Navigation beim Übergang zu ISO 27001:2022

Der Übergang zur ISO 27001:2022 ist ein bedeutendes Vorhaben, aber eines, das mit dem richtigen Wissen und den richtigen Ressourcen erleichtert werden kann. Dieser Leitfaden liefert Ihnen alles, was Sie wissen müssen, um den Übergangsprozess erfolgreich zu bewältigen.

Zunächst wollen wir alle Mythen über die ISO 27001 beseitigen und erläutern, warum sie auch für Ihre Organisation entscheidend sein kann. Anschließend werden wir die wesentlichen Änderungen in der neuen Norm erörtern und erklären, wie diese Ihrer Organisation zugutekommen können. Zum Ende geben wir Ihnen eine Roadmap für den Übergang zur ISO 27001:2022 sowie Tipps zur Maximierung der Vorteile des Übergangs mit auf den Weg.

Was Sie in diesem Leitfaden erwartet

Eine kurze Übersicht über die ISO 27001:2022: Was ist die ISO 27001 und warum ist sie wichtig?

Bedeutung des Übergangs: Warum ist der Übergang zur ISO 27001:2022 wichtig und welche Vorteile hat er für Ihre Organisation?

Übergangszeitplan: Welche Übergangsfristen und Meilensteine gibt es, die Sie einhalten müssen, um Ihre Reise entsprechend zu planen?

Wesentliche Änderungen in der ISO 27001:2022: Welche signifikanten Änderungen gibt es in dieser Ausgabe?

Überarbeitete Anhang-A-Kontrollen: Wir werden die neu strukturierten Anhang-A-Kontrollen erklären und wie sie die Einhaltung vereinfachen können.

Ihre Übergangs-Roadmap: Wir stellen Ihnen eine strukturierte Roadmap für den Übergang zur ISO 27001:2022 zur Verfügung.

Proaktive Strategien: Zum Ende finden Sie wichtige Tipps dafür, wie Sie den Übergang als Gelegenheit zur Gesamtverbesserung und zur Verbesserung der Kommunikation maximieren können.

ISO 27001:2022: Der neue Standard für Informationssicherheit

ISO 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Er bietet Organisationen einen Rahmen für die Verwaltung ihrer Risiken im Bereich Informationssicherheit und den Schutz sensibler Daten.

Die neueste Version der ISO 27001, veröffentlicht im Jahr 2022, enthält mehrere signifikante Änderungen. Diese Änderungen sollen die Norm relevanter für die aktuelle Bedrohungslage machen und Organisationen dabei unterstützen, ihre Informationssicherheit zu verbessern. .

Warum ist es wichtig, zur ISO 27001:2022 überzugehen?

Es gibt eine Reihe von Gründen, warum es für Organisationen wichtig ist, zur ISO 27001:2022 überzugehen. Dazu gehören:

• Um den neuesten internationalen Standards für Informationssicherheit zu entsprechen.
  
  
• Um sensible Daten vor Cyberbedrohungen zu schützen.
  
  
• Um Kunden, Partnern und anderen Interessengruppen zu zeigen, dass die Organisation sich zur Informationssicherheit verpflichtet.
  
  
• Um die allgemeinen Risikomanagementprozesse der Organisation zu verbessern.
  
  
• Um das Risiko von Datenverstößen und anderen Vorfällen zu reduzieren.
  
  
• Um die Effizienz und Effektivität der Organisation zu steigern.
  
  
• Um die Reife des CIA-Prinzips (Vertraulichkeit, Integrität und Verfügbarkeit von Daten) weiter zu verbessern.

ISO 27001:2022 Übergangszeitplan

Der Übergangszeitraum für ISO 27001:2022 begann am 31. Oktober 2022 und endet am 31. Oktober 2025.

Während dieser Zeit haben Organisationen, die bereits nach ISO 27001:2013 zertifiziert sind, drei Jahre Zeit, um zur neuen Norm überzugehen.

