> ISO 27001 Checkliste: Geltungsbereich, Risikobewertung, Erklärung zur Anwendbarkeit, Annex-A-Maßnahmen und Audits prüfen – kostenlos online und als PDF. Source: [https://docxpert.io/de/checklisten/iso-27001-zertifizierung](https://docxpert.io/de/checklisten/iso-27001-zertifizierung) # ISO 27001 Checkliste zur Zertifizierungsvorbereitung Als PDF speichern Druckfertige Version mit Ankreuzfeldern. [PDF anfordern](https://docxpert.io/de/checklisten/iso-27001-zertifizierung#download) ## Aufbau der ISO 27001:2022 Die Norm besteht aus den Managementsystem-Anforderungen in den Kapiteln 4 bis 10 und dem **Anhang A** mit 93 Maßnahmen in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34). Welche Anhang-A-Maßnahmen Sie umsetzen, leiten Sie aus Ihrer Risikobewertung ab und begründen es in der **Erklärung zur Anwendbarkeit** (Statement of Applicability, SoA). Übergangsfrist abgelaufen Zertifikate nach der alten Fassung ISO/IEC 27001:2013 sind seit dem 31. Oktober 2025 nicht mehr gültig. Neue Zertifizierungen erfolgen ausschließlich nach der Fassung 2022. ## Checkliste ISMS-Reife ### Kontext und Geltungsbereich (Kapitel 4) - Interne und externe Themen sowie interessierte Parteien mit ihren Anforderungen sind bestimmt. - Der Geltungsbereich des ISMS ist dokumentiert, mit Schnittstellen und Abhängigkeiten zu Dritten. - Die ISMS-Prozesse und ihre Wechselwirkungen sind festgelegt. ### Führung und Rollen (Kapitel 5) - Die Informationssicherheitsleitlinie ist von der Leitung freigegeben und bekannt gemacht. - Rollen wie ISMS-Verantwortliche/r oder Informationssicherheitsbeauftragte/r sind benannt. - Die Leitung stellt Ressourcen bereit und bewertet die Wirksamkeit des ISMS. ### Risiken und Planung (Kapitel 6) - Eine Methode zur Risikobeurteilung mit Kriterien für Akzeptanz und Bewertung ist dokumentiert. - Die Risikobeurteilung ist durchgeführt; Risikoeigentümer sind benannt. - Ein Risikobehandlungsplan liegt vor und ist von den Risikoeigentümern akzeptiert. - Die Erklärung zur Anwendbarkeit listet alle 93 Anhang-A-Maßnahmen mit Begründung für Einbeziehung oder Ausschluss. - Messbare Informationssicherheitsziele sind festgelegt und geplant. ### Unterstützung (Kapitel 7) - Kompetenzanforderungen für ISMS-Rollen sind beschrieben und nachgewiesen. - Alle Mitarbeitenden haben eine Sensibilisierungsschulung erhalten; die Teilnahme ist dokumentiert. - Kommunikationswege für Sicherheitsthemen und Vorfälle sind festgelegt. - Dokumentierte Information ist gelenkt: freigegeben, versioniert und geschützt. ### Betrieb (Kapitel 8) - Die geplanten Maßnahmen sind umgesetzt und werden überwacht. - Die Risikobeurteilung wird in geplanten Abständen und bei wesentlichen Änderungen wiederholt. - Ausgelagerte Prozesse und Cloud-Dienste sind identifiziert und gesteuert. ### Bewertung und Verbesserung (Kapitel 9 und 10) - Kennzahlen zur Informationssicherheit werden gemessen und ausgewertet. - Ein internes ISMS-Audit über den gesamten Geltungsbereich ist durchgeführt. - Die Managementbewertung liegt mit Entscheidungen und Maßnahmen vor. - Nichtkonformitäten und Sicherheitsvorfälle führen zu