ISO 27001:2022 Update: Die 11 neuen Controls und der Weg von 2013

ISO 27001:2022 wurde im Oktober 2022 veröffentlicht und löst die Version von 2013 ab. Die Transition-Frist für bestehende 2013er- Zertifikate lief bis zum 31. Oktober 2025 ab. Dieser Artikel zeigt die Kernänderungen der Revision, die elf komplett neuen Controls und ein praktisches Mapping der wichtigsten Kontrollnummern von 2013 nach 2022 damit du verstehst, was sich für dein ISMS konkret ändert.

Kernänderungen im Überblick

Der Annex A (Referenzmaßnahmenziele) wurde strukturell grundlegend überarbeitet. Die Zahl der Controls schrumpfte von 114 (in 2013) auf 93 (in 2022), verteilt auf jetzt 4 thematische Kategorien statt 14 Abschnitte. Dabei wurden 24 Controls zusammengefasst (Konsolidierung), 58 Controls inhaltlich unverändert übernommen (reine Umnummerierung), und 11 Controls sind vollständig neu. Die Hauptnorm (Klauseln 4 bis 10) hat sich nur geringfügig geändert, unter anderem wurden in Klausel 6.3 Anforderungen an die Planung von Änderungen ergänzt.

Die Kernaussage der Revision lautet: ISO 27001:2022 adressiert explizit die modernen Risiken der Cloud-Ära und der vernetzten Lieferketten. Die elf neuen Controls sind kein akademisches Konstrukt, sondern die direkte Antwort auf Bedrohungen, die 2013 noch nicht in der Breite existierten.

Die 4 neuen Control-Kategorien

Statt der alten 14 Abschnitte (A.5 bis A.18) gibt es jetzt vier thematische Kategorien mit insgesamt 93 Controls:

• •A.5 Organisatorische Controls: 37 Controls zu Richtlinien, Rollen, Risikomanagement, Lieferantenbeziehungen, Vorfallmanagement und Business Continuity.
• •A.6 Personenbezogene Controls: 8 Controls zu Überprüfung vor der Beschäftigung, Beschäftigungsbedingungen, Disziplinarmaßnahmen, Fernarbeit und Meldung von Vorfällen.
• •A.7 Physische Controls: 14 Controls zu physischer Sicherheit, Büro- und Betriebssicherheit, physischer Sicherheitsüberwachung, Arbeiten in sicheren Bereichen und Clear-Desk-Policy.
• •A.8 Technologische Controls: 34 Controls zu Endgeräten, privilegierten Zugriffsrechten, Kryptografie, Schwachstellenmanagement, Netzwerksicherheit, sicherer Entwicklung und Monitoring.

Die 11 neuen Controls im Detail

Diese elf Controls existierten in ISO 27001:2013 nicht. Sie müssen bei einer Erst- oder Re-Zertifizierung nach 2022 im Statement of Applicability adressiert und, wenn anwendbar, implementiert werden.

2013 zu 2022: Mapping wichtiger Kontrollbereiche

Die folgende Tabelle zeigt, wie wichtige Kontrollbereiche aus ISO 27001:2013 in die neue Struktur von 2022 überführt wurden. Sie erhebt keinen Anspruch auf Vollständigkeit, sondern zeigt die praxisrelevanten Beispiele für die Transition.

Was bedeutet das für bestehende Zertifikate?

Die Transition-Frist lief am 31. Oktober 2025 ab. ISO/IEC 27001:2013- Zertifikate, die bis dahin nicht auf die 2022er Version transitiert wurden, gelten seitdem als ungültig. Zertifizierungsaudits werden seit dem 1. November 2022 ausschließlich nach ISO/IEC 27001:2022 durchgeführt. Das betrifft sowohl Rezertifizierungen als auch Surveillance-Audits. Wenn du noch ein 2013er Zertifikat hattest und die Transition verpasst hast, musst du eine vollständige Rezertifizierung nach dem 2022er Standard durchführen.

Neue Zertifizierungen seit 2022

Seit der Veröffentlichung im Oktober 2022 laufen alle Erstzertifizierungen direkt nach ISO/IEC 27001:2022. Die Norm wurde in Deutschland als DIN EN ISO/IEC 27001:2024 veröffentlicht und ist international gültig. Wenn du heute mit einer Zertifizierung beginnst, arbeitest du ausschließlich mit der 2022er Struktur: 93 Controls in 4 Kategorien, inklusive der elf neuen Controls.

Praktische Auswirkungen für dein ISMS

Für Unternehmen, die nach 2022 arbeiten oder transitieren, ergeben sich konkrete To-Dos:

1. 1.Statement of Applicability aktualisieren: Das SoA muss auf 93 Controls nach 2022-Struktur umgestellt werden. Alle elf neuen Controls müssen explizit adressiert werden, entweder mit konkreter Implementierung oder mit begründetem Ausschluss.
2. 2.Risikoregister prüfen: Cloud-Risiken (A.5.23) und Threat Intelligence (A.5.7) wurden in vielen 2013er-ISMS-Projekten unterbelichtet. Diese Lücken müssen explizit im Risikoregister erfasst und bewertet werden.
3. 3.Secure-Coding-Policy ergänzen: A.8.28 fordert dokumentierte Secure-Coding-Richtlinien. Falls du Software entwickelst oder entwickeln lässt, braucht dein Unternehmen eine entsprechende Policy mit konkreten Vorgaben (z. B. OWASP Top 10 als Mindeststandard).
4. 4.DLP-Strategie definieren: A.8.12 fordert konkrete Data-Leakage-Prevention-Maßnahmen. Das kann von technischen Lösungen bis zu organisatorischen Kontrollen reichen, muss aber dokumentiert und im SoA adressiert sein.

Der interaktive Control-Explorer zeigt dir alle 93 Controls der 2022er Struktur mit Cross-Mappings zu NIS2, TISAX, DSGVO und BSI IT-Grundschutz. Damit siehst du sofort, wo die neuen Controls mit anderen regulatorischen Anforderungen überschneiden.

Nächster Schritt

Wenn du dein ISMS auf ISO 27001:2022 anpassen oder erstmals zertifizieren willst, sind der Control-Explorer und das SoA-Template deine praktischen Einstiegspunkte. Beides ist kostenlos verfügbar.