ISO 27001 Annex A

Q: Was ist der Anhang A von ISO 27001?

Der Anhang A ist eine kompakte Übersicht über mögliche Sicherheitsmaßnahmen innerhalb der ISO/IEC 27001. Er unterstützt Unternehmen dabei, ihr Informationssicherheits-Managementsystem mit passenden organisatorischen, personellen, physischen und technischen Schutzmaßnahmen auszugestalten, und ist damit ein zentraler Bestandteil der internationalen Welt der Informationssicherheitsstandards.

Q: Muss ein Unternehmen alle Annex-A-Controls umsetzen?

Nein, ein Unternehmen muss die Annex-A-Controls anhand seiner Informationssicherheitsrisiken bewerten und daraus die passenden Maßnahmen ableiten. Entscheidend ist nicht die vollständige Umsetzung aller Controls, sondern eine nachvollziehbare Auswahl mit sauber begründeten Ausschlüssen.

Q: Was regeln A.5.1, A.6.1, A.7.1 und A.8.1 in ISO 27001 Annex A?

A.5.1, A.6.1, A.7.1 und A.8.1 markieren jeweils den Einstieg in die vier Kategorien des Annex A. A.5.1 betrifft Informationssicherheitsleitlinien, A.6.1 die Sicherheitsüberprüfung vor der Einstellung, A.7.1 physische Sicherheitsbereiche und A.8.1 den Umgang mit Endgeräten der Benutzer.

Q: Kann ein Unternehmen eigene Maßnahmen hinzufügen, die nicht im Anhang A stehen?

Ja, eigene Maßnahmen sind möglich, wenn sie zur Risikolage, Branche oder den internen Anforderungen des Unternehmens passen. Anhang A dient als Kontrollrahmen, schließt zusätzliche Sicherheitsmaßnahmen aber nicht aus; diese können im ISMS und im Statement of Applicability sauber dokumentiert werden.

Der Anhang A (Annex A) der ISO 27001 übersetzt Informationssicherheit in konkrete Maßnahmen. Er bietet einen strukturierten Katalog aus 93 Controls, mit denen Unternehmen ihre individuellen Risiken gezielt steuern und die ISO-27001-Anforderungenfür die Zertifizierung erfüllen können.

ISO 27001 Annex A – Auf einen Blick

Was ist ISO 27001 Annex A?

ISO 27001 Annex A ist der Maßnahmenkatalog der ISO-Norm und enthält 93 Controls zur Behandlung von Informationssicherheitsrisiken aus der ISO-27001-Risikoanalyse

Welche Bereiche umfasst Anhang A der ISO 27001?

Der Anhang A der ISO 27001 gliedert die Controls in organisatorische, personenbezogene, physische und technologische Maßnahmen.

Muss ein Unternehmen alle Annex-A-Controls umsetzen?

Umgesetzt werden nur die Controls, die zur Risikolage, zum Scope und zu den Anforderungen des Unternehmens passen.

Welche Rolle spielt das Statement of Applicability?

Das Statement of Applicability dokumentiert, welche Controls angewendet, ausgeschlossen oder bereits umgesetzt wurden und warum diese Entscheidungen fachlich begründet sind.

Was ist der Annex A der ISO 27001?

Der Anhang A der ISO 27001, international als Annex A bezeichnet, ist der Maßnahmenkatalog der Norm. Er enthält in der aktuellen Version 93 Sicherheitsmaßnahmen (Controls), mit denen Unternehmen Risiken für Vertraulichkeit, Integrität und Verfügbarkeit behandeln können, und bildet damit einen zentralen Standard für die Umsetzung von Informationssicherheitsmaßnahmen.

Während die Hauptkapitel der ISO/IEC 27001 den Aufbau von einem Informationssicherheitsmanagementsystem (ISMS) beschreiben, konkretisiert Annex A die Schutzmaßnahmen. Dazu gehören organisatorische Vorgaben, personenbezogene Maßnahmen, physische Absicherungen und technische Kontrollen für Daten, Systeme und Prozesse.

Entscheidend ist der risikobasierte Ansatz bei der Auswahl. Annex A ist keine Pflichtliste, die jedes Unternehmen vollständig abarbeiten muss. Welche Controls anwendbar sind, hängt vom Umfang, von der ISO-27001-Risikoanalyse, der Branche, der Unternehmensgröße und den eingesetzten IT-Systemen ab.

