DIN EN ISO/IEC 27017:2026-11

Informationssicherheit für Cloud-Dienste wirksam umsetzen

Die DIN EN ISO/IEC 27017 beschreibt Informationssicherheitsmaßnahmen für Cloud-Dienste auf Grundlage von ISO/IEC 27002:2022. Sie unterstützt Cloud-Dienstleister (CSPs) und Cloud-Dienstleistungskunden (CSCs) dabei, Informationssicherheitsrisiken in Cloud-Umgebungen systematisch zu steuern und geeignete Sicherheitsmaßnahmen umzusetzen. Die Norm ergänzt bestehende Informationssicherheitsstandards um cloudspezifische Anforderungen und Empfehlungen.

Worum geht es in DIN EN ISO/IEC 27017?

Die Norm liefert zusätzliche Anleitungen zu den Maßnahmen der ISO/IEC 27002:2022 und ergänzt diese um spezifische Anforderungen für Cloud Computing. Im Mittelpunkt stehen die sichere Nutzung und Bereitstellung von Cloud-Diensten, die Verteilung von Verantwortlichkeiten zwischen Cloud-Kundinnen und Cloud-Anbieterinnen sowie der Schutz von Informationen in Cloud-Umgebungen. Darüber hinaus beschreibt die Norm cloudspezifische Maßnahmen zu Identitätsmanagement, Zugangsrechten, Lieferantenbeziehungen, Konfigurationsmanagement, Virtualisierung, Überwachung und Informationssicherheitsvorfällen.

Die neue Struktur basiert auf einer Taxonomie von organisatorischen, personellen, physischen und technologischen Maßnahmen und orientiert sich konsequent an der aktuellen Struktur der ISO/IEC‑27002.

Behandelte Themen

• Informationssicherheit für Cloud-Dienste
• Rollen und Verantwortlichkeiten von CSCs und CSPs
• Cloud-Governance und Lieferantenbeziehungen
• Identitäts- und Zugriffsmanagement
• Sichere Authentifizierung und Rechteverwaltung
• Incident Management und Informationssicherheitsvorfälle
• Business Continuity und Cloud-SLAs
• Netzwerksicherheit und Konfigurationsmanagement
• Trennung virtueller Cloud-Umgebungen
• Überwachung von Cloud-Diensten und Verhinderung unbefugter Nutzung
• Datenschutz und Schutz personenbezogener Daten
• Kryptographie, Datensicherung und Datenlöschung

Praxisrelevanz

Cloud-Dienste sind heute ein zentraler Bestandteil moderner IT- und Geschäftsprozesse. Die DIN EN ISO/IEC 27017 unterstützt Organisationen dabei, Informationssicherheit in Cloud-Umgebungen systematisch umzusetzen und die Besonderheiten von Cloud-Modellen bei Risikoanalysen, Governance und Sicherheitsmaßnahmen zu berücksichtigen.

Besonders relevant sind die Vorgaben zur Verteilung von Verantwortlichkeiten zwischen CSPs und CSCs, zur Trennung virtueller Umgebungen, zum Identitätsmanagement sowie zur Überwachung von Cloud-Diensten. Dadurch hilft die Norm, Sicherheitsrisiken in Multi-Cloud-, Hybrid-Cloud- und Public-Cloud-Umgebungen wirksam zu reduzieren.

Änderungen gegenüber DIN EN ISO/IEC 27017:2021-11

Die Ausgabe 2026 wurde grundlegend überarbeitet. Zu den wichtigsten Änderungen gehören:

• Anpassung von Titel und Anwendungsbereich an aktuelle Cloud- und Sicherheitsanforderungen
• Neustrukturierung des Dokuments anhand einer einheitlichen Maßnahmen-Taxonomie
• Zusammenlegung einzelner Maßnahmen und Streichung nicht mehr relevanter Inhalte
• Einführung neuer cloudspezifischer Maßnahmen, darunter:
  • CLD – Verteilte Rollen und Verantwortlichkeiten in einer Cloud-Computing-Umgebung
  • CLD – Vereinbarung über die Rollen und Verantwortlichkeiten des Cloud-Dienstleistungspartners
  • CLD – Trennung in virtuelle Computing-Umgebungen
  • CLD – Erkennung und Verhinderung einer unbefugten Nutzung von Cloud-Diensten
• Ausrichtung auf die aktuelle ISO/IEC 27002:2022

Zielgruppe

• Informationssicherheitsbeauftragte
• ISMS-Verantwortliche
• Cloud-Architekt*innen
• Cloud-Dienstleister (CSPs)
• Cloud-Dienstleistungskunden (CSCs)
• IT-Sicherheits- und Cybersecurity-Fachkräfte
• Auditor*innen und Zertifizierungsstellen
• Datenschutz- und Compliance-Verantwortliche
• Organisationen mit Cloud- und ISO/IEC‑27001-Projekten

Fazit

Die DIN EN ISO/IEC 27017 liefert den maßgeblichen Leitfaden für die Informationssicherheit in Cloud-Diensten. Mit ihren cloudspezifischen Sicherheitsmaßnahmen und der klaren Verteilung von Verantwortlichkeiten zwischen Cloud-Anbieterinnen und Cloud-Nutzerinnen unterstützt sie die sichere Nutzung moderner Cloud-Umgebungen und ergänzt die Anforderungen der ISO/IEC‑27002 um praxisrelevante Cloud-Sicherheitsmaßnahmen.

Dieses Dokument ersetzt DIN EN ISO/IEC 27017:2021-11 .

Gegenüber DIN EN ISO/IEC 27017:2021-11 wurden folgende Änderungen vorgenommen: a) der Titel und Anwendungsbereich wurden modifiziert; b) die Struktur des Dokuments wurde geändert, indem die Maßnahmen mit einer einfachen Taxonomie und zugehörigen Attributen dargestellt werden; c) einige Maßnahmen wurden zusammengelegt, einige wurden gestrichen und mehrere neue Maßnahmen wurden eingeführt.