Glossar, ISMS / ISO 27001 / Maßnahmenkatalog

Annex A Controls

Englisch: Annex A Controls (ISO/IEC 27001 Reference Control Set)

Zuletzt aktualisiert: Mai 2026

Lesedauer: ca. 6 Minuten

Annex A der ISO/IEC 27001:2022 enthält den normativen Referenzkatalog von 93 Informationssicherheits-Controls, der als Grundlage für die Auswahl der konkreten Sicherheitsmaßnahmen im ISMS dient. Die Controls sind in vier Themengruppen organisiert: Organizational Controls (A 5.1 bis A 5.37, 37 Controls), People Controls (A 6.1 bis A 6.8, 8 Controls), Physical Controls (A 7.1 bis A 7.14, 14 Controls) und Technological Controls (A 8.1 bis A 8.34, 34 Controls). Annex A ist normativ und Pflicht-Vergleichsbasis für das Statement of Applicability nach Clause 6.1.3 lit. d.

Normative Grundlage: ISO/IEC 27001:2022 Annex A; ISO/IEC 27002:2022 Implementation Guidance

Hintergrund und normative Einordnung

Die Neugliederung des Annex A in der ISO/IEC 27001:2022-Revision ist die wichtigste strukturelle Änderung gegenüber der Vorgängerfassung von 2013. Statt der bisherigen 14 Domänen (A.5 bis A.18) sind die Controls jetzt in vier Themen organisiert, die die Schutzdimensionen Organisation, Mensch, physische Umgebung und Technik widerspiegeln. Diese Neuordnung folgt der ISO/IEC 27002:2022, der Implementierungshilfe, die zeitgleich mit der 27001-Revision veröffentlicht wurde. ISO/IEC 27002:2022 ergänzt jedes Control um fünf Attribut-Dimensionen: Control Type (preventive, detective, corrective), Information Security Properties (confidentiality, integrity, availability), Cybersecurity Concepts (Identify, Protect, Detect, Respond, Recover, angelehnt an NIST CSF), Operational Capabilities (Governance, Asset_management, etc.) und Security Domains (Governance_and_Ecosystem, Protection, Defense, Resilience). Diese Attribute helfen bei der Filterung und Auswahl, sind aber nicht zertifizierungsrelevant. Die 11 neuen Controls adressieren aktuelle Bedrohungen und Architekturen, die in der Fassung von 2013 nicht ausreichend abgedeckt waren, insbesondere Cloud, Threat Intelligence, Data Masking und sichere Softwareentwicklung.

Die normative Funktion von Annex A ist die einer Pflicht-Vergleichsbasis: ISO/IEC 27001:2022 Clause 6.1.3 verlangt, dass die Organisation die zur Risikobehandlung erforderlichen Maßnahmen festlegt und mit denen in Annex A vergleicht, um keine notwendigen Controls zu übersehen. Das bedeutet nicht, dass alle 93 Controls angewendet werden müssen, Ausschlüsse sind ausdrücklich zulässig, müssen aber im Statement of Applicability begründet werden. Annex A ist ein „comprehensive list", also umfassend, aber nicht abschließend: Organisationen dürfen und sollen zusätzliche, branchen- oder organisationsspezifische Controls definieren, wenn die Risikobeurteilung dies erfordert. Die Implementierungsdetails liefert ISO/IEC 27002:2022, diese Norm ist nicht zertifizierungsrelevant, aber für die praktische Umsetzung unverzichtbar. Bei einer ISO 27001-Zertifizierungsbegleitung ist die strukturierte Abbildung der Annex-A-Controls auf die organisatorische Realität eine der zeitintensivsten und prüfrelevantesten Phasen.

Normative Bezüge:

ISO/IEC 27001:2022 Annex A ISO/IEC 27001:2022 Clause 6.1.3 ISO/IEC 27002:2022

Vorgehen in der Praxis

Die strukturierte Anwendung der Annex-A-Controls im ISMS folgt einer klaren Reihenfolge, von der Risikobehandlungsentscheidung über die Control-Auswahl bis zur Wirksamkeitsmessung. Wer Annex A als Checkliste „von vorne nach hinten" durchgeht, verkennt die methodische Logik: Controls dienen der Risikobehandlung, nicht der Compliance-Vollständigkeit.

