Ende Oktober 2022 ist die neue ISO/IEC 27001:2022 erschienen, und seitdem bekommen wir regelmäßig dieselbe Frage: Müssen wir jetzt alles neu machen? Die gute Nachricht vorweg: nein. Die Änderungen der ISO 27001:2022 sind überschaubar, wenn Ihr Informationssicherheits-Managementsystem (ISMS) bisher gelebt wurde. Ein bisschen Arbeit ist es trotzdem. Hier ist unser Überblick, was sich ändert, was gleich bleibt und wie Sie die Umstellung planen.
Der Hintergrund: Erst kam die 27002, dann die 27001
Die ISO 27001 besteht aus zwei Teilen: dem Normtext mit den Anforderungen an das Managementsystem (Kapitel 4 bis 10) und dem Anhang A mit den Sicherheitsmaßnahmen, den sogenannten Controls. Diese Controls werden in der ISO/IEC 27002 ausführlich erklärt. Die 27002 wurde bereits im Februar 2022 überarbeitet. Die neue 27001 übernimmt deren Struktur nun in ihren Anhang A. Wer die neue 27002 schon kennt, hat also einen Vorsprung.
ISO 27001:2022 – die Änderungen im Anhang A
Der Anhang A ist der Teil, an dem sich am meisten tut. Aus bisher 114 Controls in 14 Kapiteln werden 93 Controls in nur noch vier Themen:
| Thema | Anzahl Controls | Worum es geht |
|---|---|---|
| 5 Organisatorische Maßnahmen | 37 | Richtlinien, Rollen, Lieferanten, Vorfälle, Compliance |
| 6 Personenbezogene Maßnahmen | 8 | Überprüfung, Schulung, Vertraulichkeit, Telearbeit |
| 7 Physische Maßnahmen | 14 | Zutritt, Räume, Geräte, Datenträger |
| 8 Technologische Maßnahmen | 34 | Zugriffe, Malware, Backup, Protokollierung, Netze, Entwicklung |
Die meisten bisherigen Controls sind nicht verschwunden, sondern wurden zusammengelegt oder neu formuliert. Wirklich neu sind elf Maßnahmen:
- 5.7 Threat Intelligence: Informationen über Bedrohungen sammeln und auswerten
- 5.23 Informationssicherheit bei Cloud-Diensten
- 5.30 IKT-Bereitschaft für Business Continuity
- 7.4 Physische Sicherheitsüberwachung
- 8.9 Konfigurationsmanagement
- 8.10 Löschung von Informationen
- 8.11 Datenmaskierung
- 8.12 Verhinderung von Datenabfluss (Data Leakage Prevention)
- 8.16 Überwachungstätigkeiten (Monitoring)
- 8.23 Webfilterung
- 8.28 Sichere Programmierung
Unsere Einschätzung aus der Praxis: Vieles davon machen gut aufgestellte Unternehmen längst, etwa Webfilter, Konfigurationsvorgaben oder Löschkonzepte (Letztere schon wegen der DSGVO). Neu ist vor allem, dass Sie es dokumentiert nachweisen müssen. Etwas mehr Aufwand bedeuten erfahrungsgemäß Threat Intelligence und Monitoring, weil hier oft nur „irgendwer schaut mal in die Logs“ gelebt wird.
Neu in der 27002: Attribute
Die ISO 27002 ordnet jedem Control zusätzlich Attribute zu, etwa die Art der Maßnahme (präventiv, detektiv, korrektiv), die betroffenen Schutzziele oder Cybersecurity-Konzepte wie „Identifizieren“ oder „Schützen“. Für die Zertifizierung sind diese Attribute nicht vorgeschrieben. Sie helfen aber, die eigene Maßnahmenliste aus verschiedenen Blickwinkeln zu filtern.
Was sich im Normtext ändert
Die Kapitel 4 bis 10 wurden an die vereinheitlichte Struktur der ISO-Managementsystemnormen angepasst. Die Änderungen sind klein, sollten aber nicht übersehen werden:
- 4.2: Sie müssen festlegen, welche Anforderungen interessierter Parteien über das ISMS adressiert werden.
