ISO 27001 Anhang A: die Controls
ISO 27001 Annex A (Anhang A) verständlich: die 93 Controls in vier Themengruppen, die elf neuen Maßnahmen von 2022 und ihre Rolle im Statement of Applicability.
Der Anhang A der ISO 27001, im Englischen «ISO 27001 Annex A», ist eine Liste mit 93 Sicherheitsmaßnahmen, den sogenannten Controls. Er dient als Prüfliste: Jedes Unternehmen, das die Norm umsetzt, gleicht seine eigenen Maßnahmen mit dieser Liste ab, damit nichts Wichtiges fehlt.
Wie die Liste aufgebaut ist
Seit der Fassung von 2022 sind die Controls in vier Gruppen sortiert: organisatorische Maßnahmen wie Richtlinien und Lieferantensteuerung, personenbezogene Maßnahmen wie Schulungen, physische Maßnahmen wie Zutrittsschutz und technologische Maßnahmen wie Datensicherung oder Schutz vor Schadsoftware.
Muss ich alle 93 umsetzen?
Nein. Sie entscheiden anhand Ihrer Risiken, welche Controls nötig sind, und begründen schriftlich, warum Sie einzelne nicht anwenden. Diese Begründung steht in einem Pflichtdokument, dem Statement of Applicability. In der Praxis sind die meisten Controls für fast jedes Unternehmen relevant; Ausschlüsse betreffen eher Themen wie Softwareentwicklung, wenn Sie selbst keine Software entwickeln.
Der nächste Schritt
Gehen Sie die vier Gruppen einmal durch und notieren Sie zu jedem Control, ob es bei Ihnen umgesetzt, teilweise umgesetzt oder offen ist. Das ergibt schnell einen ersten Überblick über den Stand Ihrer Informationssicherheit, auch wenn Sie keine Zertifizierung anstreben.
Funktion von ISO 27001 Annex A
Anhang A der ISO/IEC 27001:2022 enthält eine Referenzliste von Informationssicherheitsmaßnahmen. Nach Kapitel 6.1.3 der Norm vergleicht das Unternehmen die Maßnahmen, die es aufgrund seiner Risikobehandlung festgelegt hat, mit Anhang A, um sicherzustellen, dass keine notwendigen Maßnahmen ausgelassen wurden. Anhang A ist also kein Selbstzweck, sondern ein Kontrollinstrument für die eigene Risikobehandlung.
Die Formulierungen in Anhang A sind knapp. Ausführliche Erläuterungen, Zweck und Umsetzungshinweise zu jedem Control enthält die Begleitnorm ISO/IEC 27002:2022, deren Gliederung mit Anhang A übereinstimmt.
Die vier Themengruppen
| Abschnitt | Themengruppe | Anzahl |
|---|---|---|
| A.5 | Organisatorische Maßnahmen | 37 |
| A.6 | Personenbezogene Maßnahmen | 8 |
| A.7 | Physische Maßnahmen | 14 |
| A.8 | Technologische Maßnahmen | 34 |
A.5 Organisatorische Maßnahmen
Der größte Block. Er umfasst unter anderem Informationssicherheitsrichtlinien, Rollen und Verantwortlichkeiten, Aufgabentrennung, Kontakt zu Behörden, Inventar der Informationswerte, Klassifizierung, Zugangssteuerung, Identitäts- und Berechtigungsmanagement, Lieferantenbeziehungen einschließlich IKT-Lieferkette, Nutzung von Cloud-Diensten, Management von Sicherheitsvorfällen, Informationssicherheit bei Störungen, Betriebskontinuität, rechtliche und vertragliche Anforderungen, Datenschutz sowie unabhängige Überprüfungen.
A.6 Personenbezogene Maßnahmen
Sicherheitsüberprüfung vor der Einstellung, Beschäftigungsbedingungen, Sensibilisierung und Schulung, Disziplinarverfahren, Pflichten nach Beendigung, Vertraulichkeitsvereinbarungen, Telearbeit und das Melden von Sicherheitsereignissen.
A.7 Physische Maßnahmen
Sicherheitsbereiche und Zutrittssteuerung, Schutz von Büros und Räumen, Überwachung, Schutz vor Umweltgefahren, aufgeräumter Arbeitsplatz und gesperrter Bildschirm, Schutz von Geräten auch außerhalb des Betriebs, Speichermedien, Versorgungseinrichtungen, Verkabelung, Wartung und sichere Entsorgung.
A.8 Technologische Maßnahmen
Endgeräte, privilegierte Zugänge, Zugriffsbeschränkung, sichere Authentisierung, Kapazitätsmanagement, Schutz vor Schadsoftware, Schwachstellenmanagement, Konfigurationsmanagement, Löschen von Informationen, Datensicherung, Redundanz, Protokollierung und Überwachung, Uhrzeitsynchronisation, Netzsicherheit und -segmentierung, Webfilterung, Kryptografie, sichere Entwicklung und Tests, Trennung von Umgebungen sowie Änderungsmanagement.
