Die Tabelle A.1 im Anhang A der ISO 27001 ist der Maßnahmenkatalog, mit dem Unternehmen ihr Informationssicherheits-Managementsystem (ISMS) auf Vollständigkeit prüfen. Sie listet 93 Informationssicherheitsmaßnahmen, sogenannte Controls. Unternehmen wählen daraus risikobasiert aus und begründen ihre Entscheidung in der Anwendbarkeitserklärung. Wie sich eine Maßnahme konkret umsetzen lässt, beschreibt die ISO/IEC 27002. Dieser Beitrag zeigt, wie Tabelle A.1 aufgebaut ist, warum Auditoren sie so genau betrachten und wie die Umsetzung im Alltag gelingt.
Was ist Tabelle A.1 der ISO/IEC 27001?
Tabelle A.1 steht im normativen Anhang A der ISO/IEC 27001:2022 und enthält 93 Informationssicherheitsmaßnahmen in vier Themenbereichen. Die Norm ergänzt sie um Kapitel 4 bis 10, die verbindlichen Anforderungen an das ISMS. Die Maßnahmen sind eine Referenzliste und kein starres Pflichtprogramm.
| Themenbereich | Nummernkreis | Anzahl | Beispiele |
|---|---|---|---|
| Organisatorisch | 5.1 – 5.37 | 37 | Richtlinien, Zugangssteuerung, Lieferantenbeziehungen |
| Personenbezogen | 6.1 – 6.8 | 8 | Sensibilisierung, Vertraulichkeitsvereinbarungen, Remote-Arbeit |
| Physisch | 7.1 – 7.14 | 14 | Zutritt, Clean Desk, Geräteentsorgung |
| Technologisch | 8.1 – 8.34 | 34 | Datensicherung, Protokollierung, Kryptografie |
Die Fassung von 2022 hat die 114 Maßnahmen der Vorgängerversion auf 93 verdichtet. Dabei kamen elf neue Maßnahmen hinzu, darunter Bedrohungsinformationen (5.7), Cloud-Dienste (5.23), Konfigurationsmanagement (8.9), Löschen von Informationen (8.10), Datenmaskierung (8.11), Verhinderung von Datenlecks (8.12), Überwachungstätigkeiten (8.16), Webfilterung (8.23) und sichere Programmierung (8.28). Die Übergangsfrist für Zertifikate nach ISO/IEC 27001:2013 ist abgelaufen. Eine Tabelle A.1 in der Fassung von 2013 reicht daher nicht mehr aus.
Warum ist Anhang A der ISO 27001 so wichtig?
Anhang A ist wichtig, weil er sicherstellt, dass bei der Risikobehandlung keine notwendige Maßnahme übersehen wird. Die Norm verlangt in Kapitel 6.1.3, die selbst festgelegten Maßnahmen mit Tabelle A.1 abzugleichen. Außerdem muss die Anwendbarkeitserklärung (Statement of Applicability, SoA) alle Maßnahmen aufführen, ihren Umsetzungsstand nennen und jeden Ausschluss begründen.
Dafür gibt es mehrere Gründe:
- Vollständigkeitsprüfung: Der Abgleich deckt blinde Flecken auf, etwa bei Lieferanten, Löschkonzepten oder Cloud-Nutzung.
- Zentrales Auditdokument: Die SoA ist der Einstieg für jedes Zertifizierungsaudit. Von ihr aus verfolgen Auditoren die Linie von der Risikoanalyse zur Maßnahme und zum Nachweis.
- Gemeinsame Sprache: Kunden, Auftraggeber und Aufsichten erwarten vergleichbare Aussagen zum Sicherheitsniveau. Die Nummerierung der Maßnahmen schafft diese Vergleichbarkeit.
- Begründungspflicht: Wer eine Maßnahme ausschließt, muss das fachlich erklären. Das zwingt zu einer bewussten Entscheidung statt zu stillschweigendem Weglassen.
Tabelle A.1 ist nicht abschließend. Unternehmen dürfen und sollen eigene Maßnahmen ergänzen, wenn ihre Risiken es erfordern.
Wie hilft die ISO 27002 bei der Umsetzung der Maßnahmen?
Die ISO/IEC 27002:2022 liefert zu jeder Maßnahme aus Tabelle A.1 Zweck, Maßnahmenbeschreibung, Umsetzungshinweise und weiterführende Informationen. Anhang A sagt also, was zu regeln ist, und die ISO 27002 erklärt, wie. Die ISO 27002 ist ein Leitfaden und nicht zertifizierbar. Ihre Hinweise sind Empfehlungen, kein Prüfmaßstab.
Besonders nützlich sind die Attribute, die jede Maßnahme in der ISO 27002 trägt:
- Maßnahmenart: präventiv, detektiv oder korrektiv
- Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit
- Cybersicherheitskonzepte: zum Beispiel Identifizieren, Schützen, Erkennen
- Sicherheitsdomänen: zum Beispiel Governance, Schutz oder Abwehr
Mit diesen Attributen lässt sich die SoA nach Schutzzielen filtern. So zeigt sich schnell, ob etwa genug detektive Maßnahmen vorhanden sind oder nur präventive.
Umsetzung von Tabelle A.1: So gelingt der Einstieg
- Geltungsbereich festlegen: Standorte, Prozesse und Systeme im ISMS-Scope klar abgrenzen.
- Risikobeurteilung durchführen: Daraus ergibt sich, welche Maßnahmen überhaupt nötig sind.
- Mit Tabelle A.1 abgleichen: Jede der 93 Maßnahmen prüfen, ob sie relevant ist.
