Welche Controls fordert ISO 27001? Verbindlich sind die Anforderungen an das Managementsystem in den Kapiteln 4 bis 10. Die 93 Controls in Anhang A von ISO 27001:2022 sind dagegen eine Referenzliste: Sie wählen daraus die Controls aus, die Ihre Risiken behandeln, und begründen in der Erklärung zur Anwendbarkeit, welche gelten, welche nicht und wie sie umgesetzt sind. Dieser Leitfaden zeigt, was in den vier Themengruppen steht, wie Sie auswählen und priorisieren und wie Sie Controls im Betrieb steuern.

Pflicht und Auswahl: Kapitel 4 bis 10 und Anhang A

Wer nach den «Controls» von ISO 27001 sucht, muss zwei Ebenen auseinanderhalten.

Die Kapitel 4 bis 10 enthalten die verbindlichen Anforderungen an das Informationssicherheits-Managementsystem (ISMS). Dazu gehören der Geltungsbereich, die Verantwortung der Geschäftsleitung, die Risikobeurteilung und Risikobehandlung, interne Audits, die Managementbewertung und die kontinuierliche Verbesserung. Diese Anforderungen gelten für jede Organisation, die sich zertifizieren lässt, ohne Ausnahme.

Anhang A enthält die konkreten Sicherheitsmassnahmen. ISO 27001:2022 zählt dort 93 Controls. Sie sind kein Katalog, den jede Organisation vollständig und identisch umsetzen muss. Gefordert ist ein nachvollziehbares Verfahren, mit dem Sie geeignete Controls aus Ihrer Risikobeurteilung ableiten, begründen und wirksam betreiben. Ein Control darf als nicht anwendbar gelten, wenn die Begründung fachlich haltbar und dokumentiert ist.

Im Audit zählt deshalb, ob die Auswahl zu Ihren Risiken passt, ob sie begründet ist und ob die gewählten Controls funktionieren.

Die 93 Controls in vier Themengruppen

Seit der Ausgabe 2022 sind die Controls in vier Themen gegliedert. Das erleichtert es, organisatorische, personelle, physische und technische Massnahmen gemeinsam zu betrachten.

Themengruppe	Anzahl	Typische Inhalte
Organisatorisch	37	Richtlinien, Rollen, Aufgabentrennung, Informationswerte, Lieferanten, Sicherheitsvorfälle, Betriebsunterbrüche
Personen	8	Prüfung vor Eintritt, Verpflichtungen im Arbeitsverhältnis, Sensibilisierung und Schulung, Austritt
Physisch	14	Zutritt, Besucher, Geräte ausserhalb der Räumlichkeiten, Clear Desk, Entsorgung von Datenträgern
Technologisch	34	Identitäten und Berechtigungen, Authentisierung, Verschlüsselung, Backup, Protokollierung, Schwachstellen, Malware-Schutz, sichere Entwicklung

Organisatorische Controls

Die organisatorischen Controls bilden den Rahmen. Zentral ist das Management der Informationswerte: Sie müssen wissen, welche Daten, Systeme und Prozesse schützenswert sind, wer dafür verantwortlich ist und welche Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit bestehen. Ohne diesen Überblick lassen sich Risiken und Massnahmen kaum belastbar priorisieren. Wie Sie den Schutzbedarf bestimmen, beschreibt der Leitfaden zur Schutzbedarfsanalyse.

Zur organisatorischen Gruppe gehört auch die Lieferkette. Nutzen Sie Cloud-Dienste, externen IT-Support, Software als Dienst oder externe Entwicklung, müssen Sicherheitsanforderungen vertraglich und operativ geregelt sein. Die Prüftiefe richtet sich nach dem Risiko: Ein Anbieter mit Zugriff auf besonders schützenswerte Personendaten braucht eine andere Kontrolle als der Lieferant für Büromaterial.

Personelle Controls

Die acht personellen Controls betreffen Mitarbeitende und externe Personen mit Zugang zu Informationen und Systemen. Sie werden oft unterschätzt. Ein sauber deaktiviertes Benutzerkonto, die Rückgabe von Geräten und ein geregelter Wissenstransfer beim Austritt reduzieren konkrete Risiken. Bei Schulungen zählt, ob Mitarbeitende Phishing, ungewöhnliche Zahlungsanweisungen oder den Umgang mit vertraulichen Daten im Alltag richtig einschätzen können. Eine jährliche Pflichtübung allein belegt das nicht.

