ISO 27001 Annex A: Die 93 Kontrollen erklärt (2022)

Die ISO 27001 Annex A-Kontrollen sind der Katalog von Informationssicherheitsmaßnahmen, der im Zentrum des weltweit am breitesten anerkannten Standards für ein Informationssicherheits-Managementsystem (ISMS) steht. Ob Sie als CISO ein Zertifizierungsprojekt planen, als Compliance-Manager ein Audit vorbereiten oder als Gründer von einem Enterprise-Käufer nach einem ISO 27001-Zertifikat gefragt werden: Dieser Leitfaden beantwortet die praktischen Fragen. Was Annex A tatsächlich enthält, warum die Revision von 2022 die Zahl von 114 auf 93 reduziert hat, welche Kontrollen Sie anwenden müssen und wie das Statement of Applicability aus einer generischen Liste ein verteidigungsfähiges, auf Ihre Organisation zugeschnittenes Sicherheitsprogramm macht.

Was ISO 27001 Annex A ist

ISO/IEC 27001 ist der internationale Standard, der die Anforderungen an Aufbau, Betrieb, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS festlegt. Der Hauptteil des Standards (Kapitel 4 bis 10) enthält die verbindlichen Anforderungen: Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Annex A ist ein normativer Anhang zu diesem Hauptteil. Er ist eine Referenzliste von Informationssicherheitskontrollen, aus der eine Organisation schöpft, um die identifizierten Risiken zu behandeln.

Die wichtige Nuance: Annex A ist ein Menü. Die detaillierte Umsetzungsanleitung für jede Kontrolle steht außerhalb von ISO 27001 selbst; sie steht im Begleitstandard ISO/IEC 27002:2022, der den Zweck jeder Kontrolle und ihre Anwendung beschreibt. Annex A liefert die Kurztitel und Kontrollaussagen; ISO 27002 liefert die Tiefe. Zusammen ermöglichen sie es Auditor und Organisation, dieselbe Sprache darüber zu sprechen, wie "gut" bei jeder Maßnahme aussieht.

Wer ISO 27001 und seine Annex A-Kontrollen braucht

ISO 27001 ist insofern freiwillig, als kein einzelnes Gesetz den Standard für jedes Unternehmen verpflichtend macht. In der Praxis ist er für ganze Kategorien von Organisationen nahezu obligatorisch geworden, getrieben von kommerziellem Druck. Wenn eine der folgenden Beschreibungen auf Sie zutrifft, liegt Annex A klar in Ihrer Zukunft.

B2B-Software- und Cloud-Anbieter

SaaS-Anbieter, Managed Service Provider und Auftragsverarbeiter sind die größte Gruppe, die eine Zertifizierung anstrebt. Enterprise-Einkauf und Sicherheitsfragebögen behandeln ein ISO 27001-Zertifikat zunehmend als Eintrittskarte zum Deal. Der Gewinn eines großen Kunden hängt oft davon ab, das Zertifikat vorzulegen und manchmal auch das Statement of Applicability dahinter.

Regulierte und lieferkettenkritische Unternehmen

• Finanzdienstleister und Fintechs, bei denen Aufsichtsbehörden und Bankpartner eine anerkannte Sicherheitsbasis erwarten.
• Gesundheitswesen und Health-Tech, die sensible personenbezogene Daten in großem Umfang verarbeiten.
• Lieferanten des öffentlichen Sektors, bei denen Ausschreibungen die Zertifizierung häufig zum bewerteten oder zwingenden Kriterium machen.
• Kritische Lieferanten größerer Unternehmen, die über Verträge weitergereichte Sicherheitspflichten erben.

Organisationen, die mehrere Frameworks ausrichten

Weil sich der Annex A-Kontrollkatalog stark mit anderen Regelwerken überschneidet, machen viele Teams ISO 27001 zu ihrem Rückgrat und bilden alles andere darauf ab. Die Überschneidung mit SOC 2 wird oft mit rund 80 Prozent beziffert, sodass ein Unternehmen mit europäischen und US-amerikanischen Kunden eine einzige Kontrollumgebung aufbauen und sie für beide belegen kann. Diese Crosswalk-Geschichte ist ein wesentlicher Grund, warum ISO 27001 auch dort gewählt wird, wo noch kein Kunde ausdrücklich danach verlangt hat.

