ISO/IEC 27001:2022ISO/IEC 27001:2022
ISO/IEC 27001 for CISOsISO/IEC 27001 für CISOs
An information security management system is not a document folder. It is a loop: decide what is in scope, find out what can go wrong, choose what to do about it, run it, measure it, and correct it. Clauses 4 to 10 describe that loop and are mandatory. Annex A is the shelf of 93 controls you draw from — you justify what you use and what you leave out. This page walks the fifteen steps a CISO actually takes, then explains every one of the 93 controls in one sentence.Ein Informationssicherheits-Managementsystem ist kein Ordner voller Dokumente. Es ist ein Kreislauf: festlegen, was gilt, herausfinden, was schiefgehen kann, entscheiden, was dagegen getan wird, es betreiben, messen und korrigieren. Die Klauseln 4 bis 10 beschreiben diesen Kreislauf und sind verbindlich. Annex A ist das Regal mit 93 Controls, aus dem man sich bedient — begründet wird, was verwendet und was weggelassen wird. Diese Seite geht die fünfzehn Schritte durch, die ein CISO tatsächlich geht, und erklärt danach jedes der 93 Controls in einem Satz.
The fifteen steps, in orderDie fünfzehn Schritte, in der Reihenfolge
Nothing here is optional folklore: each step produces something an auditor will ask for, and each one is cheaper to do before the step that follows it.Kein Schritt ist Folklore: jeder produziert etwas, wonach ein Auditor fragt, und jeder ist günstiger, wenn er vor dem nächsten gemacht wird.
Get the mandate, then cut the scopeMandat holen, dann den Geltungsbereich schneiden
Before any control, leadership has to say in writing that this exists, who runs it and what it may cost. Then draw the boundary: which entities, sites, services and systems are inside — and name what is outside, because an honest exclusion is easier to defend than a scope nobody can hold.Vor jedem Control muss die Leitung schriftlich sagen, dass es das gibt, wer es führt und was es kosten darf. Danach wird die Grenze gezogen: welche Einheiten, Standorte, Dienste und Systeme drin sind — und was draussen bleibt, denn ein ehrlicher Ausschluss lässt sich leichter verteidigen als ein Geltungsbereich, den niemand hält.
You end up with:Am Ende liegt vor: Scope statement, signed management mandate, list of interested parties and their expectationsGeltungsbereichs-Dokument, unterzeichnetes Leitungsmandat, Liste der interessierten Parteien und ihrer Erwartungen
Write the policy and name the rolesPolicy schreiben und Rollen benennen
One short top-level policy that leadership signs, and underneath it the rules people actually work with. Every security duty gets a named owner with a decision right, not a mailbox — and the conflicts get separated: whoever builds does not approve, whoever operates does not audit.Eine kurze übergeordnete Policy, die die Leitung unterschreibt, und darunter die Regeln, mit denen wirklich gearbeitet wird. Jede Sicherheitsaufgabe bekommt eine benannte Rolle mit Entscheidungsrecht, kein Postfach — und die Konflikte werden getrennt: wer baut, gibt nicht frei, wer betreibt, prüft nicht.
You end up with:Am Ende liegt vor: Information security policy, role and responsibility matrix, separation-of-duties rulesInformationssicherheits-Policy, Rollen- und Verantwortungsmatrix, Regeln zur Aufgabentrennung
Build the inventory and classifyInventar aufbauen und klassifizieren
You cannot protect what you have not written down. Record systems, applications, data stores and the interfaces between them, give each an owner, and attach a classification so the handling rules can follow the data instead of the device.Was nicht erfasst ist, kann nicht geschützt werden. Systeme, Anwendungen, Datenspeicher und die Schnittstellen dazwischen werden aufgenommen, jedes mit Eigentümer, dazu eine Klassifizierung, damit die Handhabungsregeln den Daten folgen und nicht dem Gerät.
You end up with:Am Ende liegt vor: Asset register with owners, classification scheme, data flow overviewAsset-Register mit Eigentümern, Klassifizierungsschema, Übersicht der Datenflüsse
Collect the legal and contractual dutiesRechtliche und vertragliche Pflichten sammeln
Regulation, contracts and data protection set hard requirements that no risk assessment may override. List them once with the obligation, the source and who watches it — this register is what turns a later audit finding into a known, tracked item.Regulierung, Verträge und Datenschutz setzen harte Anforderungen, die keine Risikobeurteilung wegwiegen darf. Sie werden einmal erfasst, mit Pflicht, Quelle und zuständiger Stelle — dieses Register macht aus einem späteren Auditbefund einen bekannten, verfolgten Punkt.
You end up with:Am Ende liegt vor: Register of legal, regulatory and contractual requirementsRegister der rechtlichen, regulatorischen und vertraglichen Anforderungen
Fix the risk method before the first workshopDie Risikomethode vor dem ersten Workshop festlegen
Decide the scales, the criteria and who owns which risk — in writing, before anyone rates anything. Without that, two departments produce numbers that cannot be compared, and the whole assessment has to be redone the year after.Skalen, Kriterien und Zuständigkeiten werden schriftlich festgelegt, bevor irgendjemand bewertet. Ohne das produzieren zwei Abteilungen Zahlen, die sich nicht vergleichen lassen, und die Beurteilung muss im Folgejahr neu gemacht werden.
You end up with:Am Ende liegt vor: Documented risk method, risk criteria, acceptance thresholdsDokumentierte Risikomethode, Risikokriterien, Akzeptanzschwellen
Assess the risks against the inventoryRisiken gegen das Inventar beurteilen
Work through the assets and processes, not through a generic threat list. Each risk gets an owner, a rating before controls and a rating after — the difference is what you are actually buying with your security budget.Durchgearbeitet werden Assets und Prozesse, nicht eine allgemeine Bedrohungsliste. Jedes Risiko bekommt einen Verantwortlichen, eine Bewertung vor und eine nach den Massnahmen — die Differenz ist das, was das Sicherheitsbudget tatsächlich einkauft.
