ISO 27001:2022 Annex A – Alle 93 Controls

Was ist Annex A und warum ist sind dessen Maßnahmen wichtig? 

Die ISO 27001:2022 ist der international anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS). Der Annex A der Norm enthält 93 Sicherheitsmaßnahmen (“Controls”), die helfen sollen, Risiken rund um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu behandeln. 

Gegenüber der alten Version von 2013 wurde die Anzahl von 114 auf 93 Controls reduziert. Viele Maßnahmen wurden zusammengefasst oder aktualisiert, 11 davon sind ganz neu hinzugekommen (z. B. Erkenntnisse über Bedrohungen, Cloud-Dienste, physische Sicherheitsüberwachung). 

Wichtig: Sie müssen nicht alle 93 Maßnahmen umsetzen. Entscheidend ist, dass Sie anhand Ihrer individuellen Risiken die passenden Controls auswählen – das nennt sich “Statement of Applicability” (SoA). 

Die vier Kategorien der ISO 27001:2022 Controls 

Die 93 Maßnahmen sind in vier Gruppen gegliedert: 

1. Organisatorische Maßnahmen (37 Controls) 

2. Personenbezogene Maßnahmen (8 Controls) 

3. Physische Maßnahmen (14 Controls) 

4. Technologische Maßnahmen (34 Controls) 

Im Folgenden geben wir Ihnen einen inhaltlich korrekten, aber vereinfachten Überblick über die Control-Gruppen und deren Inhalte – ideal, wenn Sie verstehen möchten, worauf es in der Praxis ankommt. 

1. Organisatorische Controls

Diese Controls betreffen Richtlinien, Verantwortlichkeiten, Prozesse, Lieferantenmanagement und die Behandlung von Vorfällen. 

• Informationssicherheitspolitik – Definieren und kommunizieren Sie eine klare Sicherheitsstrategie. 

• Rollen & Verantwortlichkeiten – Legen Sie Zuständigkeiten eindeutig fest. 

• Projektmanagement – Berücksichtigen Sie Informationssicherheit systematisch in allen Projekten. 

• Inventar und Klassifizierung – Wissen Sie, welche Informationen und Systeme Sie besitzen und wie kritisch sie sind. 

• Zugriffsregeln – Regeln Sie, wer worauf Zugriff hat – sowohl technisch als auch organisatorisch. 

• Cloud & Lieferanten – Schaffen Sie klare Sicherheitsanforderungen für externe Anbieter und Cloud-Dienste. 

• Vorfälle und Notfälle – Planen Sie, wie Sie auf Sicherheitsvorfälle reagieren und daraus lernen. 

• Compliance & Datenschutz – Beachten Sie rechtliche Anforderungen, schützen Sie personenbezogene Daten. 

• Audit & Verbesserung – Überprüfen Sie regelmäßig, ob die Maßnahmen wirken. 

Neu in dieser Gruppe (2022): Erkenntnisse über Bedrohungen, Cloud-Sicherheit, Umgang mit IKT-Lieferketten. 

2. Personenbezogene Controls

Hier geht es um die Rolle des Menschen in der Informationssicherheit: 

• Sicherheitsüberprüfung & Verpflichtung – Überprüfen Sie Personal vor der Einstellung und definieren Sie klare Regeln. 

• Sensibilisierung & Schulung – Machen Sie Ihre Mitarbeitenden regelmäßig mit Sicherheitsrisiken vertraut. 

• Verantwortung bei Austritt oder Rollenwechsel – Stellen Sie sicher, dass Zugänge rechtzeitig entzogen werden. 

• Vertraulichkeit & Disziplinarmaßnahmen – Regeln Sie formale Konsequenzen bei Verstößen und sichern Sie sensible Informationen vertraglich ab. 

3. Physische Controls

Diese Controls sichern Gebäude, Räume und physische Infrastruktur: 

• Zutrittskontrollen – Nur autorisierte Personen dürfen sensible Bereiche betreten. 

