27. Juni 2026
Lesezeit: 5 Minuten

ISO/IEC 27001:2022 Annex A: Der Praxis-Guide zu allen 93 Controls (inkl. der 11 Neuerungen)

Wenn IT-Verantwortliche und Geschäftsführer das Wort „Annex A“ hören, löst das oft sofortigen Stress aus. Der Anhang A der ISO/IEC 27001 wird in vielen Unternehmen als eine endlos lange, bürokratische Checkliste missverstanden, die man blind abarbeiten muss, um den Auditor milde zu stimmen. Das Ergebnis? Unzählige Excel-Tabellen, sinnlose IT-Investitionen und ein Informationssicherheits-Managementsystem (ISMS), das in der Theorie gut aussieht, in der Praxis aber beim ersten echten Ransomware-Angriff in sich zusammenfällt.

Die Realität ist eine andere: Der Annex A ist keine Checkliste. Er ist ein hochwirksamer Werkzeugkasten.

Mit dem Update auf die ISO/IEC 27001:2022 hat die Standardisierungsorganisation genau diesen Werkzeugkasten radikal aufgeräumt. Veraltete Maßnahmen flogen raus, neue Bedrohungen (wie Cloud-Risiken und Cyber-Erpressung) wurden integriert. Wer die Mechanik hinter diesen 93 Controls versteht, baut keine bürokratischen Papiertiger mehr, sondern eine auditsichere, operative Abwehrmauer.

In diesem Leitfaden erfährst du, wie der neue Annex A strukturiert ist, welche 11 Maßnahmen komplett neu hinzugekommen sind und wie du sie über das Statement of Applicability (SoA) pragmatisch in deine Unternehmensrealität übersetzt.

ISO 27001 Annex A: Alle 93 Controls verständlich erklärt

ISO/IEC 27001:2022 · Annex A

Die 93 Controls im Überblick

Vier Themenbereiche · 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Maßnahmen

