Seit dem 31. Oktober 2025 bezieht sich jedes akkreditierte ISO/IEC 27001-Zertifikat auf die Ausgabe 2022. Nach abgeschlossenen Transitionsaudits testen Zertifizierungsstellen, ob die neuen Kontrollen tatsächlich funktionieren.
Wichtigste Erkenntnisse
- Die Übergangsfrist endete am 31. Oktober 2025; Zertifikate zur Ausgabe 2013 (EN 2017 in Europa) liefen zu diesem Datum ab.
- Überwachungsaudits testen nun die Wirksamkeit der 11 neuen Maßnahmen in Anhang A, wie Bedrohungsintelligenz, Cloud-Dienste und Datenverlustprävention, nicht nur deren Vorhandensein in der Erklärung zur Anwendbarkeit.
- Auditbereitschaft ist eine Frage des Rhythmus: geplante Kontrollprüfungen, kontinuierliche Nachweiserhebung, ein aktuelles Risikoregister und ein über das Jahr verteiltes internes Auditprogramm.
ISO/IEC 27001:2022 wurde am 25. Oktober 2022 veröffentlicht und hatte eine Übergangsfrist von drei Jahren [3]. Diese Frist endete am 31. Oktober 2025. Zertifikate, die nach der vorherigen Ausgabe ausgestellt wurden (ISO/IEC 27001:2013, in Europa als EN ISO/IEC 27001:2017 veröffentlicht), sind zu diesem Datum abgelaufen und nicht mehr gültig [3]. Ein Jahr später haben die meisten zertifizierten Organisationen ihren ersten Überwachungszyklus nach der Ausgabe 2022 abgeschlossen. Dieser Artikel befasst sich damit, wohin sich die Prüfaufmerksamkeit verlagert hat und wie ein Informationssicherheitsmanagementsystem (ISMS) das ganze Jahr über auditbereit bleibt.
Eine kurze Zusammenfassung der Änderungen
Abschnitte 4 bis 10
Die Managementsystem-Klauseln wurden an die harmonisierte Struktur der ISO angepasst. Die Änderungen sind überschaubar, aber prüfbar. [1]:
- 4.2: bestimmen, welche Anforderungen der interessierten Parteien durch das ISMS erfüllt werden.
- 4.4: das ISMS umfasst die erforderlichen Prozesse und deren Wechselwirkungen.
- 6.2: Ziele der Informationssicherheit müssen überwacht werden.
- 6.3 (neu): Änderungen am ISMS müssen geplant durchgeführt werden.
- 8.1: Kriterien für Prozesse festlegen und extern bereitgestellte Prozesse, Produkte und Dienstleistungen, die für das ISMS relevant sind, kontrollieren.
- 9.3: Die Managementbewertung berücksichtigt Änderungen in den Anforderungen und Erwartungen interessierter Parteien.
Die Klimaänderungsnovelle
Im Februar 2024 veröffentlichte die ISO Amendment 1 zu ISO/IEC 27001:2022 „Climate action changes" [2]. Sie verlangt von Organisationen, zu bestimmen, ob Klimawandel ein relevantes Thema in ihrem Kontext ist (Abschnitt 4.1), und vermerkt, dass interessierte Parteien klimabezogene Anforderungen haben können (Abschnitt 4.2). Auditoren erwarten in der Regel, dass die Frage berücksichtigt und die Schlussfolgerung dokumentiert wurde, nicht ein Klimaprogramm.
Anhang A
Anhang A wurde von 114 Kontrollen in 14 Domänen auf 93 Kontrollen in vier Themen umstrukturiert: organisatorisch, personell, physisch und technologisch [4]. Die meisten Kontrollen wurden zusammengefasst oder umbenannt. Elf sind neu. [4]:
| Kontrolle | Titel |
|---|---|
| 5.7 | Threat Intelligence |
| 5.23 | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | IKT-Bereitschaft für Geschäftsfortführung |
| 7.4 | Überwachung der physischen Sicherheit |
| 8.9 | Konfigurationsmanagement |
| 8.10 | Informationslöschung |
| 8.11 | Datenmaskierung |
| 8.12 | Verhinderung von Datenlecks |
| 8.16 | Überwachungsaktivitäten |
| 8.23 | Web-Filterung |
| 8.28 | Sichere Codierung |
Implementierungsleitfäden für jede Maßnahme sind in ISO/IEC 27002:2022 enthalten [5].