Physische Controls

Die 14 physischen Controls schützen Büros, Serverräume, Arbeitsplätze und Datenträger. Wer keine eigene Serverinfrastruktur betreibt, setzt hier andere Schwerpunkte als ein Unternehmen mit kritischen Systemen im Haus. Relevant bleiben sie trotzdem: Offen zugängliche Akten, unbeaufsichtigte Notebooks unterwegs oder ungesicherte Netzwerkgeräte können die technische Sicherheit direkt unterlaufen.

Technologische Controls

Die 34 technologischen Controls betreffen Endgeräte, Netzwerke, Anwendungen und Daten. Zwei Beispiele zeigen, was «umgesetzt» bedeutet:

• Zugriffskontrolle. ISO 27001 verlangt mehr als Passwörter. Zugriffe werden nach dem Need-to-know-Prinzip vergeben, regelmässig überprüft und bei Rollenwechseln oder Austritten angepasst. Mehrfaktor-Authentisierung liegt je nach Risiko nahe, besonders für Administratoren, Fernzugriffe und Cloud-Anwendungen.
• Backup. Sicherungskopien allein genügen nicht. Dazu gehören Wiederherstellungstests, Verantwortlichkeiten, Aufbewahrungsfristen und Schutz gegen unbefugte Veränderung oder Verschlüsselung durch Ransomware. Ein Backup, das nie testweise wiederhergestellt wurde, belegt keine Wiederanlauffähigkeit.

Mit der Ausgabe 2022 sind einige Themen stärker in den Fokus gerückt, etwa Bedrohungsinformationen (Threat Intelligence), die sichere Nutzung von Cloud-Diensten, die Löschung von Informationen und die Überwachung von Aktivitäten. Oft ist hier schon einiges umgesetzt, nur die Einbettung ins ISMS fehlt.

Die Erklärung zur Anwendbarkeit

Das zentrale Dokument für die Control-Auswahl ist die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA). Sie verbindet die Risikobeurteilung mit den gewählten Controls und macht Entscheidungen für interne Audits, Geschäftsleitung und Zertifizierungsstelle nachvollziehbar. Eine brauchbare SoA enthält je Control mehr als ein Häkchen:

Feld	Inhalt
Control	Nummer und Titel aus Anhang A
Anwendbar	Ja oder nein
Begründung	Warum gewählt (welches Risiko, welche Anforderung) oder warum ausgeschlossen
Umsetzungsstatus	Umgesetzt, teilweise, geplant
Umsetzung	Kurzbeschreibung, wie das Control im Betrieb funktioniert
Nachweise	Verweis auf Richtlinie, Prozess, Vertragsklausel, Konfiguration, Schulungsnachweis, Prüfprotokoll
Verantwortlich	Wer das Control betreibt und den Nachweis aktuell hält
Bezug	Verknüpfte Risiken und offene Massnahmen

Die SoA ist nie fertig. Neue Anwendungen, neue Dienstleister, Übernahmen, veränderte gesetzliche Anforderungen oder Sicherheitsvorfälle können eine Neubewertung auslösen.

Controls risikobasiert auswählen

Arbeiten Sie den Anhang nicht von vorne der Reihe nach ab. Gehen Sie so vor:

1. Geltungsbereich und Informationswerte festlegen. Welche Standorte, Prozesse, Systeme und Daten gehören ins ISMS, und welche davon sind besonders schützenswert?
2. Risiken bewerten. Welche Bedrohungen sind realistisch, wie wahrscheinlich sind sie, und welche Folgen hätte ein Vorfall für Kunden, Mitarbeitende, Verträge, regulatorische Pflichten oder die eigene Lieferfähigkeit?
3. Behandlung entscheiden. Für jedes wesentliche Risiko: reduzieren, vermeiden, übertragen oder bewusst akzeptieren. Eine Akzeptanz braucht einen Entscheid auf der passenden Führungsebene, eine Begründung und ein Prüfdatum. Wie Sie diese Schwelle festlegen, steht im Leitfaden Risikoakzeptanz im Unternehmen festlegen.
4. Controls zuordnen. Wo Sie reduzieren, wählen Sie die passenden Controls aus Anhang A und gleichen ab, ob Sie keines übersehen haben, das für Ihre Risiken nötig wäre.
5. Ausschlüsse begründen. Controls, die für Ihre Organisation nicht relevant sind, halten Sie mit Begründung in der SoA fest.

