Die Norm ISO 27001 wurde 2022 aktualisiert. Die wichtigste Änderung betrifft den Anhang A, der von 114 auf 93 Controls reduziert wurde, neu gruppiert in vier Bereichen.
Warum es eine neue Version von ISO 27001 gibt
Die vorherige Version, ISO/IEC 27001:2013, war fast ein Jahrzehnt lang in Kraft. In dieser Zeit veränderte sich die Landschaft der Informationssicherheit stark: die massive Einführung von Cloud-Diensten, Remote-Arbeit, gezielte Bedrohungen und der regulatorische Druck führten dazu, dass manche Controls zu kurz griffen oder unpraktisch verteilt waren.
Deshalb wurde ISO/IEC 27001:2022 veröffentlicht. Es handelt sich nicht um eine völlig andere Norm: Der Kern des Informationssicherheits-Managementsystems (die Klauseln 4 bis 10, zu Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung) bleibt praktisch unverändert, mit kleineren redaktionellen Anpassungen. Die grundlegende Änderung betrifft den Anhang A, der an die neue Ausgabe der Controls angeglichen wird, die in ISO/IEC 27002:2022 veröffentlicht wurde.
Aus meiner Erfahrung bei der Begleitung von Unternehmen in diesen Prozessen lohnt es sich, es so zu verstehen: Die Struktur des Managementsystems bleibt dieselbe, neu geordnet und modernisiert wird der Katalog der Controls, die Sie zur Behandlung Ihrer Risiken anwenden.
Was sich zwischen ISO 27001:2013 und 2022 ändert
Die sichtbarste Änderung, die die meiste Arbeit erzeugt, ist die Neuordnung des Anhangs A. Wo es vorher 114 Controls verteilt auf 14 Bereiche gab, gibt es jetzt 93 Controls, gruppiert in vier großen Themenbereichen. Das heißt nicht, dass plötzlich 21 Controls gestrichen wurden: Viele wurden zusammengeführt oder konsolidiert, andere neu formuliert, und es kamen 11 Controls hinzu, die vorher nicht als solche existierten.
Das sind die vier Gruppen, in die der Anhang A jetzt gegliedert ist:
| Control-Gruppe | Schwerpunkt | Anzahl Controls |
|---|---|---|
| Organisatorisch | Richtlinien, Rollen, Lieferantenmanagement, Incident-Management, Kontinuität | 37 |
| Personenbezogen | Sensibilisierung, Verantwortlichkeiten, Telearbeit, Vertraulichkeitsvereinbarungen | 8 |
| Physisch | Sicherheit von Einrichtungen, Geräten, Datenträgern und Sicherheitsbereichen | 14 |
| Technologisch | Zugriffskontrolle, Kryptografie, Protokollierung, sichere Entwicklung, Konfiguration | 34 |
Zusätzlich zur neuen Gruppierung enthält jedes Control der Version 2022 Attribute (zum Beispiel Control-Typ, Sicherheitseigenschaften, Cybersicherheitskonzepte oder operative Fähigkeiten), die bei der Filterung und Klassifizierung helfen. Das ist eine praktische Hilfe, keine verpflichtende Anforderung.
Die 11 neuen Controls
Was Sie wirklich dazu zwingt, Ihr System zu überprüfen, sind die hinzugefügten Controls, denn sie spiegeln Risiken wider, die 2013 kaum berücksichtigt wurden. Dazu gehören Threat Intelligence, Informationssicherheit bei der Nutzung von Cloud-Diensten, IKT-Bereitschaft für die Geschäftskontinuität, Überwachung der physischen Sicherheit, Konfigurationsmanagement, Löschen von Informationen, Datenmaskierung, Verhinderung von Datenlecks (DLP), Überwachung von Aktivitäten, Web-Filterung und sichere Programmierung.
Jedes dieser neuen Controls kann Dokumentation, Verfahren oder Werkzeuge erfordern, die Ihre Organisation möglicherweise noch nicht formalisiert hatte. Deshalb ist der Übergang nicht nur ein Etikettenwechsel: Es ist eine Gelegenheit, wirklich zu überprüfen, wie Sie Sicherheit managen.
Die Übergangsfrist von ISO 27001:2013 zu 2022
Hier liegt der Teil, der die meisten Fragen aufwirft. Wenn eine neue Version einer zertifizierbaren Norm veröffentlicht wird, legt der IAF (das internationale Forum, das die Akkreditierungsstellen koordiniert) eine Übergangsfrist fest, damit bereits zertifizierte Organisationen ihr Zertifikat geordnet migrieren können.
Für ISO/IEC 27001:2022 legte der IAF eine Übergangsfrist von drei Jahren ab der Veröffentlichung der Norm fest. Diese Frist ist bereits abgelaufen. Das heißt, Organisationen, die ein Zertifikat nach der Version 2013 hatten, mussten ihr Übergangsaudit innerhalb dieses Zeitfensters abschließen.
Da die genauen Abschlussdaten, mögliche Ausnahmeverlängerungen und Auditkalender je nach Stelle und Fall variieren können, ist meine Empfehlung eindeutig: Klären Sie die aktuell geltende Frist und den tatsächlichen Status Ihres Zertifikats mit Ihrer Zertifizierungsstelle. Sie ist die einzige Quelle, die Ihnen den genauen Zustand Ihres Zertifikats liefert, ohne Vermutungen. Und wenn Sie noch nicht zertifiziert sind und jetzt anfangen, tun Sie das direkt nach der Version 2022, sodass diese Frage Sie nicht betrifft.
