Was ist ISO 27001:2022?

ISO 27001:2022 ist der aktuelle internationale Standard, der Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) festlegt.

Übersicht

ISO 27001:2022 ist der aktuelle internationale Standard, der Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) festlegt. Er wurde im Oktober 2022 veröffentlicht, ersetzte ISO 27001:2013 und bietet Organisationen einen weltweit anerkannten Rahmen, um Informationssicherheitsrisiken systematisch zu managen.

Was das in der Praxis bedeutet

ISO 27001:2022 ist sowohl ein Satz von Anforderungen, die Ihre Organisation erfüllen muss, als auch eine Zertifizierung, die Sie von einem akkreditierten Drittprüfer erhalten können. Betrachten Sie es als die „Spielregeln“ für das Informationssicherheitsmanagement – es sagt Ihnen, was Sie tun müssen, gibt Ihnen aber Flexibilität in der Umsetzung, basierend auf Ihrem Kontext.

Wert der Zertifizierung: Die ISO 27001-Zertifizierung zeigt Kunden, Aufsichtsbehörden und Partnern, dass ein unabhängiger Prüfer bestätigt hat, dass Ihre Organisation international anerkannte Sicherheitspraktiken befolgt. Sie ist oft Voraussetzung für Regierungsaufträge und die Beschaffung durch Unternehmen.

Wichtige Änderungen gegenüber ISO 27001:2013

Umstrukturierung der Kontrollen in Anhang A

Die bedeutendste Änderung war eine vollständige Neuorganisation der Sicherheitskontrollen:

Version 2013: 114 Kontrollen in 14 Domänen
Version 2022: 93 Kontrollen in 4 Themenbereichen (Organisatorisch, Personenbezogen, Physisch, Technologisch)
Ergebnis: 11 neue Kontrollen hinzugefügt, 24 Kontrollen zusammengeführt, vereinfachte Struktur

Neue Kontrollen für moderne Bedrohungen

ISO 27001:2022 führte Kontrollen für aktuelle Sicherheitsherausforderungen ein:

A.5.7 Bedrohungsinformationen – Überwachung und Reaktion auf aufkommende Bedrohungen
A.5.23 Cloud-Sicherheit – Management der Informationssicherheit in Cloud-Diensten
A.8.9 Konfigurationsmanagement – Steuerung von Sicherheitskonfigurationen
A.8.10 Löschung von Informationen – Sichere Datenentsorgungsverfahren
A.8.11 Datenmaskierung – Schutz sensibler Daten in Nicht-Produktionsumgebungen
A.8.12 Verhinderung von Datenlecks – Erkennung und Verhinderung unbefugter Datenübertragungen
A.8.16 Überwachung von Aktivitäten – Erkennung anomalen Verhaltens
A.8.23 Webfilterung – Steuerung des Webzugriffs
A.8.28 Sichere Programmierung – Integration von Sicherheit in die Softwareentwicklung

Ausrichtung an ISO 27002:2022

Die Kontrollattribute in ISO 27002:2022 (die begleitende Implementierungsrichtlinie) umfassen nun Eigenschaften wie Kontrolltyp, Sicherheitsdomänen und operative Fähigkeiten, was die Zuordnung von Kontrollen zu spezifischen Anwendungsfällen erleichtert.

Übergangsfrist: Die Übergangsfrist endete am 31. Oktober 2025. Organisationen sollten nun nach der Version 2022 zertifiziert sein. Zertifizierungen, die nach Mai 2024 ausgestellt wurden, müssen der Version 2022 entsprechen.

Struktur von ISO 27001:2022

Klauseln 1–3: Einführung und Geltungsbereich

Definiert Zweck, Anwendungsbereich und Verweise auf verwandte Standards wie ISO 27000 für Terminologie.

Klausel 4: Kontext der Organisation

Erfordert das Verständnis des Kontexts Ihrer Organisation, der interessierten Parteien (Stakeholder) und die Festlegung des ISMS-Geltungsbereichs. Sie müssen interne und externe Themen identifizieren, die die Informationssicherheit beeinflussen.

Klausel 5: Führung

Die oberste Leitung muss Führung und Engagement zeigen, indem sie eine Sicherheitspolitik festlegt, Rollen und Verantwortlichkeiten zuweist und die Integration des ISMS in Geschäftsprozesse sicherstellt.

Klausel 6: Planung

Erfordert Risikobewertungs- und Behandlungsprozesse, die definieren, wie Sie Risiken identifizieren, bewerten und Kontrollen zur Risikominimierung auswählen. Sie müssen auch messbare Informationssicherheitsziele festlegen.