Controls priorisieren

Selbst nach der Auswahl bleiben meist mehr Lücken, als sich gleichzeitig schliessen lassen. Werden Controls in der Reihenfolge des Anhangs abgearbeitet, entsteht viel Aktivität und wenig Risikoreduktion.

Ein Beispiel: Ein Team arbeitet an detaillierten Vorgaben für die Entsorgung von Datenträgern, während privilegierte Konten ohne Mehrfaktor-Authentisierung auskommen. Beides kann relevant sein. Das zweite Risiko ist meist unmittelbarer, weil ein kompromittiertes Administratorkonto Verfügbarkeit, Vertraulichkeit und Integrität zugleich treffen kann.

Ein Control erhält hohe Priorität, wenn es ein hohes Risiko behandelt, eine grosse Eintrittswahrscheinlichkeit senkt oder mehrere Risiken gleichzeitig adressiert. Häufig gehören dazu Identitäts- und Berechtigungsmanagement, Mehrfaktor-Authentisierung, geschützte und getestete Backups, Patch- und Schwachstellenmanagement und eine geübte Reaktion auf Sicherheitsvorfälle. Für die Reihenfolge helfen weitere Kriterien:

• Aufwand. Eine wirksame Massnahme mit überschaubarem Aufwand kann früh kommen. Sie darf aber komplexe kritische Risiken nicht dauerhaft verdrängen.
• Abhängigkeiten. Eine Richtlinie für Zugriffsrechte wirkt wenig, solange Konten und Berechtigungen nicht zentral verwaltet werden.
• Reifegrad. Ein fehlender Prozess ist anders zu behandeln als ein vorhandener, der uneinheitlich angewendet wird. Im ersten Fall schaffen Sie Grundlagen, im zweiten konsolidieren Sie.
• Nachweisbarkeit. Für Audit und Steuerung muss sichtbar sein, wer verantwortlich ist, welchen Status das Control hat und welcher Beleg die Wirksamkeit zeigt.

Diese Kriterien ersetzen kein Risikourteil. Sie machen es aber möglich, Entscheidungen konsistent zu dokumentieren und der Geschäftsleitung zu erklären.

In Kontrollketten denken

Controls wirken selten allein. Für den Schutz sensibler Personaldaten greifen Klassifizierung, Zugriffssteuerung, Protokollierung, Verschlüsselung, Aufbewahrung und Incident Management ineinander. Fehlt ein Glied, verlieren andere an Wirkung. Ebenso wird aus dem abstrakten Risiko eines Ransomware-Angriffs ein steuerbares Paket: kritische Systeme identifizieren, Sicherungen schützen und Wiederherstellungen testen, Zugriffe absichern, Schwachstellen zeitnah beheben, den Notfallprozess üben.

Übergangsmassnahmen bewusst einsetzen

Nicht jede hohe Priorität lässt sich sofort vollständig umsetzen. Eine Übergangsmassnahme kann das Risiko senken, bis die dauerhafte Lösung steht. Sie muss dokumentiert, zeitlich begrenzt und überwacht sein, sonst wird sie zum Dauerzustand.

Controls im Betrieb steuern

Ein ausgewähltes Control ist erst wirksam, wenn klar ist, wer es betreibt, wie es geprüft wird, wo der Nachweis liegt und was bei Abweichungen geschieht. Dieses Kontrollenmanagement ist ein Kreislauf.

Die Angaben zu jedem Control

Angabe	Zweck
Verantwortliche Person	Bestätigt den Status, aktualisiert Nachweise, meldet Abweichungen
Prüfende Person	Bei kritischen Controls eine zweite Rolle, in kleinen Teams eine periodische Gegenprüfung
Bewertung	Umgesetzt, teilweise, nicht umgesetzt oder nicht anwendbar, mit kurzer Begründung
Nachweis	Aktueller, eindeutig zugeordneter Beleg
Prüfintervall	Wie oft das Control überprüft wird
Offene Massnahme	Was fehlt, wer es umsetzt, bis wann
Verknüpftes Risiko	Welches Risiko das Control behandelt

Ehrlich bewerten

Eine ehrliche Teilbewertung ist mehr wert als ein grüner Status ohne Substanz. Backups, die erstellt, aber nie wiederhergestellt werden, sind teilweise umgesetzt. Halten Sie fest, was konkret fehlt: Protokolle, Verantwortlichkeiten, eine aktuelle Richtlinie. Wie Sie eine solche Bewertung über alle Anforderungen hinweg aufbauen, beschreibt der Leitfaden für ISO-27001-Assessments.

