ISO 27001:2022 Anhang A: Die neuen Sicherheitskontrollen

Die Welt der Informationssicherheit steht niemals still, und auch ISO/IEC 27001 entwickelt sich ständig weiter. Am 25. Oktober 2022 wurde dieser wichtige Standard für Informationssicherheits-Managementsysteme (ISMS) grundlegend überarbeitet. 

ISO 27001, ein internationaler Konformitätsstandard, der Organisationen bei der Verwaltung ihrer Informationssicherheitsmanagementsysteme (ISMS) unterstützt, wird alle fünf Jahre einer systematischen Überprüfung unterzogen. 

Die Aktualisierung der Norm ISO/IEC 27001:2022 bringt wichtige Änderungen mit sich, die Organisationen kennen müssen, um ihre Zertifizierung aufrechtzuerhalten und ihre Informationssicherheit zu stärken.

Dieser Artikel erläutert die Neuerungen der ISO/IEC 27001:2022, die Unterschiede zur Version von 2013 und deren Bedeutung für die Sicherheitsstrategie Ihres Unternehmens. Wenn Sie ein Informationssicherheitsmanagementsystem (ISMS) implementieren oder pflegen, sollten Sie wissen, wie sich diese Aktualisierungen auf Sie auswirken.

Was ist ISO 27001:2022?

ISO/IEC 27001:2022 ist die neueste Version des internationalen Standards für Informationssicherheits-Managementsysteme (ISMS). Sie bietet einen Rahmen für den Umgang mit sensiblen Unternehmensinformationen, um deren Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten.
Die aktualisierte Version verfügt über verbesserte Kontrollmechanismen, einen stärkeren Fokus auf Cyberbedrohungen und eine bessere Abstimmung auf die neuesten Risikomanagementpraktiken.

Warum ist der Übergang zu ISO 27001:2022 wichtig?

Die Umstellung auf ISO 27001:2022 dient nicht nur der Einhaltung der Vorschriften, sondern sichert auch die Zukunftsfähigkeit Ihres Sicherheitsprogramms. Der aktualisierte Standard spiegelt die heutige Bedrohungslandschaft wider und berücksichtigt Risiken im Zusammenhang mit Cloud Computing, Remote-Arbeit und sich stetig weiterentwickelnden Cyberbedrohungen. Mit der Einführung des neuesten Standards signalisieren Sie dem Markt, dass Ihr Sicherheitsprogramm nicht veraltet ist. Es ist proaktiv, anpassungsfähig und auf die Bewältigung realer Risiken ausgelegt.

Darum ist dieser Übergang so wichtig:

• Stärkere Abstimmung mit der Art und Weise, wie moderne Unternehmen Informationen verwalten und sichern
  
• Besserer Schutz vor den größten Cyberbedrohungen von heute, einschließlich Ransomware, Insiderrisiken und Sicherheitslücken beim Fernzugriff.
  
• Erhöhtes Vertrauen bei Kunden, Partnern und Wirtschaftsprüfern, die aktuelle Praktiken erwarten.
  
• Ein intelligenterer, ganzheitlicherer Ansatz zum Risikomanagement statt bloßem Abhaken von Checklisten.
  
• Weniger blinde Flecken, schnellere Reaktionszeiten und eine robustere Sicherheitslage in Ihrer gesamten Technologieinfrastruktur.

Frist und Zeitplan für die Umstellung auf ISO 27001:2022

Die Übergangsfrist für ISO 27001:2022 ist abgelaufen. Organisationen, die nach ISO/IEC 27001:2013 zertifiziert waren, sollten den Übergang zu ISO/IEC 27001:2022 bis zum 31. Oktober 2025 abschließen. Nach diesem Datum verlieren Zertifikate, die auf der Version von 2013 basieren, gemäß den von Akkreditierungs- und Zertifizierungsstellen verwendeten Übergangsfristen ihre Gültigkeit.

Falls Ihre Organisation noch über Dokumentationen, Kontrollmechanismen, kundenorientierte Vertrauensmaterialien oder Vertriebsunterlagen verfügt, die auf ISO 27001:2013 Bezug nehmen, überprüfen Sie diese vor dem nächsten Audit oder der nächsten Sicherheitsüberprüfung durch den Kunden.

Priorität hat die Bestätigung, dass diese Angaben nun der Version von 2022 entsprechen:

• ISMS-Geltungsbereich
• Erklärung zur Anwendbarkeit
• Risikobewertung und Risikobehandlungsplan
• internes Auditprogramm
• Managementbewertungsberichte
• ausgewählte Kontrollen gemäß Anhang A
• kundenorientierte Zertifizierungs- und Vertrauensmaterialien

Eine praktische Übergangsprüfung sollte Folgendes beinhalten:

• eine Gap-Analyse anhand der Klauseln der ISO 27001:2022 und der Kontrollen in Anhang A
• eine aktualisierte Anwendbarkeitserklärung unter Verwendung der 93-Kontrollstruktur
• Aktualisierungen zur Risikobehandlung für neue oder geänderte Kontrollen
• Nachweise dafür, dass ausgewählte Kontrollmaßnahmen implementiert sind und funktionieren
• Aufzeichnungen der internen Revision und des Management-Reviews, die sich auf den Standard von 2022 beziehen

Was ist neu an ISO 27001:2022?

Eine der wichtigsten Änderungen ist die Umstrukturierung des Kontrollrahmens. Die bisherigen 14 Bereiche wurden in vier Hauptthemen zusammengefasst: Organisation, Personal, Physische Sicherheit und Technologie. Diese Reorganisation zielt darauf ab, eine logischere und intuitivere Struktur für die Implementierung und Verwaltung von Sicherheitskontrollen zu schaffen.

Im Hinblick auf die neuen Kontrollen der ISO 27001:2022 wurden sowohl Ergänzungen als auch Reduzierungen vorgenommen. Die Gesamtzahl der Kontrollen wurde von 114 auf 93 verringert, wodurch das Rahmenwerk gestrafft und gleichzeitig seine umfassende Abdeckung beibehalten wurde. Diese Reduzierung resultiert hauptsächlich aus der Zusammenführung ähnlicher und der Entfernung veralteter Kontrollen. Darüber hinaus führt die Norm elf neue Kontrollen ein, um aufkommenden Bedrohungen und Technologien zu begegnen.