Klausel 7: Unterstützung

Behandelt Ressourcen, Kompetenz, Sensibilisierung, Kommunikation und dokumentierte Informationen. Sie müssen sicherstellen, dass ausreichende Ressourcen vorhanden sind, Mitarbeiter geschult werden, das Sicherheitsbewusstsein gefördert wird und die erforderliche Dokumentation erstellt wird.

Klausel 8: Betrieb

Implementierung und Betrieb geplanter Prozesse einschließlich Risikobewertung, Risikobehandlung und operativer Sicherheitskontrollen.

Klausel 9: Leistungsbewertung

Überwachung, Messung, Analyse und Bewertung der Sicherheitsleistung durch interne Audits und Managementbewertungen. Verfolgung, ob Ziele erreicht werden.

Klausel 10: Verbesserung

Behebung von Nichtkonformitäten durch Korrekturmaßnahmen und kontinuierliche Verbesserung der Wirksamkeit des ISMS.

Anhang A: Sicherheitskontrollen

Listet 93 Sicherheitskontrollen in vier Themenbereichen auf, aus denen Organisationen basierend auf den Ergebnissen der Risikobewertung auswählen. Dies ist das „Implementierungsmenü“ zur Bewältigung identifizierter Risiken.

Die vier Kontrollthemen in Anhang A

Organisatorische Kontrollen (37 Kontrollen, A.5.1–A.5.37)

Governance, Richtlinien, Risikomanagement, Asset-Management, Zugriffskontrolle, Lieferantenmanagement, Incident-Management, Business Continuity und Compliance. Diese Kontrollen auf Managementebene definieren, wie die Organisation arbeitet.

Personenbezogene Kontrollen (8 Kontrollen, A.6.1–A.6.8)

Mitarbeiterüberprüfung, Arbeitsverträge, Sicherheitsschulungen, Disziplinarverfahren, Kündigungsprozesse, NDAs, Telearbeit und Meldung von Vorfällen. Diese Kontrollen steuern menschenbezogene Risiken.

Physische Kontrollen (14 Kontrollen, A.7.1–A.7.14)

Objektsicherheit, physische Zugangskontrolle, Geräteschutz, Umweltschutz (Strom, Klima), Kabelsicherheit, sichere Entsorgung, Schreibtischrichtlinien, Entfernung von Assets, Speichermedien, Versorgungseinrichtungen, Verkabelung, Wartung und Überwachung. Diese schützen die physische Umgebung.

Technologische Kontrollen (34 Kontrollen, A.8.1–A.8.34)

Endpunktsicherheit, privilegierter Zugriff, Informationszugriffsbeschränkung, Quellcode-Zugriff, Authentifizierung, Kapazitätsmanagement, Malwareschutz, Protokollierung, Überwachung, Uhrensynchronisation, Netzwerksicherheit, Verschlüsselung, Entwicklungssicherheit, Change-Management, Testen, Schwachstellenmanagement und mehr. Dies sind technische und IT-Kontrollen.

Nicht alle Kontrollen sind anwendbar: Ihre Risikobewertung bestimmt, welche der 93 Kontrollen für Ihre Organisation relevant sind. Kleine Organisationen implementieren möglicherweise 40–60 Kontrollen, während komplexe Unternehmen alle 93 benötigen könnten. Dokumentieren Sie Ihre Entscheidungen in der Erklärung zur Anwendbarkeit.

Obligatorische vs. optionale Anforderungen

Obligatorische Anforderungen (Klauseln 4–10)

Jede Organisation, die eine Zertifizierung anstrebt, muss alle Anforderungen in den Klauseln 4 bis 10 umsetzen. Diese sind nicht verhandelbar und umfassen:

Definition des ISMS-Geltungsbereichs
Durchführung von Risikobewertungen
Erstellung einer Erklärung zur Anwendbarkeit
Dokumentation der Sicherheitspolitik
Durchführung interner Audits
Durchführung von Managementbewertungen
Behandlung von Nichtkonformitäten

Risikobasierte Kontrollauswahl (Anhang A)

Anhang-A-Kontrollen werden basierend auf Ihrer Risikobewertung ausgewählt. Sie können Kontrollen ausschließen, wenn sie für Ihre Risiken nicht relevant sind, müssen jedoch Ausschlüsse in Ihrer Erklärung zur Anwendbarkeit begründen.

Häufiger Fehler: Organisationen gehen fälschlicherweise davon aus, dass sie alle 93 Anhang-A-Kontrollen implementieren müssen. Der Standard erlaubt ausdrücklich Ausschlüsse, wenn Kontrollen identifizierte Risiken nicht adressieren oder für Ihren Kontext nicht anwendbar sind. Sie können jedoch keine obligatorischen Anforderungen aus den Klauseln 4–10 ausschließen.

