ISO 27001 in M365: Was Sie wirklich brauchen (und was nicht)

Worum geht es in ISO 27001?

Die ISO 27001:2022 beschreibt ein Managementsystem für Informationssicherheit (ISMS). Sie verlangt nicht bestimmte Tools, sondern definiert 93 Controls (Anhang A), die je nach Risikoanalyse umzusetzen sind.

Welche M365-Lizenz reicht?

Microsoft 365 Business Premium

Reicht für die meisten KMU bis ca. 300 Mitarbeitende:

• Entra ID Premium P1 (MFA, Conditional Access)
• Intune (Geräteverwaltung)
• Defender for Business (Endpoint-Schutz)
• Purview Information Protection (Klassifizierung)

Microsoft 365 E5 oder Add-ons

Erst nötig, wenn:

• Erweiterter Schutz vor Phishing/Malware (Defender for Office 365 Plan 2)
• Insider-Risiko-Management gefragt ist
• Privileged Identity Management benötigt wird
• Erweiterte Compliance-Funktionen (eDiscovery Premium)

Was für ein ISMS in M365 wirklich gebraucht wird

1. Risikomanagement

• Risiken erfassen, bewerten, behandeln, überwachen
• SharePoint-Liste mit Bewertungslogik oder dediziertes Modul

2. Statement of Applicability (SoA)

• Tabelle aller 93 Controls mit Status (anwendbar / ausgeschlossen / umgesetzt)
• Live-Dokument, das jährlich überprüft wird

3. Asset-Inventar

• Hardware (über Intune)
• Software (über Defender)
• Daten (über Purview-Klassifizierungen)
• Lieferanten / Auftragsverarbeiter (separate Liste)

4. Zugriffsmanagement

• Joiner-Mover-Leaver-Prozess (z.B. via Entra ID Lifecycle Workflows)
• Regelmässige Access Reviews
• Privileged Access Management

5. Vorfallsmanagement

• Meldewege für Sicherheitsvorfälle
• Dokumentation jedes Vorfalls
• Lessons Learned

6. Audits & Management Review

• Interne Audits gegen die 93 Controls
• Management Review mindestens jährlich

Was Sie wahrscheinlich NICHT brauchen

• Separates SIEM für ein KMU mit < 100 Mitarbeitenden – Defender + Sentinel-Light reichen meist
• Externe ISMS-Tools mit jährlichen Lizenzgebühren von > 20'000 CHF
• Unzählige Compliance-Add-ons, die nur 1× im Jahr fürs Audit gebraucht werden

ISO 9001 + ISO 27001 als integriertes Managementsystem

Wer beide Normen umsetzt, sollte ein integriertes Managementsystem (IMS) bauen statt zwei parallele Systeme. Risiken, Dokumentenlenkung, Auditprozesse, Management Review – alles teilbar. Genau dafür sind modulare IMS-Lösungen wie Power IMS gedacht: ein QMS-Modul, ein Audit-Modul, ein Risiko-Modul – alle in derselben M365-Umgebung.