Diese neuen Kontrollen umfassen Bereiche wie Bedrohungsanalyse, Informationssicherheit für Cloud-Dienste, IKT-Bereitschaft für Geschäftskontinuität und Verhinderung von Datenlecks.

Auswirkungen von ISO/IEC 27002 auf ISO/IEC 27001 2022

1. Änderungen gegenüber ISO/IEC 27002:2022 wurden in ISO/IEC 27001:2022 integriert, insbesondere in Anhang A.
2. Die Struktur der neuen Kontrollen nach ISO 27001:2022 entspricht der Struktur der ISO 27002:2022 und schafft so einen einheitlicheren Ansatz.
3. Diese Angleichung gewährleistet, dass Organisationen, die ISO 27001 befolgen, die neuesten Sicherheitspraktiken gemäß ISO 27002 implementieren.
4. Die Richtlinien der ISO 27002 für Standards und Managementpraktiken der Informationssicherheit in Organisationen sind nun enger an die Anforderungen der ISO 27001 angelehnt.

Im nächsten Abschnitt gehen wir näher darauf ein.

Welche Anforderungen stellt die ISO 27001:2022?

Die Anforderungen der ISO 27001:2022 umfassen mehr als nur neue Dokumente. Sie müssen definieren, wo Ihr ISMS Anwendung findet, die Unterstützung der Führungsebene sichern, Risiken durch praktische Kontrollmaßnahmen begegnen und die Wirksamkeit durch Audits und kontinuierliche Verbesserung nachweisen.

Vor diesem Hintergrund folgen nun die Anforderungen der ISO 27001:2022: 

• 4.1 Befasst sich mit dem Verständnis Ihrer Organisation und ihres Kontextes, um ein ISMS einzurichten und zu verwalten
• 4.2 Die Bedürfnisse und Erwartungen der Interessengruppen verstehen
• 4.3 Legen Sie den Geltungsbereich Ihres ISMS anhand definierter Kriterien fest – ein absolutes Muss
• 4.4 Führen Sie ein echtes ISMS ein und verwalten Sie es effektiv, anstatt es nur zu „warten“.
• 5.1 Betont die Notwendigkeit einer aktiven Beteiligung der Organisationsleitung und
• sichtbar in der Unterstützung der Informationssicherheit in der Organisation
• 5.2: Behandelt die Implementierung, den Betrieb und die Verwaltung von Rollen und
• Verantwortlichkeiten für die Informationssicherheit einer Organisation
• 5.3 Ein wichtiger Bereich, der sich auf die Trennung von widersprüchlichen Pflichten und Verantwortlichkeiten konzentriert,
• Verringerung des Risikos von Fehlern, Betrug oder der Umgehung von Informationssicherheitskontrollen
• 6.1 Eine Organisation muss eine Methodik zur systematischen Risikobewertung festlegen, die für jedes Risiko gründlich dokumentiert werden muss.
• 6.2 Erörtert die Notwendigkeit einer formellen Vereinbarung zur Festlegung neuer Mitarbeiterrechte.
• Verantwortlichkeiten und Verpflichtungen der Organisation in Bezug auf Informationen
• Sicherheitdienst
• 7.1 Ermöglicht es einer Organisation, die Umsetzung eines effektiven
• Eine physische Grenze soll unbefugten physischen Zugang zum Gelände und den Vermögenswerten verhindern.
• 7.2 Beschreibt die Notwendigkeit für eine Organisation, Bereiche zu schützen, die sichere Bereiche enthalten
• Informationen mit angemessenen Zugangskontrollen
• 7.3 Beschreibt detailliert, was für die Einrichtung und Umsetzung physischer Sicherheitsmaßnahmen erforderlich ist.
• die für Büros, Räume und Einrichtungen gelten
• 7.4 Verlangt von den Organisationen, darzulegen, welche Maßnahmen sie zur Überwachung und
• Zugang zu ihrem Gelände kontrollieren – und so unbefugten physischen Zugriff verhindern
• 7.5 Verlangt von Organisationen die Implementierung geeigneter Überwachungstechnik als
• wesentliche Mittel zur Erkennung und Reaktion auf Sicherheitsereignisse
• 8.1 Eine Organisation muss die Prozesse planen, implementieren und kontrollieren, die zur Erfüllung ihrer Aufgaben erforderlich sind.
• Anforderungen an die Informationssicherheit
• 8.2 Risikobewertung der Informationssicherheit
• 8.3 Behandlung von Informationssicherheitsrisiken
• 9.1 Eine Organisation muss die Leistungsfähigkeit und Effektivität des ISMS bewerten.
• 9.2 Eine Organisation muss interne Audits durchführen, um zu überprüfen, ob ihr ISMS und die damit verbundenen Kontrollen effektiv funktionieren.
• 9.3 Die oberste Führungsebene muss die Informationen der Organisation überprüfen und bewerten.
• Sicherheitsmanagementsystem in festgelegten Abständen
• 10.1 Untersucht, was eine Organisation im Falle der Nichteinhaltung des Standards tun muss.
• 10.2 Ausgehend von Abweichungen und Korrekturmaßnahmen beschreiben diese Anforderungen detailliert, wie eine Organisation die Situation effektiv managen muss, wenn etwas nicht stimmt.

Wie kann Sprinto helfen?

Sprinto unterstützt Sie dabei, Ihr ISO 27001-Programm zu automatisieren. Die neue Version hilft Ihnen in diesem Fall, indem sie Lücken in Ihrem ISMS identifiziert, wichtige Compliance-Aufgaben automatisiert und Empfehlungen zur Einrichtung geeigneter Kontrollen und Richtlinien gibt.

Um zu sehen, wie das funktioniert hat, schauen Sie sich an, wie Sprinto Intellect das Vertrauen gab, seine ISO 27001-Ziele zu erreichen.

ISO 27001:2013 vs. ISO 27001:2022: Wichtigste Unterschiede

Wenn Sie Ihr ISMS an die neuen Entwicklungen anpassen möchten, können Sie etwas aufatmen. Die ISO-Änderungen sind zwar bemerkenswert, aber nicht von überwältigender Bedeutung. 

ISO 27001:2022 enthält dieselbe Anzahl an Abschnitten wie die Vorgängerversion von 2013, jedoch mit einigen textlichen Anpassungen. Diese Änderungen dienen dazu, ISO 27001 besser an andere ISO-Managementnormen anzugleichen und so die allgemeine Konsistenz zu verbessern. 