You end up with:Am Ende liegt vor: Risk register with owners, gross and net ratingRisikoregister mit Verantwortlichen, Brutto- und Nettobewertung
Treat the risks and write the Statement of ApplicabilityRisiken behandeln und die Erklärung zur Anwendbarkeit schreiben
For every risk: reduce, share, avoid or accept — and accepted risk needs a signature from someone who may sign it. The Statement of Applicability then lists all 93 controls with a yes or no and a reason. Auditors read this document first, so it is worth writing properly.Je Risiko gilt: reduzieren, teilen, vermeiden oder akzeptieren — und akzeptiertes Restrisiko braucht die Unterschrift einer Stelle, die unterschreiben darf. Die Erklärung zur Anwendbarkeit listet danach alle 93 Controls mit Ja oder Nein und einer Begründung. Auditoren lesen dieses Dokument zuerst, es lohnt sich, es sauber zu schreiben.
You end up with:Am Ende liegt vor: Risk treatment plan, Statement of Applicability, signed residual-risk acceptanceRisikobehandlungsplan, Erklärung zur Anwendbarkeit, unterzeichnete Restrisiko-Akzeptanz
Set objectives you can actually measureZiele setzen, die sich messen lassen
Security objectives with a number, a date and an owner — patch time, training coverage, restore time. If a goal has no measurement plan attached, it is a slogan, and clause 9.1 will find it.Sicherheitsziele mit Zahl, Termin und Verantwortlichem — Patchdauer, Schulungsabdeckung, Wiederherstellungszeit. Ein Ziel ohne Messplan ist eine Parole, und Klausel 9.1 findet sie.
You end up with:Am Ende liegt vor: Objectives with target values, measurement plan, reporting cadenceZiele mit Zielwerten, Messplan, Berichtsrhythmus
Bring the people inDie Menschen mitnehmen
Contracts, screening and offboarding on the HR side; awareness and role-specific training on the security side. The measurable part is not the number of slides, it is whether reporting an incident is something people do without hesitating.Verträge, Vorabprüfung und Austritt auf der Personalseite; Awareness und rollenspezifische Schulung auf der Sicherheitsseite. Messbar ist nicht die Zahl der Folien, sondern ob eine Meldung ohne Zögern erfolgt.
You end up with:Am Ende liegt vor: Training plan with target groups, attendance evidence, confidentiality agreementsSchulungsplan mit Zielgruppen, Teilnahmenachweise, Vertraulichkeitsvereinbarungen
Get documented information under controlDokumentierte Information in den Griff bekommen
Versions, approvals, retention and access — for the documents the standard demands and for the records that prove the controls ran. A wiki without version history is the single most common finding in a first audit.Versionen, Freigaben, Aufbewahrung und Zugriff — für die geforderten Dokumente und für die Aufzeichnungen, die den Betrieb der Controls belegen. Ein Wiki ohne Versionshistorie ist der häufigste Befund im Erstaudit.
You end up with:Am Ende liegt vor: Document control rules, retention schedule, evidence repositoryRegeln zur Dokumentenlenkung, Aufbewahrungsplan, Nachweisablage
Run the controls you selectedDie gewählten Controls betreiben
Access, cryptography, logging, backup, vulnerability and change management move from concept to operation. This is where most of the effort sits, and where the evidence is generated that steps 13 to 15 will ask for.Zugriff, Kryptografie, Logging, Backup, Schwachstellen- und Change-Management gehen vom Konzept in den Betrieb. Hier liegt der grösste Aufwand — und hier entstehen die Nachweise, nach denen die Schritte 13 bis 15 fragen.
You end up with:Am Ende liegt vor: Operating procedures, configuration baselines, running control evidenceBetriebsanweisungen, Konfigurationsvorgaben, laufende Control-Nachweise
Take hold of the supplier and cloud chainLieferanten- und Cloud-Kette in den Griff nehmen
Security requirements belong in the contract, not in a wish list: what the provider must report, how fast, who may audit, what happens at the end. Then check yearly whether it still holds, including the sub-processors you never signed with.Sicherheitsanforderungen gehören in den Vertrag, nicht auf einen Wunschzettel: was der Anbieter meldet, wie schnell, wer prüfen darf, was am Ende passiert. Danach jährlich prüfen, ob es noch stimmt — samt der Subunternehmer, mit denen man nie einen Vertrag geschlossen hat.
You end up with:Am Ende liegt vor: Supplier register, security clauses, annual provider reviewLieferantenregister, Sicherheitsklauseln, jährliche Anbieterprüfung
Be ready for the bad dayAuf den schlechten Tag vorbereitet sein
An incident process that names roles, thresholds and channels, and a continuity side that has been exercised at least once. An untested restore is not a control — it is a hope with a schedule.Ein Vorfallsprozess mit Rollen, Schwellen und Kanälen, und eine Kontinuitätsseite, die mindestens einmal geübt wurde. Eine ungetestete Wiederherstellung ist kein Control, sondern eine Hoffnung mit Terminplan.
You end up with:Am Ende liegt vor: Incident playbook, contact matrix, exercise report, restore test logIncident-Playbook, Kontaktmatrix, Übungsbericht, Protokoll der Wiederherstellungstests
Measure, audit internally, review with managementMessen, intern auditieren, mit der Leitung bewerten
Three separate duties that are often collapsed into one and then satisfy none: 9.1 measures whether controls work, 9.2 is an internal audit by someone independent of the work, 9.3 is a management review with a fixed agenda and decisions in the minutes.Drei getrennte Pflichten, die gern zu einer verschmolzen werden und dann keine erfüllen: 9.1 misst die Wirksamkeit, 9.2 ist ein internes Audit durch eine vom Gegenstand unabhängige Person, 9.3 ist eine Managementbewertung mit fester Agenda und Entscheiden im Protokoll.