93 von 93 Controls
A.5Organisatorische Controls37 / 37 Controls▾
A.5.1
InformationssicherheitsrichtlinienÜbergeordnete Leitlinie und themenspezifische Richtlinien definieren, vom Management verabschieden und regelmäßig prüfen.
A.5.2
Rollen und VerantwortlichkeitenFestlegen und zuweisen, wer für welche Sicherheitsaufgaben zuständig ist.
A.5.3
AufgabentrennungKonkurrierende Tätigkeiten trennen, damit keine Person allein kritische Prozesse missbrauchen kann.
A.5.4
Verantwortung der LeitungDie Leitung verpflichtet alle Beschäftigten, Sicherheitsvorgaben einzuhalten.
A.5.5
Kontakt zu BehördenFeste Ansprechwege zu Aufsichts- und Sicherheitsbehörden pflegen.
A.5.6
Kontakt zu FachgruppenAustausch mit Sicherheits-Communities und Fachverbänden nutzen.
A.5.7
Threat Intelligence Neu 2022Informationen über aktuelle Bedrohungen sammeln, auswerten und in Schutzmaßnahmen überführen.
A.5.8
Sicherheit im ProjektmanagementSicherheitsanforderungen von Anfang an in Projekte integrieren.
A.5.9
Inventar der WerteInformationen und zugehörige Assets erfassen und Eigentümer benennen.
A.5.10
Zulässige NutzungRegeln für den akzeptablen Umgang mit Informationen und Assets festlegen.
A.5.11
Rückgabe von WertenBei Austritt oder Wechsel überlassene Assets zurückfordern.
A.5.12
Klassifizierung von InformationenInformationen nach Schutzbedarf einstufen.
A.5.13
Kennzeichnung von InformationenKlassifizierte Informationen entsprechend markieren.
A.5.14
InformationsübertragungDen Austausch von Informationen über alle Kanäle absichern.
A.5.15
ZugangssteuerungZugriff auf Informationen anhand fachlicher und sicherheitstechnischer Anforderungen regeln.
A.5.16
IdentitätsmanagementDen gesamten Lebenszyklus digitaler Identitäten verwalten.
A.5.17
AuthentisierungsinformationenPasswörter und andere Authentifizierungsmittel sicher zuteilen und schützen.
A.5.18
ZugriffsrechteBerechtigungen bedarfsgerecht vergeben, anpassen und wieder entziehen.
A.5.19
Sicherheit in LieferantenbeziehungenRisiken aus dem Einsatz von Lieferanten und Dienstleistern steuern.
A.5.20
Sicherheit in LieferantenvereinbarungenSicherheitsanforderungen vertraglich verankern.
A.5.21
Sicherheit in der IKT-LieferketteRisiken entlang der gesamten IT- und Produktlieferkette adressieren.
A.5.22
Überwachung von LieferantenleistungenLeistungen und Änderungen von Dienstleistern laufend prüfen.
A.5.23
Sicherheit bei Cloud-Nutzung Neu 2022Auswahl, Nutzung und Ausstieg von Cloud-Diensten sicher gestalten.
A.5.24
Incident-Management vorbereitenProzesse, Rollen und Pläne für Sicherheitsvorfälle aufsetzen.
A.5.25
Bewertung von EreignissenSicherheitsereignisse einschätzen und entscheiden, ob ein Vorfall vorliegt.
A.5.26
Reaktion auf VorfälleVorfälle nach festgelegten Verfahren bearbeiten.
A.5.27
Lernen aus VorfällenErkenntnisse aus Vorfällen nutzen, um den Schutz zu verbessern.
A.5.28
BeweissicherungBeweismaterial zu Vorfällen ordnungsgemäß sammeln und aufbewahren.
A.5.29
Sicherheit bei StörungenInformationssicherheit auch während Krisen und Ausfällen aufrechterhalten.
A.5.30
IKT-Bereitschaft für BCM Neu 2022IT-Systeme auf die Geschäftsfortführung im Krisenfall vorbereiten.
A.5.31
Gesetzliche und vertragliche AnforderungenRelevante Rechts- und Vertragspflichten identifizieren und erfüllen.
A.5.32
Geistiges EigentumUrheber- und Lizenzrechte beachten.
A.5.33
Schutz von AufzeichnungenAufzeichnungen vor Verlust, Fälschung und unbefugtem Zugriff schützen.
A.5.34
Schutz personenbezogener DatenDatenschutz und den Schutz personenbezogener Daten sicherstellen.
A.5.35
Unabhängige ÜberprüfungDie Informationssicherheit regelmäßig unabhängig prüfen lassen.
A.5.36
Einhaltung von RichtlinienKonformität mit internen Vorgaben und Standards kontrollieren.
A.5.37
Dokumentierte BetriebsabläufeBetriebsverfahren dokumentieren und verfügbar halten.
A.6Personenbezogene Controls8 / 8 Controls▾
A.6.1
Überprüfung (Screening)Hintergrundprüfungen vor der Einstellung im angemessenen Rahmen durchführen.
A.6.2
BeschäftigungsbedingungenSicherheitspflichten in Arbeitsverträgen verankern.
A.6.3
Awareness und SchulungBeschäftigte regelmäßig sensibilisieren und schulen.
A.6.4
DisziplinarverfahrenVerstöße gegen Sicherheitsvorgaben nachvollziehbar ahnden.
A.6.5
Pflichten nach BeendigungSicherheitspflichten gelten auch nach Austritt oder Wechsel fort.
A.6.6
VertraulichkeitsvereinbarungenGeheimhaltungsvereinbarungen mit Beschäftigten und Dritten abschließen.
A.6.7
Mobiles ArbeitenSicheres Arbeiten außerhalb der Büroumgebung regeln.
A.6.8
Meldung von EreignissenBeschäftigten einen einfachen Meldeweg für Sicherheitsereignisse bieten.
