.svg)
Das Wichtigste in Kürze
- ISO 27001 Controls sind die 93 Sicherheitsmaßnahmen aus Anhang A der Norm, verteilt auf vier Themen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Controls.
- Die Revision vom 25. Oktober 2022 hat die vorherigen 114 Controls neu geordnet: 11 kamen neu hinzu, 57 wurden zu 24 zusammengeführt, 23 umbenannt, 3 gestrichen und 35 blieben unverändert.
- Die 11 neuen Controls decken Themen ab, die es 2013 so noch nicht gab, darunter Threat Intelligence (A.5.7), Cloud-Sicherheit (A.5.23), Datenmaskierung (A.8.11) und sichere Codierung (A.8.28).
- Kein Unternehmen muss alle 93 Controls umsetzen. Welche gelten, entscheidet die Risikobewertung; dokumentiert wird das Ergebnis in der Erklärung zur Anwendbarkeit (Statement of Applicability).
- Die Übergangsfrist auf die Version 2022 endete am 31. Oktober 2025. Zertifikate nach ISO 27001:2013 sind seitdem ungültig, ein Audit gegen die alte Fassung ist nicht mehr möglich.
Was sind ISO 27001 Controls?
ISO 27001 Controls sind die 93 Sicherheitsmaßnahmen, die Anhang A der Norm auflistet. Jedes Control beschreibt ein Sicherheitsziel und die Maßnahme, mit der ein Unternehmen dieses Ziel erreicht, etwa die Steuerung von Zugangsrechten, den Schutz vor Schadsoftware oder die Meldung von Sicherheitsvorfällen. Die deutsche Normfassung spricht von „Maßnahmen"; im Sprachgebrauch der Praxis hat sich der englische Begriff Control durchgesetzt.
Wichtig ist die Abgrenzung zum Hauptteil der Norm. Die Kapitel 4 bis 10 enthalten die verpflichtenden Anforderungen an das Managementsystem selbst: Kontext, Führung, Planung, Betrieb, Bewertung und Verbesserung. Diese Kapitel gelten immer und vollständig. Anhang A dagegen ist eine Referenzliste, aus der Sie auswählen. Wie beide Teile zusammenspielen und was im Audit tatsächlich geprüft wird, behandelt unser Leitfaden zur ISO 27001 Zertifizierung.
Ein verbreitetes Missverständnis: Anhang A sei eine Checkliste zum Abarbeiten. Das ist nicht der Fall. Anhang A ist eine Vollständigkeitsprüfung. Sie ermitteln zuerst Ihre Risiken, leiten daraus Maßnahmen ab und gleichen diese anschließend gegen Anhang A ab, um zu sehen, ob Sie etwas übersehen haben. Wer in umgekehrter Reihenfolge arbeitet, baut ein ISMS, das zur Norm passt, aber nicht zum Unternehmen.
Die ausführlichen Umsetzungshinweise zu jedem Control stehen nicht in der ISO 27001, sondern in der Schwesternorm ISO 27002:2022. Dort ist jedes Control zusätzlich mit fünf Attributen versehen, die das Filtern erleichtern: Maßnahmenart (präventiv, aufdeckend, korrigierend), betroffenes Schutzziel (Vertraulichkeit, Integrität, Verfügbarkeit), Cybersecurity-Konzept nach dem NIST-Muster von Identify bis Recover, operative Fähigkeit und Sicherheitsdomäne.
Wie viele Controls hat die ISO 27001?
Die ISO 27001:2022 enthält 93 Controls in vier Themenbereichen. Die Nummerierung folgt dem Thema: organisatorische Controls tragen die Nummern A.5.1 bis A.5.37, personenbezogene A.6.1 bis A.6.8, physische A.7.1 bis A.7.14 und technologische A.8.1 bis A.8.34.
Die Verteilung sagt etwas über den Charakter der Norm aus. Nur 34 der 93 Controls sind technischer Natur. Die Mehrheit betrifft Organisation, Dokumentation und Menschen. Teams, die ISO 27001 als reines IT-Projekt aufsetzen, unterschätzen deshalb regelmäßig den Aufwand in den Kapiteln A.5 und A.6.
Die vier Control-Kategorien im Detail
Organisatorische Controls (A.5.1 bis A.5.37)
Die 37 organisatorischen Controls regeln, wie Informationssicherheit im Unternehmen gesteuert wird: welche Richtlinien es gibt, wer verantwortlich ist, wie mit Lieferanten umgegangen wird und wie das Unternehmen auf Vorfälle reagiert. Sie sind die größte Gruppe und in der Regel die zeitaufwendigste, weil hier Dokumente entstehen müssen, die vorher oft nicht existieren.