Die Auswahl wird im Statement of Applicability (SoA) dokumentiert. Dort wird festgehalten, welche Annex-A-Controls angewendet, umgesetzt oder begründet ausgeschlossen werden. Damit bildet das SoA die Verbindung zwischen Risikoanalyse, Sicherheitsmaßnahmen und späteren Nachweisen im Zertifizierungsaudit.

Änderungen in Annex A seit ISO 27001:2022

Mit der Version ISO 27001:2022 wurde 2022 der Anhang A deutlich neu strukturiert. In ISO 27001:2013 umfasste der Maßnahmenkatalog noch 114 Controls in 14 Abschnitten. Die aktuelle Fassung reduziert den Katalog auf 93 Controls in vier Themenfeldern.

Diese Änderung bedeutet nicht, dass Informationssicherheit weniger umfangreich bewertet wird. Viele frühere Maßnahmen wurden zusammengeführt, Dopplungen reduziert und neue Anforderungen ergänzt. Dadurch lässt sich der Maßnahmenkatalog heute besser auf die Organisation eines Unternehmens übertragen.

Die wichtigsten Änderungen im Überblick:

neue Struktur: Statt 14 Abschnitten gibt es vier Control-Gruppen für organisatorische, personenbezogene, physische und technologische Maßnahmen.
weniger Redundanz: Die Anzahl der Controls wurde von 114 auf 93 reduziert, viele Inhalte wurden gebündelt.
moderne Risiken: Neue Controls greifen Themen wie Cloud-Sicherheit, Threat Intelligence, Datenmaskierung, Webfilterung und sichere Entwicklung auf.
bessere Zuordnung: Verantwortlichkeiten lassen sich leichter auf IT, HR, Facility Management, Compliance oder Datenschutz verteilen.

Besonders wichtig sind die 11 neuen Controls der 2022er-Version. Dazu gehören unter anderem Threat Intelligence, Informationssicherheit für Cloud-Dienste, ICT Readiness for Business Continuity, Datenmaskierung, Data Leakage Prevention, Webfilterung und Secure Coding.

Diese Neuerungen zeigen, wie stark sich der Anhang A an realen Entwicklungen in Cybersicherheit, Cloud-Nutzung und digitaler Zusammenarbeit orientiert.

Beratung zur ISO 27001

Die Auswahl der passenden Annex-A-Controls entscheidet darüber, ob Ihr ISMS im Audit belastbar wirkt. CSM-Consulting unterstützt Sie dabei, geeignete Sicherheitsmaßnahmen risikobasiert auszuwählen, das Statement of Applicability fachlich sauber zu begründen und die Umsetzung nachvollziehbar nachzuweisen.

Aufbau von Anhang A der ISO 27001: 93 Controls in vier Bereichen

Die aktuelle Struktur des Anhangs A ist nach Verantwortlichkeiten gruppiert. Das macht es Unternehmen deutlich leichter, die Umsetzung der 93 Maßnahmen in die Hände der jeweiligen Fachabteilungen zu legen.

A.5 Organisatorische Maßnahmen

Mit 37 Controls bilden die organisatorischen Maßnahmen den umfangreichsten Teil von Anhang A. Sie schaffen den Rahmen für Informationssicherheit. Hier geht es um das ISO-27001-Asset-Management, Richtlinien, Rollen, Lieferantensteuerung, Lieferantenbewertung, Incident-Management, Datenschutz und ISO-27001-Compliance

In der Praxis arbeitet der Informationssicherheitsbeauftragte hier eng mit Geschäftsführung, Einkauf, Datenschutz und Fachbereichen zusammen. Ein gutes Beispiel ist die Cloud-Nutzung. Es reicht nicht, einen Cloud-Dienst technisch freizuschalten.

Das Unternehmen braucht klare Vorgaben zur Auswahl, Bewertung und Überwachung des Anbieters. Erst dann wird aus einem Tool ein kontrollierter Prozess. A.5 sorgt damit für die Struktur, auf der viele andere Anhang-A-Kontrollen aufbauen. Ohne klare Zuständigkeiten, dokumentierte Vorgaben und überprüfbare Prozesse bleiben technische Lösungen schnell isoliert.

