ISO 27001-Kontrollen: Ein Leitfaden zur Implementierung der Kontrollen gemäß Anhang A

ISO 27001 ist der internationale Standard für den Aufbau eines Informationssicherheits-Managementsystems (ISMS). Ein ISMS umfasst die Richtlinien, Prozesse und technischen Kontrollen, die Sie zur Steuerung von Informationssicherheitsrisiken einsetzen. Die aktuelle Version, ISO/IEC 27001:2022, listet 93 Kontrollen in Anhang A auf; Sie wählen diejenigen aus, die für Ihre Organisation relevant sind.

Dieser Leitfaden führt Sie durch die 93 Kontrollen, erklärt deren Gruppierung, zeigt Ihnen, wie Sie entscheiden, welche Sie tatsächlich benötigen, und erläutert, welche Nachweise ein Prüfer erwartet.

Was sind die Kontrollen nach ISO 27001?

Die in ISO 27001 beschriebenen Kontrollen sind die Schutzmaßnahmen, die Sie zur Steuerung von Informationssicherheitsrisiken und zur Unterstützung Ihres ISMS implementieren. In ISO/IEC 27001:2022, Anhang A, werden 93 Kontrollen aufgeführt, die in vier Themenbereiche unterteilt sind: Organisation, Personal, physische Sicherheit und Technologie.

Sie müssen nicht alle 93 Maßnahmen umsetzen. Die Auswahl der Maßnahmen erfolgt auf Grundlage Ihrer Risikobewertung und Ihres Risikobehandlungsplans. Diese Entscheidungen werden anschließend in Ihrer Anwendbarkeitserklärung dokumentiert. Eine gute Anwendbarkeitserklärung erläutert, welche Maßnahmen gelten, welche nicht, warum Sie die jeweilige Entscheidung getroffen haben und wie die geltenden Maßnahmen umgesetzt werden.

„Unsere Umfrage aus dem Jahr 2026 ergab, dass SOC 2 und ISO 27001 weiterhin den Markt dominieren und zusammen über 85 % der gewählten Zertifizierungen ausmachen.“

— Der Geschäfts-ROI-Bericht zur Einhaltung der Vorschriften

Wie viele ISO 27001-Klauseln und -Kontrollen gibt es?

ISO 27001:2022 umfasst elf Abschnitte (0–10), von denen die Abschnitte 4–10 die Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) definieren. Unterstützt werden diese durch 93 Kontrollen gemäß Anhang A. Die Kontrollen sind in vier Themenbereiche unterteilt: Organisation, Personal, physische Sicherheit und Technologie. Nicht alle Kontrollen beziehen sich auf die IT. Viele decken auch Governance, Personal und physische Sicherheit ab.

Um die Konformität nachweisen zu können , müssen Sie die Anforderungen der Abschnitte 4 bis 10 erfüllen . In der Praxis hängt die Zertifizierung von der Erfüllung aller Anforderungen dieser Abschnitte ab. Anhang A bietet Ihnen eine Übersicht der Kontrollmaßnahmen, aus denen Sie Ihre spezifischen Risiken ableiten können.

Jede Organisation wählt die Kontrollmaßnahmen aus, die zu ihrem Risikoprofil passen. Wenn eine Kontrollmaßnahme nicht zutrifft, dokumentieren Sie den Grund dafür in Ihrer Handlungsanweisung, anstatt sie aus Gründen der Vollständigkeit zu implementieren.

ISO 27001:2022 Anhang A: Die vier Themenbereiche

ISO 27001:2022 gliedert ihre 93 Kontrollen in vier Themenbereiche, die jeweils einem anderen Verantwortungsbereich zugeordnet sind. Dies ersetzt die 14 Domänen der Vorgängerversion von 2013. Im Folgenden wird erläutert, was die einzelnen Themenbereiche umfassen und welche Nachweise Auditoren typischerweise prüfen.

1. Organisatorische Kontrollen: Anhang A.5 (37 Kontrollen)

Dies ist das übergreifende Thema und das administrative Rückgrat Ihres ISMS. Es umfasst Maßnahmen auf Governance-Ebene: Informationssicherheitsrichtlinien , Rollen und Verantwortlichkeiten, Funktionstrennung, Lieferanten- und Cloud-Service-Sicherheit, Ihre Zugriffskontrollrichtlinie, Bedrohungsanalyse und Notfallplanung. Der Großteil der funktionsübergreifenden und richtlinienbezogenen Arbeit findet hier statt.

