ISO/IEC 27001:2022: Informationssicherheits-Managementsystem
Der international anerkannteste Standard für Informationssicherheits-Managementsysteme (ISMS) — freiwillig zertifizierbar, aber in der Praxis vielerorts Marktvoraussetzung und regulatorisch anerkannter Nachweis, u. a. gegenüber NIS2.
Ein Managementsystem-Standard, keine EU-Rechtsvorschrift.
ISO/IEC 27001 ist ein Standard der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) — keine EU-Rechtsvorschrift, sondern ein freiwillig zertifizierbares Managementsystem für Informationssicherheit. Die Zertifizierung erfolgt durch akkreditierte, unabhängige Zertifizierungsstellen, nicht durch eine Behörde.
Die aktuelle Edition ISO/IEC 27001:2022 ersetzt die Fassung von 2013. Kern sind die Managementsystem-Klauseln 4 bis 10 (u. a. Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung) sowie der Kontrollen-Katalog in Annex A, der eng an ISO/IEC 2 27002:2022 angelehnt ist.
Annex A der Edition 2022 umfasst 93 Controls, gegliedert in vier Themen: organisatorisch, personenbezogen, physisch und technologisch — gegenüber 114 Controls in 14 Kategorien der Fassung 2013 eine deutliche Straffung und Neustrukturierung.
Wichtige Stichtage
ISO/IEC 27001:2022 löst die Fassung von 2013 ab
Neue Struktur: 93 Annex-A-Controls in vier Themen statt 114 Controls in 14 Kategorien.
Zertifikate nach ISO/IEC 27001:2013 sind ungültig
Vom International Accreditation Forum (IAF) vorgegebene dreijährige Übergangsfrist für die Migration von 2013- auf 2022-Zertifikate ist abgelaufen; bestehende 2013-Zertifikate haben ihre Gültigkeit verloren.
Rezertifizierung alle drei Jahre, jährliche Überwachungsaudits
Nach Erstzertifizierung führen akkreditierte Zertifizierungsstellen jährliche Überwachungsaudits und alle drei Jahre eine vollständige Rezertifizierung durch.
Was ISO/IEC 27001:2022 strukturell verlangt.
Managementsystem-Klauseln 4–10
Verpflichtender Kern: Kontext der Organisation, Führung und Verpflichtung, Planung inkl. Risikobehandlung, Unterstützung, Betrieb, Leistungsbewertung und kontinuierliche Verbesserung.
Statement of Applicability (SoA)
Dokumentierte Begründung, welche der 93 Annex-A-Controls angewendet werden und welche mit Begründung ausgeschlossen sind — zentrales Auditobjekt.
Risikobewertung nach ISO/IEC 27005
Systematische Identifikation, Analyse und Behandlung von Informationssicherheitsrisiken als Grundlage der Control-Auswahl.
Vier Themen in Annex A
Organisatorische, personenbezogene, physische und technologische Controls — von Zugriffskontrolle über Lieferantenbeziehungen bis Kryptografie.
Ein SoA, versiegelt und mehrfach nutzbar.
Das ReportAct Framework-Pack ISO/IEC 27001 bildet alle 93 Annex-A-Controls als vollständiges Statement of Applicability ab, inklusive Asset-Register und Risikoregister nach ISO 27005 — jede Bewertung kryptografisch versiegelt.
Da ISO/IEC 27001 einen Großteil der NIS2-Anforderungen inhaltlich abdeckt, rechnet ReportAct einmal gepflegte Controls automatisch auf alle aktiven Framework-Packs an, statt Evidenz mehrfach zu erfassen.
Für Kunden und Auditoren steht jede Kontrolle über eine öffentliche Verify-URL bereit — nachprüfbar, ohne ReportAct-Zugang.
Produkt-/Positionierungsaussage, keine Rechtsberatung.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung. Der Standardtext von ISO/IEC 27001 ist urheberrechtlich geschützt und kostenpflichtig bei ISO oder der jeweiligen nationalen Normungsstelle erhältlich — diese Seite beschreibt Struktur und Fristen, ersetzt aber nicht die Lektüre des Originaltexts. Es gelten unsere AGB.
Ein SoA, das über Regime hinweg zählt.
Sie starten sofort mit Ihrem Statement of Applicability — inklusive Cross-Mapping zu NIS2 und DORA.