Die bedeutendsten Änderungen konzentrieren sich vor allem auf zwei Bereiche: die Planung und Definition von Prozesskriterien sowie die Verbesserung der Überwachungsstandards. 

 

Strukturelle Veränderungen

Die Struktur des Inhaltsverzeichnisses wurde geändert. Abschnitte wie Planung, Unterstützung, Betrieb und Leistungsbewertung enthalten nun mehr Unterabschnitte. Dadurch ist es übersichtlicher und einfacher umzusetzen.  

Begriffe und Definition

Abschnitt 3 der ISO 27001:2013 verweist ausschließlich auf die ISO 27000. Die ISO 27001:2022 bezieht sich neben der ISO 27001 auch auf Terminologiedatenbanken der ISO und IEC. Dieser erweiterte Anwendungsbereich mit mehr Begriffen und Bedingungen ermöglicht es Anwendern, auf einen umfassenderen Fundus an Definitionen zuzugreifen, was wiederum die Verständlichkeit der Auslegung von Normenanforderungen verbessert.

Organisationskontext

Abschnitt 4 von 2022 enthält eine zusätzliche Unterklausel zu Klausel 4.2 (Verständnis der Bedürfnisse und Erwartungen der Interessengruppen). Diese Unterklausel verpflichtet Organisationen, festzulegen, welche der in den beiden anderen Unterklauseln genannten Anforderungen durch ihr ISMS abgedeckt werden sollen. 

Darüber hinaus erwähnte die Fassung von Unterabschnitt 4.4 (Informationssicherheitsmanagementsystem) aus dem Jahr 2013 lediglich die Anforderung. Das überarbeitete Dokument geht nun auf die Einbeziehung der erforderlichen Prozesse und deren Wechselwirkungen ein. 

Planung

Abschnitt 6, Ziffer 6.2 (Informationssicherheitsziele und Planung zu deren Erreichung) der Fassung von 2013 enthielt zehn Anforderungen. Die Fassung von 2022 umfasst nun zwei neue Anforderungen: Überwachung und Verfügbarkeit als dokumentierte Information. 

Dieser Abschnitt enthält außerdem eine neue Klausel – 6.3 (Planung von Änderungen). Diese verpflichtet Organisationen, Änderungen geplant und systematisch umzusetzen. 

Unterstützung

Abschnitt 7, Ziffer 7.4 (Kommunikation) enthielt fünf interne und externe Kommunikationsrichtlinien. Die ISO 27001:2022 enthält vier Richtlinien, wobei eine vierte (Wie kommuniziert wird) die beiden vorherigen (Wer und welcher Prozess betroffen ist) ersetzt hat. 

Produktion

Abschnitt 8 Ziffer 8.1 (Operative Planung und Steuerung) von 2022 enthält zwei neue Leitlinien zur Erfüllung der Anforderungen und Maßnahmen gemäß Ziffer 6. Dazu gehört die Festlegung von Kriterien für Prozesse und die Umsetzung von Kontrollen gemäß den Kriterien. 

Leistungsbewertung

Abschnitt 9 Ziffer 9.1 (Überwachung, Messung, Analyse und Bewertung) der neuen Fassung von 2022 verpflichtet Organisationen nun dazu, die Leistung der Informationssicherheit und die Effektivität des ISMS zu bewerten. 

Darüber hinaus sind zwei Klauseln in diesem Abschnitt in Unterklauseln unterteilt. 

Klausel 9.2 ( Interne Revision ) ist nun in zwei Unterklauseln unterteilt: 9.2.1 – Allgemeines und 9.2.2 – Internes Revisionsprogramm. Der Text der Richtlinien bleibt unverändert.

Klausel 9.3 (Managementbewertung) ist in 9.3.1 – Allgemeines und 9.3.2 – Beiträge zur Managementbewertung unterteilt. 9.3.2 enthält eine zusätzliche Anforderung an Leitlinien, die das Management bei der Bewertung berücksichtigen sollte, sowie Änderungen der Bedürfnisse und Erwartungen der für das ISMS relevanten Parteien. 

Richtlinienname

Die erste auffällige Änderung ist der Name des Standards. Zuvor lautete er: Informationstechnologie – Sicherheitstechniken – Informationssicherheitsmanagementsysteme – Anforderungen. 

Nun lautet der Text: Informationssicherheit, Cybersicherheit und Datenschutz – Informationssicherheitsmanagementsysteme – Anforderungen. 

Die Fassung des Dokuments von 2013 umfasste 23 Seiten, die aktuelle Version hingegen nur 19. Die Zunahme des Umfangs lässt vermuten, dass der Inhalt angepasst, gekürzt oder zusammengefasst wurde, um ihn an neue Standards und Richtlinien anzupassen.

Verbesserung

Abschnitt 10 enthielt bisher nur eine Klausel: 10.1 (Abweichungen und Korrekturmaßnahmen). Dieser Abschnitt umfasst nun zwei Klauseln: 10.1 (Kontinuierliche Verbesserung) und 10.2 (Abweichungen und Korrekturmaßnahmen). Der Text der Richtlinie bleibt unverändert.

Im Wesentlichen hat ISO 27001:2022 den Fokus von der Informationssicherheit auf einen umfassenderen Ansatz verlagert, der Cloud-Sicherheit, Datenschutz und physische Sicherheit einschließt. 

Aktualisierungen in ISO/IEC 27001:2022

In der neuesten Fassung wurden mehrere Klauseln umformuliert oder neu angeordnet. Beachten Sie, dass die Klauseln 4–10 nur sehr wenige neue Anforderungen enthalten. 

Hier ist eine Tabelle, die Ihnen hilft, die Unterschiede auf einen Blick zu erkennen. Lassen Sie uns die Bedienelemente kategorienweise genauer betrachten:

Organisatorische Kontrollen – 37

Diese Kontrollmechanismen konzentrieren sich auf Governance, Richtlinien und definierte Rollen, um sicherzustellen, dass Sicherheitspraktiken in die Struktur und den Betrieb des Unternehmens eingebettet sind.

A 5.1: Steuerung und Unterstützung der Informationssicherheit

A 5.2: Die oberste Führungsebene muss an der Erstellung einer Informationssicherheitspolitik beteiligt sein.