Wie die Zertifizierung funktioniert

Stufe 1: Dokumentenprüfung

Ein Auditor prüft Ihre ISMS-Dokumentation, einschließlich Geltungsbereich, Richtlinien, Risikobewertung, Erklärung zur Anwendbarkeit und Verfahren. Er überprüft, ob Sie alle obligatorischen Anforderungen erfüllt und geeignete Kontrollen dokumentiert haben.

Stufe 2: Überprüfung der Implementierung

Vor-Ort- oder Remote-Audit, bei dem Auditoren Mitarbeiter befragen, Nachweise prüfen, Kontrollen testen und bestätigen, dass Ihr ISMS wie dokumentiert funktioniert. Sie werden Stichproben über alle Kontrollthemen und organisatorischen Bereiche innerhalb des Geltungsbereichs nehmen.

Zertifizierungsentscheidung

Wenn keine schwerwiegenden Nichtkonformitäten vorliegen, stellt die Zertifizierungsstelle ein Zertifikat aus, das drei Jahre gültig ist. Kleinere Nichtkonformitäten müssen innerhalb vereinbarter Fristen behoben werden.

Überwachungsaudits

Jährliche Folgeaudits bestätigen die fortlaufende Compliance und Verbesserung. Diese sind kürzer als das initiale Zertifizierungsaudit, decken jedoch verschiedene Bereiche ab.

Rezertifizierung

Alle drei Jahre wird ein vollständiges Rezertifizierungsaudit, ähnlich wie Stufe 2, durchgeführt, um Ihr Zertifikat für einen weiteren Dreijahreszyklus zu verlängern.

Wartung erforderlich: Die Zertifizierung ist kein „Einmal-und-vergessen“-Prozess. Sie müssen Ihr ISMS aufrechterhalten, Änderungen in Ihrer Organisation oder Ihren Risiken berücksichtigen, fortlaufend Nachweise für den Betrieb von Kontrollen sammeln und kontinuierliche Verbesserungen nachweisen. Vernachlässigung führt zu Nichtkonformitäten in Überwachungsaudits.

Wer sollte eine ISO 27001-Zertifizierung anstreben?

Regulierte Branchen

Finanzdienstleistungen, Gesundheitswesen, Telekommunikation und kritische Infrastrukturen sehen sich häufig regulatorischen Anforderungen gegenüber, die ISO 27001 hilft zu erfüllen (DSGVO, NIS2, DORA, PCI DSS).

B2B-Dienstleister

SaaS-Unternehmen, Cloud-Anbieter, Managed-Service-Provider und Business-Process-Outsourcer nutzen die Zertifizierung, um Unternehmen die Reife ihrer Sicherheit zu demonstrieren.

Auftragnehmer der öffentlichen Hand

Die Beschaffung im öffentlichen Sektor verlangt oder bevorzugt zunehmend die ISO 27001-Zertifizierung als Nachweis der Sicherheitsfähigkeit.

Organisationen, die sensible Daten verarbeiten

Jedes Unternehmen, das personenbezogene Daten, geistiges Eigentum oder vertrauliche Informationen verarbeitet, profitiert von einem systematischen Risikomanagement.

Unternehmen, die einen Wettbewerbsvorteil suchen

In wettbewerbsintensiven Ausschreibungen unterscheidet die ISO 27001-Zertifizierung Anbieter und kann ein entscheidender Faktor sein.

ISO 27001 im Vergleich zu anderen Sicherheitsframeworks

SOC 2

SOC 2 ist eine nordamerikanische Bescheinigung, die sich auf Dienstleistungsorganisationen konzentriert. ISO 27001 hat einen breiteren Geltungsbereich und ist global anerkannt. Viele Organisationen streben beide an.

NIST Cybersecurity Framework

Das NIST CSF ist eine Richtlinie, kein zertifizierbarer Standard. ISO 27001 bietet eine Zertifizierung. Die Frameworks sind kompatibel, und Organisationen bilden häufig Querverbindungen zwischen ihnen.

PCI DSS

PCI DSS ist spezifisch für Zahlungskartendaten. ISO 27001 deckt die gesamte Informationssicherheit ab. Viele PCI-DSS-Anforderungen überschneiden sich mit ISO 27001-Kontrollen.

DSGVO

Die DSGVO ist eine gesetzliche Anforderung für den Datenschutz. ISO 27001 hilft, die DSGVO-Compliance durch Sicherheitskontrollen (Artikel 32) und Rechenschaftspflichten nachzuweisen.

