Januar 4, 2026

Klausel 4.4 Informationssicherheitsmanagementsystem

(nach ISO/IEC 27001:2022)

Das Informationssicherheitsmanagementsystem (ISMS) bildet den organisatorischen und methodischen Rahmen für den systematischen Schutz von Informationen. Es verbindet Richtlinien, Prozesse, Rollen, Maßnahmen und Ressourcen, um Informationssicherheitsziele zu erreichen und kontinuierlich zu verbessern. Diese Klausel stellt sicher, dass das ISMS eingerichtet, umgesetzt, aufrechterhalten und fortlaufend verbessert wird.

Zweck der Klausel

Klausel 4.4 soll gewährleisten, dass die Organisation ein wirksames ISMS betreibt, das den Anforderungen der ISO/IEC 27001 entspricht. Ziel ist es, Informationssicherheit strukturiert, risikobasiert und nachhaltig in die Organisation zu integrieren.

Anforderungen und Maßnahmen

1. Einrichtung des ISMS

Die Organisation muss ein ISMS einrichten, das:

  • auf dem definierten Anwendungsbereich basiert
  • die Ergebnisse der Kontext- und Stakeholderanalyse berücksichtigt
  • klare Ziele und Grundsätze der Informationssicherheit enthält
  • in bestehende Management- und Geschäftsprozesse integriert ist

Das ISMS muss zur Organisation passen.

2. Umsetzung der ISMS-Prozesse

Die definierten ISMS-Prozesse müssen umgesetzt werden, insbesondere:

  • Risikomanagement für Informationssicherheit
  • Festlegung und Umsetzung von Sicherheitsmaßnahmen
  • Rollen, Verantwortlichkeiten und Kompetenzen
  • Dokumentierte Informationen und Nachweise

So wird das ISMS operativ wirksam.

3. Aufrechterhaltung des ISMS

Das ISMS muss kontinuierlich betrieben werden:

  • regelmäßige Durchführung definierter Prozesse
  • Überwachung der Wirksamkeit von Maßnahmen
  • Behandlung von Abweichungen und Vorfällen
  • Pflege der Dokumentation

Dies stellt die Stabilität des Systems sicher.

4. Risikobasierter Ansatz

Das ISMS muss risikobasiert ausgerichtet sein:

  • systematische Identifikation von Risiken
  • Bewertung von Risiken nach festgelegten Kriterien
  • Auswahl geeigneter Maßnahmen
  • regelmäßige Neubewertung der Risiken

Risiken und Chancen steuern die Sicherheitsmaßnahmen.

5. Integration in die Organisation

Das ISMS muss in die Organisation integriert sein:

  • Einbindung der Führungskräfte
  • Verzahnung mit bestehenden Managementsystemen
  • Berücksichtigung in Projekten und Veränderungen
  • Unterstützung durch ausreichende Ressourcen

So wird Informationssicherheit Teil des Tagesgeschäfts.

6. Überwachung, Messung und Bewertung

Die Organisation muss die Leistung des ISMS überwachen:

  • Definition geeigneter Kennzahlen
  • regelmäßige Bewertungen
  • interne Audits
  • Managementbewertungen

Dies ermöglicht Steuerung und Verbesserung.

7. Kontinuierliche Verbesserung

Das ISMS muss kontinuierlich verbessert werden:

  • Nutzung von Audit- und Vorfallergebnissen
  • Umsetzung von Korrektur- und Verbesserungsmaßnahmen
  • Anpassung an neue Risiken und Anforderungen
  • Weiterentwicklung von Prozessen und Maßnahmen

Verbesserung ist ein zentrales Prinzip der Norm.

8. Dokumentation und Nachweisführung

Das ISMS muss dokumentiert sein:

  • Richtlinien, Prozesse und Verfahren
  • Nachweise zur Umsetzung und Wirksamkeit
  • Ergebnisse von Bewertungen und Prüfungen
  • Änderungs- und Verbesserungsnachweise

Die Dokumentation ist Grundlage für Audits.

Zusammenfassung

Klausel 4.4 fordert, dass Organisationen ein Informationssicherheitsmanagementsystem systematisch einrichten, umsetzen, aufrechterhalten und kontinuierlich verbessern. Durch klare Prozesse, risikobasierte Steuerung, Integration in die Organisation sowie regelmäßige Überwachung wird sichergestellt, dass Informationssicherheit nachhaltig und wirksam umgesetzt wird. Diese Klausel bildet das Fundament für alle weiteren Anforderungen der ISO/IEC 27001:2022.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
Klausel 4.4 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu Klausel 4.4 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Welche Prozesse gehören zu Ihrem ISMS und wie greifen sie ineinander?“
Gefragt ist das Zusammenspiel, nicht eine Liste. Wo endet die Risikobewertung, wo beginnt die Maßnahmenverfolgung?
„Wer verantwortet welchen ISMS-Prozess?“
Ohne benannten Prozesseigentümer bleibt jede Wirksamkeitsfrage unbeantwortet – sie hat keinen Adressaten.
„Woran erkennen Sie, dass ein ISMS-Prozess wirkt?“
Die Norm verlangt ein System, das seine Ergebnisse erreicht. Also braucht jeder Prozess ein erkennbares Ergebnis.
„Was passiert, wenn ein Prozess nicht eingehalten wird?“
Hier zeigt sich, ob das ISMS gelebt wird: Gibt es einen Weg von der Abweichung zur Korrektur, oder endet es beim Hinweis?
Das Dokument dazu

4.4-1 Das ISMS und seine Prozesse

Prozesse des ISMS mit Zweck, Eingaben und Ergebnissen · Verantwortliche je Prozess · Wechselwirkungen untereinander. In der ISMS-Plattform entsteht es aus Ihren Angaben – gemeinsam mit 4.4-2 Prozesslandschaft und 8.1-1 ISMS-Prozessinteraktion.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick