ISO 27001:2022 Umstellung: Was sich für Sie ändert

Viele Betriebe mit Zertifikat stehen vor derselben Frage. Nämlich: Was bedeutet die ISO 27001:2022 für unser bestehendes ISMS? Die Revision bringt einen neuen Maßnahmenkatalog. Zudem ändert sie die Struktur des Anhangs deutlich. Deshalb reicht ein Blick in die alten Unterlagen nicht mehr. Wer die Umstellung sauber angeht, spart sich Stress beim nächsten Audit.

Dieser Beitrag ordnet die Änderungen ein. Zunächst geht es um den neuen Annex A. Danach um die elf neuen Controls und die Attribute. Zum Schluss um die Übergangsfrist und den konkreten Gap zwischen alter und neuer Fassung. Das Ziel ist ein klarer Fahrplan. Also eine Grundlage, mit der Sie die ISO 27001:2022 ohne Umwege umsetzen.

Was die ISO 27001:2022 neu regelt

Die ISO 27001:2022 ist die überarbeitete Fassung des Standards für Informationssicherheit. Sie erschien im Oktober 2022 und löst die Version von 2013 ab. Dabei bleibt der Kern gleich. Ein Managementsystem plant, betreibt und verbessert die Sicherheit systematisch. Der große Unterschied liegt hingegen im Anhang. Denn dort steht der Katalog der Maßnahmen, den jedes zertifizierte Unternehmen umsetzen muss.

Der Hauptteil der Norm, also die Kapitel 4 bis 10, ändert sich nur leicht. Zudem wurden ein paar Formulierungen geschärft. Die Grundstruktur mit Kontext, Führung, Planung und Betrieb bleibt bestehen. Deshalb müssen Sie Ihr Managementsystem nicht neu erfinden. Die eigentliche Arbeit steckt somit im überarbeiteten Annex A. Genau dort setzen wir bei der Umstellung an.

Warum die Revision nötig war

Die alte Fassung stammte aus 2013. Seitdem hat sich die Bedrohungslage jedoch stark verändert. Zudem sind Cloud-Dienste heute Standard. Angriffe laufen automatisiert und über Lieferketten. Deshalb passt die ISO 27001:2022 den Maßnahmenkatalog an die aktuelle Praxis an. Sie ergänzt Themen, die 2013 noch keine Rolle spielten. Den offiziellen Rahmen finden Sie bei ISO selbst.

Für Betriebe mit bestehendem Zertifikat ist die Umstellung Pflicht. Wer neu einsteigt, arbeitet ohnehin gleich mit der aktuellen Fassung. Dennoch führen beide Wege zum selben Katalog. Wie ein Zertifizierungsprojekt grundsätzlich abläuft, zeigt unser Beitrag zum Ablauf der ISO-27001-Zertifizierung. Die Kostenseite beleuchten wir im Beitrag zu den Kosten einer ISO-27001-Zertifizierung.

Die österreichische Sicht auf den Standard bündelt das ICT-Sicherheitsportal des Bundes. Ein zertifiziertes ISMS nach ISO 27001 ist zudem eine solide Basis für weitere Pflichten. Etwa für NIS2 oder für Anforderungen aus der Lieferkette. Somit zahlt die Umstellung auf mehrere Ziele gleichzeitig ein.

Der neue Annex A mit 93 Controls

Die größte Änderung der ISO 27001:2022 betrifft den Annex A. Dabei schrumpft der Katalog von 114 auf 93 Controls. Zugleich sinkt die Zahl der Gruppen von 14 auf 4. Dabei wurden Maßnahmen zusammengelegt, keine ersatzlos gestrichen. Deshalb wirkt der neue Anhang aufgeräumter. Somit folgt er einer klareren Logik, die sich leichter im Alltag anwenden lässt.

Vier Themengruppen statt vierzehn

Die 93 Controls verteilen sich auf vier Bereiche. Diese neue Ordnung macht Zuständigkeiten sichtbarer. Denn jede Gruppe spricht andere Rollen an. Beispielsweise adressiert die Organisation das Management. Die Technik adressiert hingegen die IT. Somit fällt die Zuweisung im Statement of Applicability leichter.

