Framework
ISO/IEC 27001:2022
Worum es geht
Die internationale Norm für ein Informationssicherheitsmanagementsystem (ISMS). Die Abschnitte 4 bis 10 sind verbindliche Anforderungen an das Managementsystem. Anhang A enthält 93 Referenzmaßnahmen, die im Rahmen der Risikobehandlung ausgewählt und in der Erklärung zur Anwendbarkeit begründet werden.
Für wen es relevant ist
Organisationen, die international anerkannten Nachweis ihrer Informationssicherheit benötigen: typisch für Software- und Dienstleistungsunternehmen, die an Unternehmen und den öffentlichen Sektor verkaufen, insbesondere außerhalb der USA.
So wird geprüft
Eine akkreditierte Zertifizierungsstelle führt ein Audit der Stufe 1 (Dokumentation) und ein Audit der Stufe 2 (Umsetzung) durch. Das Zertifikat ist drei Jahre gültig, mit Überwachungsaudits in den Jahren eins und zwei. Siehe So erhalten Sie die Zertifizierung.
Leitfaden lesen: So erlangen Sie die ISO-27001-Zertifizierung →
123
Anhang-A-Maßnahmen und ISMS-Klauseln
123
Einem anderen Framework zugeordnet
100%
Abgedeckte Themen (50/50)
Zählungen: Klauseln auf der untersten Ebene gezählt (6.1.1–6.1.3, nicht 6.1).
Vergleiche
NIST CSF 2.0 vs ISO 27001ISO 27001 vs CIS v8.1ISO 27001 vs SOC 2ISO 27001 vs PCI DSSISO 27001 vs 800-53ISO 27001 vs HIPAAISO 27001 vs GDPRISO 27001 vs NIS2ISO 27001 vs Essential Eight
Anforderungen
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
| ID | Anforderung | Themen | Zugeordnet in |
|---|---|---|---|
| A.5 Organizational controls · 37 | |||
| A.5.1 | Policies for information security | Governance-Richtlinie | 9 von 13 |
| A.5.2 | Information security roles and responsibilities | Rollen und Verantwortlichkeiten | 9 von 13 |
| A.5.3 | Segregation of duties | — | 3 von 13 |
| A.5.4 | Management responsibilities | Rollen und Verantwortlichkeiten | 9 von 13 |
| A.5.5 | Contact with authorities | Meldung | 12 von 13 |
| A.5.6 | Contact with special interest groups | Kommunikation | 8 von 13 |
| A.5.7 | Threat intelligence | Threat Intelligence | 7 von 13 |
| A.5.8 | Information security in project management | — | 1 von 13 |
| A.5.9 | Inventory of information and other associated assets | Asset-Management | 13 von 13 |
| A.5.10 | Acceptable use of information and other associated assets | — | 2 von 13 |
| A.5.11 | Return of assets | Asset-Management | 13 von 13 |
| A.5.12 | Classification of information | Datenklassifizierung | 9 von 13 |
| A.5.13 | Labelling of information | Datenklassifizierung | 9 von 13 |
| A.5.14 | Information transfer | Datenschutz, E-Mail-Sicherheit | 12 von 13 |
| A.5.15 | Access control | Zugriffskontrolle, Zero Trust | 11 von 13 |
| A.5.16 | Identity management | Zugriffskontrolle | 11 von 13 |
| A.5.17 | Authentication information | — | 2 von 13 |
| A.5.18 | Access rights | Zugriffskontrolle | 11 von 13 |
| A.5.19 | Information security in supplier relationships | Lieferkettenrisiko, Lieferantenrisikomanagement | 10 von 13 |
| A.5.20 | Addressing information security within supplier agreements | Lieferantenrisikomanagement | 10 von 13 |
| A.5.21 | Managing information security in the ICT supply chain | Lieferkettenrisiko | 9 von 13 |
| A.5.22 | Monitoring, review and change management of supplier services | Lieferantenrisikomanagement | 10 von 13 |
| A.5.23 | Information security for use of cloud services | Cloud-Sicherheit | 11 von 13 |
| A.5.24 | Information security incident management planning and preparation | Incident Response | 12 von 13 |
| A.5.25 | Assessment and decision on information security events | SIEM / SOC, Incident Response | 12 von 13 |
| A.5.26 | Response to information security incidents | Incident Response, Mitigation, Kommunikation & Wiederherstellung | 12 von 13 |
| A.5.27 | Learning from information security incidents | Erkenntnisse aus Vorfällen | 9 von 13 |
| A.5.28 | Collection of evidence | Forensik | 7 von 13 |
| A.5.29 | Information security during disruption | Wiederherstellungsplanung, Business Continuity | 9 von 13 |
| A.5.30 | ICT readiness for business continuity | Wiederherstellungsplanung, Business Continuity, Disaster Recovery | 10 von 13 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Compliance | 10 von 13 |
| A.5.32 | Intellectual property rights | — | 2 von 13 |
| A.5.33 | Protection of records | — | 2 von 13 |
| A.5.34 | Privacy and protection of PII | — | 2 von 13 |
| A.5.35 | Independent review of information security | — | 3 von 13 |
| A.5.36 | Compliance with policies, rules and standards for information security | Compliance | 10 von 13 |
| A.5.37 | Documented operating procedures | Governance-Richtlinie | 9 von 13 |
| A.6 People controls · 8 | |||
| A.6.1 | Screening | Insider-Bedrohungen | 9 von 13 |
| A.6.2 | Terms and conditions of employment | — | 2 von 13 |
| A.6.3 | Information security awareness, education and training | Awareness & Training | 10 von 13 |
| A.6.4 | Disciplinary process | Insider-Bedrohungen | 9 von 13 |
| A.6.5 | Responsibilities after termination or change of employment | — | 2 von 13 |
| A.6.6 | Confidentiality or non-disclosure agreements | — | 1 von 13 |
| A.6.7 | Remote working | Mobile Security | 7 von 13 |
| A.6.8 | Information security event reporting | Meldung | 12 von 13 |
| A.7 Physical controls · 14 | |||
| A.7.1 | Physical security perimeters | Physische Sicherheit | 8 von 13 |
| A.7.2 | Physical entry | Physische Sicherheit | 8 von 13 |
| A.7.3 | Securing offices, rooms and facilities | Physische Sicherheit | 8 von 13 |
| A.7.4 | Physical security monitoring | Physische Sicherheit | 8 von 13 |
| A.7.5 | Protecting against physical and environmental threats | Physische Sicherheit | 8 von 13 |
| A.7.6 | Working in secure areas | Physische Sicherheit | 8 von 13 |
| A.7.7 | Clear desk and clear screen | — | 2 von 13 |
| A.7.8 | Equipment siting and protection | Physische Sicherheit | 8 von 13 |
| A.7.9 | Security of assets off-premises | — | 1 von 13 |
| A.7.10 | Storage media | — | 2 von 13 |
| A.7.11 | Supporting utilities | Physische Sicherheit | 8 von 13 |
| A.7.12 | Cabling security | Physische Sicherheit | 8 von 13 |
| A.7.13 | Equipment maintenance | — | 2 von 13 |
| A.7.14 | Secure disposal or re-use of equipment | Asset-Management | 13 von 13 |
| A.8 Technological controls · 34 | |||
| A.8.1 | User endpoint devices | Endpoint-Schutz, Mobile Security | 10 von 13 |
| A.8.2 | Privileged access rights | Privilegierter Zugriff | 10 von 13 |
| A.8.3 | Information access restriction | Zugriffskontrolle | 11 von 13 |
| A.8.4 | Access to source code | — | 1 von 13 |
| A.8.5 | Secure authentication | Multi-Faktor-Authentifizierung, Zero Trust, API-Sicherheit | 10 von 13 |
| A.8.6 | Capacity management | — | 2 von 13 |
| A.8.7 | Protection against malware | Endpoint-Schutz | 10 von 13 |
| A.8.8 | Management of technical vulnerabilities | Schwachstellenmanagement, Patch-Management | 13 von 13 |
| A.8.9 | Configuration management | Sichere Konfiguration | 9 von 13 |
| A.8.10 | Information deletion | Datenschutz | 11 von 13 |
| A.8.11 | Data masking | Datenschutz | 11 von 13 |
| A.8.12 | Data leakage prevention | DLP | 7 von 13 |
| A.8.13 | Information backup | Backup & Recovery | 11 von 13 |
| A.8.14 | Redundancy of information processing facilities | Business Continuity, Disaster Recovery | 10 von 13 |
| A.8.15 | Logging | Protokollierung & Audit | 10 von 13 |
| A.8.16 | Monitoring activities | Kont. Überwachung, Angriffserkennung, Anomalieerkennung, SIEM / SOC, Insider-Bedrohungen | 12 von 13 |
| A.8.17 | Clock synchronization | Protokollierung & Audit | 10 von 13 |
| A.8.18 | Use of privileged utility programs | Privilegierter Zugriff | 10 von 13 |
| A.8.19 | Installation of software on operational systems | Endpoint-Schutz | 10 von 13 |
| A.8.20 | Networks security | Firewall / Netzsegmentierung, DNS-Sicherheit, WAF | 9 von 13 |
| A.8.21 | Security of network services | Firewall / Netzsegmentierung, DNS-Sicherheit | 9 von 13 |
| A.8.22 | Segregation of networks | Firewall / Netzsegmentierung, Zero Trust | 9 von 13 |
| A.8.23 | Web filtering | — | 1 von 13 |
| A.8.24 | Use of cryptography | Verschlüsselung | 10 von 13 |
| A.8.25 | Secure development life cycle | Sichere Entwicklung | 8 von 13 |
| A.8.26 | Application security requirements | Sichere Entwicklung, Webanwendungssicherheit, API-Sicherheit | 8 von 13 |
| A.8.27 | Secure system architecture and engineering principles | — | 1 von 13 |
| A.8.28 | Secure coding | Sichere Entwicklung | 8 von 13 |
| A.8.29 | Security testing in development and acceptance | Sichere Entwicklung | 8 von 13 |
| A.8.30 | Outsourced development | — | 2 von 13 |
| A.8.31 | Separation of development, test and production environments | — | 2 von 13 |
| A.8.32 | Change management | — | 4 von 13 |
| A.8.33 | Test information | — | 2 von 13 |
| A.8.34 | Protection of information systems during audit testing | — | 1 von 13 |
| ISMS clauses 4–10 · 30 | |||
| Clause 4.1 | Understanding the organization and its context | Geschäftsumfeld | 5 von 13 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Geschäftsumfeld | 5 von 13 |
| Clause 4.3 | Determining the scope of the ISMS | — | 2 von 13 |
| Clause 4.4 | Information security management system | — | 1 von 13 |
| Clause 5.1 | Leadership and commitment | — | 2 von 13 |
| Clause 5.2 | Policy | Governance-Richtlinie | 9 von 13 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | — | 3 von 13 |
| Clause 6.1.1 | General | Risikomanagement | 10 von 13 |
| Clause 6.1.2 | Information security risk assessment | Risikobewertung | 10 von 13 |
| Clause 6.1.3 | Information security risk treatment | Risikomanagement, Risikobewertung | 10 von 13 |
| Clause 6.2 | Information security objectives and planning to achieve them | — | 3 von 13 |
| Clause 6.3 | Planning of changes | — | 2 von 13 |
| Clause 7.1 | Resources | — | 2 von 13 |
| Clause 7.2 | Competence | — | 3 von 13 |
| Clause 7.3 | Awareness | Awareness & Training | 10 von 13 |
| Clause 7.4 | Communication | Kommunikation, Kommunikation & Wiederherstellung | 9 von 13 |
| Clause 7.5.1 | General | — | 1 von 13 |
| Clause 7.5.2 | Creating and updating | — | 1 von 13 |
| Clause 7.5.3 | Control of documented information | — | 1 von 13 |
| Clause 8.1 | Operational planning and control | — | 2 von 13 |
| Clause 8.2 | Information security risk assessment | — | 4 von 13 |
| Clause 8.3 | Information security risk treatment | — | 4 von 13 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Compliance | 10 von 13 |
| Clause 9.2.1 | General | — | 1 von 13 |
| Clause 9.2.2 | Internal audit programme | — | 1 von 13 |
| Clause 9.3.1 | General | — | 1 von 13 |
| Clause 9.3.2 | Management review inputs | — | 1 von 13 |
| Clause 9.3.3 | Management review results | — | 1 von 13 |
| Clause 10.1 | Continual improvement | Erkenntnisse aus Vorfällen | 9 von 13 |
| Clause 10.2 | Nonconformity and corrective action | — | 2 von 13 |
Themenabdeckung
Themen mit zugeordneten ISO 27001-Anforderungen (50):
Governance-RichtlinieAwareness & TrainingRisikomanagementLieferkettenrisikoRollen und VerantwortlichkeitenComplianceAsset-ManagementRisikobewertungGeschäftsumfeldDatenklassifizierungSchwachstellenmanagementThreat IntelligenceZugriffskontrolleMulti-Faktor-AuthentifizierungVerschlüsselungDatenschutzBackup & RecoveryPrivilegierter ZugriffFirewall / NetzsegmentierungEndpoint-SchutzPatch-ManagementSichere KonfigurationSichere EntwicklungE-Mail-SicherheitWebanwendungssicherheitZero TrustMobile SecurityCloud-SicherheitDNS-SicherheitWAFDLPKont. ÜberwachungProtokollierung & AuditAngriffserkennungAnomalieerkennungSIEM / SOCIncident ResponseForensikKommunikationMitigationMeldungWiederherstellungsplanungBusiness ContinuityErkenntnisse aus VorfällenKommunikation & WiederherstellungDisaster RecoveryAPI-SicherheitInsider-BedrohungenLieferantenrisikomanagementPhysische Sicherheit