Kurz gesagt: Mit ISO/IEC 27001:2022 und ISO/IEC 27002:2022 hat sich vor allem der Maßnahmenkatalog geändert. Anhang A schrumpft von 114 auf 93 Maßnahmen, statt 14 Abschnitten gibt es vier Themen, elf Maßnahmen sind neu. Der Hauptteil, also die Pflichtkapitel 4 bis 10, wurde an wenigen Stellen geschärft. Die Übergangsfrist für Zertifikate nach der Fassung 2013 endete am 31.10.2025. Wer sein Informationssicherheits-Managementsystem (ISMS) betreibt, muss heute nach der neuen Fassung arbeiten, und wer schult, sollte die Inhalte darauf ausrichten.

Zwei Normen, zwei Rollen

ISO/IEC 27001 legt fest, was ein ISMS leisten muss, also die festen Rollen, Regeln und Abläufe, mit denen eine Organisation ihre Informationsrisiken steuert. Nach dieser Norm wird zertifiziert. ISO/IEC 27002 ist ein Leitfaden: Sie beschreibt jede Maßnahme aus Anhang A mit Zweck und Umsetzungshinweisen. Nach 27002 wird nicht zertifiziert, sie hilft bei der Umsetzung.

Die Fassung 2022 von ISO/IEC 27002 erschien zuerst, im Oktober 2022 folgte ISO/IEC 27001:2022 mit dem angepassten Anhang A. Beide tragen seitdem den Obertitel „Information security, cybersecurity and privacy protection“. Inhaltlich hängen sie eng zusammen: Anhang A der 27001 übernimmt die Maßnahmentitel aus der 27002.

Anhang A: 93 Maßnahmen in vier Themen

Die alte Fassung ordnete 114 Maßnahmen in 14 Abschnitte (A.5 bis A.18). Die neue Fassung bündelt 93 Maßnahmen in vier Themen:

  • Organisatorisch (Abschnitt 5). 37 Maßnahmen, etwa Richtlinien, Rollen, Lieferanten, Vorfallmanagement und Einhaltung von Gesetzen.
  • Personenbezogen (Abschnitt 6). 8 Maßnahmen, darunter Überprüfung vor der Einstellung und Sensibilisierung, Ausbildung und Schulung.
  • Physisch (Abschnitt 7). 14 Maßnahmen zu Zutritt, Geräten und Datenträgern.
  • Technologisch (Abschnitt 8). 34 Maßnahmen, von Zugriffsrechten über Datensicherung bis zur sicheren Entwicklung.

Weniger Maßnahmen heißt nicht weniger Anforderungen. Viele frühere Einzelmaßnahmen wurden zusammengelegt, andere umformuliert. Für die Anwendbarkeitserklärung (Statement of Applicability, die Liste, welche Maßnahmen gelten und warum) bedeutet das: Sie muss auf die neue Nummerierung umgestellt und jede Begründung neu geprüft werden.

Die elf neuen Maßnahmen

Elf Maßnahmen gab es in der Fassung 2013 nicht. Sie spiegeln, wie sich Angriffe und Betrieb verändert haben:

  1. 5.7 Bedrohungsintelligenz. Informationen über Bedrohungen sammeln und auswerten, damit Schutzmaßnahmen auf echte Angriffsmuster reagieren.
  2. 5.23 Informationssicherheit für die Nutzung von Cloud-Diensten. Regeln für Beschaffung, Nutzung, Verwaltung und Beendigung extern betriebener Dienste.
  3. 5.30 IKT-Bereitschaft für Business Continuity. Die IT muss so geplant und getestet sein, dass der Betrieb nach einer Störung weiterläuft.
  4. 7.4 Überwachung der physischen Sicherheit. Gebäude und Räume laufend auf unbefugten Zutritt überwachen.
  5. 8.9 Konfigurationsmanagement. Sichere Konfigurationen festlegen, dokumentieren und überwachen.
  6. 8.10 Löschung von Informationen. Daten löschen, sobald sie nicht mehr gebraucht werden.
  7. 8.11 Datenmaskierung. Sensible Daten unkenntlich machen, etwa in Testumgebungen.
  8. 8.12 Verhinderung von Datenlecks. Den unerlaubten Abfluss von Informationen erkennen und verhindern.
  9. 8.16 Überwachungstätigkeiten. Netze, Systeme und Anwendungen auf auffälliges Verhalten überwachen.
  10. 8.23 Webfilterung. Den Zugriff auf schädliche Webseiten begrenzen.
  11. 8.28 Sichere Codierung. Software nach Grundsätzen sicherer Programmierung entwickeln.

Erfahrungsgemäß machen 5.23, 8.9, 8.16 und 8.28 den meisten Aufwand, weil sie in den laufenden IT-Betrieb und die Entwicklung eingreifen.