Schritte für den Übergang
Wenn Ihr System noch nach der Version 2013 dokumentiert ist, ist der Weg zur Migration recht vorhersehbar. Das sind die Schritte, die ich bei der Begleitung eines Übergangs verfolge:
- Differenzanalyse (Gap Analysis). Sie vergleichen Ihr aktuelles System Control für Control mit den Anforderungen der Version 2022. Sie erkennen, was erhalten bleibt, was zusammengeführt wurde, was neu geschrieben werden muss und welche neuen Controls für Sie gelten.
- Die Risikoanalyse aktualisieren. Sie überprüfen Ihre Risikobewertung und -behandlung im Licht der neuen Controls und aktueller Bedrohungen (Cloud, Datenlecks, gezielte Angriffe).
- Die Erklärung zur Anwendbarkeit (SoA) aktualisieren. Das ist das Schlüsseldokument des Übergangs. Sie müssen es auf Basis der 93 Controls der Version 2022 neu erstellen und begründen, welche Sie anwenden, welche Sie ausschließen und warum.
- Die neuen Controls implementieren. Sie setzen Verfahren, Richtlinien oder Werkzeuge für die Controls in Kraft, die Sie vorher nicht formalisiert hatten, je nachdem, was für Ihre Organisation zutrifft.
- Die Dokumentation aktualisieren und das Team schulen. Sie passen Richtlinien, Verfahren und Aufzeichnungen an und stellen sicher, dass die beteiligten Personen die Änderungen kennen.
- Internes Audit. Vor dem Besuch der Zertifizierungsstelle lohnt sich ein internes ISO-Audit, um Abweichungen zu erkennen und rechtzeitig zu korrigieren.
- Übergangsaudit. Ihre Zertifizierungsstelle führt das Audit durch, das prüft, ob Ihr System die Version 2022 erfüllt. Es kann mit einem Überwachungs- oder Rezertifizierungsaudit zusammenfallen, je nach Ihrem Zyklus.
Wenn Sie Unterstützung benötigen, um diesen Prozess zu ordnen, helfen wir Ihnen im Rahmen der ISO-Beratung, den Übergang zu planen und die Dokumentation vorzubereiten, ohne dass das Tagesgeschäft des Unternehmens darunter leidet.
Was passiert, wenn Sie nicht rechtzeitig migrieren
Das ist die Konsequenz, die Sie unbedingt im Blick haben sollten: Wenn die Übergangsfrist endet und Sie nicht migriert haben, verliert Ihr Zertifikat nach der Version 2013 seine Gültigkeit. Es wird nicht automatisch zu 2022 oder verlängert sich von selbst.
In der Praxis kann der Verlust der Gültigkeit des Zertifikats Ihren Ruf, Ausschreibungen, bei denen ein gültiges Zertifikat verlangt wird, und Kundenverträge betreffen, die es als Anforderung enthalten. Es zurückzuerlangen bedeutet meist, den Zertifizierungsprozess erneut zu durchlaufen, mit den entsprechenden Kosten und Fristen. Wenn Sie also irgendwelche Zweifel am Status Ihres Zertifikats haben, sollten Sie so schnell wie möglich mit Ihrer Zertifizierungsstelle sprechen.
Empfehlungen für einen Übergang ohne Überraschungen
Von allem, was ich in diesen Prozessen gesehen habe, sind das die Empfehlungen mit dem größten Mehrwert:
- Verschieben Sie es nicht auf den letzten Moment. Der Übergang gelingt am besten mit Vorlauf, indem Sie ihn in ein bereits geplantes Überwachungs- oder Rezertifizierungsaudit integrieren.
- Beginnen Sie mit der Differenzanalyse. Sie gibt Ihnen ein realistisches Bild des Aufwands und verhindert Überraschungen bei den neuen Controls.
- Kümmern Sie sich sorgfältig um die Erklärung zur Anwendbarkeit. Sie ist das Dokument, das die Reife Ihres Systems am besten widerspiegelt und das der Auditor am genauesten prüft.
- Wählen Sie Ihren Auditor sorgfältig. Arbeiten Sie mit einer von ENAC akkreditierten Zertifizierungsstelle, damit Ihr Zertifikat echte Anerkennung hat.
- Kalkulieren Sie realistisch. Wenn Sie sich fragen, wie viel eine ISO-27001-Zertifizierung kostet oder ein Übergang kostet, berücksichtigen Sie interne Stunden, mögliche Werkzeuge und das Audit selbst.
Fazit
Der Übergang von ISO 27001:2013 zu 2022 ist nicht nur eine Datumsänderung auf dem Zertifikat: Es ist eine gründliche Überarbeitung des Anhangs A, mit 93 Controls, neu geordnet in vier Gruppen, und 11 neuen Controls, die aktuelle Risiken widerspiegeln. Die vom IAF festgelegte Übergangsfrist betrug drei Jahre ab der Veröffentlichung und ist bereits abgelaufen. Am sinnvollsten ist es daher, den tatsächlichen Status Ihres Zertifikats mit Ihrer Zertifizierungsstelle zu überprüfen und, falls nötig, die Migration so schnell wie möglich zu planen. Mit Methode vorzugehen (Gap-Analyse, Risiken, SoA, neue Controls und Audit) macht aus einer Pflicht eine echte Verbesserung Ihrer Sicherheit.
Wenn Sie gemeinsam mit mir prüfen möchten, an welchem Punkt Ihr System steht und wie Sie den Übergang angehen, ohne Ihren Betrieb auszubremsen, schreiben Sie mir, und wir sehen es uns an.