ISO/IEC 27005 ist die internationale Norm mit Leitlinien für das Management von Informationssicherheitsrisiken. Für Organisationen ist sie nicht zertifizierbar, für Personen jedoch schon: Die PECB-Zertifizierung Risk Manager qualifiziert Sie dafür, das Risikomanagement nach der Norm zu leiten. Und hier liegt der entscheidende Punkt: ISO/IEC 27005 ist das Bindeglied zwischen ISO 27001, NIS 2 und DORA. Wer 27005 beherrscht, verfügt über eine übergreifende Kompetenz, die in allen drei Bereichen gefragt ist. In diesem Artikel erkläre ich, was die Norm abdeckt, was Sie im Kurs lernen und warum sie eine der nützlichsten Investitionen im Bereich GRC ist.
Was ISO/IEC 27005 ist und warum die Norm wichtig ist
ISO/IEC 27005 ist die internationale Norm, die Leitlinien für das Management von Informationssicherheitsrisiken liefert. Die gültige Fassung ist ISO/IEC 27005:2022, abgestimmt auf ISO/IEC 27001:2022 und auf den allgemeinen Rahmen für das Risikomanagement ISO 31000.
Anders als ISO/IEC 27001 (für Organisationen zertifizierbar) oder ISO/IEC 27002 (ein Leitfaden mit bewährten Verfahren) ist ISO/IEC 27005 eine prozessorientierte Norm: Sie beschreibt, wie man ein gründliches, wiederholbares Risikomanagement betreibt, das mit jedem ISMS vereinbar ist.
Die Verbindung zu 27001, NIS 2 und DORA
Hier ist die zentrale Lesart, die viele Fachleute nicht ganz erfassen: ISO/IEC 27005 ist der Motor, der das Rad an drei Fronten dreht:
Bei ISO/IEC 27001: Abschnitt 6.1.2 der Norm verlangt eine formale Risikobeurteilung. ISO 27005 liefert die detaillierte Methodik dafür (27001 sagt Ihnen, was zu tun ist, 27005 sagt Ihnen, wie).
Bei NIS 2: Artikel 21 der Richtlinie verlangt als ersten Block verpflichtender Maßnahmen „Konzepte in Bezug auf die Risikoanalyse und Sicherheit in der Informationstechnik“. Eine Methodik nach 27005 ist der natürliche Weg, diese Anforderung zu erfüllen.
Bei DORA: Säule 1 der Verordnung ist das IKT-Risikomanagement mit einem formal definierten Rahmen. ISO 27005 fügt sich dort unmittelbar ein.
Im Ergebnis öffnet Ihnen die Zertifizierung in 27005 nicht eine Tür, sondern drei auf einmal.
Wenn Sie diesen Zyklus in der Anwendung sehen möchten: Unser kostenloser Leitfaden zu ISO 27005 mit 5x5-Matrix und Risikoregister führt Sie durch jede Phase.
Die Methodik, Schritt für Schritt
ISO/IEC 27005 definiert einen Risikomanagementzyklus in sechs Phasen. Es lohnt sich, sie zu kennen, denn sie geben dem Kurs seine Struktur:
- Festlegung des Kontexts. Kriterien für Bewertung, Akzeptanz und Auswirkungen. Ohne sie ist die Risikobewertung eine subjektive Übung.
- Risikoidentifikation. Werte, Bedrohungen, Schwachstellen und bestehende Maßnahmen.
- Risikoanalyse. Einschätzung von Wahrscheinlichkeit und Auswirkung, mit qualitativen oder quantitativen Methoden.
- Risikobewertung. Abgleich mit den festgelegten Kriterien, um Prioritäten zu setzen.
- Risikobehandlung. Akzeptieren, mindern, übertragen oder vermeiden, mit einem dokumentierten Behandlungsplan.
- Kommunikation, Überwachung und Überprüfung. Ein lebendiges Risiko, nicht ein Bericht, der in der Schublade verschwindet.
Möchten Sie sich als ISO/IEC 27005 Risk Manager zertifizieren lassen?
Offizielle PECB-Schulung mit einem praktizierenden Berater, im Selbststudium oder mit Einzelbegleitung auf Englisch.
Was der Kurs Risk Manager abdeckt
Der Kurs PECB Certified ISO/IEC 27005 Risk Manager ist eine dreitägige Schulung (PECB-Kategorie C). Der Lehrplan umfasst:
- Tag 1: Einführung, Kontext, Risikoidentifikation, Praxisfälle.
- Tag 2: Analyse, Bewertung, Risikobehandlung und Kommunikation.
- Tag 3: Wiederholung, Simulationen und die offizielle PECB-Prüfung.
Der Ansatz ist praxisnah: Wir arbeiten mit echten Vorlagen (Werteverzeichnis, Bedrohungsmatrizen, Risikobehandlungsplan, Erklärung zur Anwendbarkeit). Sie gehen nicht nur mit Theorie nach Hause, sondern mit den Ergebnissen, die Sie ab Ihrem ersten Projekt erstellen werden.
Risk Manager oder Lead Risk Manager: welche Wahl
PECB bietet zwei Zertifizierungen zu 27005 an: Risk Manager (3 Tage) und Lead Risk Manager (5 Tage). Der Unterschied liegt im Umfang:
Risk Manager qualifiziert Sie dafür, die Methodik in einem konkreten Projekt anzuwenden. Es ist die natürliche Zertifizierung für Berater oder Fachleute, die innerhalb eines bereits bestehenden ISMS arbeiten.
Lead Risk Manager ergänzt die Steuerung des Risikomanagementprogramms in der gesamten Organisation, die Integration mit anderen Rahmenwerken (ISO 31000, COSO ERM) und die Teamführung. Es ist die natürliche Zertifizierung für Risikomanager oder einen CRO.
Wenn Sie als Berater arbeiten oder ein Projekt leiten, beginnen Sie mit Risk Manager. Wenn Sie ein Programm steuern oder ein Team führen, gehen Sie direkt zu Lead Risk Manager.
Die Prüfung und die Zertifizierung
Die Prüfung Risk Manager dauert zwei Stunden und deckt die fünf Kompetenzbereiche ab (Kontext, Identifikation, Analyse, Bewertung, Behandlung). Der Kurs vergibt 21 CPD-Credits, und wie im übrigen PECB-Katalog umfasst die Prüfung zwei Versuche.
Die Zertifizierung ist gültig für die Aufrechterhaltung des Status als zertifizierte Fachkraft bei CISA, CISM, CISSP, CRISC und anderen Zertifizierungen, die CPD verlangen.
Wer ISO/IEC 27005 beherrscht, verfügt über eine übergreifende Kompetenz: Dieselbe Methodik dient ISO 27001, NIS 2 und DORA. Es ist eine der wenigen GRC-Zertifizierungen, die sich mit einer einzigen Schulung bei drei verschiedenen Regulierungen auszahlt.
Schulung und Zertifizierung
Wenn Sie den Schritt zur offiziellen PECB-Zertifizierung gehen möchten, ist der Kurs ISO/IEC 27005 Risk Manager der direkte Weg: offizielles PECB-Selbststudium in Ihrem eigenen Tempo, oder mit Einzelbegleitung, bis Sie bereit für die Prüfung sind, in den Normen, die ich als PECB Certified Trainer unterrichte. Die Begleitung findet auf Englisch statt.