A 5.3: Aufgabentrennung zur Trennung von widersprüchlichen Aufgaben

A 5.4: Die Geschäftsleitung sollte alle Mitarbeiter verpflichten, die Informationssicherheit gemäß der festgelegten Informationssicherheitsrichtlinie anzuwenden.

A 5.5: Die Organisation muss ein offizielles Verfahren zur Einbeziehung der zuständigen Behörden einrichten.

A 5.6: Unternehmen wird empfohlen, Verbindungen zu Menschen mit marginalisierten Interessen aufzubauen und zu pflegen.

A 5.7: Ziel dieser Regelung ist es, Unternehmen in die Lage zu versetzen, Informationen über gegenwärtige und mögliche Bedrohungen zusammenzutragen und zu analysieren.

A 5.8: Der Schwerpunkt dieses Vorschlags liegt darauf, sicherzustellen, dass die mit Projekten und Ergebnissen verbundenen Sicherheitsrisiken während des Projektmanagementprozesses angemessen gehandhabt werden.

A 5.9: Gibt den Beteiligten Anweisungen, wie sie das Inventar der Informationen und Vermögenswerte, einschließlich der Eigentümer, vervollständigen sollen.

A 5.10: Einen Rahmen für Unternehmen schaffen, um sicherzustellen, dass diese Daten und andere Ressourcen ordnungsgemäß gesichert werden.

A 5.11: Die Vermögenswerte der Organisation, wie Bücher, Laptops, Autos und andere tragbare Gegenstände, müssen an die Organisation zurückgegeben werden, wenn der Mitarbeiter die Stelle wechselt; der Vertrag und die Vereinbarung enden.

A 5.12: Schutz organisatorischer Systeme, einschließlich der Kontrolle von Risiken, die durch die Bestimmung des Schutzniveaus für jedes Informationsgut identifiziert werden können.

A 5.13: Informationswerte vor möglichen Gefahren schützen

A 5.14: Zählt die Einzelheiten der Regeln, Verfahren und Vereinbarungen für alle drei Übertragungssituationen auf.

A 5.15: Zugriff auf Informationen und zugehörige Vermögenswerte autorisieren und unrechtmäßigen Zugriff darauf verhindern.

A 5.16: Bereitstellung eines Mittels zur Identifizierung von Personen oder Systemen im Falle eines unbefugten Zugriffs auf die Informationen der Organisation.

A 5.17: Erfordert einen organisationsweiten Rahmen für die Festlegung der Regeln, Verfahren und Maßnahmen für den Umgang mit Autorisierungsinformationen.

A 5.18: Berücksichtigung der Zuweisung, Änderung und des Widerrufs von Zugriffsrechten aufgrund der Geschäftsanforderungen

A 5.19: Es müssen Verfahren und Grundsätze entwickelt und angewendet werden, um Risiken im Zusammenhang mit der Informationssicherheit zu mindern.

A 5.20 Einbeziehung der Informationssicherheit in Lieferantenvereinbarungen

A 5.21 Aufrechterhaltung eines kontinuierlichen Niveaus an Informationssicherheit in ihren Lieferantenbeziehungen

5.22 Missbrauch von Systemen untersagt und das Recht vorbehalten, die Einhaltung eines vereinbarten Niveaus an Informationssicherheit und Servicebereitstellung zu überwachen und zu gewährleisten.

A 5.23 Beschreibt die notwendigen Verfahren für den Erwerb, die Nutzung, die Verwaltung und die Beendigung von Cloud-Diensten

A 5.24 Befasst sich damit, wie Organisationen auf Informationssicherheitsvorfälle reagieren sollten, indem sie optimierte Prozesse etablieren.

A 5.25 Die Identifizierung, Bewertung und Priorisierung von Vorfällen im Zusammenhang mit der Informationssicherheit – zum Beispiel nach Art, Tageszeit, Ort usw.

5.26 Die besten Vorgehensweisen für das Management von Informationssicherheitsvorfällen/-ereignissen/-schwachstellen und Verbesserungsprogrammen sollten Verfahren zur Verwaltung umfassen.

A 5.27: Organisationen sollten Regeln für die Aufbereitung und Weiterleitung von Beweismitteln an die Behörden festlegen. Diese Schulung sollte Regeln zur Vermeidung von Beweismittelmanipulationen und zur entsprechenden Schulung der Mitarbeiter umfassen. Die Disziplinarmaßnahmen bei Verstößen gegen diese Regeln können ebenfalls im Vertrag festgelegt werden.

A 5.28: Behandelt die rechtlichen und disziplinarischen Folgen der Beweiserhebung im Zusammenhang mit einem Informationssicherheitsvorfall

A 5.29: Informationssicherheit sollte in die umfassendere Risikoanalyse/den Business-Continuity-Management-Plan der Organisation einbezogen werden.

A 5.30: Eine Korrekturmaßnahme, die Risiken minimiert, indem sie ICT-Kontinuitätspläne erstellt, die die allgemeine operative Widerstandsfähigkeit der Organisation verbessern.

A 5.31: Beschreibt, wie Gesetze, Verordnungen und vertragliche Verpflichtungen Teil der Informationssicherheitsprioritäten einer Organisation sind.

A 5.32: Beschreibt die notwendigen Schritte, die Organisationen unternehmen müssen, um die Einhaltung der Rechte an geistigem Eigentum (IP-Rechte) sicherzustellen.

A 5.33: Schutz von Aufzeichnungen

A 5.34: Datenschutz und Schutz personenbezogener Daten

A 5.35: Unabhängige Überprüfung der Informationssicherheit

A 5.36: Einhaltung von Richtlinien, Regeln und Standards für Informationssicherheit

A 5.37: Dokumentierte Betriebsabläufe

Technologische Steuerungen – 34

Diese Kontrollmechanismen schützen digitale Assets durch Instrumente wie Verschlüsselung, Zugriffsverwaltung und Überwachung vor Cyberangriffen und Datenlecks.

A 8.1: Verantwortung für Geräte

A 8.2: Informationsklassifizierung

A 8.3: Ein Verfahren zur Kennzeichnung von unbefugter Datennutzung, einschließlich unbefugtem Zugriff, Verbreitung und versuchter Löschung, sowie anderer Aktionen.

A 8.4: Verlangt von Organisationen, den Zugriff auf Quellcode mit einem vordefinierten Satz strenger Lese- und/oder Schreibberechtigungen zu regeln.