You end up with:Am Ende liegt vor: Metrics report, internal audit programme and reports, management review minutesKennzahlenbericht, internes Auditprogramm und Berichte, Protokoll der Managementbewertung
Correct, improve, and only then certifyKorrigieren, verbessern — und erst dann zertifizieren
Every deviation gets a cause analysis, a measure and a check that the measure worked. Certification then runs in two stages, documentation first and the audit on site second; the certificate holds three years with a surveillance audit each year. Note the version: the transition period for ISO/IEC 27001:2013 ended on 31 October 2025, so 2022 is the only version still certifiable.Jede Abweichung bekommt eine Ursachenanalyse, eine Massnahme und eine Wirksamkeitsprüfung. Die Zertifizierung läuft danach in zwei Stufen, zuerst die Dokumentation, dann das Audit vor Ort; das Zertifikat gilt drei Jahre mit jährlichem Überwachungsaudit. Zur Version: die Übergangsfrist für ISO/IEC 27001:2013 endete am 31. Oktober 2025, zertifizierbar ist nur noch die Fassung 2022.
You end up with:Am Ende liegt vor: Corrective action records, effectiveness evidence, certification readiness packNachweise der Korrekturmassnahmen, Wirksamkeitsbelege, Zertifizierungsdossier
Annex A: all 93 controls, explainedAnnex A: alle 93 Controls, erklärt
Annex A is a shelf, not a shopping list. You pick what your risks justify and record the rest as a reasoned exclusion in the Statement of Applicability. One sentence per control, in our own words — what it asks for in practice.Annex A ist ein Regal, keine Einkaufsliste. Man nimmt, was die eigenen Risiken rechtfertigen, und dokumentiert den Rest als begründeten Ausschluss in der Erklärung zur Anwendbarkeit. Ein Satz je Control, in eigenen Worten — was es in der Praxis verlangt.
A.5 · 37 controlsControls
Organizational controlsOrganisatorische Controls
The largest block by far: policies, roles, asset ownership, classification, suppliers, incidents and continuity. Most of what an auditor asks about on day one lives here.Der mit Abstand grösste Block: Richtlinien, Rollen, Eigentümerschaft, Klassifizierung, Lieferanten, Vorfälle und Kontinuität. Das meiste, wonach ein Auditor am ersten Tag fragt, steht hier.
- A.5.1Policies for information securityLeadership approves a written policy set, publishes it where staff actually look, and reviews it on a set rhythm; the approval record proves it.Die Leitung genehmigt ein Regelwerk, veröffentlicht es dort, wo Mitarbeitende wirklich lesen, und prüft es turnusmässig — belegt durch den Freigabevermerk.
- A.5.2Information security roles and responsibilitiesEvery security duty has a named owner in a role description, and that person can say what they decide, what they report, and to whom.Jede Sicherheitsaufgabe hat eine namentlich benannte Rolle, und die Person kann sagen, was sie entscheidet, was sie meldet und an wen sie meldet.
- A.5.3Segregation of dutiesNo single person requests, approves and executes the same sensitive change; the split of duties shows up in the workflow and in the approval trail.Niemand beantragt, genehmigt und führt dieselbe kritische Änderung allein aus; das Vieraugenprinzip ist im Ablauf und in der Freigabespur sichtbar.
- A.5.4Management responsibilitiesManagers demand security behaviour from their teams: they brief new joiners, follow up on lapses, and back the rules instead of quietly waiving them.Führungskräfte fordern sicheres Verhalten aktiv ein: Sie weisen neue Mitarbeitende ein, gehen Verstössen nach und tragen die Regeln mit, statt sie zu umgehen.
- A.5.5Contact with authoritiesContact points at police, regulators and data protection authorities are known and current, so a crisis call starts with a name, not a web search.Ansprechstellen bei Polizei, Aufsicht und Datenschutzbehörden sind benannt und aktuell, damit im Ernstfall ein Name bereitliegt und keine Suche beginnt.
- A.5.6Contact with special interest groupsSpecialists keep active memberships in security forums and vendor advisories, and what they learn there lands in tickets, not only in their heads.Fachleute sind in Sicherheitskreisen und Herstellerlisten aktiv eingebunden, und was sie dort erfahren, landet in Tickets statt nur in ihren Köpfen.
- A.5.7Threat intelligence new 2022neu 2022Reports on current attacker methods are collected, filtered for what fits the own environment, and turned into concrete detection or hardening changes.Meldungen zu aktuellen Angriffsmethoden werden gesammelt, auf die eigene Umgebung gefiltert und in konkrete Erkennungs- oder Härtungsmassnahmen übersetzt.
- A.5.8Information security in project managementEvery project carries security questions from the first milestone on: protection needs, risks and required controls are settled before go-live, not after.Jedes Projekt trägt Sicherheitsfragen ab dem ersten Meilenstein mit: Schutzbedarf, Risiken und nötige Massnahmen stehen vor dem Go-live fest, nicht danach.
- A.5.9Inventory of information and other associated assetsA maintained register lists systems, data and their owners, and a spot check against the network finds no relevant machine that is missing from it.Ein gepflegtes Verzeichnis führt Systeme, Daten und deren Verantwortliche, und ein Stichprobenabgleich mit dem Netz findet kein fehlendes relevantes Gerät.
- A.5.10Acceptable use of information and other associated assetsStaff know in writing what they may do with company data and devices — private use, storage, sharing — and confirm the rules before they get access.Mitarbeitende wissen schriftlich, was sie mit Daten und Geräten dürfen — Privatnutzung, Ablage, Weitergabe — und bestätigen die Regeln vor dem Zugang.
