Umstellung auf ISO 27001:2022

Damit Ihr Unternehmen weiterhin höchste Standards in Bezug auf die Informationssicherheit einhält, erfordert die Umstellung eines Informationssicherheitsmanagementsystems auf die aktualisierte Fassung der ISO 27001 eine sorgfältige Planung und Implementierung. Nach eingehender Prüfung der aktualisierten Version des Standards empfehlen wir dringend, mit der Umstellung zu beginnen. Obwohl aktuelle Zertifikate nach der ISO/IEC 27001:2013 beziehungsweise DIN EN ISO 27001:2017 noch bis November 2025 gültig bleiben, rennt die Zeit für die Umstellung.

Die englische Version der neuen Fassung der ISO 27001 wurde bereits im Oktober 2022 veröffentlicht. Seit dem letzten Jahr sind auch Audits zur Umstellung auf diese neue Fassung seitens der Zertifizierungsstellen möglich. In diesem Jahr erfolgte nun die Veröffentlichung der deutschen Version der neuen Fassung der ISO 27001. Damit ist auch der letzte Baustein für die Umstellung aller Informationssicherheitsmanagementsysteme gelegt.

Die Umstellung bietet sich in der Regel im Zuge eines regulären Überwachungs- oder Rezertifizierungsaudits an. Es muss aber beachtet werden, dass diese nicht nur für die Bearbeitung der Dokumente und Verfahren Zeit erfordert. Auch die dadurch geregelten Prozesse müssen angepasst und dokumentiert werden. Daher sollten Unternehmen so früh wie möglich mit der Anpassung auf die neuen Anforderungen beginnen.

Mit der aktualisierten Fassung der ISO 27001 haben sich einige Normkapitel geändert. Viele davon nicht inhaltlich, jedoch ist ein besonderes Augenmerk auf die Kapitel  4.4 und 6.3 zu legen. Im normativen Anhang A der Norm kommen 11 gänzlich neue Anforderungen hinzu. Darüber hinaus wurden 57 Punkte überarbeitet und 56 Maßnahmen zu 24 neuen Anforderungen zusammengefasst. Aus den 93 Anforderungspunkten aus dem Anhang A der aktualisierten Fassung ISO 27001 leiten sich einige Hürden für die Umstellung ab. Um diese bestmöglich zu überwinden, helfen wir Ihnen gern.

Zwei wichtige Aspekte bei den Änderungen finden sich in den Normkapiteln. Zum einen wird verstärkt der Fokus auf die Prozessen gelegt, die sich aus dem Informationssicherheitsmanagementsystem ergeben, was sich in Normkapitel 4.4 wiederfindet. Zum anderen ist Kapitel 6.3 gänzlich neu und stellt die Anforderung, Änderungen am bestehenden Informationssicherheitsmanagementsystem geplant durchzuführen und zu dokumentieren. Hierfür bieten wir Ihnen Unterstützung bei der Erstellung und Durchführung eines Plans zur Umstellung des ISMS auf die neue Fassung der ISO 27001.

Aus dem Anhang A des Standards kommen unter anderem verstärkt Anforderungen mit Bezug zum Datenschutz auf Ihr Unternehmen zu. Darüber hinaus sind die Betriebskontinuität während Störungen, die sichere Entwicklung von Software und Systemen sowie die Überwachung des Unternehmensumfelds und dessen Systemen hinsichtlich verschiedener Bedrohungen wichtige Aspekte der neuen Anforderungen.

Als Ausgangslage für die Umstellung auf die neue Fassung der ISO 27001 muss zunächst das bestehende Informationssicherheitsmanagementsystem betrachtet werden. Darauf basierend muss eine Planung des Vorgehens für die Umstellung erarbeitet werden. Dieses schließt unter anderem eine Ressourcenplanung und die Sicherstellung der Zustimmung der Geschäftsführung ein. Parallel zu der dann startenden Arbeit an der Dokumentation müssen die Verantwortlichen für die Prozesse des ISMS sowie die von den Änderungen betroffenen Personen einbezogen werden, um Änderungen entsprechend der Bedürfnisse des Unternehmens anzupassen.

Im Anschluss an die Überarbeitung der Dokumente müssen diese von der Geschäftsführung gemäß den eigenen Vorgaben zur Lenkung von Dokumenten freigegeben werden. Daraufhin muss auch die Umsetzung auf die neuen Richtlinien, Verfahren und Prozesse begonnen werden. Die gesamten Änderungen im Zuge der Umstellung müssen dann in einem internen Audit auf den Prüfstand gestellt werden, bei dem insbesondere die neuen Anforderungen der Norm berücksichtigt werden sollten. Nach dem internen Audit sollte auch eine Managementreview stattfinden, bei dem über die neuen Anpassungen und Ergebnisse des Audits gesprochen werden muss. Nachdem diese Punkte seitens Ihres Unternehmens abgehakt sind, kann die Umstellung mit einem entsprechenden Umstellungsaudit Ihrer Zertifizierungsstelle entweder im Rahmen eines regulären Überwachungs- bzw. Rezertifizierungsaudits oder eines gesonderten Umstellungsaudits abgeschlossen werden.