Synergie der Frameworks: Der risikobasierte Ansatz von ISO 27001 ermöglicht es Ihnen, mehrere Compliance-Anforderungen gleichzeitig zu erfüllen. Kontrollen, die für ISO 27001 ausgewählt wurden, erfüllen oft auch DSGVO, SOC 2, PCI DSS und andere Frameworks. Nutzen Sie ISMS Copilot, um Kontrollen über Frameworks hinweg abzubilden.

Vorteile der Einführung von ISO 27001:2022

Reduzierte Sicherheitsvorfälle

Systematische Risikoidentifikation und Kontrollimplementierung reduzieren messbar die Wahrscheinlichkeit und Auswirkungen von Sicherheitsverletzungen.

Einhaltung gesetzlicher Vorschriften

Viele ISO 27001-Kontrollen adressieren direkt DSGVO, NIS2, DORA und branchenspezifische Vorschriften und verringern so den Compliance-Aufwand.

Kundenvertrauen

Eine unabhängige Zertifizierung bietet Kunden Sicherheit, insbesondere in Beschaffungs- und Vertragsverhandlungen.

Operative Effizienz

Dokumentierte Prozesse, klare Verantwortlichkeiten und systematische Verbesserungen reduzieren Fehler und Nacharbeit.

Versicherung und Haftung

Einige Cyberversicherer bieten zertifizierten Organisationen bessere Konditionen, da sie ein geringeres Risiko erkennen.

Geschäftliche Resilienz

Kontrollen für Incident Response und Business Continuity sorgen für eine schnellere Wiederherstellung nach Sicherheitsvorfällen und Störungen.

Implementierungszeitplan und Kosten

Typischer Implementierungszeitrahmen

Kleine Organisation (10–50 Mitarbeiter): 6–9 Monate
Mittlere Organisation (50–250 Mitarbeiter): 9–12 Monate
Große Organisation (250+ Mitarbeiter): 12–18 Monate

Kostenfaktoren

Interne Ressourcen: Projektmanager, ISMS-Team, Fachexperten
Externe Unterstützung: Berater (10.000–100.000+ €, abhängig von Umfang und Organisationsgröße)
Tools: GRC-Plattformen, Sicherheitstools, Dokumentationssysteme
Zertifizierungsaudit: 5.000–50.000+ € für Stufe-1- und Stufe-2-Audits
Jährliche Überwachung: 2.000–15.000+ € pro Jahr
Kontrollimplementierung: Variabel, abhängig von der bestehenden Sicherheitsreife und den erforderlichen Kontrollen

Strategien zur Kostenreduzierung: Nutzen Sie KI-Tools wie ISMS Copilot, um Dokumentation, Risikobewertung und Gap-Analysen zu beschleunigen. Nutzen Sie bestehende Sicherheitsinvestitionen und richten Sie sich an anderen Compliance-Bemühungen aus. Erwägen Sie eine schrittweise Implementierung, beginnend mit den risikoreichsten Bereichen.

Häufige Implementierungsherausforderungen

Definition des Geltungsbereichs

Organisationen haben Schwierigkeiten, einen angemessenen ISMS-Geltungsbereich zu definieren – zu eng verfehlt Risiken, zu breit wird unhandlich. Der Geltungsbereich sollte kritische Informationswerte und Schnittstellen zu Dritten abdecken.

Risikobewertungsmethodik

Die Entwicklung eines risikobasierten Ansatzes, der sowohl konform als auch praktisch ist, erfordert eine Balance zwischen Gründlichkeit und Pragmatismus. Übermäßig komplexe Methoden bremsen die Implementierung aus.

Nachweissammlung

Auditoren benötigen Belege dafür, dass Kontrollen wirksam funktionieren. Organisationen implementieren oft Kontrollen, sammeln jedoch nicht systematisch Nachweise für deren Betrieb.

Aufrechterhaltung des Momentums

Die ISMS-Implementierung erfordert über Monate hinweg anhaltende Anstrengungen. Die anfängliche Begeisterung lässt ohne sichtbare Unterstützung durch das Management und schnelle Erfolge nach.

Erfolgsfaktor: Behandeln Sie ISO 27001 als Initiative zur Geschäftsverbesserung, nicht als Compliance-Projekt. Verbinden Sie es mit Geschäftszielen wie Kundengewinnung, operativer Effizienz und Risikoreduzierung. Feiern Sie Meilensteine und kommunizieren Sie Fortschritte breit.

Hilfe erhalten

Bereit für die Implementierung von ISO 27001:2022? Nutzen Sie ISMS Copilot, um Ihre Implementierung mit KI-gestützter Risikobewertung, Richtlinienerstellung und Gap-Analyse, zugeschnitten auf die Version 2022, zu beschleunigen.

On this page