Personenbezogene Controls (A.6.1 bis A.6.8)
Die 8 personenbezogenen Controls decken den gesamten Beschäftigungszyklus ab, von der Sicherheitsüberprüfung vor der Einstellung bis zu den Pflichten nach dem Austritt. Sie sind die kleinste Gruppe und werden trotzdem überdurchschnittlich häufig zum Audit-Finding, weil Nachweise fehlen: Schulungen finden statt, aber niemand dokumentiert die Teilnahme.
Physische Controls (A.7.1 bis A.7.14)
Die 14 physischen Controls schützen Standorte, Räume und Geräte. Auch ein reines Cloud-Unternehmen ohne eigenes Rechenzentrum kommt hier nicht mit einem pauschalen Ausschluss durch: Büros, Laptops, Speichermedien und die Entsorgung von Altgeräten fallen ebenfalls unter A.7. Für ausgelagerte Rechenzentren verlagert sich die Nachweispflicht auf das Lieferantenmanagement in A.5.19 bis A.5.22.
Technologische Controls (A.8.1 bis A.8.34)
Die 34 technologischen Controls betreffen die IT-Infrastruktur: Zugriffsrechte, Verschlüsselung, Netzwerke, Protokollierung, Backups und die sichere Softwareentwicklung. Sieben der elf neuen Controls aus der Revision 2022 liegen in dieser Gruppe, was zeigt, wo die Normgeber den größten Nachholbedarf gesehen haben.
Die 11 neuen Controls der Revision 2022
Die Revision 2022 hat 11 Controls neu eingeführt. Sie schließen die Lücken, die zwischen 2013 und 2022 entstanden sind: Cloud-Nutzung, verteiltes Arbeiten, Softwarelieferketten und der Umgang mit Daten in Testumgebungen.
Der Aufwand für diese elf Controls verteilt sich sehr ungleich. A.8.10 und A.8.11 lassen sich in vielen Unternehmen aus vorhandenen Datenschutzprozessen ableiten, weil Löschkonzept und Pseudonymisierung ohnehin für die DSGVO gebraucht werden. A.5.7 und A.8.16 dagegen setzen laufende Prozesse voraus, die vor dem Audit nicht in zwei Wochen entstehen. Wer Anhang A gegen die eigene Sicherheitsarchitektur spiegeln möchte, findet in unserem Überblick zu NIS2 und ISO 27001 außerdem die Zuordnung zu den Risikomanagementmaßnahmen aus Artikel 21 NIS2.
Was sich von der Version 2013 zur Version 2022 geändert hat
Die ISO/IEC 27001:2022 erschien am 25. Oktober 2022 und ersetzte die Fassung von 2013. Aus 114 Controls in 14 Domänen wurden 93 Controls in vier Themen. Die Zahl sank, der Umfang nicht: Der größte Teil der Reduktion stammt aus Zusammenlegungen, nicht aus Streichungen.
Auch der Titel des Anhangs wechselte, von „Reference control objectives and controls" zu „Information security controls reference". Das ist mehr als Kosmetik: Die Control Objectives sind entfallen, die Zielsetzung steckt jetzt im jeweiligen Control selbst.
Die Umstellungsfrist ist abgelaufen. Nach der Umstellungsanleitung der DAkkS endete sie am 31. Oktober 2025; Zertifikate auf Basis der ISO 27001:2013 sind seit diesem Datum ungültig. Für Erstzertifizierungen spielt die alte Fassung damit keine Rolle mehr. Wer heute ein Angebot erhält, das sich auf die Version 2013 bezieht, sollte nachfragen.
2024 kam mit ISO/IEC 27001:2022/Amd 1:2024 eine kleine Ergänzung hinzu. Sie betrifft nicht Anhang A, sondern die Kapitel 4.2 und 6.1.2: Unternehmen müssen prüfen, ob der Klimawandel für ihr Managementsystem relevant ist. An der Zahl 93 ändert sich nichts.
Welche Controls gelten für Ihr Unternehmen?
Welche der 93 Controls anwendbar sind, ergibt sich aus Ihrer Risikobewertung, nicht aus einer Vorgabe der Norm. Das Ergebnis halten Sie in der Erklärung zur Anwendbarkeit fest, dem Statement of Applicability. Dieses Dokument listet alle 93 Controls auf und begründet für jedes einzelne, ob es angewendet wird und warum. Auditoren lesen es zuerst; es ist das meistgeprüfte Dokument im gesamten ISMS.
Ausschlüsse sind ausdrücklich erlaubt, aber nur mit sachlicher Begründung. „Nicht relevant" reicht nicht. „Wir betreiben keine eigene Entwicklung, daher entfallen A.8.25 bis A.8.31" ist eine Begründung, die trägt, solange sie zum tatsächlichen Geschäftsmodell passt.