• Organisatorische Maßnahmen (37 Controls): Richtlinien, Rollen, Lieferkette, Cloud-Nutzung und Vorfallmanagement.
• Personelle Maßnahmen (8 Controls): Sensibilisierung, Schulung, Verantwortlichkeiten und Umgang mit Mitarbeitenden.
• Physische Maßnahmen (14 Controls): Zutritt, Gebäudesicherheit, Verkabelung und Überwachung der Umgebung.
• Technologische Maßnahmen (34 Controls): Zugriffskontrolle, Verschlüsselung, Backups, Protokollierung und sichere Entwicklung.

So lesen sich alt und neu im Vergleich

Ein direkter Vergleich zeigt den Sprung am besten. Die folgende Tabelle stellt die zentralen Merkmale der beiden Fassungen gegenüber. Damit sehen Sie auf einen Blick, was sich bei der Umstellung auf die ISO 27001:2022 ändert.

Die reduzierte Zahl täuscht leicht. Denn weniger Controls bedeuten nicht weniger Arbeit. Vielmehr fassen viele der neuen Maßnahmen alte Punkte zusammen. Ihr Inhalt bleibt dennoch bestehen. Deshalb prüfen wir bei jeder Umstellung, welche alten Controls in welchem neuen aufgehen. Erst danach steht fest, wo wirklich Lücken sind. Das IT-Security-Audit liefert dafür die Bestandsaufnahme.

Ein Blick auf die alten 14 Abschnitte hilft beim Verständnis. Früher lagen etwa Kryptographie und Zugriffskontrolle in getrennten Kapiteln. Heute stehen sie hingegen gemeinsam unter den technologischen Maßnahmen. Ähnlich verhält es sich mit der Organisation. Themen wie Richtlinien, Rollen und Lieferantenbeziehungen bündelt der neue Anhang. Deshalb finden Sie zusammengehörige Punkte nun an einem Ort. Das erleichtert die Pflege der Dokumente spürbar. Und es senkt das Risiko, ein Thema doppelt oder gar nicht zu regeln.

Elf neue Controls im Detail

Die ISO 27001:2022 bringt elf komplett neue Controls mit. Dabei reagieren sie auf Risiken, die 2013 kaum eine Rolle spielten. Dazu zählen die Cloud, automatisierte Angriffe und der Schutz vor Datenabfluss. Deshalb lohnt sich hier ein genauer Blick. Denn genau an diesen elf Punkten entsteht bei der Umstellung der meiste Aufwand.

Die neuen Maßnahmen im Überblick

• Threat Intelligence (A.5.7): Informationen über aktuelle Bedrohungen sammeln und auswerten.
• Cloud-Sicherheit (A.5.23): Vorgaben für die Nutzung von Cloud-Diensten festlegen und überwachen.
• IKT-Bereitschaft für BCM (A.5.30): die IT gezielt auf den Notfall vorbereiten.
• Physische Überwachung (A.7.4): sensible Bereiche technisch beobachten.
• Konfigurationsmanagement (A.8.9): sichere Grundeinstellungen von Systemen festlegen.
• Geregelte Löschung (A.8.10): Daten nachvollziehbar und nachweisbar entfernen.
• Datenmaskierung (A.8.11): sensible Daten für Unbefugte unbrauchbar machen.
• Data Leakage Prevention (A.8.12): den unerlaubten Abfluss von Daten verhindern.
• Aktivitätsüberwachung (A.8.16): ungewöhnliches Verhalten in Systemen erkennen.
• Web-Filterung (A.8.23): den Zugriff auf gefährliche Webseiten einschränken.
• Sichere Entwicklung (A.8.28): Sicherheit fest im Programmieren verankern.

Was das für KMU praktisch heisst

Nicht jede dieser Maßnahmen betrifft jeden Betrieb gleich stark. Beispielsweise braucht ein Handelsunternehmen kaum Regeln zur sicheren Entwicklung. Ein Software-Anbieter hingegen sehr wohl. Deshalb bleibt der risikobasierte Ansatz das Herz der Norm. Sie begründen im Statement of Applicability, welche Controls Sie anwenden. Und welche nicht.