Was 2022 neu war
Gegenüber der Fassung von 2013 sank die Zahl der Controls von 114 in 14 Abschnitten auf 93 in vier Themengruppen. Viele Controls wurden zusammengeführt oder überarbeitet, elf kamen neu hinzu:
- A.5.7 Bedrohungsinformationen (Threat Intelligence)
- A.5.23 Informationssicherheit bei der Nutzung von Cloud-Diensten
- A.5.30 IKT-Bereitschaft für Business Continuity
- A.7.4 Physische Sicherheitsüberwachung
- A.8.9 Konfigurationsmanagement
- A.8.10 Löschen von Informationen
- A.8.11 Datenmaskierung
- A.8.12 Verhinderung von Datenabfluss
- A.8.16 Überwachungstätigkeiten
- A.8.23 Webfilterung
- A.8.28 Sichere Programmierung
Die deutschen Bezeichnungen können je nach Übersetzung leicht abweichen.
Attribute in ISO 27002
ISO/IEC 27002:2022 ordnet jedem Control Attribute zu, etwa Maßnahmenart (präventiv, detektiv, korrektiv), betroffene Schutzziele, Cybersicherheitskonzepte (Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen) und operative Fähigkeiten. Damit lassen sich die Controls nach eigenen Gesichtspunkten filtern, zum Beispiel für einen Abgleich mit anderen Rahmenwerken.
Typische Ausschlüsse und typische Lücken
In kleinen und mittleren Unternehmen werden häufig Controls zur sicheren Softwareentwicklung (etwa sichere Programmierung, Trennung von Entwicklungs-, Test- und Produktivumgebung oder ausgelagerte Entwicklung) ausgeschlossen, wenn keine eigene Entwicklung stattfindet. Auch Datenmaskierung ist nicht überall relevant.
Häufige Lücken zeigen sich dagegen bei Controls, die auf den ersten Blick selbstverständlich wirken: aktuelles Inventar der Informationswerte, nachvollziehbare Rechtevergabe und regelmäßige Überprüfung der Berechtigungen, getestete Wiederherstellung aus Backups, Protokollierung mit tatsächlicher Auswertung, geregelte Löschung von Daten und Vorgaben für Lieferanten. Hier lohnt es sich, ehrlich zu bewerten, statt vorschnell «umgesetzt» einzutragen.
Das Statement of Applicability
Die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) ist nach Kapitel 6.1.3 d ein Pflichtdokument. Sie enthält für jedes Control:
- ob es angewendet wird
- die Begründung für die Aufnahme
- ob es umgesetzt ist
- die Begründung für einen Ausschluss
Auditoren nutzen das SoA als Leitfaden durch das Audit. Ausschlüsse müssen nachvollziehbar sein; ein Control ohne Bezug zu Ihren Risiken oder Tätigkeiten kann begründet ausgeschlossen werden, ein unbequemes Control mit klarem Risikobezug nicht.
Praxistipps
- Pflegen Sie das SoA als Tabelle mit Verweisen auf Richtlinien und Nachweise. So wird es zum Inhaltsverzeichnis Ihrer Sicherheitsdokumentation.
- Nutzen Sie die Struktur von Anhang A auch ohne Zertifizierungsabsicht als Prüfliste.
- Wer nach IT-Grundschutz arbeitet, findet Entsprechungen zu den meisten Controls in den Bausteinen des Kompendiums. Das BSI stellt dazu Zuordnungstabellen bereit; prüfen Sie dort den aktuellen Stand.
- Für NIS-2 lassen sich die zehn Bereiche des § 30 BSIG gut auf Anhang-A-Controls abbilden. Einige Punkte, etwa Multi-Faktor-Authentifizierung, verlangt das Gesetz aber ausdrücklicher als die Norm.
- Bewerten Sie den Umsetzungsgrad ehrlich. Ein offen ausgewiesener Plan zur Umsetzung ist im Audit besser als eine Behauptung, die sich in der Stichprobe nicht bestätigt.
Häufige Fragen
Wie viele Controls hat ISO 27001 Annex A?
In der Fassung ISO/IEC 27001:2022 sind es 93 Controls in vier Themengruppen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Maßnahmen.
Muss man alle Controls aus Anhang A umsetzen?
Nein. Maßgeblich ist die eigene Risikobehandlung. Nicht angewendete Controls müssen im Statement of Applicability nachvollziehbar begründet werden.
Wo werden die Controls ausführlich erklärt?
In der Begleitnorm ISO/IEC 27002:2022. Sie beschreibt Zweck und Umsetzungshinweise jedes Controls und ist gleich gegliedert wie Anhang A.