A.7Physische Controls14 / 14 Controls▾
A.7.1
SicherheitszonenPhysische Schutzbereiche für sensible Bereiche definieren.
A.7.2
Physischer ZutrittZutritt zu Sicherheitsbereichen kontrollieren.
A.7.3
Sicherung von RäumenBüros, Räume und Einrichtungen physisch absichern.
A.7.4
Physische Überwachung Neu 2022Räumlichkeiten gegen unbefugten Zutritt überwachen, etwa per Kamera oder Alarm.
A.7.5
Schutz vor UmweltgefahrenVor Feuer, Wasser, Stromausfall und Naturereignissen schützen.
A.7.6
Arbeiten in SicherheitsbereichenVerhaltensregeln für sensible Zonen festlegen.
A.7.7
Aufgeräumter ArbeitsplatzClear-Desk- und Clear-Screen-Regeln umsetzen.
A.7.8
Aufstellung von GerätenGeräte sicher platzieren und vor Risiken schützen.
A.7.9
Sicherheit außerhalb des StandortsAssets außerhalb der eigenen Räumlichkeiten schützen.
A.7.10
SpeichermedienDatenträger über ihren gesamten Lebenszyklus schützen.
A.7.11
VersorgungseinrichtungenStrom, Klima und weitere Versorgung absichern.
A.7.12
VerkabelungssicherheitStrom- und Datenleitungen vor Eingriff und Schäden schützen.
A.7.13
Wartung von GerätenGeräte regelmäßig und sicher warten.
A.7.14
Sichere EntsorgungGeräte vor Entsorgung oder Wiederverwendung sicher löschen.
A.8Technologische Controls34 / 34 Controls▾
A.8.1
Endgeräte der NutzerEndgeräte wie Laptops und Mobilgeräte absichern.
A.8.2
Privilegierte ZugriffsrechteAdministrative Rechte streng begrenzen und überwachen.
A.8.3
Einschränkung des InformationszugriffsZugriff auf Daten und Funktionen gezielt begrenzen.
A.8.4
Zugriff auf QuellcodeLese- und Schreibzugriff auf Quellcode kontrollieren.
A.8.5
Sichere AuthentisierungStarke Authentifizierungsverfahren wie MFA einsetzen.
A.8.6
KapazitätsmanagementRessourcen am Bedarf ausrichten und überwachen.
A.8.7
Schutz vor SchadsoftwareMalware mit technischen und organisatorischen Mitteln abwehren.
A.8.8
Management technischer SchwachstellenSchwachstellen erkennen und zeitnah beheben (Patching).
A.8.9
Konfigurationsmanagement Neu 2022Sichere Konfigurationen festlegen, dokumentieren und überwachen.
A.8.10
Löschung von Informationen Neu 2022Nicht mehr benötigte Daten sicher und nachweisbar löschen.
A.8.11
Datenmaskierung Neu 2022Sensible Daten durch Maskierung oder Pseudonymisierung schützen.
A.8.12
Schutz vor Datenabfluss Neu 2022Ungewollten Abfluss sensibler Daten verhindern (DLP).
A.8.13
DatensicherungRegelmäßige Backups erstellen und die Wiederherstellung testen.
A.8.14
RedundanzVerarbeitende Systeme redundant auslegen.
A.8.15
ProtokollierungSicherheitsrelevante Ereignisse protokollieren.
A.8.16
Überwachungsaktivitäten Neu 2022Systeme und Netze auf anormales Verhalten überwachen.
A.8.17
UhrzeitsynchronisationSystemuhren zentral synchronisieren.
A.8.18
Privilegierte HilfsprogrammeNutzung mächtiger Systemwerkzeuge einschränken.
A.8.19
Software-InstallationInstallation von Software auf Produktivsystemen kontrollieren.
A.8.20
NetzwerksicherheitNetze absichern und steuern.
A.8.21
Sicherheit von NetzdienstenSicherheitsmechanismen von Netzdiensten festlegen.
A.8.22
NetzsegmentierungNetze in getrennte, geschützte Zonen aufteilen.
A.8.23
Web-Filterung Neu 2022Zugriff auf gefährliche oder unerwünschte Webinhalte einschränken.
A.8.24
Einsatz von KryptografieVerschlüsselung regelgerecht einsetzen und Schlüssel verwalten.
A.8.25
Sicherer EntwicklungslebenszyklusSicherheit über den gesamten Entwicklungsprozess verankern.
A.8.26
Anforderungen an AnwendungssicherheitSicherheitsanforderungen für Anwendungen definieren.
A.8.27
Sichere ArchitekturprinzipienSysteme nach sicheren Design-Grundsätzen entwerfen.
A.8.28
Sichere Programmierung Neu 2022Sichere Coding-Praktiken anwenden.
A.8.29
SicherheitstestsIn Entwicklung und Abnahme auf Sicherheit testen.
A.8.30
Ausgelagerte EntwicklungFremdentwicklung steuern und überwachen.
A.8.31
Trennung der UmgebungenEntwicklung, Test und Produktion voneinander trennen.
A.8.32
ÄnderungsmanagementÄnderungen kontrolliert und nachvollziehbar durchführen.
A.8.33
TestdatenTestdaten sorgfältig auswählen und schützen.
A.8.34
Schutz bei Audit-TestsPrüfaktivitäten an Produktivsystemen schonend planen und absichern.
Keine Controls gefunden. Bitte Suchbegriff oder Filter anpassen.
Hinweis: Dargestellt sind die normativen Control-Bezeichnungen der ISO/IEC 27001:2022 (Annex A). Die Kurzerklärungen sind vereinfachte, eigene Formulierungen zur Orientierung und ersetzen nicht den Wortlaut der Norm bzw. der ISO/IEC 27002:2022. Mit Neu 2022 sind die 11 erstmals 2022 aufgenommenen Controls gekennzeichnet.
ISO/IEC 27001:2022 · Annex A — 93 Controls · S+P Compliance