Threat Intelligence klingt zunächst nach Grosskonzern. Dennoch kann die Umsetzung schlank sein. Ein regelmässiger Blick in die Warnungen von ENISA oder dem BSI reicht als Einstieg. Ähnlich pragmatisch geht es bei der Cloud. Wer Microsoft 365 nutzt, prüft die Einstellungen und dokumentiert sie. Somit erfüllt auch ein kleiner Betrieb die neuen Anforderungen der ISO 27001:2022. Bei technischen Maßnahmen wie Data Leakage Prevention hilft die systematische IT-Härtung.

Auch die geregelte Löschung von Informationen ist ein gutes Beispiel. Zudem löschen viele Betriebe Daten längst. Nur fehlt oft die schriftliche Regel dazu. Genau diese Regel verlangt die ISO 27001:2022 nun ausdrücklich. Somit wird aus einer gelebten Praxis ein nachweisbarer Prozess. Ähnlich beim Konfigurationsmanagement. Sichere Grundeinstellungen von Servern und Clients sind zudem heute üblich. Die neue Fassung verlangt jedoch, sie festzuhalten und regelmässig zu prüfen. Deshalb geht es bei der Umstellung oft um Struktur, nicht um Technik. Wer die neuen Controls früh in Rollen und Abläufe einbettet, spart sich spätere Nacharbeit.

Attribute als zweite Sicht auf die Controls

Die ISO 27001:2022 führt ein neues Ordnungssystem ein. Jedes Control im Annex A trägt nun fünf Attribute. Diese Attribute sind somit Etiketten. Sie beschreiben eine Maßnahme aus verschiedenen Blickwinkeln. Damit lässt sich der Katalog filtern und sortieren. Das war in der Fassung von 2013 noch nicht möglich.

Die fünf Attribut-Typen

• Control-Typ: präventiv, aufdeckend oder korrigierend.
• Schutzziel: Vertraulichkeit, Integrität oder Verfügbarkeit.
• Cyber-Sicherheitskonzept: von Identifizieren über Schützen bis Wiederherstellen.
• Operative Fähigkeit: etwa Governance, Asset-Management oder Zugriffssteuerung.
• Sicherheitsbereich: Governance, Schutz, Abwehr oder Resilienz.

Die Attribute sind kein Pflichtteil des Zertifikats. Sie müssen sie folglich nicht anwenden. Dennoch sind sie ein nützliches Werkzeug. Denn sie helfen beim Aufräumen. Wollen Sie alle präventiven Maßnahmen sehen, filtern Sie danach. Somit erkennen Sie Schwerpunkte und Lücken schneller.

Ein Beispiel aus der Praxis

Nehmen wir ein Unternehmen, das seine Erkennungsfähigkeit prüfen will. Es filtert alle Controls mit dem Attribut aufdeckend. Somit erscheint sofort eine Liste. Darunter die Aktivitätsüberwachung und die physische Überwachung. Danach vergleicht der Betrieb Soll und Ist. So wird aus einem langen Katalog eine gezielte Auswahl. Genau diese Sicht nutzen wir gern im internen Audit nach ISO 27001.

Für die tägliche Steuerung bringt das Vorteile. Ein externer CISO kann Berichte nach Attributen gliedern. Die Geschäftsführung sieht somit auf einen Blick, wo Prävention und wo Abwehr steht. Deshalb lohnt es sich, die Attribute von Anfang an mitzuführen. Auch wenn die ISO 27001:2022 sie nicht zwingend verlangt. Der Nutzen für die eigene Übersicht ist es wert.

Auch bei der Priorisierung helfen die Attribute. Wollen Sie zuerst die Wiederherstellung stärken, filtern Sie nach Resilienz. Sofort sehen Sie alle Controls, die dazu beitragen. Danach setzen Sie dort gezielt Ihren Schwerpunkt. Somit wird aus einem starren Katalog ein flexibles Steuerungsinstrument. Kleine Betriebe profitieren davon besonders. Denn ihre Zeit ist knapp. Ein gezielter Blick auf ein Attribut spart Stunden. Wer die Attribute einmal sauber pflegt, hat langfristig weniger Aufwand.