A.6 Personenbezogene Maßnahmen

Die personenbezogenen Maßnahmen (People Controls) umfassen 8 Controls. Dieser Bereich ist kleiner, aber kritisch, weil er den Faktor Mensch in die Informationssicherheit einbindet.

Besonders relevant sind hier HR, Führungskräfte und die jeweiligen Fachbereiche. Ein typisches Beispiel ist Awareness: Eine Richtlinie allein zeigt noch nicht, dass Mitarbeiter Sicherheitsrisiken verstehen. Besser wirken regelmäßige Schulungen, kurze Tests oder realistische Phishing-Simulationen. So wird sichtbar, ob Vorgaben im Alltag ankommen.

Auch Rollenwechsel und Austritt sind kritisch. Wenn Zugänge nach einem Abteilungswechsel oder einer Kündigung zu lange aktiv bleiben, entsteht ein vermeidbares Risiko. A.6 verbindet deshalb Personalprozesse direkt mit Informationssicherheit.

A.7 Physische Maßnahmen

Diese 14 Sicherheitsmaßnahmen schützen Standorte, Räume, Geräte und Datenträger vor unbefugtem Zugriff oder Umwelteinflüssen. Hier ist häufig die Zusammenarbeit zwischen Facility Management, Office Management, IT und Sicherheitsdiensten gefragt.

In der Praxis geht es um sehr konkrete Fragen. Wer darf den Serverraum betreten? Wie werden Besucher begleitet? Was passiert mit alten Festplatten? Sind sensible Unterlagen am Arbeitsplatz sichtbar? Solche Themen wirken unscheinbar, sind im Audit aber leicht prüfbar.

A.7 zeigt damit, dass Informationssicherheit auch außerhalb digitaler Systeme entsteht. Ein verschlüsseltes System hilft wenig, wenn Datenträger unkontrolliert entsorgt oder sensible Bereiche ohne Zutrittsregelung betreten werden können.

A.8 Technologische Maßnahmen

Die technologischen Maßnahmen (Technological Controls) betreffen IT-Systeme, Netzwerke, Anwendungen und digitale Datenflüsse. In diesem Block finden sich insgesamt 34 Sicherheitsmaßnahmen, darunter viele Klassiker der Cybersicherheit wie Zugriffskontrolle, Verschlüsselung, Backup und ISO-27001-Schwachstellenmanagement sowie moderne Anforderungen wie Webfilterung und Datenmaskierung.

Wichtig ist das Zusammenspiel. Wenn ein Laptop verloren geht, greifen mehrere Controls gleichzeitig: Die Verschlüsselung schützt die Daten, das Asset Management hilft bei der Zuordnung des Geräts und das Incident Management regelt Meldung, Bewertung und weitere Maßnahmen.

A.8 ist damit der sichtbarste technische Bereich von Anhang A, funktioniert aber nie allein. Technologische Maßnahmen brauchen organisatorische Vorgaben, geschulte Mitarbeiter und saubere Nachweise. Genau diese Verbindung entscheidet später auch im ISO-27001-Audit über die Belastbarkeit der Umsetzung.

Auswahl der Annex-A-Maßnahmen

Ein Unternehmen muss nicht alle 93 Controls aus Anhang A umsetzen. Entscheidend ist, welche Informationssicherheitsmaßnahmen zur eigenen Risikolage, zum Scope und zur tatsächlichen Arbeitsweise passen.

Die Auswahl folgt der ISO-27001-Risikobewertung. Eine saubere Risikobewertung zeigt, welche Controls wirklich relevant sind und welche Maßnahmen nur unnötigen Aufwand erzeugen. Für ein Unternehmen mit eigener Softwareentwicklung sind andere Controls wichtig als für einen reinen Dienstleister ohne Entwicklungsteam. Auch Größe, eingesetzte Technologie und externe Schnittstellen verändern die Auswahl.

Für jede Maßnahme aus Anhang A braucht es eine klare Entscheidung:

Einschluss: Das Control ist anwendbar und wird umgesetzt, weil es ein Risiko behandelt oder für den Scope relevant ist.
Ausschluss: Das Control ist nicht anwendbar, etwa weil ein Prozess, eine Technologie oder ein Geschäftsbereich im Unternehmen nicht existiert.

