ISO/IEC 27001:2022: Informationssicherheits-Managementsystem
Der international anerkannteste Standard für Informationssicherheits-Managementsysteme (ISMS): freiwillig zertifizierbar, aber vielerorts Marktvoraussetzung und anerkannter Nachweis, u. a. gegenüber NIS2.
Ein Managementsystem-Standard, keine EU-Rechtsvorschrift.
ISO/IEC 27001 ist ein Standard der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) — keine EU-Rechtsvorschrift, sondern ein freiwillig zertifizierbares Managementsystem für Informationssicherheit. Zertifiziert wird durch akkreditierte, unabhängige Stellen, nicht durch eine Behörde.
Die aktuelle Edition ISO/IEC 27001:2022 ersetzt die Fassung von 2013. Kern sind die Managementsystem-Klauseln 4 bis 10 (u. a. Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung) sowie der Kontrollen-Katalog in Annex A, der eng an ISO/IEC 27002:2022 angelehnt ist.
Annex A der Edition 2022 umfasst 93 Controls, gegliedert in vier Themen: organisatorisch, personenbezogen, physisch und technologisch — gegenüber 114 Controls in 14 Kategorien der Fassung 2013 eine deutliche Straffung.
Wichtige Stichtage
ISO/IEC 27001:2022 löst die Fassung von 2013 ab
Neue Struktur: 93 Annex-A-Controls in vier Themen statt 114 Controls in 14 Kategorien.
Zertifikate nach ISO/IEC 27001:2013 sind ungültig
Die vom International Accreditation Forum (IAF) vorgegebene dreijährige Übergangsfrist für die Migration von 2013- auf 2022-Zertifikate ist abgelaufen; 2013-Zertifikate sind nicht mehr gültig.
Rezertifizierung alle drei Jahre, jährliche Überwachungsaudits
Nach Erstzertifizierung führen akkreditierte Zertifizierungsstellen jährliche Überwachungsaudits und alle drei Jahre eine vollständige Rezertifizierung durch.
Was ISO/IEC 27001:2022 strukturell verlangt.
Managementsystem-Klauseln 4–10
Verpflichtender Kern: Kontext der Organisation, Führung und Verpflichtung, Planung inkl. Risikobehandlung, Unterstützung, Betrieb, Leistungsbewertung und kontinuierliche Verbesserung.
Statement of Applicability (SoA)
Dokumentierte Begründung, welche der 93 Annex-A-Controls angewendet und welche ausgeschlossen werden; zentrales Auditobjekt.
Risikobewertung nach ISO/IEC 27005
Systematische Identifikation, Analyse und Behandlung von Informationssicherheitsrisiken als Grundlage der Control-Auswahl.
Vier Themen in Annex A
Organisatorische, personenbezogene, physische und technologische Controls — von Zugriffskontrolle über Lieferantenbeziehungen bis Kryptografie.
Ein Zertifikat entsteht über der Maßnahmenliste, nicht in ihr.
Annex A ist die eine Hälfte, die Kapitel 4 bis 9 sind die andere, mit den häufigsten Zertifizierungsbefunden.
Erklärung zur Anwendbarkeit, in beide Richtungen begründet
Kl. 6.1.3 lit. d verlangt die Begründung für die Aufnahme ebenso wie für den Ausschluss. Meist wird nur der Ausschluss begründet, der Auditor fragt aber nach der Aufnahme. ReportAct erzwingt beides über alle 93 Maßnahmen; die Freigabe bleibt gesperrt, solange eine Aussage fehlt, und wird mit Inhaltshash versiegelt. Eine Überarbeitung läuft neben der geltenden Fassung.
Klimawandel ist seit Amd 1:2024 Pflicht
Die Ergänzung fügt zwei Feststellungen hinzu: ob der Klimawandel ein relevantes Thema ist (Kl. 4.1) und ob interessierte Parteien klimabezogene Anforderungen stellen (Kl. 4.2). Die Übergangsfrist von :2013 endete am 31.10.2025; ein Zertifikat nach :2022 setzt beide voraus. „Nicht relevant" ist zulässig, aber nur mit Begründung. ReportAct gibt den Geltungsbereich ohne sie nicht frei.
Kompetenz hängt an der Rolle, nicht an der Person
Kl. 5.3 verlangt Verantwortung und Befugnis, Kl. 7.2 den Kompetenznachweis. Hängen Nachweise nur an Personen, bleibt offen, ob die Rolle besetzt und kompetent besetzt ist. ReportAct unterscheidet unbesetzt und besetzt ohne aktuellen Nachweis.
Das Auditprogramm über den ganzen Zyklus
Eine Fläche des Geltungsbereichs, die das Programm nie erreicht, ist aus einer Liste von Einzelaudits nicht erkennbar und ein häufiger Befund. ReportAct rechnet die Flächen gegen die eingeplanten Audits und nennt nie erreichte beim Namen. Die Managementbewertung nach Kl. 9.3 lässt sich erst abschließen, wenn alle sieben Pflichteingaben vorliegen; danach ist sie unveränderlich und versiegelt.
Ein SoA, versiegelt und mehrfach nutzbar.
Das Framework-Pack ISO/IEC 27001 bildet alle 93 Annex-A-Controls als Statement of Applicability ab, inklusive Asset- und Risikoregister nach ISO 27005; jede Bewertung wird kryptografisch versiegelt.
Da ISO/IEC 27001 einen Großteil der NIS2-Anforderungen abdeckt, rechnet ReportAct einmal gepflegte Controls automatisch auf alle aktiven Framework-Packs an.
Jede Kontrolle ist für Kunden und Auditoren über eine öffentliche Verify-URL ohne ReportAct-Zugang nachprüfbar.
Über den Maßnahmen liegt die Managementsystem-Schicht: Kontext, Geltungsbereich mit Schnittstellen und begründeten Ausschlüssen, interessierte Parteien mit Fundstelle, Rollen mit Kompetenzanforderung, messbare Ziele, Änderungsplanung, Auditprogramm und Managementbewertung, mit denselben Sperren wie die Erklärung zur Anwendbarkeit.
Produkt-/Positionierungsaussage, keine Rechtsberatung.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung. Der Standardtext von ISO/IEC 27001 ist urheberrechtlich geschützt und kostenpflichtig bei ISO oder der jeweiligen nationalen Normungsstelle erhältlich — diese Seite beschreibt Struktur und Fristen, ersetzt aber nicht die Lektüre des Originaltexts. Es gelten unsere AGB.
Ein SoA, das über Regime hinweg zählt.
Starten Sie mit Ihrem Statement of Applicability, inklusive Cross-Mapping zu NIS2 und DORA.
- Managementsystem-Klauseln 4–10
- Statement of Applicability (SoA)
- Risikobewertung nach ISO/IEC 27005