Klausel 4
Kontext der Organisation
Interne und externe Themen, interessierte Parteien und ISMS-Geltungsbereich definieren. Häufigster Stage-1-Befund: vager oder aspirativer Geltungsbereich.
ISO/IEC 27001:2022
ISO 27001
Readiness-Assessment
Der globale Maßstab für ISMS-Zertifizierung. Misst Reife gegenüber Annex-A-Maßnahmen und Klauselanforderungen — ob Sie Stage 1, Stage 2 oder kontinuierliche Verbesserung anstreben.
- 20 FragenAssessment
- ~12 Min.Dauer
- Alle OrganisationenGeltungsbereich
Für wen es gilt
- Organisationen, die ISO/IEC 27001:2022 anstreben — Stage-1-Readiness, Stage-2-Vorbereitung oder Surveillance
- Lieferanten, die gegenüber Enterprise-Kunden ein ISMS nachweisen müssen
- Öffentliche und regulierte Stellen, die ISO 27001 als Rückgrat für NIS2, DORA oder sektorale Frameworks nutzen
Schlüsselartikel und Klauseln in Klartext
Die fünf Punkte, die Auditoren und Aufsichtsbehörden zuerst prüfen.
Klausel 5
Führung
Die oberste Leitung muss sichtbares Commitment zeigen, die Sicherheits-Leitlinie billigen und Rollen, Verantwortungen und Befugnisse zuweisen.
Klausel 6.1
Risikobewertung & -behandlung
Dokumentierte, wiederholbare Methodik mit Akzeptanzkriterien; Statement of Applicability für alle 93 Annex-A-Maßnahmen mit begründeter Aufnahme/Ausschluss.
Klauseln 9 & 10
Leistungsbewertung & Verbesserung
Pflicht zu internen Audits, Management-Reviews mit dokumentierten Ergebnissen und Korrekturmaßnahmen-Prozess mit Ursachenanalyse und Wirksamkeitsprüfung.
Annex A 8.8
Management technischer Schwachstellen
Neue explizite Maßnahme der 2022er-Revision. Auditoren erwarten definierte Patch-SLAs, Ausnahme-Verfahren und Patch-Nachweise.
Was dieses Assessment abdeckt
5 Themenbereiche · 20 Fragen zur Selbstbewertung.
- Domäne 01
Kontext & Leitung
ISO 27001:2022 Klauseln 4 und 5 verlangen die Definition des ISMS-Geltungsbereichs, die Identifikation interessierter Parteien und sichtbares Leitungs-Commitment für Informationssicherheit.
- Domäne 02
Risikobewertung
Klausel 6.1 verlangt einen definierten, wiederholbaren Risikobewertungs-Prozess mit Identifikation, Analyse und Bewertung — und dokumentierten Akzeptanzkriterien.
- Domäne 03
Werte & Zugriff
Annex-A-Maßnahmen 5.9–5.15 betreffen Asset-Management und Zugriffskontrolle — zwei der am häufigsten geprüften Maßnahmenfamilien in ISO 27001:2022.
- Domäne 04
Betrieb & Vorfallsmanagement
Klausel 8 und Annex-A-Maßnahmen 5.24–5.28 verlangen dokumentierte Betriebsverfahren und ein erprobtes Vorfallsmanagement.
- Domäne 05
Leistung & Verbesserung
Klauseln 9 und 10 verlangen messbare Leistungsbewertung — interne Audits, Management-Review und einen dokumentierten Prozess für Abweichungen.
Häufigste Audit-Stolperfallen
- ISMS-Geltungsbereich, der auf dem Zertifikat gut aussieht, aber der operativen Realität nicht entspricht.
- Statement of Applicability, die einfach jede Annex-A-Maßnahme als anwendbar markiert — ohne Begründung.
- Interne Audits auf dem Papier, ohne Unabhängigkeit von der geprüften Funktion (9.2-Abweichung).
Häufig gestellte Fragen
Annex A wurde von 14 Familien und 114 Maßnahmen auf 4 Themen und 93 Maßnahmen umstrukturiert, 11 neue Maßnahmen kamen hinzu (Threat Intelligence, sichere Entwicklung, Datenmaskierung, Web-Filterung). Klauseln 4–10 weitgehend unverändert.
Ja. Die Übergangsfrist für akkreditierte Zertifizierungen lief am 31. Oktober 2025 ab. Wer danach noch auf 2013 ist, ist nicht mehr zertifiziert.
Drei bis neun Monate von Kickoff bis Stage 2 für eine Organisation mit vernünftiger IT-Hygiene. Sechs Monate sind ein realistischer Median für ein KMU ohne bestehendes ISMS.
Ja. ISO 27001 ist skalierbar — der Standard verlangt verhältnismäßige Maßnahmen, kein großes Team. Solo-CISO-Organisationen mit 10–30 Personen zertifizieren regelmäßig.
Sie deckt die Sicherheits-Säule (Art. 32) sehr gut ab, jedoch nicht Rechtsgrundlage, Betroffenenrechte oder DSFA. Ergänzen Sie sie mit ISO 27701 oder einem dedizierten DSGVO-Programm.
20 evidenzbasierte Fragen über die fünf Klausel-/Annex-A-Familien, die in Stage 1 und Stage 2 tatsächlich geprüft werden — Kontext, Risiko, Werte/Zugriff, Betrieb/Vorfall, Leistung/Verbesserung.
Starten Sie Ihr ISO 27001 Assessment
20 Fragen · ~~12 Min. · Scorecard auf Basis Ihrer Antworten. Ohne Anmeldung starten.