Organisationen, die ihren ISO 27001-Zertifizierungsweg noch nicht begonnen haben, haben bis zum 1. April 2024 Zeit, um nach der neuen Norm zertifiziert zu werden.

Hier ist eine detaillierte Zeitleiste des Übergangszeitraums:

Oktober 2022: Der Übergangszeitraum beginnt.

Mai 2024: Alle erstmaligen (neuen) Zertifizierungen sollten nach der ISO 27001:2022-Ausgabe erfolgen.

Juli 2025: Alle Übergangsaudits sollten bis zu diesem Datum durchgeführt werden.

Oktober 2025: Der Übergangszeitraum endet. Zertifikate nach ISO/IEC 27001:2013 sind nach diesem Datum nicht mehr gültig.

Organisationen, die bereits nach ISO 27001:2013 zertifiziert sind:

• Können bis zum 31. Oktober 2025 weiterhin unter ihrer bestehenden Zertifizierung arbeiten.
  
  
• Müssen bis zu diesem Datum (Oktober 2025) zur ISO 27001:2022 übergehen.
  
  
• Können im Übergangszeitraums jederzeit zur neuen Version überzugehen.
  
  
• Müssen möglicherweise ein Übergangsaudit durchlaufen, um ihre Konformität mit der neuen Norm zu überprüfen.

Organisationen, die ihren ISO 27001-Zertifizierungsweg noch nicht begonnen haben:

• Müssen bis spätestens 1. April 2024 nach ISO 27001:2022 zertifiziert sein.
  
  
• Können sich dafür entscheiden, nach ISO 27001:2013 zertifiziert zu werden, dies gewährt ihnen jedoch keine zusätzliche Zeit für den Übergang zur neuen Norm.
  
  
• Es ist wichtig zu beachten, dass der Übergangszeitraum keine Gnadenfrist ist. Organisationen, die bis zum 31. Oktober 2025 nicht zur ISO 27001:2022 übergegangen sind, werden nicht mehr den Standard erfüllen und ihre Zertifikate werden ungültig sein..

Hier sind einige zusätzliche Dinge zu beachten hinsichtlich des Übergangszeitplans:

• Der Übergangszeitraum wurde konzipiert, um Organisationen ausreichend Zeit zur Implementierung der von ISO 27001:2022 geforderten Änderungen zu geben.
  
  
• Organisationen sollten jedoch den Übergangsprozess früher beginnen, wenn sie eine erhebliche Menge an Arbeit zu erledigen haben.
  
  
• Der Übergangsprozess kann komplex und anspruchsvoll sein, daher ist es wichtig, frühzeitig mit der Planung zu beginnen.
  
  
• Es stehen eine Reihe von Ressourcen zur Verfügung, die Organisationen bei ihrem Übergangsprozess unterstützen, wie etwa das Leitdokument der ISO selbst.

Jetzt unser on-demand Webinar zum Übergang zur neuen ISO 27001 ansehen.

Was sind die wesentlichen Änderungen in ISO 27001:2022?

Die neue Ausgabe von ISO 27001 bringt mehrere signifikante Änderungen mit sich, darunter:

Ein Fokus auf risikobasiertes Denken: Die überarbeitete Norm betont, wie wichtig es ist, dass Unternehmen ihre Risiken im Bereich der Informationssicherheit verstehen und Maßnahmen zur Risikominderung ergreifen. Dies ist eine wesentliche Änderung gegenüber der vorherigen Version, die sich auf einen vorschreibenderen Ansatz zur Informationssicherheit konzentrierte.

Eine stärkere Betonung der Bedeutung von Menschen und Kultur: Die neue Norm erkennt an, dass Menschen ein entscheidender Bestandteil eines jeden Informationssicherheitsprogramms sind. Sie betont die Wichtigkeit der Schaffung einer Kultur der Informationssicherheit in der Organisation. Dazu gehören Dinge wie Schulungen der Mitarbeiter zu bewährten Verfahren der Informationssicherheit und die Förderung einer sicherheitsbewussten Denkweise in der gesamten Organisation.