Zu erstellende Nachweise:

• Dokumentierte, von der Geschäftsleitung genehmigte Informationssicherheitsrichtlinien, die den Mitarbeitern mitgeteilt und in regelmäßigen Abständen überprüft werden.
• Definierte Sicherheitsrollen, Verantwortlichkeiten und Berichtslinien
• Lieferantenrisikobewertungen und eine dokumentierte Richtlinie für das Lieferanten- und Drittparteienmanagement
• Eine Zugangskontrollrichtlinie plus Nachweis regelmäßiger Zugangsüberprüfungen
• Ein Prozess zur Bedrohungsanalyse und ein dokumentierter Notfallplan

2. Personenkontrollen: Anhang A.6 (8 Kontrollen)

Dieses Thema umfasst die menschliche Seite der Sicherheit während des gesamten Mitarbeiterlebenszyklus: Screening und Hintergrundüberprüfungen, in den Arbeitsverträgen festgelegte Sicherheitsverantwortlichkeiten, Sensibilisierungsschulungen , Disziplinarverfahren, Fernarbeit und Vertraulichkeits- oder Geheimhaltungsvereinbarungen.

Zu erstellende Nachweise:

• Hintergrundprüfungsunterlagen für Neueinstellungen
• Unterzeichnete Bestätigung der Sicherheitsrichtlinien und unterzeichnete Geheimhaltungsvereinbarungen
• Aufzeichnungen, die belegen, dass Mitarbeiter regelmäßig... Schulung zum Thema Sicherheitsbewusstsein
• Ein festgelegter Prozess zur Sicherung von Daten beim Eintritt, Rollenwechsel oder Ausscheiden von Mitarbeitern.

3. Physikalische Kontrollen: Anhang A.7 (14 Kontrollen)

Dieses Thema schützt Ihre physischen Räumlichkeiten und Geräte. Es umfasst Sicherheitsbereiche, physische Zutrittskontrollen, physische Sicherheitsüberwachung, Schutz vor Umwelt- und Naturgefahren, aufgeräumte Schreibtische und Bildschirme, Gerätesicherheit sowie die sichere Entsorgung von Vermögenswerten und Datenträgern.

Zu erstellende Nachweise:

• Physische Zugangskontrollen und Überwachung für sensible Bereiche
• Endpunkte, die so konfiguriert sind, dass sie sich nach einer festgelegten Inaktivitätszeit automatisch sperren.
• Sichere Verfahren für den Umgang mit und die Entsorgung von Datenträgern

„ Effektivität ist subjektiv, aber wenn Sie beispielsweise technische Kontrollen messen möchten, legen Sie operative KPIs fest. Ist die Multi-Faktor-Authentifizierung für alle Konten aktiviert? Ist die Datenverschlüsselung aktiviert? Wie hoch sind die Schulungsabschlussquoten usw.? Sie können automatisierte Tools verwenden, um all diese Informationen direkt über APIs zu erhalten.“

— Fabian Weber, vCISO und ISO 27001 Auditor

4. Technologische Kontrollen: Anhang A.8 (34 Kontrollen)

Dies ist das umfangreichste und technisch anspruchsvollste Thema, auf das sich Ihre IT- und Entwicklungsteams konzentrieren. Es umfasst Authentifizierung, Verschlüsselung, Malware-Schutz, Protokollierung und Überwachung, sichere Programmierung, Konfigurationsmanagement, Datenmaskierung, Verhinderung von Datenlecks, Webfilterung, Datensicherung und Schutz während der Entwicklung und des Testens.

Zu erstellende Nachweise:

• Verschlüsselung von Kundendaten im Ruhezustand und während der Übertragung
• Malware-Schutz auf Endpunkten, die Produktionssysteme erreichen
• Protokollierung, Überwachung und Alarmierung von Produktionsanlagen
• Schwachstellenscans, Penetrationstests und ein dokumentierter Datensicherungs- und Notfallwiederherstellungsprozess

Was hat sich in ISO 27001:2022 geändert? Die 11 neuen Kontrollen

Das Update von 2022 beschränkte sich nicht nur auf eine Neunummerierung. Es reduzierte die Anzahl von 114 auf 93 durch die Zusammenführung sich überschneidender Kontrollen und fügte 11 neue hinzu, um Risiken zu begegnen, die zum Zeitpunkt der Erstellung der Version von 2013 kaum existierten:

