Die aktuelle veröffentlichte Ausgabe ISO/IEC 27001:2022 definiert Anforderungen an ein Informationssicherheits-Managementsystem (ISMS). Ergänzend gilt Amendment 1:2024 zu Klimaschutzaspekten. Die Normklauseln 4 bis 10 sind verpflichtend; die 93 Controls in Annex A sind ein Referenzsatz, aus dem die Organisation risikobasiert auswählt und Ausschlüsse begründet.
Checkliste für die Klauseln 4 bis 10
Kontext und Scope
- interne und externe Themen bestimmt
- interessierte Parteien und relevante Anforderungen erfasst
- Klimawandel als relevantes Kontextthema geprüft
- ISMS-Geltungsbereich mit Grenzen, Standorten, Prozessen und Abhängigkeiten dokumentiert
Führung
- Informationssicherheitspolitik genehmigt und kommuniziert
- Rollen, Verantwortungen und Befugnisse zugewiesen
- Leitung kann Engagement, Ressourcen und regelmäßige Steuerung nachweisen
Planung
- Methode für Risikobeurteilung und -behandlung festgelegt
- Informationssicherheitsziele messbar geplant
- Änderungen am ISMS kontrolliert geplant
- Risiken, Verantwortliche, Termine und Akzeptanzentscheidungen dokumentiert
Unterstützung und Betrieb
- notwendige Ressourcen und Kompetenzen vorhanden
- Awareness und interne Kommunikation geregelt
- dokumentierte Information gelenkt
- Risikobeurteilung und -behandlung in geplanten Abständen sowie bei wesentlichen Änderungen durchgeführt
Bewertung und Verbesserung
- Monitoring, Messung und Auswertung definiert
- internes Auditprogramm umgesetzt
- Managementbewertung mit geforderten Eingaben und Entscheidungen dokumentiert
- Nichtkonformitäten, Ursachen und Korrekturmaßnahmen nachverfolgt
- kontinuierliche Verbesserung nachweisbar
Annex A und Statement of Applicability
Annex A der Ausgabe 2022 enthält 93 Controls in vier Gruppen: organisatorisch, personell, physisch und technologisch. Sie sind nicht automatisch alle umzusetzen. Die Risikobehandlung kann auch andere Controls erfordern.
Das Statement of Applicability (SoA) sollte mindestens dokumentieren:
| Entscheidung | Nachweis |
|---|---|
| Control notwendig? | Bezug zu Risiko, Vertrag, Gesetz oder Geschäftsziel |
| Control umgesetzt? | Status und prüfbare Evidenz |
| Control ausgeschlossen? | nachvollziehbare Begründung |
| zusätzliches Control? | Aufnahme außerhalb des Annex-A-Referenzsatzes |
Eine reine Liste mit „erledigt“ reicht nicht. Auditoren bewerten, ob die Auswahl zum Risiko passt und die Maßnahmen wirksam betrieben werden.
Wichtige Nachweise vor dem Audit
- freigegebener Scope und Informationssicherheitspolitik
- aktuelle Risikobeurteilung und Risikobehandlungsplan
- SoA in der aktuellen Fassung
- Ziele und Wirksamkeitskennzahlen
- Kompetenz- und Awareness-Nachweise
- operative Evidenz wie Reviews, Tickets, Protokolle und Testergebnisse
- internes Audit und abgeschlossene Korrekturen
- Managementbewertung vor dem Zertifizierungsaudit
Die Umstellung von der früheren Ausgabe ist kein künftiger Termin mehr: Die international festgelegte Transitionsfrist endete am 31. Oktober 2025. Organisationen sollten daher heute ausschließlich mit der Ausgabe 2022 und dem Amendment 1:2024 planen.
Vision Compliance unterstützt beim ISMS-Aufbau und bei der ISO-27001-Auditvorbereitung, einschließlich Scope, Risikoanalyse, SoA und Evidenzprüfung.
Quellen und Prüfung
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.