Die Einführung neuer Kontrollen zur Bewältigung aufkommender Bedrohungen: Die neue Norm enthält eine Reihe neuer Kontrollen zur Bewältigung aufkommender Bedrohungen, wie Cloud-Computing, Social Engineering und Datenverstöße. Diese neuen Kontrollen sollen Organisationen dabei helfen, dem neuesten Bedrohungsumfeld einen Schritt voraus zu sein und ihre Informationsschätze vor den neuesten Bedrohungen zu schützen.

Eine neue Aufteilung der Norm: Die neue Norm ändert die Aufteilung der Anhang-A-Kontrollen, indem sie in kleinere Gruppen aufgeteilt werden. Diese Kontrollen sind nun nach dem ausgerichtet, was sie am meisten schützen. Das vereinfacht die zuvor komplizierte Aufteilung.

Was hat sich in ISO 27001:2022 geändert?

Hier sind einige der spezifischen Änderungen in jedem Abschnitt der Norm:

Kontext und Anwendungsbereich: Die Anwendungsbereichsklausel gilt nun für "relevante" Anforderungen der interessierten Parteien und Prozesse. Das bedeutet, dass Organisationen die Bedürfnisse all ihrer Stakeholder berücksichtigen müssen, nicht nur ihrer Kunden und Lieferanten.

Planung: Die Planungsklausel erfordert nun, dass Organisationen ihre Ziele für die Informationssicherheit definieren und diese Ziele regelmäßig überwachen und überprüfen. Dies ist eine Änderung gegenüber der früheren Version, die nur verlangte, dass Organisationen ihre Richtlinien zur Informationssicherheit definieren.

Unterstützung: Die Unterstützungsklausel verlangt nun, dass Organisationen festlegen, wie sie Informationen zu Sicherheitsrisiken und Problemen an ihre Mitarbeiter kommunizieren.

Durchführung: Die Durchführungsklausel verlangt nun, dass Organisationen "extern erbrachte Prozesse, Produkte oder Dienstleistungen" kontrollieren, die für ihr ISMS relevant sind. Dies ist eine Änderung gegenüber der früheren Version, die nur verlangte, dass Organisationen ihre eigenen Prozesse und Systeme kontrollieren.

Die neue Struktur der Anhang-A-Kontrollen in ISO 27001:2022

Die neue Struktur der Anhang-A-Kontrollen ist auf die vier Säulen der Informationssicherheit ausgerichtet:

• Organisatorisch: Diese Säule behandelt die Notwendigkeit eines starken organisatorischen Engagements für die Informationssicherheit.
  
  
• Personenbezogen: Diese Säule behandelt die Bedeutung von Personen in der Informationssicherheit.
  
  
• Physisch: Diese Säule behandelt die Notwendigkeit, Informationsschätze vor physischen Bedrohungen zu schützen.
  
  
• Technologisch: Diese Säule behandelt die Notwendigkeit, Informationsschätze vor technologischen Bedrohungen zu schützen.

Die neue Struktur der Anhang-A-Kontrollen ist eine signifikante Verbesserung gegenüber der vorherigen Version. Sie erleichtert es Organisationen, ein effektives Informationssicherheits-Managementsystem zu implementieren und ihre Informationsschätze vor einer Vielzahl von Bedrohungen zu schützen.

Zusätzlich zur neuen Struktur enthält ISO 27001:2022 auch 11 neue Kontrollen. Diese Kontrollen sind darauf ausgelegt, aufkommende Bedrohungen wie Cloud Computing, Social Engineering und Datenverstöße zu bewältigen. Die neuen Kontrollen sollen auch die Effektivität von Informationssicherheitsmanagementsystemen verbessern, indem sie Organisationen mehr Optionen zur Risikominderung bieten.