Vom Dschungel zur Struktur: Das neue Setup 2022

Die alte ISO 27001:2013 war mit ihren 114 Controls, verstreut über 14 schwer voneinander abgrenzbare Domänen, ein methodischer Albtraum. Es gab zahllose Überschneidungen, die in Audits regelmäßig zu endlosen Grundsatzdiskussionen führten.

Die ISO/IEC 27001:2022 hat diesen Dschungel gerodet. Die Anzahl der Controls wurde durch geschickte Zusammenlegungen auf 93 Maßnahmen reduziert. Noch wichtiger ist jedoch die neue, glasklare Struktur. Es gibt jetzt nur noch vier übergeordnete Themenbereiche (Kategorien), die dem modernen Unternehmensalltag entsprechen:

  1. A.5 Organisatorische Controls (37 Maßnahmen)

  2. A.6 Personenbezogene Controls (8 Maßnahmen)

  3. A.7 Physische Controls (14 Maßnahmen)

  4. A.8 Technologische Controls (34 Maßnahmen)

Zusätzlich wurden sogenannte Attribute (wie #Preventive, #Detective, #Corrective) eingeführt. Sie erlauben es dir, deine Maßnahmen in einer Matrix flexibel zu filtern und zu clustern – ideal, um der Geschäftsführung schnell aufzuzeigen, wie gut ihr im Bereich „Erkennung“ oder „Prävention“ wirklich aufgestellt seid.

Die 11 neuen Controls: Reaktion auf die moderne Bedrohungslage

Die Bedrohungslandschaft hat sich seit 2013 dramatisch verändert. Ransomware-as-a-Service, komplexe Cloud-Architekturen und hybride Arbeitsmodelle sind heute Standard. Die ISO 27001:2022 reagiert darauf mit 11 komplett neuen Controls, die du zwingend auf dem Radar haben musst – auch im Hinblick auf regulatorische Geschwister wie DORA und NIS-2.

Organisatorische Neuerungen (A.5)

  • A.5.7 Threat Intelligence (Bedrohungsdaten): Es reicht nicht mehr, nur die eigene IT zu überwachen. Du musst aktiv Informationen über aktuelle Angriffstaktiken (TTPs) sammeln und diese proaktiv in deine Abwehrmaßnahmen integrieren.

  • A.5.23 Sicherheit bei Cloud-Nutzung: Vorbei sind die Zeiten, in denen Cloud-Sicherheit eine Grauzone war. Du benötigst klare Vorgaben für den Einkauf, die Nutzung, die Konfiguration und den eventuellen Exit aus Cloud-Diensten.

  • A.5.30 IKT-Bereitschaft für BCM: Business Continuity Management (Notfallplanung) muss eng mit der IT-Bereitschaft verzahnt sein. Wenn die Server brennen, nützt ein Papierplan nichts – die Systeme müssen nachweislich auf den Krisenfall vorbereitet sein (Resilienz).

Physische Neuerung (A.7)

  • A.7.4 Physische Sicherheitsüberwachung: Standorte und kritische Zonen müssen nicht nur verschlossen, sondern aktiv gegen unbefugten Zutritt überwacht werden (z. B. Kamerasysteme, Alarmanlagen).