Attribute in ISO/IEC 27002:2022

Neu in der 27002 sind Attribute. Das sind Schlagworte, mit denen jede Maßnahme eingeordnet ist, damit Sie den Katalog nach eigenen Sichten filtern können. Die Norm nennt fünf Attribute:

  • Maßnahmentyp. Vorbeugend, erkennend oder korrigierend.
  • Informationssicherheitseigenschaften. Vertraulichkeit, Integrität, Verfügbarkeit.
  • Cybersicherheitskonzepte. Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen.
  • Operative Fähigkeiten. Zum Beispiel Identitäts- und Zugriffsmanagement oder Schutz von Anwendungen.
  • Sicherheitsdomänen. Governance und Ökosystem, Schutz, Verteidigung, Resilienz.

Die Attribute sind kein Pflichtteil. Im Alltag helfen sie trotzdem: Wer zum Beispiel alle erkennenden Maßnahmen zusammen betrachtet, sieht schnell, ob Angriffe überhaupt bemerkt würden.

Was sich im Hauptteil geändert hat

Die Kapitel 4 bis 10 blieben im Aufbau gleich, einige Anforderungen wurden aber genauer:

  • 4.2 Interessierte Parteien. Sie legen fest, welche Anforderungen von Kunden, Behörden oder Partnern Sie über das ISMS erfüllen.
  • 6.3 Planung von Änderungen. Neues Kapitel: Änderungen am ISMS müssen geplant erfolgen.
  • 8.1 Betriebliche Planung und Steuerung. Für Prozesse sind Kriterien festzulegen und die Prozesse danach zu steuern, auch extern bereitgestellte Prozesse, Produkte und Dienstleistungen.

Mit Amendment 1:2024 kam ein weiterer Punkt dazu: Nach 4.1 bestimmen Sie, ob der Klimawandel ein relevantes Thema für Ihre Organisation ist. Eine Anmerkung in 4.2 stellt klar, dass interessierte Parteien Anforderungen zum Klimawandel haben können. Auditoren fragen danach, ob und wie diese Frage bewertet wurde.

Was das für Schulungen und den Betrieb heißt

Schulung ist selbst eine Maßnahme aus Anhang A (6.3) und eine Pflicht aus den Kapiteln 7.2 Kompetenz und 7.3 Bewusstsein. Im Audit zählen Nachweise: wer wann was gelernt hat. Sinnvoll sind zwei Stufen:

  1. Sensibilisierung für alle Beschäftigten. Kurz und regelmäßig: Umgang mit Phishing, sichere Nutzung extern betriebener Dienste, Webfilter und warum Daten gelöscht werden. Die neuen Maßnahmen geben dafür konkrete Themen.
  2. Vertiefung für Informationssicherheitsbeauftragte und interne Auditoren. Neue Struktur von Anhang A, Umstellung der Anwendbarkeitserklärung, Nutzung der Attribute, die geänderten Kapitel 4.2, 6.3 und 8.1 sowie die Klimafrage aus Amendment 1:2024.
  3. Fachschulungen für Betrieb und Entwicklung. Konfigurationsmanagement, Überwachung und sichere Codierung lassen sich nur umsetzen, wenn Administratoren und Entwickler die Vorgaben kennen.

Im Betrieb lohnt ein Abgleich: Sind Risikobewertung, Anwendbarkeitserklärung und Richtlinien vollständig auf die Fassung 2022 umgestellt? Gibt es für jede neue Maßnahme einen Verantwortlichen und einen Nachweis? Alte Verweise auf „A.12“ oder „A.18“ in Richtlinien sind ein typischer Rest aus der Umstellung, der im Überwachungsaudit auffällt.

Wie GermanAI Defense unterstützt

Wir prüfen Ihr ISMS gegen die Fassung 2022, stellen die Anwendbarkeitserklärung um und setzen die neuen Maßnahmen mit Ihrem Team um. Wir sind selbst seit Mai 2026 nach ISO/IEC 27001:2022 zertifiziert (Zertifikat-Nr. 26052601) und kennen die Anforderungen der Fassung 2022 aus dem eigenen Audit. Für 8.16 Überwachungstätigkeiten liefern wir auf Wunsch SOC-Überwachung rund um die Uhr, Service- und Reaktionszeiten laut Vertrag.

→ Aufbau, Audit und Betrieb des ISMS: ISO-27001-Beratung

→ Schulungen zu Informationssicherheit: GAD Academy

→ Abgleich mit dem Gesetz: ISO 27001 und NIS 2 im Vergleich

Quellen

Stand: 28.10.2026. Dieser Beitrag ist eine fachliche Einordnung und ersetzt nicht den Normtext.