Was ISO 27001 tatsächlich verlangt

Ein verbreitetes Missverständnis lautet, ISO 27001 sei "die 93 Kontrollen". Das trifft nicht zu. Zertifiziert wird gegen die Managementsystem-Anforderungen der Kapitel 4 bis 10, und die Kontrollen sind ein Input in dieses System. Eine Organisation kann jede Kontrolle auf der Liste implementieren und trotzdem an einem Audit scheitern, wenn sie keine funktionierende Risikobewertung, keine Managementbewertung und keine Nachweise hat, dass das ISMS über die Zeit betrieben wird. Genau hier verteilen die meisten Erstprojekte ihren Aufwand falsch. Teams verbringen Monate damit, technische Kontrollen zu polieren, die sie größtenteils ohnehin schon hatten, und stellen dann in Stage 1 fest, dass die Protokolle der Managementbewertung, das interne Auditprogramm und die Aufzeichnungen zu Korrekturmaßnahmen kaum existieren. Diese Artefakte sind billig zu erzeugen und glaubwürdig unmöglich rückzudatieren; beginnen Sie also im ersten Monat, sie zu produzieren, selbst wenn die Hälfte der Kontrollen noch in Arbeit ist.

Die Kernpflichten verlaufen ungefähr so: Sie definieren den Geltungsbereich Ihres ISMS und den Kontext, in dem es arbeitet. Die Führung verpflichtet sich zu einer Informationssicherheitsrichtlinie und weist Verantwortlichkeiten zu. Sie führen eine Risikobewertung durch, um zu identifizieren, was für Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Informationen schiefgehen könnte, und anschließend einen Risikobehandlungsprozess, um zu entscheiden, wie Sie jedem Risiko begegnen. Während der Risikobehandlung greifen Sie zu Annex A: Für jedes Risiko, das Sie mit einer Kontrolle mindern wollen, wählen Sie die passende Annex A-Kontrolle (oder eine selbst entworfene Kontrolle) aus und halten fest, warum. Danach betreiben Sie diese Kontrollen, überwachen und messen ihre Leistung, führen interne Audits durch, halten Managementbewertungen ab und handeln bei Nichtkonformitäten. Der gesamte Zyklus ist auf Kontinuität angelegt.

Entscheidend ist: Nur ein Teil der Annex A-Kontrollen wird bei Ihnen tatsächlich zur Anwendung kommen. Sie sind verpflichtet, jede Kontrolle zu betrachten und zu entscheiden, ob sie auf Ihre Risiken anwendbar ist. Eine Kontrolle kann ausgeschlossen werden, aber nur mit dokumentierter Begründung. Genau das hält ISO 27001 für ein Startup mit zehn Personen ebenso nutzbar wie für einen Konzern: Derselbe Katalog skaliert, weil jede Organisation nur anwendet, was ihr eigenes Risikobild rechtfertigt. Dies ist zugleich der Teil des Standards, der wirklich gut formuliert ist. Eine starre Pflichtliste wäre schlecht gealtert und hätte kleine Organisationen erdrückt; die Anwendbarkeit zu einer dokumentierten Entscheidung zu machen legt das Urteil dorthin, wo es hingehört. Der Haken: Hinter dem Katalog können Sie sich nicht verstecken. Ausschlüsse, die eher nach Bequemlichkeit als nach Begründung klingen, sind die einfachste Nichtkonformität, die ein Auditor je schreiben wird.

Die vier Annex A-Themen und das Statement of Applicability

Die Revision von 2022 war eine erhebliche Umstrukturierung. Die vorherige Ausgabe von 2013 gliederte 114 Kontrollen in 14 Domänen. Die Ausgabe von 2022 konsolidiert und modernisiert den Katalog zu 93 Kontrollen, gruppiert unter vier Themen:

• Organisatorische Kontrollen (37): Richtlinien, Rollen und Verantwortlichkeiten, Lieferanten- und Cloud-Beziehungen, Threat Intelligence, Incident Management und die Governance der Business Continuity.
• Personenbezogene Kontrollen (8): Screening, Beschäftigungsbedingungen, Awareness und Schulung, Disziplinarprozess und Verantwortlichkeiten nach dem Ausscheiden.
• Physische Kontrollen (14): Sicherheitsbereiche, Geräteschutz, Clear Desk und Clear Screen sowie sichere Entsorgung.
• Technologische Kontrollen (34): Zugriffskontrolle, Kryptografie, Logging und Monitoring, sichere Entwicklung, Netzwerksicherheit und Data Leakage Prevention.

Die Neunummerierung war mehr als Kosmetik. Die Revision hat überlappende Kontrollen zusammengeführt und 11 neue Kontrollen eingeführt, die den technologischen Wandel widerspiegeln, darunter Threat Intelligence, Informationssicherheit bei der Nutzung von Cloud-Diensten, ICT-Readiness für Business Continuity, physisches Sicherheitsmonitoring, Konfigurationsmanagement, Informationslöschung, Datenmaskierung, Data Leakage Prevention, Monitoring-Aktivitäten, Web-Filterung und Secure Coding. ISO 27002:2022 hat außerdem jeder Kontrolle fünf "Attribute" hinzugefügt (etwa Kontrolltyp, Sicherheitseigenschaften und Cybersecurity-Konzepte), damit Organisationen den Katalog filtern und querverweisen können. Behandeln Sie diese neuen Kontrollen als ungleich, denn das sind sie. Threat Intelligence und Data Leakage Prevention kosten echtes Geld und echte Aufmerksamkeit. Secure Coding ist die Kontrolle, die am ehesten die Lücke zwischen dem, was Ihre Richtlinie behauptet, und dem, was Ihre Entwickler im Review tun, offenlegt. Informationslöschung und Datenmaskierung sind meist Dokumentation über Dingen, die Sie bereits tun. Sie vor der Projektplanung so zu sortieren ist der Unterschied zwischen einer Schätzung, die hält, und einer, die im zweiten Monat zusammenbricht.