Technologische Neuerungen (A.8)

  • A.8.9 Konfigurationsmanagement: Standard-Passwörter und ungesicherte Werks-Setups sind Einfallstor Nummer eins. Systeme, Netzwerke und Software müssen nach dem Prinzip „Secure by Default“ konfiguriert und Änderungen überwacht werden.

  • A.8.10 Datenlöschung: Wenn Daten nicht mehr benötigt werden, müssen sie sicher und irreversibel gelöscht werden. Ein reines Verschieben in den Papierkorb genügt den Compliance-Anforderungen (auch der DSGVO) nicht.

  • A.8.11 Datenmaskierung: Sensible Daten (z. B. in Testumgebungen) müssen durch Anonymisierung, Pseudonymisierung oder Maskierung geschützt werden, um das Risiko eines Datenabflusses zu minimieren.

  • A.8.12 Verhinderung von Datenabfluss (DLP): Unternehmen müssen technische Maßnahmen ergreifen (Data Loss Prevention), um den ungewollten oder böswilligen Abfluss kritischer Daten zu erkennen und zu blockieren.

  • A.8.16 Überwachungsaktivitäten: Netzwerke, Systeme und Anwendungen müssen kontinuierlich auf anormales Verhalten überwacht werden. Dies ist der Kern eines modernen Security Operations Centers (SOC) oder SIEM-Systems.

  • A.8.23 Web-Filterung: Um zu verhindern, dass Mitarbeiter Schadsoftware herunterladen oder auf kompromittierte Seiten zugreifen, muss der Zugriff auf externe Websites restriktiv verwaltet werden.

  • A.8.28 Sichere Programmierung: Code muss von Anfang an sicher geschrieben werden (Secure Coding Guidelines), um Schwachstellen wie SQL-Injections in selbstentwickelter Software gar nicht erst entstehen zu lassen.

Die 4 Kategorien im Praxis-Check: So ordnest du deine Abwehr

Die neue Aufteilung des Annex A macht es wesentlich einfacher, die richtigen Stakeholder im Unternehmen in die Pflicht zu nehmen. Informationssicherheit ist kein reines IT-Thema mehr – HR, Facility Management und Legal sitzen jetzt im selben Boot.

1. Organisatorische Controls (A.5) – Das strategische Fundament

Mit 37 Controls ist dies der größte Block. Hier geht es um die Spielregeln. Richtlinien (Policies) werden definiert, Verantwortlichkeiten zugewiesen und das Lieferantenrisiko gesteuert. Der Pain-Point: Viele Unternehmen scheitern hier an endlosen Textwüsten. Die Lösung: Baue schlanke, verständliche Richtlinien. Wenn du dein Identity & Access Management (IAM) oder deine Incident-Response-Ketten hier nicht sauber definierst, kollabieren die technologischen Maßnahmen später unweigerlich.

2. Personenbezogene Controls (A.6) – Der Faktor Mensch

Acht Maßnahmen kümmern sich um die Human Firewall. Das beginnt beim Background-Screening vor der Einstellung, geht über kontinuierliche Security-Awareness-Schulungen und endet bei klaren Pflichten bei Beendigung des Arbeitsverhältnisses. Praxis-Tipp: Einmal im Jahr ein langweiliges WBT (Web Based Training) zum Thema Phishing durchzuklicken, erfüllt nicht den Sinn von Control A.6.3. Awareness muss messbar und auf die aktuelle Bedrohungslage (siehe Threat Intelligence) zugeschnitten sein.

3. Physische Controls (A.7) – Sicherheit zum Anfassen

14 Maßnahmen schützen das Gebäude, die Büros und die Hardware. Hier geht es um Clean-Desk-Policies, strikte Zutrittskontrollen für Serverräume und den sicheren Umgang mit Wechseldatenträgern und Verkabelung. Audit-Falle: Auditor:innen lieben diesen Bereich. Eine offene Tür zum Serverraum oder ein ungeschreddertes Vertragsdokument im Papierkorb sind sofort sichtbare Non-Conformities (Abweichungen).