Übergangsprüfungen fragten, ob die neuen Maßnahmen in Ihrer Erklärung zur Anwendbarkeit enthalten waren; Überwachungsprüfungen fragen, ob sie funktionieren.
Wo sich die Prüfungsaufmerksamkeit verlagert hat
Bei Übergangsprüfungen überprüften Prüfer hauptsächlich, ob die Erklärung zur Anwendbarkeit (SoA) das neue Anhang A widerspiegelte, ob der Behandlungsplan aktualisiert worden war und ob die neuen Maßnahmen berücksichtigt worden waren. Überwachungs- und Rezertifizierungsprüfungen stellen eine andere Frage: Funktioniert die Maßnahme, und können Sie das nachweisen?
In den folgenden Bereichen treten Lücken typischerweise auf, weil die Maßnahmen neu sind und Nachweise nicht immer als Nebenprodukt der täglichen Arbeit entstehen.
Threat Intelligence (5.7)
Ein Feed-Abonnement ist nicht die Kontrolle. Auditoren prüfen, wie Bedrohungsinformationen erfasst, analysiert und umgesetzt werden: beispielsweise eine regelmäßige Bedrohungszusammenfassung, die zu einer Änderung von Risikobewertungen, Erkennungsregeln oder Patch-Prioritäten geführt hat. Kleinere Organisationen können sich auf Quellen wie nationale CSIRT-Empfehlungen stützen, sofern sie nachweisen, dass die Informationen überprüft und genutzt werden.
Cloud-Dienste (5.23)
Die Kontrolle umfasst den Lebenszyklus der Cloud-Nutzung: Beschaffung, Nutzung, Verwaltung und Ausstieg. Rechnen Sie mit Fragen dazu, wie Cloud-Services genehmigt werden, wie das Modell der gemeinsamen Verantwortung für wichtige Anbieter dokumentiert ist, wie die Sicherheit der Anbieter überprüft wird und welche Ausstiegsregelungen bestehen. Dies ist direkt mit den Lieferantenkontrollmaßnahmen 5.19 bis 5.22 verknüpft.
Verhinderung von Datenlecks (8.12)
Der Standard schreibt kein bestimmtes DLP-Produkt vor. Er verlangt Maßnahmen, die dem Risiko angemessen sind und auf Systemen, Netzwerken und Geräten angewendet werden, die vertrauliche Informationen verarbeiten. Prüfer möchten in der Regel die Verbindung zwischen Datenklassifizierung, den betrachteten Kanälen (E-Mail, Web-Uploads, Wechselspeicher, Cloud-Sharing) und den gewählten technischen oder verfahrensgestützten Maßnahmen sehen, sowie Nachweise, dass Warnmeldungen überprüft werden.
Konfigurationsmanagement (8.9) und Überwachungsaktivitäten (8.16)
Beide erfordern laufende Nachweise: definierte sichere Basiskonfigurationen, ein Verfahren zur Erkennung von Abweichungen und Überwachung von Netzwerken, Systemen und Anwendungen auf anomales Verhalten mit dokumentierter Überprüfung. Diese Kontrollen scheitern, wenn sie nur als Richtlinienerklärungen vorhanden sind.
IKT-Bereitschaft für Geschäftsfortführung (5.30)
Prüfer suchen nach Wiederherstellungszielen, die an eine Geschäftsauswirkungsanalyse gebunden sind, und nach Nachweisen, dass die IKT-Wiederherstellung getestet wurde, nicht nur geplant.
Sichere Codierung (8.28) und Informationslöschung (8.10)
Für Organisationen, die Software entwickeln, erwarten Prüfer Prinzipien der sicheren Codierung, Nachweise von Code-Reviews oder Tests und den Umgang mit Bibliotheken von Drittanbietern. Bei der Löschung prüfen sie Aufbewahrungsregeln und Nachweise, dass Daten gelöscht werden, wenn sie nicht mehr erforderlich sind, auch bei Lieferanten.