• Schutz vor Umweltgefahren – Berücksichtigen Sie z. B. Feuer, Wasser, Stromausfälle. 

• Sichere Entsorgung & Gerätewartung – Stellen Sie sicher, dass keine sensiblen Daten auf entsorgten Geräten verbleiben. 

• Überwachung & Sichtschutz – Kameras, Sensoren oder Bildschirmfilter können je nach Bedarf Teil des Konzepts sein. 

Neu: Maßnahmen zur durchgehenden physischen Sicherheitsüberwachung. 

4. Technologische Controls 

Der größte Block bezieht sich auf technische Schutzmaßnahmen: 

• Zugangskontrolle & Authentifizierung – Steuern Sie präzise, wer Zugriff auf welche Systeme hat. 

• Malware- und Schwachstellenschutz – Ergreifen Sie Maßnahmen gegen bekannte Bedrohungen. 

• Datensicherung & Wiederherstellung – Sorgen Sie für funktionierende Backups. 

• Netzwerksicherheit & Segmentierung – Trennen Sie kritische Systeme sinnvoll voneinander. 

• Logging & Monitoring – Überwachen Sie sicherheitsrelevante Aktivitäten und Anomalien. 

• Kryptografie & sichere Entwicklung – Schützen Sie Daten mit Verschlüsselung und entwickeln Sie Software nach Security-by-Design. 

Neu: Maßnahmen zu Konfigurationsmanagement, Datenmaskierung, Webfilterung und Sicherheit im Entwicklungsprozess. 

Nicht alle Controls sind für jedes Unternehmen gleich relevant 

Je nach Unternehmensgröße, Branche und Risikobild sind bestimmte Maßnahmen sinnvoll, andere weniger. ISO 27001 schreibt vor, dass Sie Ihre Risiken analysieren und dann in der SoA die passenden Controls auswählen und begründen. Wir helfen Ihnen dabei, diese Auswahl nachvollziehbar und auditfest zu treffen. 

Jetzt kostenlose Checkliste herunterladen – Erfahren Sie, welche Maßnahmen für Sie relevant sind. 

Lassen Sie sich unterstützen 

Wir begleiten Organisationen aller Größen beim Aufbau eines ISMS nach ISO 27001 – vom Gap-Assessment bis zur Vorbereitung auf die Zertifizierung. 

Sie wollen wissen, welche Maßnahmen bei Ihnen wirklich notwendig sind? 

Interesse an einem unverbindlichen Beratungsgespräch? 

ISO 27001:2022 Annex A – Alle 93 Controls im Überblick (Thematisch gegliedert) 

Die folgende Übersicht fasst die 93 Controls der ISO 27001:2022 nach Themenblöcken zusammen. Zu jedem Block liefern wir praxisnahe Hinweise, um Ihnen die Umsetzung in Ihrem Unternehmen zu erleichtern. Diese thematische Strukturierung hilft Ihnen dabei, rasch zu verstehen, worauf es bei der Umsetzung ankommt – etwa für eine GAP-Analyse oder als Grundlage für das Statement of Applicability (SoA). 

3. Governance 

Diese Controls definieren, wie Informationssicherheit organisatorisch gesteuert wird – durch Richtlinien, klare Verantwortlichkeiten und den Einbezug der Geschäftsleitung. 

4. Personalsicherheit

Hier geht es um Personalprozesse – von der Einstellung bis zum Austritt – sowie um Schulungen und Disziplinarmaßnahmen. 

5. Projektmanagement

Informationssicherheit muss integraler Bestandteil jedes Projekts sein – auch in der Abwicklung von Projekten. 

Stand: März 2026 – Inhalt basiert auf ISO 27001:2022 (strukturierter Überblick, keine vollständige Wiedergabe der Normtexte). Diese Seite befindet sich im Aufbau und wird noch um die restlichen Controls erweitert.

Hinweis: Die vollständigen Norminhalte dürfen aus lizenzrechtlichen Gründen nicht öffentlich veröffentlicht werden. Der offizielle Normtext ist über Austrian Standards erhältlich.