ISO 27001:2022 Anhang A Controls umsetzen – normative Anforderungen im Audit

Die ISO 27001:2022 ist seit dem 25. Oktober 2025 vollständig verbindlich. Zertifizierungsstellen wie DQS, TÜV Süd oder Quality Austria bewerten seither nicht mehr nur die formale Vorlage von Richtlinien, sondern die operative Wirksamkeit der 93 Controls aus Anhang A. Unternehmen, die noch auf Strukturen der 2013er-Version setzen, riskieren Abweichungen vom Typ "Major" – insbesondere bei der Informationsklassifizierung, der sicheren Löschung und der Steuerung von Lieferantenbeziehungen. Der folgende Überblick fasst die normativen Anforderungen zusammen, die im Audit zwingend nachgewiesen werden müssen.

Pflichtdokumentation nach Kapitel 7.5 und Anhang A

Kapitel 7.5.2 fordert dokumentierte Information, die durch die Norm selbst verlangt wird, sowie solche, die die Organisation für notwendig erachtet. Für jeden der 93 Controls muss mindestens ein Nachweis existieren, der Zweck, Verantwortlichkeit und Prüfintervall beschreibt. Fehlt dieser Nachweis, bewertet der Auditor dies als Nichtkonformität nach Kapitel 10.1. Die Beweislast liegt beim Zertifikatsinhaber; bloße mündliche Erklärungen genügen nicht.

Control 5.12 – Klassifizierung von Informationen

ISO 27001 2022 Control 5.12 Klassifizierung Beispiel: Die Norm verlangt ein Klassifizierungsschema mit mindestens drei Stufen (z. B. öffentlich, intern, vertraulich, streng vertraulich). Jede Informationsressource – Dokumente, Systeme, Datensätze – muss einer Stufe zugeordnet sein. Der Zugriffsschutz (Control 5.15) und die Übertragungssicherheit (Control 8.10) richten sich nach dieser Einstufung. Im Audit werden Stichproben gezogen: mindestens 10 % der kritischen Assets müssen eine aktuelle Klassifizierung mit Eigentümer, Schutzdauer und Löschfrist aufweisen. Fehlt die Zuordnung, gilt das Control als nicht wirksam implementiert.

Control 8.10 – Informationslöschung

ISO 27001 Anhang A 8.10 Informationslöschung Nachweis: Die Organisation muss ein Verfahren definieren, das die unwiderrufliche Löschung von Daten auf allen Speichermedien sicherstellt. Für magnetische Medien gilt mindestens ein 3-faches Überschreiben nach BSI TR-03138 oder physische Zerstörung (Schredderklasse DIN 66399 Sicherheitsstufe 3 für Datenträger). Für Cloud-Dienste ist der Löschnachweis des Providers (z. B. AWS Nitro Secure Wipe, Azure Secure Delete) als vertragliche Zusicherung (DPA, Anhang 28 DSGVO) vorzuhalten. Auditoren prüfen Protokolle der letzten 12 Monate; Lücken führen zu Abweichungen.

Lieferantenbeziehungen – Control 5.19, 5.20, 5.21

Die Steuerung der Lieferkette ist in drei Controls aufgeteilt:

1. 5.19 Lieferantenrichtlinie – Muss Kriterien für Auswahl, Überwachung und Beendigung enthalten. Schwellenwert: Alle Lieferanten mit Zugriff auf klassifizierte Informationen (ab Stufe "intern") fallen in den Geltungsbereich.
2. 5.20 Behandlung von Lieferantenrisiken – Risikobewertung vor Vertragsabschluss, jährlich erneut. Mindestinhalt: Schutzbedarf, Compliance-Status, Subunternehmerkette.
3. 5.21 Management von Lieferantenleistungen – Vertragliche Regelungen zu Informationssicherheit, Kündigungsfristen, Rückgabe/Löschung von Daten bei Beendigung. Nachweis: Unterzeichnete DVAs, aktuelle ISO-27001-Zertifikate der Lieferanten oder gleichwertige Auditreports (SOC 2 Type II, TISAX AL3).