Klausel 6.3 und Änderungen
Ein häufiger Befund ist, dass erhebliche Änderungen – wie eine neue Cloud-Plattform, eine Übernahme oder eine Umstrukturierung – ohne Bewertung ihrer Auswirkungen auf das ISMS vorgenommen wurden. Ein einfacher Änderungsnachweis mit Verweis auf das ISMS schafft hier Abhilfe.
Das ISMS das ganze Jahr über auditbereit halten
Erstellen Sie einen Kontrollkalender
Weisen Sie jeder anwendbaren Kontrolle einen Verantwortlichen und eine Überprüfungshäufigkeit zu, z. B. monatlich, vierteljährlich oder jährlich. Zugriffsprüfungen, Backup-Wiederherstellungstests, Lieferantenbewertungen, Schwachstellenscans und Bedrohungszusammenfassungen liefern dann planmäßig Nachweise statt in den Wochen vor einer Prüfung.
Sammeln Sie Nachweise kontinuierlich
Speichern Sie Nachweise dort, wo sie entstehen, mit Datum und Verantwortlichem, und verknüpfen Sie sie mit der Kontrolle, die sie unterstützen. Wenn Kontrollen mit anderen Rahmenwerken wie NIS2-Risikomanagementmaßnahmen oder DORA-IKT-Anforderungen geteilt werden, verknüpfen Sie denselben Nachweis mit jeder Anforderung, anstatt ihn zweimal zu erstellen.
Halten Sie das Risikoregister aktuell
Überprüfen Sie Risiken, wenn sich etwas ändert, nicht nur einmal im Jahr: neue Bedrohungen, Vorfälle, Lieferanten oder Dienste. Prüfer kontrollieren, dass die Ergebnisse der Risikobewertung in die SoA und den Behandlungsplan einfließen.
Verteilen Sie das interne Audit-Programm
Klausel 9.2 verlangt ein geplantes internes Audit-Programm [1]. Die Abdeckung einiger Klauseln und Kontrollthemen pro Quartal ermöglicht einen vollständigen Zyklus über das Jahr, deckt Probleme frühzeitig auf und vermittelt der Zertifizierungsstelle ein glaubwürdiges Bild der Selbstbewertung.
Führen Sie eine aussagekräftige Managementbewertung durch
Klausel 9.3 listet die erforderlichen Eingaben auf [1]. Eine kurze, gut belegte Bewertung mit Entscheidungen und Maßnahmen ist wertvoller als eine lange Präsentation ohne Ergebnisse.
Korrekturmaßnahmen bis zum Abschluss nachverfolgen
Nichtkonformitäten, Vorfälle und Audit-Feststellungen sollten alle in ein Korrekturmaßnahmen-Protokoll einfließen, das Grundursache, Verantwortliche und Fälligkeitsdatum enthält. Offene Maßnahmen aus dem vorherigen Audit gehören zu den ersten Dingen, die ein Auditor prüft.
Abschließende Anmerkung
Secrato hilft Organisationen, Rahmenwerke wie NIS2, DORA und ISO/IEC 27001 in einer EU-gehosteten Plattform zu verwalten – mit gemeinsamen Kontrollen, Nachweisen und Audit-Trails.
Quellen
- ISO, „ISO/IEC 27001:2022 Information security management systems – Requirements": https://www.iso.org/standard/27001
- ISO, „ISO/IEC 27001:2022/Amd 1:2024 – Climate action changes": https://www.iso.org/standard/88435.html
- NSAI, „ISO/IEC 27001:2022 Transition Policy": https://www.nsai.ie/certification/management-systems/iso-iec-27001-information-security-management-system/iso-iec-270012022-transition-policy/
- KPMG UK, „ISO/IEC 27001:2022" (Übersicht der Änderungen), August 2023: https://assets.kpmg.com/content/dam/kpmg/uk/pdf/2023/08/isoiec-27001-2022.pdf
- ISO, „ISO/IEC 27002:2022 Information security controls": https://www.iso.org/standard/75652.html