4. Technologische Controls (A.8) – Die harte Schale

Die 34 technologischen Controls sind die Domäne des IT-Leiters und des CISO. Vom Patch-Management über Netzsegmentierung und Kryptografie bis hin zur Endgeräte-Sicherheit. Der Hebel: Diese Maßnahmen müssen nahtlos in deinen CISO-Kontrollplan überführt werden. Wer hier blind Tools einkauft, verbrennt Budget. Nutze deine vorherige Risikobeurteilung, um genau die Technologien zu implementieren, die deine größten Schmerzpunkte abdecken.

DORA und NIS 2 Seminare

Die Brücke zur Realität: Das Statement of Applicability (SoA)

Hier schließt sich der Kreis vom Compliance-Albtraum zum robusten Steuerungsinstrument. Du darfst nicht einfach durch die 93 Controls gehen und ankreuzen, was dir gefällt. Die Brücke zwischen deinen operativen Risiken und dem Annex A ist das Statement of Applicability (SoA) – die Erklärung zur Anwendbarkeit.

Das SoA ist das absolute Herzstück deines Audits.

Bevor du dich mit den Controls beschäftigst, musst du ein sauberes Risk Assessment (inkl. Strukturanalyse und Schutzbedarfsfeststellung) durchführen. Nur aus diesen konkreten Risiken heraus kannst du im SoA für jedes der 93 Controls belastbar argumentieren:

  • Applicable (Anwendbar): Ja, wir setzen dieses Control um, um das Risiko XY zu mitigieren (Risikobehandlung: Modify).

  • Not Applicable (Nicht anwendbar): Wir lassen dieses Control weg. Achtung: Das erfordert eine wasserdichte Begründung! Wenn ihr keine eigene Software entwickelt, ist A.8.28 (Sichere Programmierung) nicht anwendbar. Wenn ihr es aber weglasst, weil es euch „zu teuer“ ist, fällt das ISMS beim Audit durch.

Annex A ist dein Kompass, nicht deine Fessel

Die 93 Controls der ISO/IEC 27001:2022 zwingen dich dazu, Informationssicherheit ganzheitlich zu denken. Weg von isolierten IT-Projekten, hin zu einem messbaren, durch die Geschäftsführung getragenen Managementsystem. Wer den Annex A als strategischen Kompass nutzt, besteht nicht nur Audits ohne Schweißausbrüche, sondern baut eine echte Cyber-Resilienz auf, die auch bei regulatorischen Vorgaben wie DORA und NIS-2 souverän standhält.

🚦 Quick-Check: Bist du bereit für das Transition-Audit?

  • Hast du die 11 neuen Controls der 2022er Norm bereits in dein ISMS integriert?

  • Spiegelt sich deine Cloud-Strategie sauber im SoA wider?

  • Ist euer Incident-Management mit der neuen Pflicht zur Threat Intelligence verzahnt?

Wenn du bei einer dieser Fragen zögerst, ist es höchste Zeit zu handeln.

Quick-Check: ISO/IEC 27001:2022 – Dein ISMS-Status

Check Zentrale Kontrollfrage zum ISMS-Workflow
Kontext & Scope definiert? (Kap. 4)
Hast du alle relevanten Rechtsvorgaben (NIS-2, DORA, DSGVO) und den Scope (IKT, Cloud, Standorte) klar dokumentiert?
6-Schritte Risikoanalyse etabliert? (Kap. 6.1)
Bewertest du deine Assets systematisch nach C-I-A und konkreten Bedrohungsszenarien statt nach Bauchgefühl?
Erklärung zur Anwendbarkeit (SoA) belastbar? (Kap. 6.1.3)
Ist für jedes der 93 Controls nachvollziehbar aus der Risikoanalyse begründet, warum es angewendet (oder weggelassen) wird?
Annex A operationalisiert? (Kap. 8)
Sind die organisatorischen, personellen, physischen und technologischen Maßnahmen in gelebte Prozesse überführt?
CISO-Kontrollplan aktiv? (Kap. 9.1)
Prüfst du die Wirksamkeit der Controls rhythmisch nachweisbar (z. B. monatlich Patchquoten, quartalsweise Pentests)?
Managementbewertung messbar? (Kap. 9.3)
Erhält die Geschäftsführung klare KPIs/KRIs, um fundiert über Budgets, Ressourcen und Restrisiken zu entscheiden?
PDCA-Zyklus geschlossen? (Kap. 10)
Führen veränderte Bedrohungslagen oder externe Vorgaben automatisch zu einem Update deines Kontexts und der Risikobewertung?

