Letzter Zeitraum im ISO/IEC 27001:2022-Übergangskalender
Der Zeitraum, in dem Organisationen, die nach der Revision 2013 zertifiziert sind, ihre Übergangsaudits abschließen müssen.
ISO/IEC 27001:2022 hat den Kontrollsatz des Informationssicherheits-Managementsystems neu geordnet: Die Kontrollen wurden unter vier Themen zusammengefasst und aktuelle Bedrohungsthemen hinzugefügt. Für zertifizierte Organisationen bedeutet der Übergang nicht den Wiederaufbau des Systems, sondern die Zuordnung des Kontrollsatzes zur neuen Struktur.
Im Mittelpunkt des Übergangs steht die Aktualisierung der Erklärung zur Anwendbarkeit (SoA): Warum jede Kontrolle angewendet oder nicht angewendet wird, wird gegenüber der neuen Struktur neu begründet. Die Risikobewertung bildet die Grundlage dieser Begründung.
Läuft die Übergangsfrist ab, verlieren nach der alten Ausgabe ausgestellte Zertifikate ihre Gültigkeit. Für Organisationen, die bis zur letzten Frist warten, liegt der Engpass meist beim Audittermin und nicht bei der Dokumentation.
Das Übergangsfenster ist geschlossen
Die von IAF MD 26 für den Übergang zur ISO/IEC 27001:2022 festgelegte Frist betrug 36 Monate, und dieses Fenster ist geschlossen: ISO/IEC-27001:2013-Zertifikate ohne abgeschlossenen Übergang mussten nach dem 31. Oktober 2025 ablaufen oder zurückgezogen werden.
Das heißt, ein heute gültiges Zertifikat für das Informationssicherheits-Managementsystem muss nach ISO/IEC 27001:2022 ausgestellt sein. Ein auf die Ausgabe von 2013 verweisendes Zertifikat gilt nicht als aktueller Konformitätsnachweis.
Der Zeitplan hatte auch Zwischenmeilensteine: dass Akkreditierungsstellen bereit waren, die Ausgabe von 2022 zu bewerten, und dass Zertifizierungsstellen begannen, Erst- und Rezertifizierungen nur noch nach der Ausgabe von 2022 durchzuführen, gehörten zu diesem Prozess.
Was eine Organisation tut, die den Übergang verpasst hat
Ein abgelaufenes Zertifikat lässt sich nicht durch einen "Übergang" retten; der Prozess läuft als Neuzertifizierung. Das bedeutet einen vollständigen Auditzyklus statt eines Überwachungsaudits und einen längeren Zeitplan.
Währenddessen läuft das kommerzielle Geschäft weiter: Ein veraltetes Zertifikat als gültig darzustellen führt zu Problemen bei der Kunden-Due-Diligence, zu Vertragsstreitigkeiten und zu Schwierigkeiten bei der Lieferantenbewertung.
Die von der Ausgabe 2022 eingeführte Struktur
Die Revision von 2022 hat die Kontrollen in Anhang A neu geordnet: Die Kontrollen wurden unter vier Themen zusammengefasst und neue Kontrollen hinzugefügt. Die Erklärung zur Anwendbarkeit (SoA) muss anhand dieser neuen Struktur neu aufgebaut werden.
In der Praxis liegt die größte Herausforderung nicht in der Zuordnung der bestehenden Kontrollen zur neuen Nummerierung, sondern im Aufbau einer wirklich funktionierenden Praxis für die neu hinzugefügten Kontrollen. Die Zuordnung ist eine Tabellenarbeit, die Umsetzung eine Prozessarbeit.
Was ein Informationssicherheits-Managementsystem sicherstellt
Ein Zertifikat für ein Informationssicherheits-Managementsystem zeigt nicht, dass die Organisation nie einen Vorfall erleiden wird; es zeigt, dass die Organisation ihre Informationswerte kennt, ihre Risiken bewertet hat und die von ihr gewählten Kontrollen betreibt.
Der Kern des Systems ist die Risikobewertung und die Auswahl der Kontrollen. Die Kontrollliste im Anhang der Norm ist keine Verpflichtungsliste: Die Organisation entscheidet auf Grundlage ihrer Risikobewertung, welche Kontrollen sie anwendet, und begründet schriftlich, welche sie nicht anwendet.
Dieses Begründungsdokument ist der bei einem Audit am genauesten geprüfte Punkt: Die Nichtanwendung einer Kontrolle ist kein Mangel, sie unbegründet zu lassen schon.
Was in der letzten Phase eines Übergangs zu tun ist
In der letzten Phase eines Übergangs treten zwei Risiken gemeinsam auf: Der Auditorenkalender wird enger, und die verbleibende Zeit zur Behebung einer gefundenen Abweichung schrumpft. Wenn beides zusammenkommt, kann die Gültigkeit des Zertifikats unterbrochen werden.
Die in dieser letzten Phase zu leistende Arbeit besteht daher nicht darin, eine neue Übung zu beginnen, sondern zunächst die aktuelle Lage klar zu ermitteln: welche Abschnitte erfüllt sind, welche Aufzeichnungen fehlen und wann ein Audittermin erhalten werden kann.
Die Neuordnung des Kontrollsatzes ist die sichtbarste Aufgabe des Übergangs: Kontrollen werden der neuen Gruppierung zugeordnet, und die Anwendbarkeitserklärung wird nach dieser Struktur erneuert. Technisch handelt es sich um eine Zuordnungsaufgabe; die Kontrollen selbst müssen nicht neu aufgebaut werden.
Was ist zu tun?
- 1Prüfen Sie das Gültigkeitsdatum Ihres Zertifikats und die verbleibende Übergangsfrist.
- 2Ordnen Sie die SoA nach der neuen Kontrollstruktur neu.
- 3Vereinbaren Sie Ihren Übergangsaudit-Termin frühzeitig.
Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Wie eine Vorschrift auf Ihr Produkt angewendet wird, hängt von den technischen Merkmalen des Produkts und dem Zielmarkt ab; der genaue Geltungsbereich kann nur durch Prüfung des Produkts bestimmt werden.