A 8.5: Präventive Maßnahme, die das Risikoniveau durch den Einsatz von Technologie und die Einrichtung sicherer Authentifizierungsmaßnahmen in Schach hält.

A 8.6: Eine präventive und detektivische Kontrollmaßnahme mit doppeltem Zweck, die Risiken durch die Implementierung detektivischer Kontrollen steuert.

A 8.7: Ein dreifach ausgerichtetes präventives, detektivisches und korrektives Kontrollsystem, das Risiken durch die Umsetzung von Richtlinien und Verfahren steuert.

A 8.8: Management technischer Schwachstellen

A 8.9: Eine präventive Kontrollmaßnahme, die Risiken durch die Festlegung von Richtlinien steuert, die regeln, wie eine Organisation Verfahren dokumentiert und implementiert.

A 8.10: Umfasst Wartungsarbeiten im Zusammenhang mit der Löschung und Vernichtung von Daten und/oder IT-Assets.

A 8.11: Behandelt Datenmaskierung

A 8.12: Beschreibt, warum Datenlecks ein häufiges Problem für Organisationen darstellen, die große Datenmengen verarbeiten.

A 8.13: Beschreibt, wie die Mitarbeiter des technischen Supports, die das Netzwerk einer Organisation warten, die täglichen Datensicherungsvorgänge durchführen sollten.

A 8.14: Gewährleistet den ununterbrochenen Betrieb von Informationsverarbeitungsanlagen

A 8.15: Eine detektivische Kontrollmaßnahme, die das Risiko durch einen Protokollierungsansatz verändert, der die oben genannten Ziele erfüllt.

A 8.16: Eine Kontrollmaßnahme mit doppeltem Zweck – der Erkennung und Korrektur –, die das Risiko durch die Verbesserung der Überwachungsaktivitäten zur Erkennung anomaler Verhaltensweisen anpasst.

A 8.17: Beschreibt die Implementierung von Kontrollmechanismen zur Gewährleistung einer genauen und zuverlässigen Synchronisierung der Uhren von Informationssystemen.

A 8.18: Legt Richtlinien für die Verwendung von Hilfsprogrammen fest, die kritische Geschäftssysteme und Anwendungen außer Kraft setzen können.

A 8.19: Behandelt technische Konzepte im Zusammenhang mit der Wartung und Verwaltung von betriebsbereiten Computersystemen

A 8.20: Umfassender Satz von Protokollen, die die Netzwerksicherheit in all ihren Formen regeln

A 8.21: Eine präventive Kontrollmaßnahme, die Risiken durch die Festlegung von Regeln für die Nutzung von Netzwerkdiensten steuert.

A 8.22: Beschreibt die Anwendung von Netzwerksegmentierungsmethoden zur Vermeidung von Risiken für die Verfügbarkeit, Integrität und Vertraulichkeit von Informationsbeständen.

A 8.23: Unterstützt Organisationen bei der Minderung von Sicherheitsrisiken, wie z. B. der Verhinderung einer Malware-Infektion durch den Zugriff auf externe Websites mit schädlichen Inhalten.

A 8.24: Ermöglicht es Organisationen, die Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit von Informationsbeständen zu gewährleisten.

A 8.25: Behandelt den sicheren Entwicklungslebenszyklus

A 8.26: Verhindert Risiken für die Integrität, Verfügbarkeit und Vertraulichkeit von Informationsbeständen, die in Anwendungen gespeichert sind.

A 8.27: Beschreibt, wie Informationssysteme durch die Anwendung von Prinzipien der sicheren Systementwicklung vor Sicherheitsbedrohungen geschützt werden können.

A 8.28: Ermöglicht es Organisationen, Sicherheitsrisiken und Schwachstellen zu mindern, die auf unzureichende Software-Codierungspraktiken zurückzuführen sind.

A 8.29: Ermöglicht es Organisationen sicherzustellen, dass die Sicherheitsanforderungen bei der Implementierung neuer Anwendungen, Datenbanken, Software oder Codes erfüllt werden.

A 8.30: Erstellung und Abschluss von Lizenzvereinbarungen zur Regelung des Eigentums an Quellcode und der Rechte an geistigem Eigentum

A 8.31: Die Organisation sollte die Prozesse und technischen Kontrollen für eine sichere Trennung der verschiedenen Informationsverarbeitungssysteme und -einrichtungen festlegen.

A 8.32: Um seine Informationswerte zu schützen, muss die Organisation sicherstellen, dass diese Informationswerte auch bei Änderungen an den Informationsverarbeitungssystemen und -einrichtungen geschützt werden können.

A 8.33: Die Organisation sollte die am besten geeigneten, organisationseigenen Informationen für die Testphase sorgfältig auswählen und schützen.

A 8.34: Um Informationsbestände während Auditprüfungen zu sichern, sollten Organisationen sicherstellen, dass die Zeit, in der Informationen auf ihre Vernichtung warten, minimiert wird.

Physikalische Bedienelemente – 14

Diese Sicherheitsvorkehrungen regeln den physischen Zugang zu Büros, Rechenzentren und anderen sensiblen Bereichen und schützen vor unbefugtem Zutritt oder Beschädigung.

A 7.1: Sicherstellen, dass Mitarbeiter, Auftragnehmer und Besucher ihre Verantwortlichkeiten kennen.

A 7.2: Sicherstellen, dass Sicherheitsbereiche mit geeigneten Zugangskontrollen und Zugangspunkten so gesichert sind, dass sie abschreckend wirken und potenzielle Täter erkennen.

A 7.3: Entwicklung und Umsetzung physischer Sicherheitsmaßnahmen zum Schutz von Bürogebäuden, Räumen und anderen Einrichtungen innerhalb des durch die oben genannten Sicherheitsbereichsanforderungen festgelegten Perimeters.

A 7.4 Die Organisation muss geeignete Überwachungstechnik einsetzen, um gesicherte Bereiche zu überwachen, in denen sensible, nicht klassifizierte Informationen verarbeitet werden oder in denen sich sensible, nicht klassifizierte Geräte befinden.