Übergangsfrist und der Weg zur Umstellung

Die Übergangsfrist für die ISO 27001:2022 war klar geregelt. Zertifikate nach der alten Fassung von 2013 mussten bis Ende Oktober 2025 umgestellt sein. Dieser Termin ist inzwischen verstrichen. Deshalb gilt heute für neue und für bestehende Zertifikate die aktuelle Fassung. Wer jetzt zertifiziert, arbeitet ausschliesslich mit dem Katalog von 2022.

Warum der Zeitpunkt trotzdem zählt

Auch nach dem Ende der Frist bleibt die Umstellung ein Thema. Denn viele Betriebe steigen gerade erst in ein ISMS ein. Für sie ist die ISO 27001:2022 der Ausgangspunkt. Andere haben ihr Zertifikat hingegen rechtzeitig migriert und pflegen es nun weiter. In beiden Fällen sind die neuen Controls fest im Alltag verankert. Ein sauberer Aufbau spart dabei viel Nacharbeit, wie unser Beitrag zum ISMS aufbauen in klaren Schritten zeigt.

Die Umstellung in vier Schritten

Ein Umstellungsprojekt folgt einer klaren Reihenfolge. Zunächst vergleichen Sie alten und neuen Annex A. Danach ermitteln Sie den Gap. Anschliessend passen Sie Ihre Dokumente an. Zum Schluss folgt das Audit durch die Zertifizierungsstelle.

• Erstens: das Statement of Applicability auf die 93 Controls umschreiben.
• Zweitens: die elf neuen Controls bewerten und passende Maßnahmen festlegen.
• Drittens: Richtlinien und Nachweise aktualisieren.
• Viertens: die Umstellung im Audit prüfen lassen.

Der Aufwand hängt vom Reifegrad ab. Ein gepflegtes ISMS lässt sich in wenigen Wochen umstellen. Ein vernachlässigtes braucht hingegen länger. Deshalb starten wir immer mit einer Bestandsaufnahme. Somit kennen Sie den Umfang, bevor die Arbeit beginnt. Wo intern die Zeit fehlt, übernimmt ein Virtual CISO die Steuerung. Die Grundlage der Norm erklärt zudem das ICT-Sicherheitsportal.

Der Gap zwischen 2013 und 2022 in der Praxis

Der Gap zwischen alter und neuer Fassung ist meist kleiner als befürchtet. Denn viele der elf neuen Controls setzen Betriebe längst um. Sie haben es jedoch nur nicht dokumentiert. Deshalb geht es bei der Umstellung oft um Nachweise, nicht um neue Technik. Ein bestehendes ISMS deckt die Grundlagen bereits ab.

Wo der Gap wirklich klafft

Echte Lücken tauchen an wenigen Stellen auf. Threat Intelligence fehlt oft als geregelter Prozess. Ebenso die Cloud-Sicherheit als eigenständiges Thema. Auch Data Leakage Prevention ist selten sauber dokumentiert. Genau hier lohnt sich der genaue Blick. Denn ein Auditor prüft diese neuen Punkte gezielt.

Ein Beispiel für eine typische Umstellung

Nehmen wir einen Dienstleister mit 80 Beschäftigten. Er hatte ein Zertifikat nach 2013. Bei der Analyse zeigt sich: Zwölf der neuen Controls waren technisch schon vorhanden. Insbesondere Backups, Zugriffskontrolle und Verschlüsselung liefen sauber. Nur drei Punkte fehlten. Nämlich Threat Intelligence, die Cloud-Richtlinie und die geregelte Löschung. Diese drei Lücken schloss der Betrieb in wenigen Wochen. Danach bestand er das Umstellungsaudit ohne Abweichung.

Dieses Muster wiederholt sich häufig. Die ISO 27001:2022 verlangt selten völlig neue Systeme. Vielmehr verlangt sie klare Regeln und Nachweise. Wer sein ISMS lebt, hat den größten Teil schon getan. Deshalb ist die Umstellung für gepflegte Systeme überschaubar. Für vernachlässigte wird sie zur guten Gelegenheit, Ordnung zu schaffen.