Wichtig ist die Begründung. Ein ausgeschlossener Control ist im Audit kein Problem. Ein schlecht begründeter Ausschluss hingegen schon. Genau deshalb wird die Auswahl später in der Anwendbarkeitserklärung dokumentiert und mit Risikoanalyse, Risikobehandlungsplan und den gewählten ISO-27001-Controls verbunden.

Statement of Applicability

Das Statement of Applicability, auf Deutsch Anwendbarkeitserklärung, dokumentiert die Auswahl der Maßnahmen aus Anhang A. Es zeigt, welche Controls für das Unternehmen gelten, welche ausgeschlossen wurden und wie diese Entscheidungen begründet sind.

Damit ist das SoA deutlich mehr als eine Tabelle für das Audit. Es verbindet Risikoanalyse, Risikobehandlungsplan und praktische Umsetzung der Informationssicherheitsmaßnahmen. Für jede Maßnahme aus Anhang A sollte nachvollziehbar sein:

Anwendbarkeit: Ist das Control für Scope, Risiken und Organisation relevant?
Begründung: Warum wird die Maßnahme umgesetzt oder ausgeschlossen?
Umsetzungsstand: Ist das Control bereits eingeführt, teilweise umgesetzt oder noch geplant?

Im externen Audit wird das SoA besonders genau betrachtet. Hier erkennt der Auditor, ob Anhang A wirklich verstanden wurde oder nur formal abgearbeitet wird. Eine starke Anwendbarkeitserklärung zeigt die Risikologik des Unternehmens und macht nachvollziehbar, welche Gefahren bestehen, welche Maßnahmen gewählt wurden und welche Nachweise die Umsetzung belegen.

ISO 27001 Annex A und ISO 27002

ISO 27001 Annex A nennt die Controls, die bei der Risikobehandlung berücksichtigt werden. Dafür dient die ISO 27002 als Leitfaden für die praktische Umsetzung und erklärt deutlich ausführlicher, wie Informationssicherheitskontrollen gestaltet werden können.

Der Unterschied ist wichtig. ISO 27001 bleibt die Zertifizierungsnorm. Sie beschreibt, welche Anforderungen erfüllt und nachgewiesen werden müssen. ISO 27002 ist keine Pflichtnorm für die ISO-Zertifizierung, aber ein wertvoller Leitfaden für Informationssicherheitsbeauftragte, IT, Datenschutz und weitere Fachbereiche. Sie hilft dabei, abstrakte Controls in konkrete Abläufe, Zuständigkeiten und Nachweise zu übersetzen.

Häufige Fragen und Antworten

Was ist der Anhang A von ISO 27001?

Der Anhang A ist eine kompakte Übersicht über mögliche Sicherheitsmaßnahmen innerhalb der ISO/IEC 27001. Er unterstützt Unternehmen dabei, ihr Informationssicherheits-Managementsystem mit passenden organisatorischen, personellen, physischen und technischen Schutzmaßnahmen auszugestalten, und ist damit ein zentraler Bestandteil der internationalen Welt der Informationssicherheitsstandards.

Muss ein Unternehmen alle Annex-A-Controls umsetzen?

Nein, ein Unternehmen muss die Annex-A-Controls anhand seiner Informationssicherheitsrisiken bewerten und daraus die passenden Maßnahmen ableiten. Entscheidend ist nicht die vollständige Umsetzung aller Controls, sondern eine nachvollziehbare Auswahl mit sauber begründeten Ausschlüssen.

Was regeln A.5.1, A.6.1, A.7.1 und A.8.1 in ISO 27001 Annex A?

A.5.1, A.6.1, A.7.1 und A.8.1 markieren jeweils den Einstieg in die vier Kategorien des Annex A. A.5.1 betrifft Informationssicherheitsleitlinien, A.6.1 die Sicherheitsüberprüfung vor der Einstellung, A.7.1 physische Sicherheitsbereiche und A.8.1 den Umgang mit Endgeräten der Benutzer.

Kann ein Unternehmen eigene Maßnahmen hinzufügen, die nicht im Anhang A stehen?

Ja, eigene Maßnahmen sind möglich, wenn sie zur Risikolage, Branche oder den internen Anforderungen des Unternehmens passen. Anhang A dient als Kontrollrahmen, schließt zusätzliche Sicherheitsmaßnahmen aber nicht aus; diese können im ISMS und im Statement of Applicability sauber dokumentiert werden.