ISO/IEC 27001:2022 Zertifizierung: der Fahrplan von der Gap‑Analyse zum Audit
Die Schritte zur ISO 27001 aus Sicht eines Lead Auditors – mit den häufigsten Fehlern und den Stellen, auf die Auditoren zuerst schauen.
Veröffentlicht: · 2 Min. Lesezeit · HilfeX Security‑Team
- ISO/IEC 27001:2022 Anhang A umfasst 93 Controls in vier Themen: organisatorisch, personell, physisch, technologisch.
- Herzstück sind Risikobewertung und Erklärung zur Anwendbarkeit.
- Das Zertifizierungsaudit hat zwei Stufen; danach folgen jährliche Überwachungsaudits.
ISO/IEC 27001 legt die Anforderungen an ein Informationssicherheits‑Managementsystem (ISMS) fest. Das Zertifikat zeigt Kunden und Partnern, dass Sie Informationssicherheit systematisch steuern. Die Übergangsfrist von der Version 2013 zur Version 2022 endete am 31. Oktober 2025; neue Zertifizierungen erfolgen nach der Version 2022.
Der Fahrplan
- Gap‑Analyse: Wo stehen Sie gegenüber der Norm? Daraus ergeben sich realistischer Zeitplan und Budget.
- Geltungsbereich und Kontext: Welche Standorte, Prozesse und Systeme? Welche Erwartungen haben interessierte Parteien?
- Risikobewertung und -behandlung: Risiken über Assets, Bedrohungen und Schwachstellen ermitteln, Behandlungsplan nach Akzeptanzkriterien.
- Erklärung zur Anwendbarkeit (SoA): Für alle 93 Controls dokumentieren, ob und warum sie angewendet werden.
- Umsetzung: Richtlinien, Verfahren, technische Maßnahmen und Awareness‑Schulungen.
- Internes Audit und Managementbewertung: Wirksamkeit selbst prüfen und Entscheidungen der Leitung dokumentieren.
- Zertifizierungsaudit: Stufe 1 prüft Dokumentation und Bereitschaft, Stufe 2 die wirksame Umsetzung.
Anhang A in der Version 2022
Die Controls sind in vier Themen gegliedert: organisatorisch (37), personell (8), physisch (14) und technologisch (34). Neu sind unter anderem Threat Intelligence, Sicherheit von Cloud‑Diensten, Datenmaskierung und sichere Programmierung.
Häufige Fehler
- Vorlagen‑Richtlinien ohne Anpassung an das Unternehmen.
- Risikobewertung einmal erstellt und nie aktualisiert.
- Awareness‑Schulungen ohne Nachweis (Teilnahme, Ergebnisse).
- Lieferantensicherheit nur im Vertrag geregelt.
Nach dem Zertifikat
Das Zertifikat gilt in der Regel drei Jahre mit jährlichen Überwachungsaudits; danach folgt die Rezertifizierung. Halten Sie das ISMS mit regelmäßigen internen Audits und Risikobewertungen lebendig.
Das HilfeX‑Team begleitet Sie mit Lead‑Auditor‑Erfahrung für ISO 27001 und ISO 22301; IQ Portal hält Awareness- und Lieferantennachweise auditfähig bereit.
Häufige Fragen
Wie lange dauert eine ISO‑27001‑Zertifizierung?
Abhängig von Reifegrad und Geltungsbereich; im Mittelstand meist einige Monate bis zu einem Jahr Vorbereitung.
Müssen alle Anhang‑A‑Controls umgesetzt werden?
Nein. Umgesetzt wird, was die Risikobewertung erfordert; Ausschlüsse werden in der Erklärung zur Anwendbarkeit begründet.
Ist ISO 27001 gleich DSGVO‑Konformität?
Nein, aber sie überschneiden sich stark. Ein gutes ISMS erleichtert die Erfüllung der Sicherheitsanforderungen der DSGVO erheblich.