- A.5.11Return of assetsWhen someone leaves or changes role, a checklist drives laptops, tokens, keys and stored data back, and the handover is signed off before the last day.Bei Austritt oder Rollenwechsel holt eine Checkliste Laptops, Token, Schlüssel und Daten zurück, und die Rückgabe wird vor dem letzten Arbeitstag quittiert.
- A.5.12Classification of informationInformation carries a protection level derived from its damage potential, and that level decides how it is stored, shared and deleted in daily work.Informationen tragen eine Schutzstufe, die sich aus dem Schadenspotenzial ergibt, und die Stufe entscheidet über Ablage, Weitergabe und Löschung im Alltag.
- A.5.13Labelling of informationThe protection level is visible on the object itself — in the document header, the file tag, the mail subject — so a recipient never has to guess.Die Schutzstufe steht am Objekt selbst — in der Kopfzeile, im Dateikennzeichen, im Mailbetreff — damit Empfangende nie raten müssen, was sie vor sich haben.
- A.5.14Information transferSending data outside the team follows agreed channels and encryption rules, and the sender checks the recipient's right to receive it beforehand.Der Versand von Daten nach aussen folgt vereinbarten Kanälen und Verschlüsselungsregeln, und die sendende Person prüft vorher die Berechtigung der Empfänger.
- A.5.15Access controlWho may reach which system is written down per role, granted on need, and periodically compared with what the systems actually allow today.Wer auf welches System zugreifen darf, steht je Rolle fest, wird nach Bedarf vergeben und periodisch mit der tatsächlichen Systemlage abgeglichen.
- A.5.16Identity managementEach person and each service has one traceable identity, shared logins stay a documented exception, and dormant accounts get closed, not parked.Jede Person und jeder Dienst hat eine nachvollziehbare Identität, Sammelkonten sind dokumentierte Ausnahme, und verwaiste Konten werden gelöscht statt geparkt.
- A.5.17Authentication informationPasswords, keys and tokens are issued over a protected path, never shared, and stored so that even administrators cannot read them in plain text.Passwörter, Schlüssel und Token werden geschützt übergeben, nie geteilt und so gespeichert, dass sie auch Administrierende nicht im Klartext lesen können.
- A.5.18Access rightsRights follow the joiner, mover and leaver process within the agreed time, and each review round documents what was confirmed, reduced or withdrawn.Rechte folgen dem Ein-, Um- und Austrittsprozess in vereinbarter Frist, und jede Prüfrunde hält fest, was bestätigt, reduziert oder entzogen wurde.
- A.5.19Information security in supplier relationshipsBefore a supplier touches company data, its security is assessed, and the resulting requirements and responsibilities are recorded per supplier.Bevor ein Lieferant an Unternehmensdaten kommt, wird seine Sicherheit bewertet, und die daraus folgenden Anforderungen werden je Lieferant festgehalten.
- A.5.20Addressing information security within supplier agreementsContracts spell out security duties, subcontracting, incident reporting and the right to verify — not one general clause about care and diligence.Verträge benennen Sicherheitspflichten, Unterauftragsvergabe, Meldewege und Prüfrechte konkret — statt einer allgemeinen Klausel über Sorgfalt und Obhut.
- A.5.21Managing information security in the ICT supply chainFor bought hardware, software and services the origin and update path are known, and a component with no maintenance route stays out of production.Bei zugekaufter Hard- und Software ist die Herkunft samt Update-Weg bekannt, und eine Komponente ohne Pflegepfad geht nicht in den Produktivbetrieb.
- A.5.22Monitoring, review and change management of supplier servicesDelivered service quality and security are checked against the agreement on a regular beat, and changes at the supplier trigger a fresh look at the risk.Leistung und Sicherheit der Lieferanten werden regelmässig gegen die Vereinbarung geprüft, und Änderungen beim Lieferanten lösen eine neue Risikosicht aus.
- A.5.23Information security for use of cloud services new 2022neu 2022Cloud use starts with a documented decision on data, region and exit path, and the split of duties with the provider is fixed before the first workload.Cloud-Nutzung beginnt mit einer dokumentierten Entscheidung zu Daten, Region und Ausstieg, und die Aufgabenteilung mit dem Anbieter steht vorab fest.
- A.5.24Information security incident management planning and preparationRoles, escalation paths and reporting duties for incidents are defined and rehearsed, so the first hour follows a plan instead of improvisation.Rollen, Eskalationswege und Meldepflichten für Vorfälle sind festgelegt und geübt, damit die erste Stunde einem Plan folgt statt der Improvisation.
- A.5.25Assessment and decision on information security eventsEvery reported event is triaged against defined criteria, and the decision whether it counts as an incident is recorded together with its reasoning.Jedes gemeldete Ereignis wird nach festen Kriterien bewertet, und die Entscheidung, ob ein Vorfall vorliegt, wird mit Begründung dokumentiert.
- A.5.26Response to information security incidentsA trained team contains, analyses and closes incidents along documented steps, and each action lands in a timeline that survives later scrutiny.Ein geschultes Team dämmt Vorfälle ein, analysiert und schliesst sie nach dokumentierten Schritten, und jede Handlung landet in einer prüfbaren Zeitleiste.
- A.5.27Learning from information security incidentsAfter a case the team names the root cause and derives measures with an owner and a due date; the follow-up list shows they are actually finished.Nach einem Fall benennt das Team die Ursache und leitet Massnahmen mit Verantwortlichen und Termin ab; die Nachverfolgung zeigt deren Abschluss.
- A.5.28Collection of evidenceTraces are secured in a defined, repeatable way with an unbroken chain of custody, so the material still holds up in court or before a regulator.Spuren werden nach festem, wiederholbarem Vorgehen mit lückenloser Übergabekette gesichert, damit das Material vor Gericht oder Aufsicht standhält.
