Vad är ISO 27001? Krav på ISMS och Annex A

Vad är egentligen ISO 27001?

Många tror att ISO 27001 bara handlar om IT-teknik, men det är mycket bredare än så. Kärnan i standarden är att skapa ett ledningssystem för informationssäkerhet (ofta kallat ISMS eller LIS).

Ett ISMS är ett ramverk av processer och rutiner. Det hjälper er att systematiskt identifiera, analysera och hantera säkerhetsrisker.

Aktuell version är ISO/IEC 27001:2022, med klimattillägget Amd 1:2024. Se ISO:s beskrivning av standarden och dess tillägg. Den innehåller 93 säkerhetskontroller i Annex A (ned från 114 i 2013-versionen), indelade i fyra teman:

1. Organisatoriska kontroller: Policys, roller, leverantörshantering och hotbevakning.
2. Personalkontroller: Utbildning, bakgrundskontroller och ansvar vid anställning.
3. Fysiska kontroller: Larm, låsta serverrum och inpasseringskontroll.
4. Tekniska kontroller: Kryptering, åtkomstkontroll, loggning och säker utveckling.

2022-versionen införde elva helt nya kontroller som speglar dagens hotbild, bland annat:

• A.5.7 Hotunderrättelser (threat intelligence)
• A.5.23 Informationssäkerhet vid användning av molntjänster
• A.8.9 Konfigurationshantering
• A.8.11 Datamaskning
• A.8.12 Skydd mot dataläckage (DLP)
• A.8.28 Säker kodning

För ackrediterad certifiering enligt IAF:s övergångsregler skulle övergången från 2013- till 2022-utgåvan vara avslutad senast den 31 oktober 2025. Ett äldre 2013-certifikat räcker därför inte som bevis på aktuell ackrediterad certifiering.

Ni väljer vilka kontroller som behövs och motiverar urvalet i en tillämplighetsförklaring.

Många använder ISO 27001 tillsammans med ett tekniskt ramverk som CIS Controls. Det ger praktiskt stöd för att införa åtgärderna i bilaga A (Annex A). Läs vår jämförelse i CIS Controls vs ISO 27001 och om kontrollramverk i allmänhet.

Tänk er ett företag som hanterar känsliga personuppgifter. För att följa ISO 27001 räcker det inte med starka lösenord. De måste också veta vem som har tillgång till datan, var den lagras och hur personalen ska agera om något går fel.

Vilka krav ställer ISO 27001 på ledningssystemet?

Kraven i avsnitt 4–10 omfattar organisationens förutsättningar, ledarskap, planering, stöd, verksamhet, utvärdering och förbättring. De gäller för det tillämpningsområde ni fastställt. Det går inte att välja bort dessa avsnitt och samtidigt hävda överensstämmelse med standarden.

Annex A är en referenslista för säkerhetskontroller. Alla kontroller behöver beaktas, men alla behöver inte införas. Riskbehandlingen avgör vilka kontroller som behövs; i tillämplighetsförklaringen motiverar ni urval och uteslutningar och redovisar om kontrollerna är införda. Även kontroller utanför Annex A kan behövas.

Se genomgången av kraven och tillämplighetsförklaringen i SC27-journalen.

7 fördelar med att följa standarden

Måste man ha det officiella certifikatet? Nej, det är frivilligt. Men att arbeta enligt ISO 27001 ger stora affärsmässiga fördelar oavsett om ni certifierar er eller inte.

1. Starkare informationssäkerhet

Ni väljer och följer upp skydd utifrån era risker. Det kan minska sannolikheten för intrång och begränsa konsekvenserna när något går fel. Standarden bygger på informationssäkerhetens tre grundprinciper — konfidentialitet, riktighet och tillgänglighet.

2. Ökat förtroende och fler affärer

Kunder och partners ställer allt högre krav. Att kunna visa att ni följer ISO 27001 är en kvalitetsstämpel. Det bevisar att ni tar deras data på allvar, vilket ofta är avgörande vid upphandlingar.

3. Systematisk riskhantering

Ni slutar gissa. Standarden ger er en metod för att hitta och bedöma risker regelbundet. Ni kan lägga resurserna där de gör mest nytta istället för att släcka bränder.

4. Underlag för regelefterlevnad

Riskbedömningar, rutiner och uppföljning kan stödja arbete med GDPR och NIS2. Men ISO 27001-certifiering visar inte i sig att ni uppfyller alla krav i dessa regelverk; bedöm skyldigheterna separat. Läs NIS2 vs ISO 27001.

5. Ordning och reda i processerna

Standarden kräver att ni dokumenterar hur ni jobbar. Det ger en bättre struktur. Ni upptäcker ineffektiva arbetssätt och får tydligare ansvarsfördelning.

6. Tydlig säkerhetskultur

Säkerhet blir allas ansvar, inte bara IT-avdelningens. Genom utbildning och tydliga instruktioner blir personalen er starkaste försvarslinje istället för en säkerhetsrisk.

7. Flexibilitet för alla storlekar

ISO 27001 är inte bara för jättar. Standarden är skalbar. Den anpassas efter era risker och er storlek. Ett litet mjukvarubolag behöver inte samma skydd som en storbank.

Hur går ni vidare till certifiering?

Certifiering innebär att ett oberoende certifieringsorgan granskar ert ISMS mot standardens krav. Läs guiden till ISO 27001-certifiering i fem steg för förberedelser, internrevision och val av certifieringsorgan. Där finns också avsnitt om tidsplanen och kostnaden för certifiering.

ChainSecs stöd för ISO 27001 omfattar delar av arbetet med leverantörsbedömningar, risker och åtgärder. Det ersätter inte ledningssystemet.

Vanliga frågor

Vad är skillnaden mellan ISO 27001 och ett ISMS?

ISMS är organisationens ledningssystem för informationssäkerhet: policyer, ansvar, processer och uppföljning. ISO 27001 är standarden som anger vilka krav systemet ska uppfylla.

Måste alla kontroller i Annex A införas?

Nej. Alla kontroller i Annex A behöver beaktas, men urvalet styrs av riskbehandlingen. Motivera vilka kontroller som behövs och vilka som utesluts i tillämplighetsförklaringen.

Är ISO 27001 en lag eller en standard?

ISO 27001 är en standard. Den kan stödja arbetet med lagkrav och krävas i avtal, men certifiering visar inte i sig att alla tillämpliga lagkrav är uppfyllda.

Kan små företag använda ISO 27001?

Ja. Kraven kan tillämpas av organisationer i olika storlekar och branscher. Omfattning, risker och verksamhetens förutsättningar avgör hur ledningssystemet utformas.