Erste ISO/IEC 27001-Audits nach neuer Version ab Mai

ISO/IEC 27001: Erste Audits nach neuer Version ab Mai

Erst- und Rezertifizierungen von Informationssicherheits-Managementsystemen werden ab dem 1.5. auf Basis der im Jahr 2022 aktualisierten Normversion durchgeführt.

Die Welt ist stärker vernetzt als je zuvor, und mit der steigenden Digitalisierung nehmen auch die möglichen Ziele für Cyberkriminelle zu. Eine Schutzmaßnahme für Unternehmen aller Branchen und in jeder Größe ist ein Informationssicherheits-Managementsystem (ISMS) auf Basis der renommierten, weltweit führenden Cybersicherheitsnorm ISO/IEC 27001. Sie gibt den Rahmen vor, um die Informationssicherheit systematisch und fortlaufend voranzutreiben. Nach neun Jahren hat der Standardgeber die Norm überarbeitet und von ISO/IEC 27001:2013 auf die ISO/IEC 27001:2022 aktualisiert. Die Normstruktur ist nun neu gebündelt, um das Spektrum der Informationssicherheit klarer zu zeigen. Zudem wurden die Maßnahmen insgesamt reduziert, das Thema Cloud-Sicherheit konkretisiert und der Stellenwert des Datenschutzes erhöht. Kennzahlen, Kriterien sowie die Messbarkeit bekommen ebenfalls mehr Bedeutung. Mit der DIN EN ISO/IEC 27001:2024 ist seit Januar 2024 nun auch die deutsche Übersetzung des internationalen Standards verfügbar. Eine entsprechende Änderung der Akkreditierung bei der Deutschen Akkreditierungsstelle GmbH (DAkkS) erfolgt gemäß Umstellungsanleitung für Akkreditierungen im Bereich ISO/IEC 27001:2022 bei nächster Gelegenheit.

Erst- und Rezertifizierungen ab Mai 2024 nach ISO/IEC 27001:2022

Nach solchen Normrevisionen gelten stets Übergangsfristen. Für die Gruppe von Erst- und Rezertifizierung im Rahmen von freiwilligen Zertifizierungen nach ISO/IEC 27001 endet diese in Kürze: Ab 1. Mai wird ausschließlich die neue Normversion angewandt. Unternehmen mit bereits bestehenden Zertifizierungen betrifft das hingegen erst ab Herbst 2025: Ihre Zertifikate müssen bis Ende Oktober 2025 auf die ISO/IEC 27001:2022 umgestellt sein. Dabei lässt sich das Transitionsaudit parallel zu einem regulären Audit durchführen. Aufgrund der Bedeutung des Themas IT-Sicherheit, der hohen Bedrohungsdynamik und der neu abgedeckten Themenbereiche empfiehlt TÜV SÜD jedoch allen zertifizierten Unternehmen, sich mit den Neuerungen auseinanderzusetzen und sie wirksam umzusetzen – zeitnah und auch unabhängig von der Transition. Zudem lohnt es sich, das Auditorenteam frühzeitig zu kontaktieren und die Planung voranzutreiben, um möglichen Zeitdruck zu vermeiden.

Zertifizierungen nach IT-Sicherheitskatalog

Energieunternehmen, die eine Zertifizierung nach dem IT-Sicherheitskatalog (SIKAT) haben, müssen ihr Managementsystem umstellen und auf die neue Normversion der ISO/IEC 27001 anpassen. Dafür endet die Frist im Oktober 2024. Für die Umstellung auf die ISO/IEC 27002:2022 hatten betroffene Unternehmen Zeit bis Februar 2024.

Globale Normenanpassung AMD1:2024

Genauso wie auch andere Standards – zum Beispiel die ISO 9001 oder ISO 14001 –, hat die erst vor eineinhalb Jahren veröffentlichte Norm ein Update erfahren: Mit der Version ISO/IEC 27001:2022 AMD1:2024 wird dem Klimawandel in der Art Rechnung getragen, als dass Organisationen ihre Managementsysteme auf Relevanz bezüglich des Klimawandels prüfen müssen. Dies betrifft die Organisationen unmittelbar und auch im Hinblick auf etwaige Anforderungen ihrer interessierten Parteien. Die Aktualisierung ist vom Umfang zwar nur marginal, aber brandaktuell.

Weitere Informationen

TÜV SÜD Whitepaper (in Englisch)

Zertifizierung nach ISO/IEC 27001

Aktualisierte ISO/IEC 27001:2022

IT-Sicherheitskatalog

Ansprechpartner:

Thomas Janz, Product Compliance Manager, TÜV SÜD Management Service GmbH