Das Dokument, das all dies zusammenbindet, ist das Statement of Applicability (SoA, Erklärung zur Anwendbarkeit). Das SoA ist ein verpflichtendes Ergebnis des ISMS. Es listet jede Annex A-Kontrolle auf, gibt an, ob Sie sie angewendet haben, beschreibt wie (oder verweist darauf, wo sie implementiert ist) und begründet jeden Ausschluss. Auditoren behandeln das SoA als Landkarte Ihrer Kontrollumgebung; es ist oft das erste Artefakt, das eine Zertifizierungsstelle sehen will. Ein gut gepflegtes SoA ist der Unterschied zwischen einem Audit, das fließt, und einem, das stockt. Die erste Version zu bauen ist eine Plackerei, etwa zwei Wochen, wenn Sie Ihre Kontrolllandschaft bereits kennen, und diese Plackerei erledigen Sie am besten selbst, denn der Wert steckt in der eigenen Auseinandersetzung mit jeder Kontrolle. Die eigentliche Falle ist das zweite Jahr: Ein System ändert sich, niemand überprüft die Begründung, und ein veraltetes SoA liest sich für einen Auditor wie ein ISMS, das in Wirklichkeit niemand betreibt.

Wie Sie die Anforderungen tatsächlich erfüllen: ein praktisches Programm

1. Definieren Sie den Geltungsbereich. Entscheiden Sie, welche Unternehmensteile, Systeme und Standorte das ISMS abdeckt. Ein enger, ehrlicher Geltungsbereich ist leichter zu zertifizieren und zu pflegen als ein überambitionierter. Bedenken Sie, dass Käufer Geltungsbereichsangaben lesen. Ein Zertifikat, das eine Produktlinie und ein Büro abdeckt, wird von jedem aufmerksamen Einkaufsteam hinterfragt; wählen Sie den ersten Zyklus also ruhig eng, aber legen Sie vorab fest, was Sie sagen, wenn ein Kunde fragt, warum der Dienst, den er kauft, außerhalb liegt.
2. Sichern Sie Führung und Richtlinie. Holen Sie dokumentiertes Management-Commitment, eine Informationssicherheitsrichtlinie und klare Verantwortung ein. Das ist eine Anforderung aus Kapitel 5 und verpflichtend.
3. Führen Sie eine Risikobewertung durch. Identifizieren Sie Informationswerte und die Risiken für sie, und bewerten Sie diese Risiken mit einer konsistenten Methodik, die Sie wiederholen und verteidigen können.
4. Erstellen Sie den Risikobehandlungsplan. Wählen Sie für jedes Risiko, das Sie mindern wollen, die passenden Annex A-Kontrollen aus und dokumentieren Sie die Entscheidung.
5. Schreiben Sie das Statement of Applicability. Gehen Sie alle 93 Kontrollen durch, markieren Sie jede als anwendbar oder ausgeschlossen und begründen Sie jeden Ausschluss. Dieses Dokument entwickelt sich mit dem ISMS weiter.
6. Implementieren Sie die ausgewählten Kontrollen. Richten Sie die Richtlinien, technischen Maßnahmen und Prozesse ein und beginnen Sie, die Nachweise zu erzeugen, die ihren Betrieb belegen.
7. Betreiben, überwachen und auditieren Sie intern. Sammeln Sie Kennzahlen, führen Sie interne Audits durch und halten Sie Managementbewertungen ab, damit Nichtkonformitäten auftauchen, bevor ein externer Auditor sie findet.
8. Beauftragen Sie eine akkreditierte Zertifizierungsstelle. Ein Stage 1-Audit prüft Ihre Dokumentation und Bereitschaft; ein Stage 2-Audit testet, ob das ISMS in der Praxis funktioniert. Das Zertifikat ist typischerweise drei Jahre gültig, mit jährlichen Überwachungsaudits und einer Rezertifizierung am Ende des Zyklus.