• A.5.7 Bedrohungsinformationen
• A.5.23 Informationssicherheit bei der Nutzung von Cloud-Diensten
• A.5.30 IKT-Bereitschaft für Geschäftskontinuität
• A.7.4 Physische Sicherheitsüberwachung
• A.8.9 Konfigurationsmanagement
• A.8.10 Löschung von Informationen
• A.8.11 Datenmaskierung
• A.8.12 Verhinderung von Datenlecks
• A.8.16 Überwachungsaktivitäten
• A.8.23 Web-Filter
• A.8.28 Sichere Codierung

Wenn Sie sich den Standard zuletzt vor 2022 angesehen haben, werden Sie den größten Teil Ihrer Bemühungen zur Gap-Analyse auf diese Ergänzungen konzentrieren.

Die Klimaänderung von 2024 (Änderung 1:2024)

ISO 27001 verlangt nun, dass der Klimawandel als Teil des ISMS-Kontexts berücksichtigt wird. Diese Anforderung stammt aus ISO/IEC 27001:2022/Amd 1:2024 , veröffentlicht im Februar 2024, einer kleinen, aber obligatorischen Aktualisierung, die dem Standard zwei Sätze hinzufügt:

• Klausel 4.1 Sie müssen nun feststellen, ob der Klimawandel ein relevantes Thema für Ihr ISMS ist.
• Klausel 4.2 fügt hinzu, dass interessierte Parteien wie Kunden, Regulierungsbehörden und Partner möglicherweise klimabezogene Anforderungen haben.

Es wurden keine neuen Kontrollen gemäß Anhang A eingeführt. Für die meisten Teams sind die Auswirkungen gering: Sie dokumentieren, ob der Klimawandel Ihre Informationssicherheit beeinträchtigt (z. B. extreme Wetterereignisse, die ein Rechenzentrum gefährden, oder Netzinstabilität, die die Verfügbarkeit beeinträchtigt), und beziehen dies gegebenenfalls in Ihre Risikobewertung ein. Übertreiben Sie es nicht. Eine dokumentierte Feststellung, dass es sich nicht um ein wesentliches Risiko handelt, genügt für viele Organisationen. Prüfer begannen Mitte 2024, dies im Rahmen von Überwachungsaudits zu überprüfen.

Wie Sie feststellen, welche ISO 27001-Kontrollen Sie implementieren sollten

Die von Ihnen implementierten Kontrollmaßnahmen hängen von Ihrer Risikoanalyse ab, nicht von der Liste in Anhang A. Diese Liste ist lediglich eine Auswahlmöglichkeit; Ihre Risiken bestimmen, welche Maßnahmen Sie ergreifen. Beginnen Sie mit einer gründlichen Risikoanalyse gemäß ISO 27001 , die die für Ihr Unternehmen relevantesten Bedrohungen aufdeckt und die Grundlage für einen Behandlungsplan bildet, der sich an Ihrem tatsächlichen Gefährdungspotenzial orientiert und nicht an einer Checkliste. Priorisieren Sie anschließend die Kontrollmaßnahmen basierend auf Ihren spezifischen Schwachstellen, Ihrem Betriebsumfeld und Ihren Compliance-Zielen.

Einige praktische Hinweise sind hilfreich: Prüfen Sie, welche Assets und Daten vorrangig geschützt werden müssen, identifizieren Sie Sicherheitslücken, die durch Kontrollmaßnahmen geschlossen werden könnten, und berücksichtigen Sie die branchenspezifischen Vorschriften. Binden Sie Ihre IT-, Compliance- und Rechtsabteilung frühzeitig ein, da diese in der Regel die risikoreichen Bereiche als Erste erkennen.

Sprinto sorgt dafür, dass alle Ihre ISO 27001-Kontrollen jederzeit auditbereit sind.

Sprinto ordnet jede anwendbare Kontrollmaßnahme gemäß Anhang A einem Risiko, einem Verantwortlichen und täglich aus Ihren Live-Systemen abgerufenen Nachweisen zu. Alle Daten werden in Ihrer Anwendbarkeitserklärung erfasst . Sobald eine Kontrollmaßnahme nicht mehr den Vorgaben entspricht, werden Sie umgehend benachrichtigt. So gehen Sie mit bereits aktuellen Nachweisen in Ihr Audit, anstatt diese erst neu erstellen zu müssen.