- 4.4: Die benötigten Prozesse und ihre Wechselwirkungen gehören ausdrücklich zum ISMS.
- 6.2: Informationssicherheitsziele müssen überwacht werden.
- 6.3 (neu): Änderungen am ISMS müssen geplant erfolgen.
- 8.1: Kriterien für Prozesse festlegen und extern bereitgestellte Prozesse, Produkte und Dienstleistungen steuern.
- 9.3: Die Managementbewertung betrachtet auch Änderungen bei den Erwartungen interessierter Parteien.
- 10: Die Reihenfolge wurde getauscht, fortlaufende Verbesserung steht jetzt vor Nichtkonformität und Korrekturmaßnahmen.
Was gleich bleibt
Damit niemand in Panik verfällt: Das Grundprinzip der Norm bleibt unverändert. Sie bestimmen weiterhin selbst, welche Informationen schützenswert sind, bewerten Risiken nach Ihrer eigenen Methode und wählen passende Maßnahmen aus. Die Pflichtdokumente sind im Wesentlichen dieselben, Ihre Richtlinien, Verfahrensanweisungen und Nachweise bleiben gültig. Auch der Zyklus aus internem Audit, Managementbewertung und Verbesserung ist der gleiche. Wer bisher ordentlich gearbeitet hat, baut also nichts neu, sondern sortiert um und ergänzt.
Übergangsfrist: Wie viel Zeit bleibt?
Für bestehende Zertifikate gilt eine Übergangsfrist von drei Jahren ab Veröffentlichung, also bis zum 31. Oktober 2025. Danach verlieren Zertifikate nach der alten Version ihre Gültigkeit. Erst- und Rezertifizierungen werden von den Zertifizierungsstellen schrittweise auf die neue Version umgestellt. Fragen Sie Ihre Zertifizierungsstelle am besten jetzt, ab wann sie nur noch nach der 2022er-Version auditiert und ob die Umstellung im nächsten Überwachungsaudit möglich ist. Das spart einen Extratermin.
Unser Fahrplan für die Umstellung
- Norm beschaffen und lesen: 27001:2022 und am besten auch die 27002:2022.
- Mapping erstellen: Alte Controls den neuen zuordnen. Die 27002 enthält dafür im Anhang eine Gegenüberstellung.
- Gap-Analyse: Die elf neuen Controls und die Normtext-Änderungen gegen Ihren Ist-Zustand prüfen.
- Risikobehandlung aktualisieren: Der Risikobehandlungsplan verweist auf Controls, also müssen die Verweise angepasst werden.
- Erklärung zur Anwendbarkeit (SoA) neu aufsetzen: Das ist das Kerndokument der Umstellung.
- Richtlinien anpassen: Querverweise, neue Themen wie Cloud, Löschung und Monitoring ergänzen.
- Internes Audit und Managementbewertung nach neuer Version durchführen.
- Umstellungsaudit mit der Zertifizierungsstelle planen.
Für ein kleines bis mittleres Unternehmen mit funktionierendem ISMS ist das gut in einigen Wochen machbar, wenn man es nicht bis zum letzten Moment liegen lässt. Erfahrungsgemäß werden die Termine bei Auditoren knapp, je näher eine Frist rückt.
Häufige Fragen
Brauchen wir eine neue Risikoanalyse?
Nicht zwingend komplett neu. Die Methodik kann bleiben. Die Risiken sollten Sie aber mit Blick auf die neuen Controls durchgehen, etwa für Cloud-Dienste.
Können wir noch nach der alten Version zertifizieren?
Während der Übergangszeit teilweise ja, wir raten aber davon ab. Wer jetzt neu startet, sollte gleich auf die ISO 27001:2022 setzen.
Wir helfen Ihnen gerne
Sie möchten wissen, wie groß die Lücke bei Ihnen wirklich ist? Das Team Informationssicherheit der Mittelstandsoptimierer macht mit Ihnen eine kompakte Gap-Analyse und begleitet die Umstellung bis zum Audit. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