- A.5.29Information security during disruptionEmergency plans keep the protection level, not only the service: fallback processes name who may access what while normal controls are degraded.Notfallpläne halten das Schutzniveau, nicht nur den Betrieb: Ersatzabläufe regeln, wer worauf zugreift, während die üblichen Kontrollen eingeschränkt sind.
- A.5.30ICT readiness for business continuity new 2022neu 2022Recovery targets for critical systems are agreed with the business, technically implemented, and proven by restore tests with a written result.Wiederanlaufziele für kritische Systeme sind mit dem Fachbereich vereinbart, technisch umgesetzt und durch Wiederherstellungstests mit Protokoll belegt.
- A.5.31Legal, statutory, regulatory and contractual requirementsAn up-to-date register lists the laws, rules and contract clauses that bind the organisation, each with the person who keeps that duty covered.Ein aktuelles Verzeichnis führt Gesetze, Vorgaben und Vertragsklauseln, die das Unternehmen binden, je mit der Person, die deren Einhaltung sicherstellt.
- A.5.32Intellectual property rightsLicences for software and content are tracked against real usage, and third-party material is only used where a provable right to use exists.Lizenzen für Software und Inhalte werden gegen die tatsächliche Nutzung geführt, und fremdes Material wird nur mit nachweisbarem Nutzungsrecht verwendet.
- A.5.33Protection of recordsRecords that must be kept stay tamper-resistant and readable for their whole retention period, and are deleted deliberately once it has run out.Aufbewahrungspflichtige Aufzeichnungen liegen manipulationssicher und lesbar über die ganze Frist und werden nach deren Ablauf gezielt gelöscht.
- A.5.34Privacy and protection of personally identifiable information (PII)Personal data is processed only for a stated purpose with a legal basis, and the rights of the people behind that data can be served in practice.Personendaten werden nur zweckgebunden und mit Rechtsgrundlage verarbeitet, und die Rechte der betroffenen Personen lassen sich praktisch erfüllen.
- A.5.35Independent review of information securityPeople without responsibility for the area under test examine the security management at planned intervals, and their findings reach top management.Personen ohne Verantwortung für den geprüften Bereich untersuchen die Sicherheitsorganisation planmässig, und ihre Feststellungen erreichen die Leitung.
- A.5.36Compliance with policies, rules and standards for information securityLine managers check their own area against the security rules, and deviations are recorded with a correction instead of being silently tolerated.Verantwortliche prüfen ihren eigenen Bereich gegen die Sicherheitsvorgaben, und Abweichungen werden mit Korrektur erfasst statt stillschweigend geduldet.
- A.5.37Documented operating proceduresRecurring operational tasks are written down clearly enough that a trained colleague can run them, and the text is updated when the process changes.Wiederkehrende Betriebsaufgaben sind so beschrieben, dass eine eingearbeitete Vertretung sie ausführen kann, und der Text wird bei Änderungen nachgeführt.
A.6 · 8 controlsControls
People controlsPersonelle Controls
Everything that happens between a person and the organisation: hiring, terms, awareness, discipline, leaving, and the duty to report what looks wrong.Alles, was zwischen Mensch und Organisation passiert: Einstellung, Bedingungen, Awareness, Disziplinarverfahren, Austritt — und die Pflicht zu melden, was auffällt.
- A.6.1ScreeningCandidates are checked before day one: identity, references and record, scaled to the role's access and kept on file.Vor dem ersten Tag prüft die Firma Identität, Referenzen und Vorstrafen, abgestuft nach Rolle und dokumentiert in der Personalakte.
- A.6.2Terms and conditions of employmentThe employment contract spells out what each person must protect and for how long, and it is signed before any access is granted.Der Arbeitsvertrag benennt Schutzpflichten und deren Dauer; unterschrieben wird, bevor die erste Berechtigung erteilt wird.
- A.6.3Information security awareness, education and trainingEveryone gets role-fitting security training on joining and repeatedly after, with attendance and test results traceable per person.Alle erhalten beim Eintritt und danach wiederkehrend eine rollengerechte Schulung; Teilnahme und Ergebnis sind je Person nachweisbar.
- A.6.4Disciplinary processA known and fair procedure states what follows a proven security breach by staff, and it is applied the same way for everyone.Ein bekanntes, faires Verfahren regelt die Folgen belegter Sicherheitsverstösse und gilt für alle gleich, unabhängig von der Person.
- A.6.5Responsibilities after termination or change of employmentDuties that outlive the job are written down and handed over, and leavers give back accounts, keys and devices on their last day.Pflichten, die den Austritt überdauern, stehen schriftlich fest; Konten, Schlüssel und Geräte gehen am letzten Arbeitstag zurück.
- A.6.6Confidentiality or non-disclosure agreementsSigned confidentiality agreements name what stays secret and for how long, and they are revisited when roles or partners change.Unterzeichnete Vertraulichkeitserklärungen benennen Inhalt und Dauer der Geheimhaltung und werden bei Rollenwechsel überprüft.
- A.6.7Remote workingRules cover work from home and on the road: encrypted devices, trusted networks, shielded screens, confirmed by each person.Regeln decken Arbeit zu Hause und unterwegs ab: verschlüsselte Geräte, vertrauenswürdige Netze und blickgeschützte Bildschirme.
- A.6.8Information security event reportingStaff know one simple channel for reporting anything odd, use it without fear of blame, and get an answer on what happened next.Alle kennen einen einfachen Meldeweg für Auffälligkeiten, nutzen ihn ohne Angst vor Schuldzuweisung und erhalten eine Rückmeldung.
A.7 · 14 controlsControls
Physical controlsPhysische Controls
Doors, rooms, cabling, equipment and media. Thin for a cloud-only shop, decisive for anyone with their own server room or a shared office floor.Türen, Räume, Verkabelung, Geräte und Medien. Dünn für einen reinen Cloud-Betrieb, entscheidend für alle mit eigenem Serverraum oder geteiltem Bürogeschoss.
