ISO 27001:2022: Was sich geändert hat, und was Auditoren jetzt prüfen

ISO/IEC 27001:2022 wurde im Oktober 2022 veröffentlicht, und die Übergangsfrist für Zertifikate nach der Ausgabe 2013 endete am 31. Oktober 2025. Jedes Zertifikat, das jetzt im Umlauf ist, lautet auf die Ausgabe 2022, oder sollte es, und jedes Audit prüft dagegen. Wenn Ihre Dokumentation noch von 14 Bereichen und 114 Maßnahmen spricht, merkt ein Auditor das auf Seite eins.

Die Kapitel zum Managementsystem (4 bis 10) haben sich nur leicht geändert. Die eigentliche Änderung steckt in Anhang A, der neu aufgebaut wurde, um zur neuen ISO/IEC 27002:2022 zu passen.

Der neue Aufbau von Anhang A

Die Ausgabe 2013 ordnete 114 Maßnahmen in 14 Bereiche. Die Ausgabe 2022 ordnet 93 Maßnahmen in vier Themen:

• Organisatorische Maßnahmen (37): Richtlinien, Rollen, Asset-Management, Zugriffssteuerung, Lieferantenbeziehungen, Vorfallmanagement, Geschäftskontinuität, Recht und Compliance.
• Personenbezogene Maßnahmen (8): Überprüfung, Arbeitsbedingungen, Bewusstsein und Schulung, Disziplinarverfahren, mobiles Arbeiten, Melden von Ereignissen.
• Physische Maßnahmen (14): Sicherheitsbereiche, Zutritt, Schutz vor Umweltbedrohungen, Geräte, aufgeräumter Arbeitsplatz, sichere Entsorgung.
• Technische Maßnahmen (34): Endgeräte, privilegierte Zugriffe, Authentifizierung, Schutz vor Schadsoftware, Protokollierung, Backup, Netzwerksicherheit, sichere Entwicklung und die neuen Maßnahmen unten.

Der Rückgang von 114 auf 93 kam durch das Zusammenführen sich überschneidender Maßnahmen zustande, nicht durch das Streichen von Anforderungen. 24 Maßnahmen wurden zusammengelegt, 58 mit angepasster Formulierung übernommen, und elf sind neu.

Die elf neuen Maßnahmen

Hier konzentrieren sich Auditoren, weil ein System aus der 2013er-Zeit genau diese nicht behandelt hat:

1. Bedrohungsinformationen (5.7): Informationen über Bedrohungen sammeln, auswerten und in Risikoentscheidungen einfließen lassen. Auditoren wollen eine Quelle, einen Rhythmus und Belege, dass sich dadurch etwas geändert hat.
2. Informationssicherheit bei der Nutzung von Cloud-Diensten (5.23): ein Prozess für Beschaffung, Nutzung, Verwaltung und Beendigung von Cloud-Diensten, mit vorab festgelegten Sicherheitsanforderungen.
3. IKT-Bereitschaft für die Geschäftskontinuität (5.30): IKT-Kontinuität geplant und gegen die Kontinuitätsziele der Organisation getestet, was Sicherheit mit dem größeren Kontinuitätsprogramm verbindet.
4. Physische Sicherheitsüberwachung (7.4): Räumlichkeiten werden auf unbefugten Zutritt überwacht, für die meisten Organisationen Alarme, Kameras oder Wachdienst, angemessen zum Standort.
5. Konfigurationsmanagement (8.9): sichere Basiskonfigurationen definiert, dokumentiert, angewendet und überwacht für Hardware, Software, Dienste und Netzwerke.
6. Löschung von Informationen (8.10): Informationen löschen, wenn sie nicht mehr benötigt werden, auch in Systemen und Diensten, die andere betreiben.
7. Datenmaskierung (8.11): Maskierung oder Pseudonymisierung, wo Richtlinie oder Recht es verlangen, mit festgelegter Technik und Reichweite.
8. Verhinderung von Datenlecks (8.12): Maßnahmen für Systeme, Netzwerke und Geräte, die sensible Informationen verarbeiten oder speichern.
9. Überwachungstätigkeiten (8.16): Netzwerke, Systeme und Anwendungen werden auf auffälliges Verhalten überwacht, und die Auffälligkeiten werden bewertet.
10. Webfilterung (8.23): Der Zugriff auf externe Websites wird gesteuert, um die Gefahr durch schädliche Inhalte zu verringern.
11. Sichere Programmierung (8.28): Grundsätze sicherer Programmierung in der Softwareentwicklung angewendet.

