risiken bewerten: Ergebnisse mit festgelegten Kriterien vergleichen und Prioritäten bestimmen.
• Risiken behandeln: Geeignete Maßnahmen auswählen, Risiken vermeiden, reduzieren, teilen oder bewusst akzeptieren.
• Kommunizieren und überwachen: Verantwortlichkeiten, Entscheidungen und Restrisiken dokumentieren sowie die Risikolage regelmäßig überprüfen.

Die Ergebnisse müssen in die betrieblichen Entscheidungen einfließen. Eine Risikoliste allein verbessert die Informationssicherheit noch nicht. Entscheidend ist, dass Maßnahmen umgesetzt, Verantwortlichkeiten festgelegt und verbleibende Risiken durch befugte Personen akzeptiert werden.

 

Welche Rolle spielt ISO/IEC 27005 im ISMS?

Die drei Normen ISO/IEC 27001, ISO/IEC 27002 und ISO/IEC 27005 erfüllen unterschiedliche Aufgaben:

• ISO/IEC 27001 legt die Anforderungen an ein Informationssicherheitsmanagementsystem fest, einschließlich der Prozesse zur Risikobeurteilung und Risikobehandlung.
• ISO/IEC 27002 bietet Umsetzungshinweise zu Informationssicherheitsmaßnahmen, beispielsweise Zugriffskontrollen, Kryptografie und Sicherheitsüberwachung.
• ISO/IEC 27005 unterstützt die systematische Durchführung des Informationssicherheitsrisikomanagements.

ISO/IEC 27005 ist somit ein hilfreicher Leitfaden für Unternehmen, die ein ISMS aufbauen oder weiterentwickeln möchten. Eine eigenständige Zertifizierung nach ISO/IEC 27005 ist nicht vorgesehen.

 

Risikomanagement nach ISO 27005 und ISO 31000 im Vergleich

Beide Normen unterstützen ein systematisches Risikomanagement, unterscheiden sich jedoch in ihrem Anwendungsbereich.

Praxisempfehlung: ISO 31000 eignet sich als übergreifender Orientierungsrahmen für das Risikomanagement eines Unternehmens. ISO/IEC 27005 konkretisiert das Vorgehen für Informationssicherheitsrisiken. Beide Ansätze lassen sich sinnvoll miteinander verbinden.

 

Welche Bedeutung hat die Norm für NIS-2 und andere regulatorische Anforderungen?

Gesetzliche und regulatorische Vorgaben können Unternehmen dazu verpflichten, Cyberrisiken systematisch zu beherrschen. In Deutschland ist das NIS-2-Umsetzungsgesetz am 6. Dezember 2025 in Kraft getreten. Ob und welche Pflichten gelten, hängt unter anderem von der Betroffenheit des Unternehmens und den einschlägigen gesetzlichen Anforderungen ab.

ISO/IEC 27005 kann dabei helfen, Risiken nachvollziehbar zu bewerten und Maßnahmen systematisch abzuleiten. Die Anwendung der Norm allein garantiert jedoch weder die Erfüllung gesetzlicher Pflichten noch die Konformität mit NIS-2. Die jeweils geltenden Anforderungen müssen gesondert geprüft und umgesetzt werden.

 

Fazit: Informationssicherheitsrisiken gezielt steuern

ISO/IEC 27005 bietet Unternehmen einen strukturierten Ansatz, um Informationssicherheitsrisiken zu identifizieren, zu bewerten und angemessen zu behandeln. In Verbindung mit ISO/IEC 27001 und geeigneten Sicherheitsmaßnahmen entsteht eine belastbare Grundlage für ein wirksames ISMS.

Unternehmen profitieren insbesondere dann, wenn Risikomanagement nicht als einmaliges Projekt, sondern als kontinuierlicher Prozess verstanden wird. So können Sicherheitsmaßnahmen nachvollziehbar priorisiert, Ressourcen gezielt eingesetzt und Entscheidungen über Restrisiken fundiert getroffen werden.

 

Unser Angebot für Sie:

• Gap-Analyse im Kontext der ISO 27001, ISO 27005 und ISO 31000
• Aufbau oder Anpassung von Risiko- und Sicherheitskonzepten
• Unterstützung bei Risikoanalyse, Risikobewertung und Risikobehandlung
• Vorbereitung auf ISO 27001 Audits sowie Weiterentwicklung Ihres Risikomanagements
• Schulungen für Mitarbeiter zu Risikomanagement und Informationssicherheit

 

Kontaktieren Sie uns noch heute!
Für ein unverbindliches Erstgespräch – wir beraten Sie
zu Risikomanagement und IT-Sicherhiet

Fragen und Antworten zu KRITIS und NIS-2
https://www.tec4net.com/web/category/wissen-nis-2/

DIN ISO 31000 – offizielle Normenbeschreibung
https://www.iso.org/standard/65694.html

ISO/IEC 27001:2022 – Grundlagen und Normenübersicht
https://www.iso.org/standard/27001

Fragen und Antworten zu KRITIS und NIS-2
https://www.tec4net.com/web/category/wissen-nis-2/

Risikomanagement und Business Continuity nach ISO 22301
https://www.iso.org/standard/50038.html