🚦 Dein ISMS Umsetzungs-Status

AKTION NOTWENDIG
Hohes Risiko – Ein methodisches, nachvollziehbares ISMS fehlt.
IN ARBEIT
Teilweise implementiert – Der PDCA-Zyklus hat noch lücken, Audit-Risiko besteht.
AUDITSICHER
ISO 27001 konform – ISMS und Risikomanagement sind voll in die Praxis integriert.

Fit für die Prüfung: Kostenfreies Whitepaper anfordern

DORA und NIS-2 sind in Kraft – jetzt rücken die Kontrollen durch Aufsicht und Wirtschaftsprüfer in den Fokus. Hol dir kompaktes Praxiswissen direkt auf deinen Schreibtisch. Fordere unser exklusives Whitepaper an und stelle sicher, dass deine IKT- und Compliance-Prozesse jeder Prüfung standhalten.

Jetzt Whitepaper anfordern ➜
DORA & NIS-2 Seminare 2026: IKT-Risikomanagement & Cyber-Compliance

DORA & NIS-2 Hub: IKT-Risikomanagement, Cyber-Compliance & Notfallplanung

Mach dein Unternehmen widerstandsfähig gegen Cyber-Risiken und erfülle die neuesten regulatorischen Anforderungen. Dieser Hub zeigt dir unsere zertifizierten Seminare und Lehrgänge zur erfolgreichen Umsetzung von DORA, NIS-2 und Datenschutz.

Seminare, Schulungen & Lehrgänge (mit Zertifikat)

DORA & NIS-2 Seminare – Übersicht ➜

Alle Schulungen und Lehrgänge zu Cyber-Sicherheit, IKT-Risikomanagement und Notfallplanung im zentralen Überblick.

Zur Seminar-Übersicht

DORA Compliance Expert ➜

Baue IKT-Resilienz auf, erfülle die Anforderungen des DORA Acts und integriere Drittdienstleister sicher.

Zum Seminar

NIS-2 für Führungskräfte ➜

Kompaktes Wissen für Geschäftsführer und Vorstände zur persönlichen Haftung und strategischen Umsetzung der NIS-2-Richtlinie.

Zum Seminar

Info-Sicherheitsbeauftragter (CISO) ➜

Übernehme Schlüsselaufgaben im ISMS. Souveräner Umgang mit ISO 27001, BSI, DORA und NIS-2 Vorgaben.

Zum Lehrgang

ISMS Kontext-Risiko-Workflow ➜

Der 8-Schritte-Workflow: Verwandle dein ISMS vom Papiertiger in ein auditsicheres Steuerungsinstrument nach ISO 27001.

Zum Leitfaden

Annex A: Alle 93 Controls ➜

Die 93 Sicherheitsmaßnahmen der ISO 27001:2022 im Praxis-Check. So baust du ein wasserdichtes Statement of Applicability (SoA) auf.

Zur Übersicht

AI Compliance Officer ➜

Manage KI-Risiken und setze den EU AI Act praxisnah um – mit klaren Policies, Governance-Strukturen und Tools.

Zum Lehrgang

Resilience Officer ➜

Stärkung der organisatorischen Widerstandskraft durch Business Continuity Management (BCM) und Notfallplanung.

Zum Lehrgang

Pflichten im Datenschutz ➜

Sichere Compliance an der entscheidenden Schnittstelle von DSGVO, Informationssicherheit, DORA und NIS-2.

Zum Seminar

Quellen & regulatorische Grundlagen

  • International Organization for Standardization (ISO): ISO/IEC 27001:2022 – Informationssicherheits-Managementsysteme – Anforderungen
    Zur offiziellen ISO-Seite
  • International Organization for Standardization (ISO): ISO/IEC 27005:2022 – Leitfaden zum Management von Informationssicherheitsrisiken
    Zur offiziellen Norm
  • Bundesamt für Sicherheit in der Informationstechnik (BSI): IT-Grundschutz-Kompendium – Übersicht der Elementaren Gefährdungen
    Zum BSI IT-Grundschutz
  • Regulatorische Rahmenbedingungen: Umsetzung von DORA (Verordnung EU 2022/2554) und NIS-2-Richtlinie (EU 2022/2555)
    (Treiber für die verpflichtende Implementierung robuster Risikomanagement- und ISMS-Prozesse)

Praxis-Hinweis: Die aktuelle ISO/IEC 27001:2022 verlangt eine stringente Verzahnung der 93 neu strukturierten Controls (Annex A) mit deiner operativen Risikobeurteilung. Ein reines „Abhaken“ von Maßnahmen ohne nachweisbaren Kontext-Bezug reicht für erfolgreiche Audits und rechtliche Compliance heute nicht mehr aus.