7.5 Es sind wirksame Kontrollmechanismen einzurichten und aufrechtzuerhalten, um den Zugang zu gesicherten Bereichen für diejenigen Mitarbeiter, Auftragnehmer und Besucher zu regeln, die einen berechtigten Bedarf an diesem Zugang haben. Dies erfolgt durch Identifizierung sowie gegebenenfalls durch weitere Verfahren zur Feststellung des Kenntnisstands und zur Überprüfung der Berechtigung.

A 7.6 Einbruchs- und Diebstahlssituationen, bei denen Mitarbeiter Informationen oder Ausrüstung von Schreibtischen und Büroräumen entwenden, sind allzu oft eine Ursache für Sicherheitslücken. Schützen Sie alle Informationen in einem gesicherten Bereich vor unbefugter Entnahme.

A 7.7: Maßnahmen ergreifen, um unbefugten Zugriff auf sensible Informationen zu verhindern, die sich auf automatisierten Informationssystemen an den Arbeitsplätzen der Mitarbeiter befinden oder von diesen übertragen werden.

A 7.8: Ergreifen Sie gegebenenfalls Maßnahmen, um nachteilige physische Bedrohungen oder Gefahren für die Informationssysteme, wie z. B. Feuer, Überschwemmungen, Erdbeben, unbefugtes Eindringen usw., zu beseitigen oder zu verringern, um Einrichtungen zu schützen, in denen sensible, nicht klassifizierte Informationen erstellt, verarbeitet, verwendet, gespeichert oder übermittelt werden.

A 7.9: Werden sensible, nicht klassifizierte Informationen auf Computern in Privathaushalten oder außerhalb des Betriebsgeländes befindlichen Wohnungen gespeichert, hat die Organisation sicherzustellen, dass die Geräte im Besitz der Organisation ordnungsgemäß geschützt sind.

A 7.10: Stellen Sie sicher, dass Speichermedien gekennzeichnet und kontrolliert werden und dass sensible, nicht klassifizierte Informationen gegebenenfalls vernichtet, gelöscht oder deklassifiziert werden, bevor die Medien wiederverwendet oder zur Entsorgung freigegeben werden.

A 7.11: Die Organisation muss die unterstützenden Versorgungsleistungen vor Ausfällen oder Unterbrechungen schützen, wie z. B. Stromausfälle, Energieschwankungen und -spitzen, Kommunikationsausfälle, ähnliche schwerwiegende externe Dienstunterbrechungen und jede andere Dienstunterbrechung mit erheblichen Auswirkungen.

A 7.12: Unverschlüsselte Daten dürfen nicht über Leitungen übertragen werden. Daten, die nicht über verschlüsselte Verbindungen gesendet werden, müssen verschlüsselt werden. Dies gilt für alle Informationsbestände, sowohl im Speicher als auch während der Übertragung.

A 7.13: Es sind geeignete Maßnahmen zu ergreifen, um sicherzustellen, dass alle erforderlichen technischen Maßnahmen zur Aufrechterhaltung des Informationsvermögens durchgeführt werden und dass diese technischen Maßnahmen die Wirksamkeit des Wartungs- oder Servicevertrags nicht beeinträchtigen oder mindern.

A 7.14: Die Organisation muss sensible Daten identifizieren und dokumentieren sowie geeignete Sicherheitsmaßnahmen ergreifen, um sicherzustellen, dass alle Informationen in einem gesicherten Bereich angemessen geschützt sind.

Personensteuerung – 8

Diese Kategorie konzentriert sich auf Schulung, Sensibilisierung und Verantwortlichkeiten, um das Risiko menschlicher Fehler oder Bedrohungen durch Insider zu verringern.

A 6: Planung

A 6.2: Behandelt die Beschäftigungsbedingungen

A 6.3: Behandelt, wie das Unternehmen ein Informationssicherheitsprogramm benötigt.

A 6.4: Sie müssen einen Disziplinarprozess erstellen.

A 6.5: Dieser Abschnitt regelt die Verantwortlichkeiten des Unternehmens nach Beendigung oder Wechsel des Arbeitsverhältnisses.

A 6.6: Sie sind verpflichtet, die Vertraulichkeit der Informationen zu wahren, auf die Personen zugreifen, die im Auftrag der Organisation tätig sind.

A 6.7: Behandelt das Arbeiten im Homeoffice

A 6.8: Hier wird beschrieben, wie ein System zur Meldung von Informationssicherheitsvorfällen innerhalb des Frameworks eingerichtet wird.

Welche elf neuen Kontrollmechanismen wurden in ISO 27001:2022 eingeführt? 

Die elf neuen Kontrollen, die in ISO 27001:2022 eingeführt wurden, tragen der sich ständig weiterentwickelnden Natur der Informationssicherheit Rechnung. Dazu gehören:

5.7	Threat Intelligence
5.23	Informationssicherheit für Cloud-Dienste
5.30	IKT-Bereitschaft für Geschäftskontinuität
7.5	Physische Sicherheitsüberwachung
8.9	Configuration Management
8.10	Löschen von Informationen
8.11	Datenmaskierung
8.12	Verhinderung von Datenlecks
8.16	Überwachungsaktivitäten
8.23	Web-Filterung
8.28	Sichere Codierung

Während der Übergangsphase zur neuen Version muss Ihr Team möglicherweise mehr Zeit für die erste Kontrollmaßnahme aufwenden. Die Anforderung an „Bedrohungsanalysen“ unterscheidet diese Version von früheren Versionen und anderen Cybersicherheitsframeworks, da sie eine präzise Identifizierung von Bedrohungen erfordert.

Falls Sie mehr über die Kontrollen nach ISO 27001 erfahren möchten, finden Sie hier die vollständige Liste der Kontrollen:

Wie würde sich ISO 27001:2022 auf meine aktuelle ISO-Zertifizierung auswirken? 

So würde sich ISO 27001:2022 auf Ihre bestehende ISO-Zertifizierung auswirken.