- A.7.1Physical security perimetersSites holding sensitive systems have a defined outer boundary of walls, doors and barriers, and every opening in it is documented.Standorte mit sensiblen Systemen haben eine definierte äussere Grenze aus Wänden, Türen und Schranken; jede Öffnung ist dokumentiert.
- A.7.2Physical entryOnly authorised people pass the door; visitors are announced, escorted and logged, and the access list is reviewed against reality.Nur Berechtigte kommen durch die Tür; Besuch wird angemeldet, begleitet und protokolliert, die Rechteliste regelmässig überprüft.
- A.7.3Securing offices, rooms and facilitiesRooms used for sensitive work stay locked, carry no telling sign outside, and open only to the few people who truly need them.Räume für sensible Arbeit bleiben verschlossen, tragen aussen keinen verräterischen Hinweis und stehen nur wenigen Personen offen.
- A.7.4Physical security monitoring new 2022neu 2022Cameras, alarms and staff watch entrances continuously, alerts reach someone who reacts, and recordings stay available for review.Kameras, Alarme und Personal überwachen Zugänge laufend; Meldungen erreichen jemanden, der reagiert, Aufzeichnungen bleiben prüfbar.
- A.7.5Protecting against physical and environmental threatsFire, water, storm and power risks are assessed per site, and the countermeasures are tested rather than merely assumed to work.Für jeden Standort werden Feuer, Wasser, Sturm und Stromausfall bewertet; die Schutzmassnahmen werden getestet, nicht nur vermutet.
- A.7.6Working in secure areasPeople inside secure areas follow known rules on escorting, phones and photos, and nobody works there unsupervised or unnoticed.In Sicherheitsbereichen gelten bekannte Regeln zu Begleitung, Telefonen und Fotos; unbeaufsichtigtes Arbeiten ist dort untersagt.
- A.7.7Clear desk and clear screenDesks are cleared of paper and media when left, screens lock by themselves, and spot checks show whether the habit really holds.Beim Verlassen bleiben keine Papiere oder Datenträger liegen, Bildschirme sperren selbsttätig, Stichproben belegen die Wirksamkeit.
- A.7.8Equipment siting and protectionEquipment stands where water, heat, dust and curious eyes cannot reach it, and critical devices sit away from windows and hallways.Geräte stehen geschützt vor Nässe, Hitze, Staub und Blicken; kritische Technik steht abseits von Fenstern und öffentlichen Wegen.
- A.7.9Security of assets off-premisesLaptops and media taken outside are encrypted, never left unattended, and recorded as issued before they leave the building.Mitgenommene Notebooks und Datenträger sind verschlüsselt, bleiben nie unbeaufsichtigt und werden vor der Ausgabe erfasst.
- A.7.10Storage mediaEvery removable medium has an owner and a classification, travels only with protection, and is wiped or destroyed at end of life.Jeder Wechseldatenträger hat Eigentümer und Klassifizierung, reist nur geschützt und wird am Lebensende gelöscht oder vernichtet.
- A.7.11Supporting utilitiesPower, cooling and network feeds are sized for the load, backed by generators or batteries, and their failover is tested regularly.Strom, Kühlung und Netzanbindung sind ausgelegt, durch Generator oder Batterie gestützt, und das Umschalten wird geprobt.
- A.7.12Cabling securityPower and data cables run in protected routes, are labelled at both ends, and patch rooms stay locked against quiet tapping.Strom- und Datenkabel laufen geschützt, sind beidseitig beschriftet, und Verteilerräume bleiben gegen Anzapfen verschlossen.
- A.7.13Equipment maintenanceDevices are serviced on schedule by approved technicians, the work is logged, and data is protected whenever hardware leaves.Geräte werden planmässig von zugelassenen Fachleuten gewartet, Arbeiten protokolliert und Daten bei Reparaturen ausser Haus geschützt.
- A.7.14Secure disposal or re-use of equipmentBefore hardware is sold, passed on or scrapped, its storage is verifiably wiped or destroyed and the certificate proves it.Vor Verkauf, Weitergabe oder Verschrottung werden Speicher nachweislich gelöscht oder zerstört; ein Zertifikat belegt den Vorgang.
A.8 · 34 controlsControls
Technological controlsTechnologische Controls
The technical half: endpoints, access, cryptography, logging and monitoring, backup, networks, development and change. This is where evidence is cheapest to produce, because the systems already log it.Die technische Hälfte: Endgeräte, Zugriff, Kryptografie, Logging und Monitoring, Backup, Netzwerke, Entwicklung und Änderungen. Nachweise sind hier am günstigsten, weil die Systeme sie ohnehin schreiben.
- A.8.1User end point devicesLaptops, tablets and phones that hold company data are registered, encrypted and screen-locked, and get wiped when one goes missing.Laptops, Tablets und Handys mit Firmendaten sind erfasst, verschlüsselt und gesperrt; bei Verlust werden sie aus der Ferne gelöscht.
- A.8.2Privileged access rightsAdmin rights go to named people for a stated reason, are handed out temporarily where possible, and every one of them is reviewed.Adminrechte gehen an namentlich benannte Personen mit begründetem Zweck, möglichst nur befristet, und werden regelmässig überprüft.
- A.8.3Information access restrictionEach system releases only the data a role actually needs, and the rule behind that decision is written down and can be tested.Jedes System gibt nur die Daten frei, die eine Rolle wirklich braucht; die Regel dahinter ist dokumentiert und überprüfbar.
- A.8.4Access to source codeRepositories are readable and writable only for the development team, changes pass a review, and the access list is checked regularly.Quellcode ist nur für das Entwicklungsteam lesbar und schreibbar, Änderungen laufen über ein Review, die Rechteliste wird geprüft.
