ISO 27005 — Standard für Risikomanagement

ISO 27005 ist der internationale Standard für Informationssicherheits-Risikomanagement. Sie beschreibt, wie Organisationen Risiken in ihrem ISMS systematisch identifizieren, analysieren und behandeln. Die Norm definiert fünf Phasen: Risikoidentifikation, Risikobewertung, Risikobehandlung, Risikoakzeptanz und Risiko-Überwachung. Organisationen wenden ISO 27005 an, um ihre Sicherheitsinvestitionen zielgerichtet einzusetzen.

Aktualisiert am: 25.08.2026

Risikomanagement im Kontext von ISO 27001

ISO 27005 beschreibt den methodischen Rahmen für Risikoanalyse und Risikobehandlung. Es ist ein Prozess, nicht ein Zertifikat. Sie implementieren ISO 27005, wenn Sie ISO 27001 aufbauen und Ihre Risiken systematisch bewerten.

Die fünf Phasen nach ISO 27005

• Risikoanalyse: Bedrohungen und Schwächen erheben
• Risikobewertung: Schweregrad und Wahrscheinlichkeit bestimmen
• Risikobehandlung: Maßnahmen planen und umsetzen
• Risikoakzeptanz: Verbleibende Risiken akzeptieren oder neu bewerten
• Risiko-Überwachung: Regelmäßige Überprüfung und Anpassung

ISO 27005 und ISO 27001

ISO 27001 ist das Managementsystem, ISO 27005 ist der Risikomanagement-Standard, den ISO 27001 voraussetzt. Wer ISO 27001 aufbaut, arbeitet nach ISO 27005. Sie sind nicht alternativ, sondern komplementär und ineinander verflochten.

Quantitative und qualitative Ansätze

ISO 27005 erlaubt beide Risikobewertungsmethoden: quantitativ (mit Zahlenwerten, Kostenmodellen) und qualitativ (mit Begriffen wie hoch, mittel, niedrig). Viele deutsche Organisationen nutzen ein hybrides Vorgehen: Sie bewerten Schadenswahrscheinlichkeit qualitativ (z. B. sehr selten bis sehr häufig), aber Schadenshöhe in Euro. Das ist pragmatisch und weniger fehleranfällig als reine Zahlenschätzung, wo Genauigkeit oft illusorisch ist.

Risikotoleranzschwelle setzen

Ein kritischer Punkt in ISO 27005 ist die Definition der Risikotoleranzschwelle: Welche Risiken akzeptiert Ihr Unternehmen? Diese Entscheidung trifft die Geschäftsleitung, nicht nur die IT-Sicherheit. Ohne klare Schwelle entstehen endlose Diskussionen darüber, welche Risiken akzeptabel sind und welche nicht. Die Schwelle sollte in Ihrem ISMS-Kontext-Dokument festgehalten sein, damit alle Beteiligten wissen, welche Standards Sie befolgen.

Häufige Frage

Brauche ich ISO 27005, wenn ich ISO 27001 habe?

ISO 27005 ist innerhalb von ISO 27001 integriert. Sie wenden ISO 27005 an, wenn Sie die Risikoanalyse nach ISO 27001 durchführen. Eine separate Zertifizierung für ISO 27005 gibt es nicht — ISO 27005 ist die Methode.

Verwandte Begriffe