1. Übergangszeitraum: Die Frist für Organisationen, die nach ISO 27001:2013 zertifiziert sind, auf die Version 2022 umzusteigen, war der 31. Oktober 2025.
2. Gültigkeit der Zertifizierung zum jetzigen Zeitpunkt: Aktuelle ISO 27001: Während der Übergangszeit sind die Zertifizierungen von 2013 weiterhin gültig.
3. Optionen für Audits: Übergangsaudits können als eigenständiges Sonderaudit oder im Rahmen von routinemäßigen Überwachungs- oder Rezertifizierungsaudits durchgeführt werden.
4. Neue Akkreditierungen: Neue Zertifizierungen müssen ab dem 1. November 2023 der Norm ISO 27001:2022 entsprechen.
5. Notwendige Aktualisierungen:
   1. Aktualisierung der Anwendbarkeitserklärung (SoA)
   2. Risikobehandlungspläne gegebenenfalls überarbeiten
   3. Angleichung der Kontrollen an die neue Struktur des Anhangs A
   4. Die Kontrollen sollten dem neuen Anhang entsprechen. Ein Rahmenwerk
6. Planung: Organisationen sollten frühzeitig mit der Planung ihres Übergangs beginnen, um die Einhaltung des neuen Standards vor Ablauf der Frist sicherzustellen.
7. Ablaufdatum: ISO 27001:2013-Zertifikate verlieren nach dem 31. Oktober 2025 ihre Gültigkeit.

Was ISO 27001:2022 heute für Ihr ISMS bedeutet

Die Übergangsfrist am 31. Oktober 2025 ist abgelaufen. ISO 27001:2013-Zertifikate sind nicht mehr gültig. Jeder Kunde, der eine Sicherheitsüberprüfung seiner Lieferanten durchführt, wird ein Zertifikat aus dem Jahr 2013 als abgelaufen kennzeichnen, und Zertifizierungsstellen führen keine Audits mehr nach dem älteren Standard durch.

Hier ist eine Liste der Dinge, die Ihr Team jetzt schon bereithalten muss, geordnet danach, ob Sie vor Ablauf der Frist zertifiziert wurden oder nicht.

Wenn Sie nach ISO 27001:2013 zertifiziert waren, aber den Übergang verpasst haben

Sie besitzen kein gültiges ISO 27001-Zertifikat mehr. Akkreditierte Stellen behandeln abgelaufene Zertifizierungen aus dem Jahr 2013 nun als ungültig. Das bedeutet, dass Sie als Neukunde eingestuft werden und ein vollständiges Erstaudit benötigen, kein beschleunigtes Übergangsaudit. Konkret heißt das:

• Sowohl Phase 1 (Dokumentenprüfung) als auch Phase 2 (Implementierungsprüfung) müssen von Grund auf neu durchgeführt werden.
• Ihre bestehende ISMS-Dokumentation kann wiederverwendet werden, aber Ihre Anwendbarkeitserklärung muss neu geschrieben werden, um sie an die Kontrollstruktur von 2022 anzupassen: 93 Kontrollen in vier Themenbereichen, nicht 114 Kontrollen in 14 Domänen.
• Ihr Risikomanagementplan muss aktualisiert werden, um die neuen Kontrollnummern gemäß Anhang A zu berücksichtigen. Prüfer akzeptieren keinen Plan, der auf Kontrollreferenzen aus dem Jahr 2013 verweist.

Wenn Sie bereits ISO 27001:2022 verwenden

Ihr Fokus verlagert sich auf die elf neuen Kontrollmechanismen, die 2022 eingeführt wurden, und die Ergänzung zum Klimawandelkontext (Änderung 1:2024, Klausel 4.1). Diese werden bei Überwachungsprüfungen am häufigsten beanstandet, da sie 2013 noch nicht existierten und viele Teams sie noch nicht formalisiert haben:

• A.5.7 Bedrohungsanalyse – ein Feed allein genügt nicht; Sie benötigen einen dokumentierten Prozess zur Priorisierung und Reaktion darauf.
• A.5.23 Informationssicherheit für Cloud-Dienste – explizite Cloud-Governance, einschließlich Modellen der geteilten Verantwortung mit AWS, GCP und Azure.
• A.5.30 ICT-Bereitschaft für Geschäftskontinuität – wie Ihre Technologie auch bei einer Störung weiter funktioniert, nicht nur Ihre Geschäftsprozesse.
• A.7.4 Physische Sicherheitsüberwachung – aktive Überwachung des physischen Zugangs, nicht nur Protokollierung.
• A.8.9 Konfigurationsmanagement – ​​dokumentierte Konfigurationsbaselines für alle in den Geltungsbereich fallenden Systeme.
• A.8.10 Datenlöschung – wie Sie Daten tatsächlich löschen, nicht nur als gelöscht markieren.
• A.8.11 Datenmaskierung, A.8.12 Verhinderung von Datenlecks, A.8.16 Überwachungstätigkeiten, A.8.23 Webfilterung und A.8.28 Sichere Codierung vervollständigen die Liste.

Die Klauseln änderten sich kaum. Die Kontrollen und die Beweisführung hingegen schon.

Die Abschnitte 4 bis 10, das Rückgrat des ISMS, sind in den verschiedenen Versionen nahezu identisch. Wenn Sie 2013 bereits ein funktionierendes Managementsystem hatten, lässt sich dieses problemlos übernehmen. Nicht problemlos übertragbar sind hingegen Ihre Anwendbarkeitserklärung, Ihr Risikoregister (das wahrscheinlich auf alte Kontrollnummern verweist) und Ihre Zuordnung der Nachweise zu diesen alten Kontrollen.

Eine Plattform zur Automatisierung der Compliance-Anforderungen kann bestehende Kontrollen aus dem Jahr 2013 automatisch der Struktur von 2022 zuordnen, genau kennzeichnen, welche Nachweise neu erstellt werden müssen, und einen monatelangen Korrekturprozess auf wenige Wochen verkürzen. Dies ist besonders wichtig für Teams, die die Frist im Oktober 2025 verpasst haben und nun als Neukunden von vorne beginnen: Je weniger Zeit für die Neuerstellung der Dokumentation aufgewendet werden muss, desto schneller wird das neue Zertifikat ausgestellt.

Müssen Organisationen den Implementierungsprozess von ISO 27001 überdenken?

Die Änderungen in ISO 27001:2022 unterscheiden sich zwar nicht wesentlich von der Version von 2013, dennoch können Sie kleinere Anpassungen vornehmen. Sie müssen diese nicht sofort umsetzen, da Sie bis zu drei Jahre Zeit haben, Ihr ISMS zu aktualisieren. 

Wir raten jedoch davon ab, Ihre Aufgaben drei Jahre lang unzugänglich aufzubewahren, da Zertifizierungsstellen bis dahin möglicherweise keine Zertifizierung für die ältere Version mehr anbieten.