Zugriffskontrolle und Authentifizierung – Control 5.15, 5.16, 5.17

Die Norm fordert rollenbasierte Zugriffsvergabe (RBAC) mit dem Prinzip "Least Privilege". Für privilegierte Accounts (Admin, Root, Service-Accounts) ist Mehrfaktor-Authentifizierung (MFA) verbindlich – keine Ausnahmen. Passwortrichtlinien: mindestens 12 Zeichen, Komplexität, maximale Lebensdauer 90 Tage, Sperre nach 5 Fehlversuchen. Protokollierung aller Anmeldungen (erfolgreich/fehlgeschlagen) für mindestens 12 Monate, unveränderbar gespeichert (WORM). Im Audit werden Access-Reviews der letzten zwei Quartale verlangt; Abweichungen > 5 % der Accounts gelten als systematisch.

Incident Management – Control 5.24 bis 5.28

Meldepflichtige Vorfälle sind innerhalb von 24 Stunden nach Erkennung zu erfassen, innerhalb von 72 Stunden an die Aufsichtsbehörde (DSGVO Art. 33) und betroffene Personen (Art. 34) zu melden, sofern hohes Risiko besteht. Das ISMS muss ein Eskalationsschema mit definierten Schwellenwerten (CVSS ≥ 7,0 = High, ≥ 9,0 = Critical) enthalten. Nachweis: Incident-Register mit Zeitstempeln, Root-Cause-Analysen, Wirksamkeitsprüfung der Gegenmaßnahmen nach 30 Tagen. Fehlende Dokumentation einer einzigen Critical-Lücke führt zur Major-Abweichung.

Business Continuity – Control 5.29, 5.30, 8.14

Wiederanlaufzeiten (RTO) und Datenverlusttoleranzen (RPO) müssen für alle kritischen Prozesse definiert und getestet sein. Mindesttestfrequenz: jährlich ein Planspiel, alle zwei Jahre ein technischer Failover-Test mit Messung der tatsächlichen RTO/RPO. Abweichung > 20 % vom Sollwert erfordert Korrekturmaßnahme mit Nachweis innerhalb von 90 Tagen. Die Ergebnisse fließen in den Management Review (Kapitel 9.3) ein.

Auditfeststellungen vermeiden – operative Reife nachweisen

ISO 27001 Übergang 2025 Auditfeststellungen vermeiden: Auditoren bewerten seit Oktober 2025 die Reifegradstufe (CMMI-ähnlich: Initial, Managed, Defined, Quantitatively Managed, Optimizing). Stufe 2 (Managed) ist Mindestanforderung für alle Controls. Das bedeutet: Prozesse sind dokumentiert, Verantwortliche benannt, Kennzahlen definiert, regelmäßige Überwachung erfolgt. Wer nur Richtlinien vorlegt (Stufe 1), erhält Abweichungen. Empfehlung: Internes Audit vor dem Überwachungsaudit mit Fokus auf Wirksamkeitsnachweise – nicht auf Dokumentenvollständigkeit.

Zusammenfassende Prüfmatrix für das Überwachungsaudit

Control	Nachweis	Prüftiefe Auditor
5.12	Klassifizierungsregister, Owner-Zuordnung, Stichprobe 10 %	Inhaltlich, aktuell, konsistent mit 5.15/8.10
8.10	Löschprotokolle, Provider-Zusicherungen, Vernichtungsnachweise	Vollständigkeit 12 Monate, Methode normkonform
5.19–5.21	Lieferantenregister, Risikobewertungen, DVAs, Zertifikate	Aktualität, Subunternehmer-Kette, Beendigungsregelung
5.15–5.17	RBAC-Matrix, MFA-Konfiguration, Access-Review-Protokolle	Abweichungsquote ≤ 5 %, Protokollierung 12 Monate
5.24–5.28	Incident-Register, Meldungsnachweise, RCA, Wirksamkeitsprüfung	Zeitvorgaben eingehalten, Critical-Lücken dokumentiert
5.29–5.30, 8.14	RTO/RPO-Definitionen, Testergebnisse, Abweichungsanalysen	Testfrequenz, Messwerte, Korrekturmaßnahmen fristgerecht

Fazit für die Praxis

Die normative Hürde hat sich verschoben: Von "Dokumentation vorhanden" zu "Wirksamkeit messbar". Organisationen, die ihre Controls mit Kennzahlen (KPIs), automatisierten Protokollen und regelmäßigen internen Wirksamkeitsprüfungen unterlegen, bestehen das Überwachungsaudit ohne Major-Abweichungen. Der Schlüssel liegt in der durchgängigen Nachweiskette – von der Klassifizierung über den Zugriff bis zur Löschung und Lieferantensteuerung –, die jederzeit auditorisch nachvollziehbar ist.