Ein letzter Hinweis zum Gap. Dokumentieren Sie jede Entscheidung nachvollziehbar. Halten Sie fest, warum ein Control gilt oder nicht. Somit erleichtern Sie sich das Audit. Und Sie schaffen eine Grundlage für weitere Anforderungen. Etwa aus NIS2 oder aus Cybersecurity-Anforderungen für KMU. Bei Fragen zur konkreten Umsetzung hilft ein kurzer Blick von aussen. Genau dafür gibt es unsere Beratung zur Informationssicherheit.

Am Ende zählt die gelebte Praxis mehr als das Papier. Ein Zertifikat nach ISO 27001:2022 belegt einen Stand. Die Sicherheit entsteht jedoch im Alltag. Deshalb bindet ein gutes Umstellungsprojekt die neuen Controls fest in Rollen und Abläufe ein. So bleibt die Norm nach dem Audit lebendig. Und der nächste Überwachungsaudit wird zur Routine statt zum Kraftakt.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was ist der wichtigste Unterschied zwischen ISO 27001:2013 und 2022?

Der größte Unterschied liegt im Annex A. Die ISO 27001:2022 kürzt den Katalog von 114 auf 93 Controls. Zudem ordnet sie ihn in vier statt vierzehn Gruppen. Elf Controls sind komplett neu.

Bis wann musste ich auf die ISO 27001:2022 umstellen?

Die Übergangsfrist endete Ende Oktober 2025. Seitdem gilt für neue und bestehende Zertifikate die Fassung von 2022. Zertifikate nach der alten Version von 2013 sind nicht mehr gültig.

Wie viele neue Controls gibt es in der ISO 27001:2022?

Es gibt elf neue Controls. Dazu zählen Threat Intelligence, Cloud-Sicherheit, Data Leakage Prevention und sichere Entwicklung. Sie reagieren auf Risiken, die 2013 noch keine große Rolle spielten.

Muss ich die Attribute im Annex A verpflichtend anwenden?

Nein, die fünf Attribute sind kein Pflichtteil des Zertifikats. Sie sind ein Werkzeug zum Filtern und Sortieren der Controls. Dennoch lohnt sich ihre Nutzung für die eigene Übersicht und das Reporting.

Wie aufwändig ist die Umstellung auf die ISO 27001:2022?

Das hängt vom Reifegrad ab. Ein gepflegtes ISMS lässt sich in wenigen Wochen umstellen. Meist geht es um Nachweise für Themen, die technisch schon vorhanden sind. Eine Bestandsaufnahme zeigt den genauen Umfang.

Deckt ein bestehendes ISMS die neuen Anforderungen ab?

Zu großen Teilen ja. Viele der elf neuen Controls setzen Betriebe längst um. Lücken zeigen sich oft nur bei Threat Intelligence, Cloud-Sicherheit und geregelter Löschung. Genau diese Punkte prüft der Auditor gezielt.

Hilft die ISO 27001:2022 auch bei NIS2?

Ja, ein ISMS nach ISO 27001:2022 ist eine starke Basis für NIS2. Der Standard liefert viele der geforderten Maßnahmen. Dennoch bringt NIS2 eigene Punkte mit, etwa die kurzen Meldefristen bei Vorfällen.

Fazit: Umstellung als Chance nutzen

Die ISO 27001:2022 verändert vor allem den Annex A. Aus 114 Controls werden 93, aus 14 Gruppen werden vier. Elf neue Maßnahmen bringen die Norm auf den Stand der aktuellen Bedrohungslage. Wer sein ISMS pflegt, hat den größten Teil der Arbeit bereits erledigt. Für alle anderen ist die Umstellung eine gute Gelegenheit, Ordnung in die Sicherheit zu bringen.

Die Übergangsfrist ist abgelaufen, doch die Umstellung bleibt aktuell. Ob Neueinstieg oder Migration, der Weg führt über eine ehrliche Bestandsaufnahme. Danach schliessen Sie die wenigen echten Lücken. Somit steht am Ende ein Zertifikat, das zur heutigen Praxis passt. Und ein ISMS, das mehr ist als Papier.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren