Anhang A (ISO 27001): Anhang A der ISO/IEC 27001:2022 ist ein normativer Referenzkatalog mit 93 Sicherheitsmaßnahmen (Controls) in vier Themenfeldern, aus dem Unternehmen risikobasiert auswählen, welche Maßnahmen sie zur Behandlung ihrer Informationssicherheitsrisiken umsetzen.
Die Fassung 2022 ordnet die Controls in vier Themenfelder: 37 organisatorische (A.5), 8 personenbezogene (A.6), 14 physische (A.7) und 34 technologische Controls (A.8) – gegenüber vorher 114 Controls in 14 Kapiteln in der Fassung 2013.
| Themenfeld | Controls | Beispiel |
|---|---|---|
| A.5 Organisatorisch | 37 | Informationssicherheitsleitlinie, Lieferantenmanagement |
| A.6 Personenbezogen | 8 | Schulung, Vertraulichkeitsvereinbarung |
| A.7 Physisch | 14 | Zutrittskontrolle, Clear-Desk-Regel |
| A.8 Technologisch | 34 | Zugriffskontrolle, Backup, Verschlüsselung |
Kein Unternehmen muss alle 93 Controls umsetzen: Über die Risikoanalyse nach Kapitel 6.1.2 wird bestimmt, welche Maßnahmen zur Behandlung der eigenen Risiken erforderlich sind. Nicht anwendbare Controls dürfen ausgeschlossen werden, allerdings nur mit einer sachlichen, im Statement of Applicability dokumentierten Begründung, die der Risikoanalyse nicht widersprechen darf.
Elf Controls kamen 2022 neu hinzu, darunter Threat Intelligence (A.5.7), Cloud-Sicherheit (A.5.23) und Data Leakage Prevention (A.8.12) – sie spiegeln aktuelle Bedrohungslagen wie Cloud-Nutzung und gezielten Datenabfluss.
Ergänzend ordnet die Norm jedem Control sogenannte Attribute zu, etwa Control-Typ (präventiv, detektiv, korrektiv) oder betroffenes Schutzziel. Diese Attribute sind reine Sortier- und Filterhilfen ohne eigene Verpflichtung, erleichtern aber Berichte an die Geschäftsleitung, etwa zum Verhältnis von vorbeugenden zu reagierenden Maßnahmen. Für die Umsetzung liefert die Schwesternorm ISO 27002 zu jedem Control ausführliche Erläuterungen und Beispiele; zertifiziert wird jedoch ausschließlich gegen ISO 27001 selbst, ISO 27002 dient rein als Nachschlagewerk für die praktische Ausgestaltung.
Relevanz für die Zertifizierung
Für ein Zertifizierungsaudit bei KCERT bildet Anhang A gemeinsam mit der Risikoanalyse und dem Statement of Applicability die zentrale Prüfgrundlage des ISMS. Der Auditor wählt Controls stichprobenartig aus dem SoA aus und lässt sich zu jedem sowohl die Regelung als auch einen gelebten Nachweis zeigen. Kleine Dienstleister setzen in der Praxis meist 60 bis 75 der 93 Controls um; der Rest wird mit nachvollziehbarer Begründung ausgeschlossen, etwa Entwicklungs-Controls ohne eigene Softwareentwicklung.
Häufige Fragen zu Anhang A (ISO 27001)
Nein. Anhang A ist ein Referenzkatalog, keine Pflichtliste. Über die Risikoanalyse wird bestimmt, welche Controls zur Behandlung der eigenen Risiken tatsächlich nötig sind. Nicht anwendbare Controls dürfen ausgeschlossen werden, sofern die Begründung im Statement of Applicability nachvollziehbar dokumentiert ist und der Risikoanalyse nicht widerspricht.
Die Fassung 2022 enthält 93 Controls in vier Themenfeldern: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Controls. Zuvor umfasste die Fassung 2013 noch 114 Controls in 14 Kapiteln; inhaltlich ging dabei nichts verloren, viele Controls wurden lediglich zusammengeführt oder umformuliert.
Anhang A ist der normative Katalog mit allen 93 möglichen Controls. Das Statement of Applicability (SoA) ist das unternehmensspezifische Ergebnis: Es dokumentiert für jedes Control, ob es anwendbar ist, warum, und welchen Umsetzungsstand es hat. Das SoA ist Pflichtdokument nach Kapitel 6.1.3 d), Anhang A selbst ist es nicht separat.