Die neue Ausgabe der ISO 27001 strukturiert die Anhang-A-Kontrollen in vier Kategorien um: organisatorisch, personenbezogen, physisch und technologisch. Dies ist eine signifikante Verbesserung gegenüber der vorherigen Version, die 14 Kontrolldomänen hatte. Die neue Struktur soll es Organisationen erleichtern, die für ihre Bedürfnisse relevantesten Kontrollen auszuwählen und umzusetzen.

• Die organisatorische Kategorie umfasst 37 Kontrollen, die die allgemeine Verwaltung der Informationssicherheit in einer Organisation behandeln. Diese Kontrollen umfassen Dinge wie die Festlegung einer Informationssicherheitsrichtlinie, die Ernennung eines Sicherheitsmanagers und die Durchführung von Risikobewertungen.
  
  
• Die personenbezogene Kategorie enthält 8 Kontrollen, die die Rolle von Personen in der Informationssicherheit behandeln. Diese Kontrollen umfassen Dinge wie die Schulung von Mitarbeitern in bewährten Verfahren der Informationssicherheit, die Durchführung von Hintergrundüberprüfungen bei Neueinstellungen und die Verwaltung des Zugangs von Benutzern zu sensiblen Informationen.
  
  
• Die physische Kategorie enthält 14 Kontrollen, die die physische Sicherheit von Informationsschätzen behandeln. Diese Kontrollen umfassen Dinge wie die Sicherung von Gebäuden und Einrichtungen, den Schutz von Computerräumen und die Verwaltung der Entsorgung sensibler Informationen.
  
  
• Die technologische Kategorie enthält 34 Kontrollen, die die technologischen Aspekte der Informationssicherheit behandeln. Diese Kontrollen umfassen Dinge wie die Implementierung von Firewalls und Antivirensoftware, die Verschlüsselung von Daten und die Verwaltung des Zugriffs auf Informationssysteme.

Die neuen Kontrollen sind wie folgt:

Bedrohungsinformationen: Dies umfasst die Sammlung und Analyse von Informationen über potenzielle Bedrohungen der Informationssicherheit in Organisationen.

Informationssicherheit bei der Nutzung von Cloud-Diensten: Die Bewertung und das Management der mit der Nutzung von Cloud-Diensten verbundenen Risiken.

ICT-Bereitschaft für Geschäftskontinuität: Es ist eine Anforderung sicherzustellen, dass Informations- und Kommunikationstechnologiesysteme (ICT) in Katastrophenszenarien widerstandsfähig und betriebsbereit bleiben.

Physische Sicherheitsüberwachung: Die kontinuierliche Überwachung der physischen Sicherheitssysteme, um Sicherheitsvorfälle prompt zu erkennen und darauf zu reagieren.

Konfigurationsmanagement: Die Verwaltung der Konfiguration ihrer Informationssysteme, um sicherzustellen, dass sie sicher sind.

Löschung von Informationen: Die sichere Löschung sensibler Informationen, wenn sie nicht mehr benötigt werden.

Datenmaskierung: Das Maskieren sensibler Informationen, um unbefugten Zugriff zu verhindern.

Verhinderung von Datenlecks: Die Verhinderung, dass sensitive Informationen außerhalb der Organisation geleakt werden.

Überwachung von Aktivitäten: Die Überwachung der Informationssicherheitsaktivitäten, um sicherzustellen, dass sie wirksam sind.

Webfilterung: Die Filterung des Webverkehrs, um den Zugriff auf bösartige Websites zu verhindern.

Sichere Codierung: Die Entwicklung und Verwendung von sicherem Code zum Schutz der Informationssysteme.

Durch diese neuen Anhang-A-Kontrollen sind viele Organisationen möglicherweise verpflichtet, basierend auf ihrem Umfang und ihren Anforderungen mehr als 20 neue ISMS-Dokumente, Richtlinien und Verfahren in ihr ISMS zu integrieren.

Ihre Roadmap für den Übergang zur ISO 27001:2022

Der Übergang zur ISO 27001:2022 kann eine anspruchsvolle Aufgabe sein. Wichtig ist, dass es sich um eine Reise handelt, nicht nur um ein Ziel. Indem Sie einer strukturierten Roadmap folgen, können Sie den Übergang reibungsloser und erfolgreicher gestalten.