- A.8.5Secure authenticationLogins ask for more than a password where the data is worth it, lock out after repeated failures, and never travel unencrypted.Anmeldungen verlangen bei wertvollen Daten mehr als ein Passwort, sperren nach Fehlversuchen und laufen nie unverschlüsselt ab.
- A.8.6Capacity managementSomeone watches storage, computing power and bandwidth against forecast demand and adds capacity before a limit becomes an outage.Speicher, Rechenleistung und Bandbreite werden gegen den erwarteten Bedarf beobachtet; erweitert wird vor dem Engpass, nicht danach.
- A.8.7Protection against malwareMalware defences run on servers and clients, keep themselves current, and staff know which attachment or link they must not open.Schutz vor Schadsoftware läuft auf Servern und Clients, hält sich aktuell, und Mitarbeitende kennen die typischen Fallen im Alltag.
- A.8.8Management of technical vulnerabilitiesKnown weaknesses are collected, rated by risk and closed by patch or workaround, with the decision recorded in either case.Bekannte Schwachstellen werden gesammelt, nach Risiko bewertet und per Patch oder Workaround geschlossen; der Entscheid ist belegt.
- A.8.9Configuration management new 2022neu 2022Systems start from a hardened baseline, deviations from it show up in a report, and unapproved drift is brought back into line.Systeme starten von einer gehärteten Grundkonfiguration; Abweichungen sind in einem Bericht sichtbar und werden zurückgeführt.
- A.8.10Information deletion new 2022neu 2022Data that no longer serves a purpose leaves systems, backups and devices for good, and the deletion is documented per request.Daten ohne Zweck verschwinden endgültig aus Systemen, Backups und Geräten; die Löschung wird je Auftrag nachvollziehbar belegt.
- A.8.11Data masking new 2022neu 2022Where a task does not need real names or numbers, systems show pseudonyms or shortened values instead of the full record.Wo eine Aufgabe keine echten Namen oder Nummern braucht, zeigen Systeme Pseudonyme oder gekürzte Werte statt des Originals.
- A.8.12Data leakage prevention new 2022neu 2022Traffic to mail, cloud storage and removable media is screened for sensitive content, and blocked transfers land in a report someone reads.Abflüsse über Mail, Cloud-Speicher und Datenträger werden auf sensible Inhalte geprüft; Blockierungen landen in einem gelesenen Bericht.
- A.8.13Information backupBackups run on a defined schedule, are stored apart from the source, and a restore is really attempted and its result written down.Backups laufen nach Plan und liegen getrennt von der Quelle; die Rückspielung wird tatsächlich getestet und protokolliert.
- A.8.14Redundancy of information processing facilitiesSystems with tight availability targets have a second path or site, and the switchover is exercised instead of assumed to work.Systeme mit hohen Verfügbarkeitszielen haben einen zweiten Pfad oder Standort; die Umschaltung wird geübt und nicht nur angenommen.
- A.8.15LoggingSystems record who did what and when, the entries are protected against change, and their content suffices to reconstruct an event.Systeme halten fest, wer wann was getan hat; die Einträge sind änderungssicher und reichen aus, um einen Vorfall zu rekonstruieren.
- A.8.16Monitoring activities new 2022neu 2022Logs and network traffic are evaluated against known attack patterns, and a suspicious hit reaches a person on duty who reacts.Logs und Netzverkehr werden gegen bekannte Angriffsmuster ausgewertet; ein Treffer erreicht eine Person im Dienst, die reagiert.
- A.8.17Clock synchronizationAll systems take their time from the same trusted source, so entries from different logs can be lined up during an investigation.Alle Systeme beziehen die Zeit aus derselben vertrauenswürdigen Quelle, damit Einträge verschiedener Logs vergleichbar bleiben.
- A.8.18Use of privileged utility programsTools able to bypass protective mechanisms are installed only where needed, allowed to few people, and their use leaves a trace.Werkzeuge, die Schutzmechanismen umgehen können, sind selten installiert, wenigen Personen erlaubt und hinterlassen eine Spur.
- A.8.19Installation of software on operational systemsOnly approved software reaches production, installed by defined roles through a controlled procedure, with versions kept on record.Nur freigegebene Software gelangt in den Betrieb, installiert von definierten Rollen in geregeltem Verfahren; Versionen sind erfasst.
- A.8.20Networks securityNetworks are documented, actively managed and monitored, and every device or connection joining them is known and authorised.Netze sind dokumentiert, werden aktiv verwaltet und überwacht; jedes Gerät und jede Verbindung darin ist bekannt und zugelassen.
- A.8.21Security of network servicesEvery network service, own or bought, comes with agreed security features and levels, and their delivery is checked, not trusted.Jeder Netzdienst, eigen oder eingekauft, hat vereinbarte Sicherheitsmerkmale und Niveaus; deren Einhaltung wird aktiv überprüft.
- A.8.22Segregation of networksSensitive systems sit in their own network zone, and traffic between zones passes only where a rule explicitly allows it.Sensible Systeme liegen in eigenen Netzzonen; Verkehr zwischen Zonen passiert nur dort, wo eine Regel ihn ausdrücklich erlaubt.
- A.8.23Web filtering new 2022neu 2022Access to sites known for malware or fraud is blocked centrally, the block list is maintained, and exceptions are approved knowingly.Der Zugriff auf Seiten mit Schadsoftware oder Betrug wird zentral blockiert, die Liste gepflegt und Ausnahmen bewusst freigegeben.
- A.8.24Use of cryptographyA rule states which algorithms and key lengths apply where, and keys are generated, stored, rotated and destroyed along a defined path.Eine Regel legt fest, welche Verfahren und Schlüssellängen wo gelten; Schlüssel entstehen, lagern und vergehen auf geregeltem Weg.
