_1762866128417-DS2_OO1j.png)
Aufbau der ISO 27001:2022
Die Norm besteht aus den Managementsystem-Anforderungen in den Kapiteln 4 bis 10 und dem Anhang A mit 93 Maßnahmen in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34). Welche Anhang-A-Maßnahmen Sie umsetzen, leiten Sie aus Ihrer Risikobewertung ab und begründen es in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA).
Checkliste ISMS-Reife
Kontext und Geltungsbereich (Kapitel 4)
Führung und Rollen (Kapitel 5)
Risiken und Planung (Kapitel 6)
Unterstützung (Kapitel 7)
Betrieb (Kapitel 8)
Bewertung und Verbesserung (Kapitel 9 und 10)
Ausgewählte Anhang-A-Maßnahmen
Die Dokumente, nach denen zuerst gefragt wird
- Geltungsbereich des ISMS
- Informationssicherheitsleitlinie und -ziele
- Methode und Ergebnis der Risikobeurteilung, Risikobehandlungsplan
- Erklärung zur Anwendbarkeit
- Nachweise zu Kompetenz und Sensibilisierung
- Auditprogramm, Auditberichte, Managementbewertung, Korrekturmaßnahmen
Die vollständige Liste mit Normkapiteln finden Sie im Ratgeber ISO 27001 Pflichtdokumente. Passende Vorlagen bietet die Vorlagenbibliothek.
Checkliste als PDF herunterladen
Druckfertig mit Ankreuzfeldern – ideal für Ihr nächstes Audit oder Teammeeting. Kostenlos, wir senden Ihnen den Link auch per E-Mail.
Häufige Fragen
Wie lange dauert eine ISO 27001 Zertifizierung?
Für kleine und mittlere Unternehmen sind sechs bis zwölf Monate von Projektstart bis Zertifikat realistisch. Entscheidend ist, wie viele Maßnahmen bereits gelebt werden und wie schnell Nachweise entstehen.
Muss ich alle 93 Anhang-A-Maßnahmen umsetzen?
Nein. Sie müssen aber alle 93 in der Erklärung zur Anwendbarkeit bewerten und begründen, warum eine Maßnahme einbezogen oder ausgeschlossen wird.
Hilft ISO 27001 bei NIS2?
Ja, deutlich. Viele Risikomanagementmaßnahmen aus NIS2 entsprechen Anhang-A-Maßnahmen. Die Meldepflichten von NIS2 müssen Sie dennoch gesondert regeln.