- SoA erstellen: Pro Maßnahme Anwendbarkeit, Umsetzungsstand und Begründung festhalten.
- Umsetzung mit ISO 27002 ausgestalten: Hinweise der ISO 27002 in Richtlinien, Prozesse und technische Vorgaben überführen.
- Wirksamkeit nachweisen: Aufzeichnungen, Tests und Kennzahlen sammeln, die zeigen, dass die Maßnahme im Alltag funktioniert.
Konkrete Umsetzungshinweise aus der Praxis
Die folgenden Beispiele zeigen, wie sich ausgewählte Maßnahmen umsetzen lassen und was Auditoren üblicherweise als Nachweis sehen wollen.
| Maßnahme | Umsetzungshinweis | Typischer Nachweis |
|---|---|---|
| 5.15 / 5.18 Zugangssteuerung, Zugangsrechte | Rollenkonzept nach Need-to-know, Prozess für Eintritt, Wechsel und Austritt, regelmäßige Rechteüberprüfung | Berechtigungsmatrix, Protokolle der Rechteüberprüfung |
| 5.19 – 5.23 Lieferanten und Cloud | Lieferanten nach Kritikalität einstufen, Sicherheitsanforderungen vertraglich festlegen, Ausstiegsszenario planen | Lieferantenliste, Verträge, Bewertungen |
| 5.30 IKT-Bereitschaft für Betriebskontinuität | Wiederanlaufzeiten und akzeptablen Datenverlust je System festlegen und testen | Notfallkonzept, Testprotokolle |
| 6.3 Sensibilisierung und Schulung | Schulung beim Onboarding und danach regelmäßig, ergänzt durch Phishing-Simulationen | Teilnahmelisten, Schulungsinhalte |
| 6.7 Remote-Arbeit | Richtlinie, verschlüsselte Geräte, gesicherte Fernzugänge | Richtlinie, Geräteinventar, VPN-Konfiguration |
| 7.2 / 7.4 Zutritt, physische Überwachung | Zutrittsregeln für Serverräume, Besucherregelung, Überwachung sensibler Bereiche | Zutrittsprotokolle, Besucherbuch |
| 8.8 Schwachstellenmanagement | Patch-Fristen nach Kritikalität, regelmäßige Schwachstellenscans | Scanberichte, Patch-Status |
| 8.9 Konfigurationsmanagement | Hardening-Standards und Basiskonfigurationen für Server, Clients und Netzwerk | Konfigurationsstandards, Abweichungsberichte |
| 8.13 Datensicherung | Mehrere Kopien auf unterschiedlichen Medien, eine davon getrennt vom Produktivnetz, regelmäßige Wiederherstellungstests | Backup-Konzept, Restore-Protokolle |
| 8.15 / 8.16 Protokollierung, Überwachung | Zentrale Logs, definierte Alarmierung, Aufbewahrungsfristen | Log-Konzept, Alarmierungsregeln, Vorfallberichte |
Kleine Organisationen müssen dafür keine teuren Speziallösungen kaufen. Entscheidend ist, dass Verantwortlichkeiten, Verfahren und Nachweise zum Risiko passen.
Typische Fehler bei Tabelle A.1 und der Anwendbarkeitserklärung
- Pauschal „umgesetzt“: Eine SoA, in der alle Maßnahmen ohne Beleg als erfüllt gelten, überzeugt keinen Auditor.
- Ausschluss ohne Begründung: Wer eine Maßnahme streicht, muss das mit dem Ergebnis der Risikoanalyse erklären.
- Papier statt Praxis: Eine Richtlinie allein belegt keine Wirksamkeit. Im Audit zählen Aufzeichnungen und gelebte Abläufe.
- ISO 27002 als Pflichtkatalog: Die Hinweise sind Empfehlungen. Gleichwertige eigene Lösungen sind zulässig, wenn sie das Risiko wirksam behandeln.
- Veraltete Zuordnung: Wer noch mit den 114 Maßnahmen von 2013 arbeitet, verpasst die neuen Maßnahmen.
Häufige Fragen zum Anhang A Tabelle A.1 der ISO 27001
Müssen alle 93 Maßnahmen umgesetzt werden?
Nein. Maßnahmen werden risikobasiert ausgewählt. Verbindlich ist der Abgleich mit Tabelle A.1 und die Begründung in der SoA, auch bei Ausschlüssen.
Ist die ISO 27002 zertifizierbar?
Nein. Zertifiziert wird ausschließlich nach ISO/IEC 27001. Die ISO 27002 dient als Umsetzungsleitfaden.
Gilt die Tabelle A.1 von 2013 noch?
Nein. Die Übergangsfrist zur Fassung von 2022 ist abgelaufen. Maßgeblich sind die 93 Maßnahmen der ISO/IEC 27001:2022.
Fazit
Tabelle A.1 der ISO 27001 sorgt dafür, dass kein relevantes Risiko ohne Maßnahme bleibt, und bildet die Grundlage der Anwendbarkeitserklärung. Die ISO 27002 liefert dazu die praktischen Umsetzungshinweise. Wer die Maßnahmen risikobasiert auswählt, sauber begründet und mit Nachweisen unterlegt, geht entspannt ins Zertifizierungsaudit.
Sie möchten wissen, was sie genau benötigen um Ihre ISO/IEC 27001 Zertifizierungsvorhaben zu starten? Das Team der ADVANTA Cert informiert sie gerne über den Zertifizierungsprozess. Nehmen Sie einfach Kontakt auf.