- A.8.25Secure development life cycleSecurity is a fixed step in every development phase, from requirement through release, and the approvals at each gate are documented.Sicherheit ist in jeder Entwicklungsphase ein fester Schritt, von der Anforderung bis zum Release; die Freigaben sind dokumentiert.
- A.8.26Application security requirementsBefore an application is built or bought, its security requirements are written down concretely enough to be tested afterwards.Bevor eine Anwendung entsteht oder eingekauft wird, stehen ihre Sicherheitsanforderungen so konkret fest, dass man sie prüfen kann.
- A.8.27Secure system architecture and engineering principlesArchitecture decisions follow written engineering principles such as least privilege and layered defence, and reviews check they hold.Architekturentscheide folgen festgeschriebenen Prinzipien wie minimalen Rechten und mehrschichtiger Abwehr; Reviews prüfen das nach.
- A.8.28Secure coding new 2022neu 2022Developers work to a coding standard that names forbidden patterns, and code is checked against it automatically and by colleagues.Entwickelnde arbeiten nach einem Codier-Standard mit verbotenen Mustern; Code wird automatisch und durch Kollegen dagegen geprüft.
- A.8.29Security testing in development and acceptanceEvery release passes defined security tests, and a finding above the agreed severity holds the release back until it is fixed.Jedes Release durchläuft festgelegte Sicherheitstests; ein Fund über der vereinbarten Schwere hält die Freigabe zurück, bis er behoben ist.
- A.8.30Outsourced developmentContracts with external developers set security requirements, evidence and audit rights, and delivered code is tested before it goes live.Verträge mit externen Entwicklern regeln Anforderungen, Nachweise und Prüfrechte; gelieferter Code wird vor dem Einsatz getestet.
- A.8.31Separation of development, test and production environmentsDevelopment, test and production run apart with their own credentials, and no change moves on without the defined release step.Entwicklung, Test und Produktion laufen getrennt mit eigenen Zugängen; eine Änderung wandert nur über den definierten Freigabeschritt.
- A.8.32Change managementChanges to production are requested, assessed for risk, approved, tested and reversible, and the record shows who approved what.Änderungen am Betrieb werden beantragt, risikobewertet, freigegeben, getestet und bleiben umkehrbar; der Nachweis zeigt die Freigabe.
- A.8.33Test informationTest systems use masked or generated data; real data appears only with approval, protected like production and deleted afterwards.Testsysteme nutzen maskierte oder erzeugte Daten; echte Daten nur mit Bewilligung, wie im Betrieb geschützt und danach gelöscht.
- A.8.34Protection of information systems during audit testingAudit tests on live systems are agreed in scope and time window beforehand, run read-only where possible, and are logged throughout.Prüfungen an laufenden Systemen sind vorab in Umfang und Zeitfenster abgestimmt, möglichst nur lesend und durchgehend protokolliert.
What changed in 2022Was sich 2022 geändert hat
The 114 controls of the 2013 edition were restructured into 93 across four themes, and eleven controls are genuinely new — threat intelligence, cloud services, ICT readiness for business continuity, physical security monitoring, configuration management, information deletion, data masking, data leakage prevention, monitoring activities, web filtering and secure coding. The transition period for the 2013 edition ended on 31 October 2025, so certificates now reference the 2022 version.Aus den 114 Controls der Fassung 2013 wurden 93 in vier Themen, und elf Controls sind wirklich neu — Threat Intelligence, Cloud-Dienste, IKT-Bereitschaft für die Geschäftsfortführung, physische Überwachung, Konfigurationsmanagement, Löschung von Informationen, Datenmaskierung, Verhinderung von Datenabfluss, Monitoring, Web-Filterung und sichere Programmierung. Die Übergangsfrist für die Fassung 2013 endete am 31. Oktober 2025, Zertifikate verweisen daher auf die Fassung 2022.
If DORA applies to you as wellWenn zusätzlich DORA für Sie gilt
An ISMS carries a good part of the DORA requirements, but not the parts with numbers in them: reporting deadlines counted in hours, threat-led penetration testing, the register of information and a contractual exit plan have no Annex A counterpart. Our DORA framework maps all 597 checkpoints, and every sub-section names the Annex A controls that cover it.Ein ISMS trägt einen guten Teil der DORA-Anforderungen — aber nicht die Teile mit Zahlen: Meldefristen in Stunden, bedrohungsgeleitete Penetrationstests, das Informationsregister und ein vertraglicher Exit-Plan haben in Annex A kein Gegenstück. Unser DORA-Framework bildet alle 597 Checkpoints ab, und jeder Unterabschnitt nennt die Annex-A-Controls, die ihn abdecken.
The DORA frameworkDas DORA-Framework · All 597 checkpointsAlle 597 Checkpoints · The same ground in MITRE D3FEND termsDasselbe in MITRE-D3FEND-Begriffen
Source: ISO/IEC 27001:2022, clauses 4 to 10 and Annex A. Control identifiers and titles are quoted in the official English wording; the explanations are written by CyberSchild and are not part of the standard, which is available from ISO. This page is an orientation aid, not a substitute for the standard, for ISO/IEC 27002:2022 implementation guidance or for advice from your certification body.Quelle: ISO/IEC 27001:2022, Klauseln 4 bis 10 und Annex A. Control-Kennungen und -Titel im offiziellen englischen Wortlaut; die Erläuterungen stammen von CyberSchild und sind nicht Teil der Norm, die über ISO bezogen wird. Diese Seite ist eine Orientierungshilfe und ersetzt weder die Norm noch die Umsetzungshinweise der ISO/IEC 27002:2022 noch die Auskunft Ihrer Zertifizierungsstelle. iso.org/standard/27001
DORA
Awareness
Get in touch
Email us
Call us
Follow us
-
Twitter
-
Linkedin