Nichts davon überrascht eine reife Sicherheitsfunktion. Was Organisationen überrascht, ist die Nachweispflicht. „Wir haben EDR“ ist kein Nachweis für 8.16, solange niemand die Alarme, die Bewertung und die Ergebnisse zeigen kann. „Wir nutzen einen Cloud-Anbieter“ ist nicht 5.23, solange die Anforderungen nicht vor dem Vertrag festgelegt wurden und überprüft werden.

Attribute: die neue Art, Maßnahmen zu sortieren

27002:2022 hängt jeder Maßnahme fünf Attributgruppen an: Art der Maßnahme (präventiv, detektiv, korrektiv), Sicherheitsziel (Vertraulichkeit, Integrität, Verfügbarkeit), Cybersicherheitskonzept (Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen), operative Fähigkeit und Sicherheitsdomäne. Sie sind keine Anforderungen, und ein Auditor prüft sie nicht, aber sie erlauben, denselben Maßnahmensatz durch die Brille zu zeigen, die ein Kunde oder eine Behörde haben will, etwa gemappt auf die Funktionen des NIST CSF. Organisationen, die viele Frameworks verwalten, finden es lohnend, sie ins Maßnahmenregister zu übernehmen.

Die Änderungen am Managementsystem

Die Kapiteländerungen sind bescheiden, aber jede ist eine Frage, die ein Auditor jetzt stellt:

• 4.2: Die Anforderungen der interessierten Parteien müssen ermittelt werden, und die Organisation muss entscheiden, welche davon über das ISMS behandelt werden.
• 4.4: Das ISMS muss die benötigten Prozesse und ihre Wechselwirkungen umfassen, in der Praxis also eine Prozesslandkarte oder Ähnliches.
• 6.2: Ziele müssen überwacht werden und als dokumentierte Information vorliegen.
• 6.3: Änderungen am ISMS müssen geplant werden. Das ist als ausdrückliches Kapitel neu, und Auditoren fragen nach der Aufzeichnung der Änderungsplanung.
• 8.1: Die Formulierung zu ausgelagerten Prozessen deckt jetzt extern bereitgestellte Prozesse, Produkte und Dienstleistungen ab, passend zu den Lieferantenmaßnahmen.
• 9.3: Die Managementbewertung muss Änderungen bei den Bedürfnissen und Erwartungen interessierter Parteien berücksichtigen.

Eine Änderung von 2024 hat die Anforderung ergänzt, in Kapitel 4.1 zu prüfen, ob der Klimawandel ein relevantes Thema ist, und in 4.2, ob interessierte Parteien klimabezogene Anforderungen haben. Sie gilt für alle ISO-Managementsystem-Normen. Erwartet wird eine dokumentierte Abwägung, auch wenn das Ergebnis lautet, dass es nicht relevant ist.

Wie ein aktuelles Audit aussieht

Stufe 1 prüft, dass die Erklärung zur Anwendbarkeit auf den 93 Maßnahmen beruht, dass der Risikobehandlungsplan auf sie verweist und dass die neuen Maßnahmen entweder angewendet oder als nicht anwendbar begründet sind. Stufe 2 und die Überwachungsaudits ziehen dann Stichproben. Bei einem 2022er-System im ersten oder zweiten Zyklus ist damit zu rechnen, dass die Stichproben die neuen Maßnahmen und die geänderten Kapitel schwerpunktmäßig treffen, weil der Auditor dort Lücken erwartet.

Wer spät oder mit leichter Hand umgestellt hat, riskiert nicht das Zertifikat; er riskiert das Überwachungsaudit, das feststellt, dass die neuen Maßnahmen als anwendbar erklärt und nie betrieben wurden. Geringfügige Nichtkonformitäten sind im ersten Überwachungszyklus nach der Umstellung üblich. Wesentliche entstehen, wenn Erklärung zur Anwendbarkeit und Wirklichkeit bei etwas auseinanderliegen, das der Auditor als grundlegend ansieht, etwa Überwachung oder Backup.

Die nützliche Vorbereitung ist ein Durchgang durch die elf neuen Maßnahmen, Maßnahme für Maßnahme, mit der Person, die jede davon tatsächlich verantwortet, und zwei Fragen: Was tun wir, und wo ist die Aufzeichnung. Wo die zweite Antwort ein Schulterzucken ist, haben Sie Ihre Lücke gefunden, bevor der Auditor es tut.