Korrekturmaßnahmen mit Wirksamkeitsprüfung. ### Ausgewählte Anhang-A-Maßnahmen - Inventar der Informationswerte mit Eigentümern (A.5.9) ist aktuell. - Zugangssteuerung und Rechtevergabe sind geregelt und werden regelmäßig überprüft (A.5.15–A.5.18). - Lieferantenbeziehungen inklusive Cloud-Dienste sind sicherheitsseitig bewertet (A.5.19–A.5.23). - Prozess für das Management von Sicherheitsvorfällen ist festgelegt und geübt (A.5.24–A.5.28). - IKT-Bereitschaft für Business Continuity ist geplant und getestet (A.5.30). - Bedrohungsinformationen (Threat Intelligence) werden gesammelt und ausgewertet (A.5.7). - Datensicherung, Protokollierung und Überwachung sind umgesetzt (A.8.13, A.8.15, A.8.16). - Schwachstellenmanagement und sichere Konfiguration sind etabliert (A.8.8, A.8.9). ## Die Dokumente, nach denen zuerst gefragt wird - Geltungsbereich des ISMS - Informationssicherheitsleitlinie und -ziele - Methode und Ergebnis der Risikobeurteilung, Risikobehandlungsplan - Erklärung zur Anwendbarkeit - Nachweise zu Kompetenz und Sensibilisierung - Auditprogramm, Auditberichte, Managementbewertung, Korrekturmaßnahmen Die vollständige Liste mit Normkapiteln finden Sie im Ratgeber [ISO 27001 Pflichtdokumente](https://docxpert.io/de/ratgeber/iso-27001-pflichtdokumente). Passende Vorlagen bietet die [Vorlagenbibliothek](https://docxpert.io/de/features/template-library). ## Checkliste als PDF herunterladen Druckfertig mit Ankreuzfeldern – ideal für Ihr nächstes Audit oder Teammeeting. Kostenlos, wir senden Ihnen den Link auch per E-Mail. ## Häufige Fragen Wie lange dauert eine ISO 27001 Zertifizierung? Für kleine und mittlere Unternehmen sind sechs bis zwölf Monate von Projektstart bis Zertifikat realistisch. Entscheidend ist, wie viele Maßnahmen bereits gelebt werden und wie schnell Nachweise entstehen. Muss ich alle 93 Anhang-A-Maßnahmen umsetzen? Nein. Sie müssen aber alle 93 in der Erklärung zur Anwendbarkeit bewerten und begründen, warum eine Maßnahme einbezogen oder ausgeschlossen wird. Hilft ISO 27001 bei NIS2? Ja, deutlich. Viele Risikomanagementmaßnahmen aus NIS2 entsprechen Anhang-A-Maßnahmen. Die Meldepflichten von NIS2 müssen Sie dennoch gesondert regeln. ## Weiterlesen [ISO 27001 PflichtdokumenteDie geforderten Dokumente und Aufzeichnungen der ISO/IEC 27001:2022 im Überblick.Mehr erfahren](https://docxpert.io/de/ratgeber/iso-27001-pflichtdokumente) [ISO 27001ISMS-Dokumentation, Richtlinien, Erklärung zur Anwendbarkeit und Schulungen im Griff.Mehr erfahren](https://docxpert.io/de/normen/iso-27001) [Checkliste NIS2Betroffenheit, Registrierung, Risikomaßnahmen, Meldewege und Schulung der Leitung.Mehr erfahren](https://docxpert.io/de/checklisten/nis2) [Gap-AnalyseVorhandene Dokumente gegen Normanforderungen prüfen und Lücken als Aufgaben abarbeiten.Mehr erfahren](https://docxpert.io/de/features/gap-analysis) ## docxpert 14 Tage kostenlos testen Dokumentenlenkung, Freigaben, Schulungen und Nachweise in einer Plattform – mit deutschen und englischen Vorlagen für über zehn Normen. [Kostenlos testen](https://docxpert.io/de/trial)[Preise ansehen](https://docxpert.io/de/pricing)