FAQ – Die 93 Controls der ISO/IEC 27001:2022 (Annex A)

Die Anzahl der Controls wurde von 114 auf 93 Maßnahmen reduziert und deutlich praxistauglicher strukturiert. Statt 14 oft unübersichtlicher Domänen gibt es nun vier klare Kategorien: Organisatorisch, Personenbezogen, Physisch und Technologisch. Zudem wurden 11 komplett neue Maßnahmen eingeführt.

Die neuen Maßnahmen reagieren direkt auf die moderne Bedrohungslage. Dazu gehören essenzielle Themen wie Threat Intelligence (Bedrohungsdaten), Sicherheit bei der Cloud-Nutzung, IKT-Bereitschaft für den Notfall (BCM), Verhinderung von Datenabfluss (DLP), Datenmaskierung und sichere Programmierung.

Nein. Ob ein Control angewendet wird, entscheidet allein eure vorangegangene Risikoanalyse. Controls können im Rahmen des Audits als „nicht anwendbar“ (Not Applicable) eingestuft werden – beispielsweise die Maßnahmen zur Softwareentwicklung, wenn ihr keine eigene Software schreibt. Der Ausschluss muss jedoch logisch und wasserdicht begründet sein.

Die vier neuen Bereiche (A.5 bis A.8) brechen das Silodenken auf, denn Informationssicherheit ist kein reines IT-Thema mehr. Durch die klaren Kategorien lassen sich Verantwortlichkeiten viel besser delegieren: Die HR-Abteilung steuert die personenbezogenen Controls (A.6), das Facility Management die physischen (A.7) und die IT die technologischen (A.8).

Die Erklärung zur Anwendbarkeit (SoA) ist die wichtigste Brücke zwischen euren operativen Risiken und dem Annex A. Es ist das absolute Herzstück jedes Audits. Darin dokumentierst du für jedes einzelne der 93 Controls systematisch, ob es angewendet wird, wie das entsprechende Risiko behandelt wird und warum bestimmte Maßnahmen gegebenenfalls ausgeschlossen wurden.

Achim Schulz – Referent
Ihr Referent

Achim Schulz

Geschäftsführer der S+P Unternehmerforum & der S+P Compliance · Mitglied des S+P Referententeams

Achim Schulz ist erfahrener Experte für Informationssicherheit und berät Unternehmen strategisch wie operativ beim Aufbau resilienter Sicherheitsarchitekturen. Als Spezialist für integrierte Managementsysteme begleitet er Organisationen durch den gesamten Prozess der ISO/IEC 27001:2022-Zertifizierung. Sein Fokus liegt darauf, regulatorische Anforderungen aus BSI, DORA oder DSGVO von bürokratischem Ballast zu befreien und in pragmatische, wertschöpfende Unternehmensprozesse zu übersetzen.

Er gehört zum S+P Referententeam – einem Kreis erfahrener Praktiker für Compliance, Geldwäscheprävention, Risikomanagement und Informationssicherheit. Je nach Thema und Termin referieren die jeweils passenden Spezialisten.

LinkedIn-Profil →  ·  Das Referententeam →
Im Seminar und Lehrgang enthalten – S+P Tool Box: Vorlagen & Checklisten für das Informationssicherheitsmanagement (ISO/IEC 27001, BSI, DORA, DSGVO), laufend gepflegt durch die S+P Fachredaktion – Aktualisierung zu jedem Seminartermin.

Seminare & Lehrgänge

Widerruf erklären

Plattform & Methodik

Über S+P

ISO9001
ecovadis

Service & Kontakt

Board & Management

Compliance & Aufsicht

Führung & Leadership

Finance & Performance

S&P Unternehmerforum GmbH 809 Bewertungen auf ProvenExpert.com