ISO 27001:2022 ist inhaltlich keine Revolution, aber eine wichtige Auffrischung. Die größte Änderung liegt in Annex A: von 114 Maßnahmen in 14 Kapiteln zu 93 Maßnahmen in 4 Themen (organisatorisch, personenbezogen, physisch, technologisch). Außerdem gibt es neue Maßnahmen und jede Maßnahme erhielt Attribute für eine bessere Filterung.
Die wichtigsten Änderungen
- Neue Annex-A-Struktur: 4 Themen statt 14 Domänen.
- 11 neue Maßnahmen, u. a. Threat Intelligence, Cloud-Sicherheit, Data Leakage Prevention, Secure Coding und Monitoring.
- Attribute je Maßnahme (z. B. präventiv/detektiv, Vertraulichkeit/Integrität/Verfügbarkeit).
- Textliche Klarstellungen in den Kapiteln 4 bis 10.
Was bedeutet das für Ihr ISMS?
Bereits zertifizierte Organisationen müssen innerhalb der Übergangsfrist ihr Statement of Applicability und die Risikobehandlung an die neue Annex A anpassen. Eine Gap-Analyse macht schnell ersichtlich, welche (neuen) Maßnahmen Sie noch adressieren müssen. Lesen Sie auch die Kapitel 4 bis 10 erklärt.
ISO/IEC 27001 — offizielle Normseite (offizielle Quelle).
Häufig gestellte Fragen
Kurze, direkte Antworten — geschrieben für Menschen und für KI-Suchfunktionen.
Nein, Sie müssen nicht von Grund auf neu zertifizieren, aber Sie müssen innerhalb der Übergangsfrist auf die Version 2022 umstellen. Das geschieht in der Regel im Rahmen eines regulären Überwachungs- oder Rezertifizierungsaudits, bei dem die Zertifizierungsstelle prüft, ob Sie die neue Annex A korrekt umgesetzt haben.
Annex A der ISO 27001:2022 enthält 93 Maßnahmen, aufgeteilt auf vier Themen: organisatorisch, personenbezogen, physisch und technologisch. Das ist eine Neuordnung und Zusammenführung der 114 Maßnahmen aus der vorherigen Version, plus 11 neue Maßnahmen.
Die 11 neuen Maßnahmen befassen sich unter anderem mit Threat Intelligence, Informationssicherheit bei Cloud-Diensten, IKT-Kontinuität, physischer Sicherheitsüberwachung, Konfigurationsmanagement, Data Leakage Prevention, Monitoring, Webfilterung und Secure Coding — Themen, die in den vergangenen Jahren an Bedeutung gewonnen haben.
Möchten Sie wissen, ob Sie audit-ready sind?
Vereinbaren Sie einen unverbindlichen Audit-Scan und wissen Sie innerhalb eines Gesprächs, wo Sie stehen und was der nächste Schritt ist.