Hier sind die wichtigsten Schritte auf Ihrer Roadmap für den Übergang:

Sensibilisierung schaffen: Der erste Schritt besteht darin, in Ihrer Organisation das Bewusstsein für den Übergang zu schaffen. Dies umfasst die Kommunikation der Vorteile des neuen Standards sowie des Zeitplans und der Anforderungen für den Übergang.

Durchführung einer Änderungs- und Gap-Analyse: Nachdem Sie das Bewusstsein geschaffen haben, müssen Sie eine Änderungs- und eine Gap-Analyse durchführen. Dies hilft Ihnen dabei, die Bereiche zu identifizieren, in denen Ihr aktuelles Informationssicherheits-Managementsystem aktualisiert werden muss, um den Anforderungen von ISO 27001:2022 zu entsprechen.

Überprüfen und Aktualisieren der Dokumentation: Nachdem Sie die Lücken identifiziert haben, müssen Sie Ihre ISMS-Dokumentation überprüfen und aktualisieren. Dazu gehören Ihre Richtlinien, Verfahren und Arbeitsanweisungen.

Durchführen einer internen Prüfung: Sobald Ihre Dokumentation aktualisiert ist, müssen Sie ein internes Audit durchführen, um sicherzustellen, dass Ihr ISMS den Anforderungen des neuen Standards entspricht.

Durchführung einer Übergangsgap-Analyse: Nach der internen Prüfung müssen Sie eine Übergangsgap-Analyse durchführen. Dies hilft Ihnen dabei, eventuell verbleibende Lücken zu identifizieren, die vor dem Übergang zu ISO 27001:2022 behoben werden müssen.

Durchführen einer Übergangsprüfung: Sobald Sie alle Lücken behoben haben, müssen Sie eine Übergangsprüfung durchführen. Dies ist eine abschließende Überprüfung, um sicherzustellen, dass Ihr ISMS den Anforderungen des neuen Standards entspricht.

Kontinuierliche Verbesserung aufrechterhalten: Nach dem Übergang zur ISO 27001:2022 ist es wichtig,d as ISMS zu pflegen und fortlaufend zu verbessern. Dafür sollten Sie, Ihr ISMS regelmäßig überprüfen, um sicherzustellen, dass es immer noch effektiv ist und Ihre Informationsschätze schützt.

Zusätzlich zu diesen wichtigen Schritten gibt es einige weitere Dinge, die Sie tun können, um den Übergang zu ISO 27001:2022 reibungsloser und erfolgreicher zu gestalten. Dazu gehören (und sind nicht darauf beschränkt):

• Unterstützung von der oberen Führungsebene erhalten.
  
  
• Alle Interessengruppen in den Übergangsprozess einbeziehen.
  
  
• Einen zertifizierten Übergangspartner verwenden.
  
  
• Realistische Ziele und Meilensteine setzen.
  
  
• Regelmäßige Kommunikation mit Interessengruppen.

Indem Sie diesen Tipps folgen, können Sie den Übergang zur ISO 27001:2022 erfolgreich gestalten.

Hier sind einige zusätzliche proaktive Geschäftsempfehlungen:

• Nutzen Sie den Übergang als Gelegenheit, Ihre gesamte Informationssicherheit zu verbessern.
  
  
• Erwägen Sie, den Übergang als Möglichkeit zur Konsolidierung oder Vereinfachung Ihrer ISMS-Prozesse zu nutzen.
  
  
• Nutzen Sie den Übergang, um die Bedeutung der Informationssicherheit für Ihre Mitarbeiter und andere Interessengruppen zu kommunizieren.
  
  
• Nutzen Sie den Übergang, um die Risikomanagementfähigkeiten Ihrer Organisation zu verbessern.

Durch eine proaktive Herangehensweise an den Übergang können Sie ihn zu einem wertvollen Vermögenswert für Ihre Organisation machen.