ISO 27001:2022 Annex A – die 93 Controls verständlich erklärt

Inhalt in Kürze

• Annex A der ISO 27001:2022 umfasst 93 Controls, gebündelt in vier Themenbereiche statt der früheren 14 Domänen.
• Die vier Kategorien: Organisatorisch (37), Personenbezogen (8), Physisch (14), Technologisch (34).
• 11 Controls sind neu gegenüber der Fassung von 2013, die noch 114 Controls hatte.
• Annex A ist eine Referenzliste, kein Pflichtkatalog: Welche Controls Sie umsetzen, entscheidet Ihre Risikobewertung – dokumentiert im Statement of Applicability.

114 Controls in 14 Domänen – das war die alte ISO 27001 von 2013. Die Version 2022 hat aufgeräumt: 93 Controls, vier klare Kategorien, elf neue Maßnahmen für moderne Bedrohungen. Wer den Aufbau einmal versteht, verliert die Angst vor dem Annex A. Diese Übersicht macht ihn greifbar.

Was ist Annex A der ISO 27001?

Annex A ist der Anhang der ISO/IEC 27001, der die möglichen Sicherheitsmaßnahmen (“Controls”) auflistet. Mit der Revision ISO 27001:2022 wurde dieser Anhang grundlegend umstrukturiert. Die Details zu jedem Control stehen in der Begleitnorm ISO/IEC 27002:2022.

Wichtig zum Verständnis: Annex A ist ein Werkzeugkasten, kein Befehlskatalog. Fachpublikationen formulieren es klar: “Nicht alle 93 Controls müssen umgesetzt werden. Die Auswahl basiert auf der individuellen Risikoanalyse des Unternehmens.” Welche Werkzeuge Sie aus dem Kasten nehmen, entscheidet Ihr Risiko.

Die vier Kategorien im Überblick

Statt der 14 Domänen von 2013 ordnet die Version 2022 alle Controls in vier Themenbereiche – nach der Frage: Wer oder was setzt das Control um?

Diese Vier-Felder-Struktur entspricht auch der gängigen Darstellung: “Es gibt seit 2022 insgesamt 93 Controls, die in vier Kategorien eingeteilt sind. Elf der Controls wurden der ISO 27001:2022 neu hinzugefügt.”

Die 11 neuen Controls von 2022

Die Revision reagiert auf Bedrohungen, die es 2013 so noch nicht gab. Die elf neuen Controls:

• A.5.7 Threat Intelligence. Bedrohungsinformationen systematisch sammeln und auswerten.
• A.5.23 Informationssicherheit für Cloud-Dienste. Sicherheit beim Bezug von Cloud-Services.
• A.5.30 IKT-Bereitschaft für Business Continuity. IT-Notfallfähigkeit für den Geschäftsbetrieb.
• A.7.4 Physische Sicherheitsüberwachung. Überwachung sensibler Bereiche.
• A.8.9 Konfigurationsmanagement. Sichere Soll-Konfigurationen verwalten.
• A.8.10 Löschung von Informationen. Daten sicher und nachweisbar löschen.
• A.8.11 Datenmaskierung. Sensible Daten verschleiern.
• A.8.12 Verhinderung von Datenlecks (DLP). Abfluss von Daten verhindern.
• A.8.16 Überwachungsaktivitäten. Systeme auf Anomalien beobachten.
• A.8.23 Web-Filterung. Zugriff auf schädliche Webseiten einschränken.
• A.8.28 Sichere Programmierung. Secure-Coding-Prinzipien in der Entwicklung.

Diese Liste zeigt die Richtung: Cloud, Datenabfluss und Bedrohungsaufklärung sind die Schwerpunkte der modernen Informationssicherheit.

Viele Unternehmer denken, ich bin doch zu klein für so einen Standard. Aber die 93 Controls sind kein Bürokratie-Monster – sie sind eine Checkliste gesunder Vorsicht. Man muss nur die richtigen davon auswählen.

Nils OehmichenDatenschutzberater bei frag.hugo

Wie wählt man die richtigen Controls aus?

Annex A ist nicht zum Abarbeiten gedacht. Der Weg führt über die Risikobewertung:

1. Werte identifizieren: Welche Informationen und Systeme sind schützenswert?
2. Risiken bewerten: Welche Bedrohungen treffen diese Werte mit welcher Wahrscheinlichkeit?
3. Controls zuordnen: Welche der 93 Maßnahmen mindern genau diese Risiken?
4. Im SoA dokumentieren: Anwendbarkeit und Begründung pro Control festhalten.

Das Ergebnis dieser Auswahl landet im Statement of Applicability – dem Pflichtdokument, das jedes Control mit Ja/Nein und Begründung abdeckt. Für die ergänzenden Attribute (Steuerungstyp, Schutzziele, Sicherheitsdomänen) liefert die ISO 27002:2022 laut TÜV SÜD zusätzliche Filtermöglichkeiten.

Ihr nächster Schritt

Die 93 Controls richtig auf Ihr Risiko zuzuschneiden, ist die eigentliche Kunst der ISO 27001. Wir machen das pragmatisch mit Ihnen – ohne Sie in Bürokratie zu ersticken.

Wo der Unterschied zu gesetzlichen Pflichten liegt, lesen Sie in unserem Vergleich NIS2 vs. ISO 27001. Den Gesamtaufbau Ihres Managementsystems unterstützt Hugo ISMS.

Häufige Fragen (FAQ)

Wie viele Controls hat die ISO 27001:2022?

Annex A der ISO 27001:2022 enthält 93 Controls. Sie sind in vier Themenbereiche gegliedert: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Controls.

Wie viele Controls sind in der Version 2022 neu?

Elf Controls wurden 2022 neu aufgenommen, darunter Threat Intelligence, Cloud-Sicherheit, Datenmaskierung und sichere Programmierung. Die Vorgängerfassung von 2013 hatte noch 114 Controls in 14 Domänen.

Muss ich alle 93 Controls umsetzen?

Nein. Annex A ist eine Referenzliste, kein Pflichtkatalog. Welche Controls Sie umsetzen, ergibt sich aus Ihrer individuellen Risikobewertung. Ausschlüsse müssen Sie im Statement of Applicability begründen.

Was ist der Unterschied zwischen ISO 27001 und ISO 27002?

ISO 27001 ist die zertifizierbare Norm mit den Anforderungen an das Managementsystem und der Control-Liste in Annex A. ISO 27002 ist die Begleitnorm, die jedes Control ausführlich beschreibt und Umsetzungshinweise gibt.

Was sind die vier Kategorien in Annex A?

Die vier Kategorien sind: Organisatorisch (A.5, 37 Controls), Personenbezogen (A.6, 8 Controls), Physisch (A.7, 14 Controls) und Technologisch (A.8, 34 Controls). Sie ordnen die Controls danach, wer oder was sie umsetzt.