Sie können die Kontrollen aus Anhang A zur Überprüfung Ihrer Kontrollen verwenden, sollten diese aber mit den Kontrollen aus dem Jahr 2013 in Ihrer Anwendbarkeitserklärung vergleichen. 

Zusammenfassend finden Sie hier eine Checkliste gemäß ISO/IEC 27001:2022 für den Einstieg:

Überprüfen und aktualisieren Sie Ihre:

• Risikomanagementplan zur Angleichung an die neuen Kontrollmaßnahmen. 
• SOA
• ISMS-Überprüfungsprozess
• ISMS-Kommunikationsplan
• IS-Ziele

Bereiten Sie sich innerhalb von Wochen statt Monaten auf ISO 27001 vor. Demo ansehen.

Wie gelingt der Übergang zu ISO 27001:2022?

Wenn Ihre Organisation bereits nach ISO 27001:2013 zertifiziert ist, ist der Übergang nicht nur optional, sondern unerlässlich für die fortlaufende Einhaltung der Normen und die Risikoresistenz.

So gelingt der Übergang zu ISO 27001:2022

Verstehen, was sich geändert hat

ISO 27001:2022 führt wichtige Aktualisierungen sowohl in der Struktur als auch bei den Kontrollen ein. Die Gesamtzahl der Kontrollen hat sich zwar verringert, es gibt jedoch elf zusätzliche Kontrollen, die in vier Themenbereiche unterteilt sind. Die Terminologie hat sich geändert, und der Fokus liegt verstärkt auf risikobasiertem Denken. Daher ist es wichtig, diese Änderungen vor der Umstellung detailliert zu verstehen und unternehmensweit dafür zu sensibilisieren.

Führen Sie eine Lückenanalyse durch

Beginnen Sie Ihren Übergang mit einer gründlichen Gap-Analyse, um Ihr bestehendes Informationssicherheits-Managementsystem (ISMS) mit den neuen Anforderungen zu vergleichen. Dies hilft, fehlende Elemente, veraltete Kontrollen und verbesserungsbedürftige Bereiche zu identifizieren. Ein kollaborativer Ansatz unter Einbeziehung von Stakeholdern aus IT, Personalwesen, Recht und Compliance gewährleistet eine umfassende und präzise Bewertung. Eine strukturierte ISO-27001-Gap-Analyse amortisiert sich in der Regel, indem sie den Übergang von einer reinen Bedarfsanalyse zu einem klar definierten Sanierungsprojekt mit definiertem Umfang, Verantwortlichen und Zeitplan wandelt.

Richtlinien, Verfahren und Dokumente aktualisieren

Aufgrund neuer Kontrollen und Terminologie muss Ihre bestehende Dokumentation aktualisiert werden, um relevant zu bleiben. Überarbeiten Sie daher Ihre Anwendungsbereichserklärung (Statement of Applicability, SoA), um neue Kontrollen aufzunehmen und Ausnahmen transparenter zu begründen. Passen Sie außerdem Ihre Richtlinien zu Zugriffskontrolle, Vorfallmanagement, sicherer Entwicklung und Cloud an die Struktur von 2022 an.

Teams schulen und ausbilden

Führen Sie gezielte Schulungen für die Teams aus Sicherheit, IT, Entwicklung und Personalwesen durch, um die aktualisierten Kontrollen und ihre praktischen Auswirkungen zu erläutern. Sensibilisierungskampagnen und Leitfäden tragen ebenfalls dazu bei, die Aktualisierungen im gesamten Unternehmen zu verankern. Viele Teams, die ihre erste Umstellung durchführen, ziehen einen ISO 27001-Berater hinzu , um diese Schulungen zu leiten, insbesondere wenn das interne Team die Kontrollstruktur von 2022 noch nicht erarbeitet hat und eine erfahrene Stimme benötigt, um die Einführung zu begleiten.

Führen Sie eine interne Prüfung mit Schwerpunkt auf Veränderung durch

Führen Sie interne Audits anhand des Rahmenwerks von 2022 durch, um die Bereitschaft zu testen. Konzentrieren Sie sich dabei auf die Implementierung neuer Kontrollen und darauf, ob Dokumentation und Schulung einer kritischen Prüfung standhalten.

Nehmen Sie Kontakt mit einer Zertifizierungsstelle auf.

Nehmen Sie frühzeitig im Übergangsprozess Kontakt mit Ihrer Zertifizierungsstelle auf, um deren Erwartungen und Zeitplan zu erfahren. Diese wird Ihnen klären, ob der Übergang im Rahmen eines routinemäßigen Überwachungsaudits erfolgen kann oder eine gesonderte Rezertifizierung erfordert.

Wie kann Sprinto bei der Implementierung von ISO 27001:2022 helfen?

Die Umsetzung von Compliance-Vorgaben ist aufwendig. Aktualisierungen sind zwar notwendig, um nicht mehr zeitgemäße Systeme zu modernisieren, können aber den Aufwand noch vergrößern. 

Egal ob Sie Ihr ISMS aktualisieren oder ein neues implementieren möchten, Sprinto vereinfacht den gesamten Prozess. 

Von der Abbildung neuer Kontrollen über die Aktualisierung der Dokumentation bis hin zur ständigen Auditbereitschaft – Sprinto macht Compliance-Prozesse unkompliziert, sodass Sie sich auf den Aufbau einer stärkeren Sicherheitslage konzentrieren können, ohne sich in Tabellenkalkulationen oder manuellen Checklisten zu verlieren.

So unterstützt Sprinto Ihren Übergang:

• Vorkonfigurierte ISO 27001:2022-Kontrollen mit automatisierter Gap-Analyse
• Integrierte Risikobewertungs-Workflows, die mit aktualisierten Kontrollen verknüpft sind.
• Auditfähige Richtlinienvorlagen, die auf die Version 2022 abgestimmt sind
• Kontinuierliche Überwachung und Datenerfassung über alle Systeme hinweg
• Geführte Implementierung und direkte Unterstützung durch Compliance-Experten

Mit Sprinto müssen Sie sich um keine Anforderungen mehr kümmern, egal wie klein oder spezifisch sie sind. Die Automatisierung in jedem Prozessschritt erledigt selbst die komplexesten Aufgaben. 

Sprechen Sie jetzt mit unseren Experten über Ihre geschäftlichen Anforderungen.

Häufig gestellte Fragen