Software hilft Ihnen bei den Schritten drei bis sieben: Sie zentralisiert das Risikoregister, erzeugt und versioniert das SoA, ordnet Nachweise den Kontrollen zu und hält das ISMS zwischen den Prüfungen auditierbar. Das Zertifikat stellt sie nicht aus und kann das auch nicht. Die Zertifizierung wird immer von einer akkreditierten Zertifizierungsstelle nach einem unabhängigen Audit erteilt. Jedes Tool, das etwas anderes suggeriert, stellt die Funktionsweise des Standards falsch dar.

Für eine Kontrolle-für-Kontrolle-Sicht darauf, wie eine einzige Plattform Nachweise jeder Annex A-Kontrolle zuordnet und das Statement of Applicability pflegt, lesen Sie, wie Venvera ISO 27001 handhabt. Wenn Sie noch Tooling auswählen, führt Sie unser Überblick ISO 27001-Compliance-Software im Vergleich durch die Auswahlkriterien.

Häufig gestellte Fragen

Wie viele Kontrollen enthält ISO 27001 Annex A?

Die Revision von 2022 der ISO 27001 enthält 93 Annex A-Kontrollen, gegenüber 114 in der Version von 2013. Sie sind in vier Themen gruppiert: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Kontrollen. Die Reduktion entstand durch das Zusammenführen überlappender Kontrollen, und die Revision hat außerdem 11 wirklich neue Kontrollen eingeführt.

Sind alle 93 Annex A-Kontrollen verpflichtend?

Nein. Sie müssen jede Kontrolle betrachten, wenden aber nur diejenigen an, die Ihre Risikobewertung als relevant ausweist. Eine Kontrolle kann ausgeschlossen werden, sofern Sie eine Begründung dokumentieren. Diese Anwendbarkeitsentscheidungen werden im Statement of Applicability festgehalten, das selbst ein verpflichtender Teil des ISMS ist.

Was ist der Unterschied zwischen ISO 27001 und ISO 27002?

ISO 27001 ist der zertifizierbare Standard: Er legt die Managementsystem-Anforderungen fest und listet die Annex A-Kontrollen als Kurzaussagen auf. ISO 27002 ist die begleitende Anleitung, die den Zweck jeder Kontrolle erläutert und ihre Umsetzung beschreibt. Zertifiziert wird gegen ISO 27001; ISO 27002 nutzen Sie, um die Kontrollen im Detail zu verstehen und anzuwenden.

Was ist das Statement of Applicability?

Das Statement of Applicability (SoA) ist ein verpflichtendes Dokument, das alle Annex A-Kontrollen auflistet, angibt, ob jede einzelne auf Ihre Organisation zutrifft, beschreibt, wie anwendbare Kontrollen implementiert sind, und jeden Ausschluss begründet. Zertifizierungsauditoren verlassen sich darauf als Landkarte Ihrer Kontrollumgebung; es ist daher oft das erste Dokument, das sie anfordern.

Wie verhält sich ISO 27001 zu SOC 2?

Die beiden Frameworks adressieren dieselben grundlegenden Sicherheitsfragen, und ihre Kontrollkataloge überschneiden sich erheblich; die Überschneidung wird oft auf rund 80 Prozent geschätzt. Viele Organisationen mit europäischen und US-amerikanischen Kunden bauen eine einzige Kontrollumgebung auf und belegen sie sowohl gegen ISO 27001 als auch gegen SOC 2, was den doppelten Aufwand erheblich reduziert.

Wie lange ist ein ISO 27001-Zertifikat gültig?

Ein von einer akkreditierten Zertifizierungsstelle ausgestelltes Zertifikat ist typischerweise drei Jahre gültig. In diesem Zeitraum durchlaufen Sie jährliche Überwachungsaudits, die bestätigen, dass das ISMS weiterhin betrieben wird, und am Ende des Zyklus ein Rezertifizierungsaudit für weitere drei Jahre. Das Zertifikat kommt immer von der Zertifizierungsstelle.

Primärquellen

• ISO/IEC 27001:2022 - der Standard, der die Anforderungen an ein ISMS definiert, einschließlich Annex A. ISO 27001 bei iso.org.
• ISO/IEC 27002:2022 - die Kontrollanleitung, die Zweck und Umsetzung jeder Annex A-Kontrolle beschreibt. ISO 27002 bei iso.org.

Hinweis zum Geltungsbereich. Dieser Artikel fasst die Struktur von ISO 27001 und seinem Annex A zur Orientierung zusammen. Kontrollzahlen und Anforderungen sollten Sie anhand der offiziellen ISO-Standards bestätigen, und Ihre Anwendbarkeitsentscheidungen sollten Ihre eigene Risikobewertung und die Vorgaben Ihrer Zertifizierungsstelle widerspiegeln.

Von Alexander Sverdlov, CEO und Gründer, Venvera. Veröffentlicht am 20. Juli 2026 - Zuletzt geprüft am 20. Juli 2026.