Ein Beispiel aus der Praxis: Ein SaaS-Anbieter mit 45 Mitarbeitern, vollständig auf AWS, ohne eigenes Rechenzentrum und mit einem einzigen Büro. Anwendbar sind so gut wie alle organisatorischen und personenbezogenen Controls, weil die von der Größe unabhängig sind. Bei den physischen Controls reduziert sich der Aufwand auf Büro, Endgeräte und Entsorgung, während die Rechenzentrumssicherheit über das Lieferantenmanagement nachgewiesen wird. Die technologischen Controls sind fast vollständig einschlägig, weil eigene Software entwickelt wird. Unterm Strich bleiben nur wenige echte Ausschlüsse übrig.
Genau hier entstehen die meisten Findings. Nicht bei fehlenden Controls, sondern bei Controls, für die zum Auditzeitpunkt keine Belege der letzten Monate vorliegen. Wie sich der Aufwand in Zahlen übersetzt, zeigt unsere Übersicht dazu, was eine ISO 27001 Zertifizierung kostet.
Wie Kertos die Umsetzung der Controls unterstützt
Kertos bildet alle 93 Annex-A-Controls in der Plattform ab und verknüpft sie mit den Nachweisen, die sie belegen. Statt Belege vor dem Audit einzusammeln, ziehen automatisierte Checks sie laufend aus den verbundenen Systemen, etwa aus der Identitätsverwaltung, dem Endgerätemanagement oder der Cloud-Umgebung. Die Erklärung zur Anwendbarkeit entsteht dabei aus der Risikobewertung heraus und bleibt mit ihr verbunden, statt als getrennte Tabelle zu veralten.
Dazu kommen zertifizierte Experten, die die Auswahl und Begründung der Controls mitverantworten und Sie durch das Audit begleiten. AskUI hat auf diesem Weg die ISO 27001 Zertifizierung in 8 bis 10 Wochen erreicht. Welche Anforderungen ein ISMS mitbringt, bevor es um einzelne Controls geht, behandelt unser Leitfaden zum Aufbau eines ISMS.
Wenn Sie sehen möchten, wie die Zuordnung von Controls zu Nachweisen in Ihrer Umgebung aussieht, buchen Sie eine Demo.
Häufig gestellte Fragen
Wie viele Controls hat die ISO 27001?
Die ISO 27001:2022 enthält 93 Controls in Anhang A, aufgeteilt in 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Controls. Die Vorgängerversion ISO 27001:2013 enthielt 114 Controls in 14 Domänen.
Muss ich alle 93 Controls umsetzen?
Nein. Welche Controls anwendbar sind, ergibt sich aus Ihrer Risikobewertung. Sie müssen aber alle 93 in der Erklärung zur Anwendbarkeit einzeln bewerten und jeden Ausschluss sachlich begründen. Nicht begründete Ausschlüsse führen im Audit zu Abweichungen.
Was ist der Unterschied zwischen den ISO 27001 Controls und den Kapiteln der Norm?
Die Kapitel 4 bis 10 enthalten die verpflichtenden Anforderungen an das Managementsystem und gelten immer vollständig. Anhang A ist eine Referenzliste von 93 Controls, aus der Sie risikobasiert auswählen. Zertifiziert wird gegen beides, aber nur der Hauptteil ist ohne Ausnahme verbindlich.
Welche Controls sind in der ISO 27001:2022 neu?
Elf Controls kamen 2022 hinzu: Threat Intelligence (A.5.7), Sicherheit bei der Nutzung von Cloud-Diensten (A.5.23), IKT-Bereitschaft für Business Continuity (A.5.30), physische Sicherheitsüberwachung (A.7.4), Konfigurationsmanagement (A.8.9), Löschung von Informationen (A.8.10), Datenmaskierung (A.8.11), Verhinderung von Datenlecks (A.8.12), Überwachungsaktivitäten (A.8.16), Webfilterung (A.8.23) und sichere Codierung (A.8.28).
Gibt es die ISO 27001 Controls als Liste zum Download?
Die vollständige Liste finden Sie in den Tabellen weiter oben in diesem Artikel, sortiert nach den vier Themenbereichen. Die verbindliche Formulierung und die Umsetzungshinweise stehen im Normtext selbst: die Anforderungen in der ISO/IEC 27001:2022, die ausführliche Anleitung je Control in der ISO/IEC 27002:2022. Beide sind kostenpflichtig bei der ISO erhältlich.
Gilt ein Zertifikat nach ISO 27001:2013 noch?
Nein. Die Umstellungsfrist endete am 31. Oktober 2025. Zertifikate nach ISO 27001:2013 sind seitdem ungültig, und Audits werden ausschließlich gegen die Fassung von 2022 durchgeführt.