Lücken in Massnahmen überführen

Formulieren Sie Massnahmen so, dass ihr Abschluss prüfbar ist. «Zugriffsmanagement verbessern» lässt sich nie abschliessen. «Für alle administrativen Konten Mehrfaktor-Authentisierung einführen, Ausnahmen dokumentieren und monatlich prüfen», mit Verantwortlichem und Termin, lässt sich abschliessen. Bündeln Sie Arbeiten, die mehrere Controls stärken, etwa ein zentrales Identitätsmanagement, ohne dass einfache Sofortmassnahmen dahinter liegen bleiben. Wie ein solcher Plan aussieht, zeigt der Leitfaden Massnahmenplan Informationssicherheit erstellen.

Prüfintervalle festlegen

Kritische technische Controls brauchen häufigere Überprüfung als strategische Richtlinien. Bei wesentlichen Änderungen, etwa einer Cloud-Migration, einer Übernahme oder einem Sicherheitsvorfall, ist eine ausserordentliche Neubewertung fällig. Wer Controls nur vor dem Audit aktualisiert, hat danach lückenhafte Nachweise und unzuverlässige Aussagen über den Stand. Was das Audit konkret an Belegen erwartet, steht im Leitfaden Auditvorbereitung für ISO 27001.

Verständlich berichten

Die Geschäftsleitung braucht keine Detailansicht aller 93 Controls. Sie braucht die wichtigsten Risiken, den Stand der Massnahmen, Verzögerungen und die anstehenden Entscheide zu Budget und Risikoakzeptanz. Fachleute brauchen dagegen Aufgaben, Fristen und Nachweise. Beide Sichten sollten aus derselben Datenbasis kommen, damit Folien, Excel-Auszüge und Auditunterlagen einander nicht widersprechen.

Typische Fehler

• Alle Controls unkritisch übernehmen. Das erzeugt Aufwand ohne zwingend mehr Sicherheit.
• Rein dokumentarisch umsetzen. Eine Richtlinie wirkt erst, wenn Verantwortliche sie kennen, Mitarbeitende danach handeln und die Einhaltung überprüft wird. Eine konfigurierte technische Lösung muss überwacht, getestet und nachgeführt werden.
• Isolierte Einzelmassnahmen. Ein Schwachstellenscan ohne Prozess für Bewertung und Behebung senkt kein Risiko. Ein Incident-Response-Dokument ohne Übung hilft im Ernstfall wenig.
• Nur technische Controls priorisieren. Regelungen, Schulungen, Rollen, Lieferantensteuerung und Prozesse für Vorfälle und Kontinuität gehören dazu.
• Einmal priorisieren und nie wieder. Neue Systeme, Dienstleister und Bedrohungen verschieben die Risikolage.
• Mehrere Rahmenwerke getrennt pflegen. Kommen Anforderungen zu Zugriffsschutz oder Notfallvorsorge in mehreren Werken vor, führen Sie sie nicht als losgelöste Aufgaben.

Controls mit SCMC bewerten und steuern

Das ISO-27001-Modul von SCMC deckt alle 93 Controls aus Anhang A in den vier Themengruppen ab, zusammen mit den Anforderungen an das Managementsystem. Je Frage erfassen Sie IST und SOLL, eine Begründung und einen Dokumentlink zum Nachweis. «Nicht zutreffend» ist eine eigene Wahl, sodass die Ausschlüsse mit Begründung sichtbar bleiben. Für Lücken legen Sie Massnahmen mit Status, Frist und verantwortlicher Person an, die Validierung erhält eigene Frist und eigenen Verantwortlichen, Erinnerungen gehen per E-Mail. In der Risikobewertung bewerten Sie Wahrscheinlichkeit und Auswirkung mit Restrisiko. Bewertung, Massnahmen und Risikoanalyse lassen sich als bearbeitbare Word-Dokumente herunterladen, der Verlauf jeder Frage zeigt, wer wann was geändert hat. Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich). Eine fertige SoA erzeugt SCMC nicht, die Bewertungen mit Begründung und Nachweis liefern aber die Grundlage dafür. Antworten zur Bedienung finden Sie im Hilfe-Center, die Preise unter /pricing.