Risikobehandlungsentscheidungen mit Annex-A-Controls verknüpfen Im ersten Schritt werden die in der Risikobeurteilung identifizierten und zu behandelnden Risiken mit passenden Annex-A-Controls verknüpft. Ein Risiko kann durch ein einzelnes Control adressiert werden (z. B. „unbefugter Zugriff auf Kundendaten" → A 8.3 Information Access Restriction) oder ein Bündel von Controls erfordern (z. B. „Phishing-Angriffe auf Mitarbeiter" → A 6.3 Information Security Awareness, A 8.7 Protection against Malware, A 8.23 Web Filtering). Die Verknüpfung wird im Risiko-Register und im Statement of Applicability dokumentiert. ISO/IEC 27002:2022 liefert dafür für jedes Control eine Purpose-Beschreibung und Implementierungshinweise, die bei der Auswahl helfen.

Vollständigkeitsprüfung gegen Annex A, keine Lücken übersehen Im zweiten Schritt wird die durch die Risikobeurteilung erzeugte Control-Auswahl mit dem vollständigen Annex A abgeglichen. Diese Vergleichspflicht ist in ISO/IEC 27001:2022 Clause 6.1.3 normiert: „compare the controls determined in 6.1.3 b) above with those in Annex A and verify that no necessary controls have been omitted." Praktisch bedeutet das: Jedes der 93 Controls wird darauf geprüft, ob es ein noch unbehandeltes Risiko adressieren würde. Wenn ja, wird das Control aufgenommen; wenn nein, wird der Ausschluss begründet. Dieser Schritt ist die Brücke zur Erstellung des Statement of Applicability.

Implementation Guidance aus ISO/IEC 27002:2022 anwenden Im dritten Schritt wird die konkrete Umsetzung jedes anwendbaren Controls geplant. ISO/IEC 27002:2022 liefert für jedes der 93 Controls eine vierteilige Struktur: Control-Definition (was?), Purpose (warum?), Guidance (wie?), Other Information (Kontext). Die Guidance enthält konkrete Empfehlungen, ist aber nicht verpflichtend, Organisationen können abweichende Umsetzungen wählen, müssen aber die Schutzwirkung nachweisen. Beispiel A 5.7 Threat Intelligence (neu in 2022): ISO/IEC 27002:2022 empfiehlt strategische, taktische und operative Threat-Intelligence-Quellen, regelmäßige Auswertung und Integration in das Risikomanagement, die konkrete Umsetzung (kommerzielles Threat-Intel-Feed, ENISA-Berichte, ISAC-Mitgliedschaft) liegt im Ermessen der Organisation.

Wirksamkeit messen und Controls regelmäßig überprüfen Im letzten Schritt wird die Wirksamkeit der implementierten Controls überwacht und gemessen. ISO/IEC 27001:2022 Clause 9.1 fordert die Festlegung von Messgrößen, ISO/IEC 27004:2016 liefert ein Mess-Framework mit Effectiveness Measures (wirkt das Control wie beabsichtigt?), Efficiency Measures (mit welchem Aufwand?) und Information Need Measures (decken die Messungen den Informationsbedarf?). Ergebnisse fließen in das jährliche Management Review nach Clause 9.3 und in die Aktualisierung des Statement of Applicability. Bei Anpassungen der ISO 27002 (etwa durch zukünftige Revisionen oder neue Bedrohungslagen) ist die Control-Auswahl neu zu prüfen, die regelmäßige Pflege ist Voraussetzung für die Aufrechterhaltung der Zertifizierung.

Die 11 neuen Controls der 2022-Revision (A 5.7, A 5.16, A 5.23, A 5.30, A 7.4, A 8.1, A 8.9, A 8.10, A 8.11, A 8.12, A 8.28) sind die häufigsten Audit-Schwerpunkte bei der Migration von ISO/IEC 27001:2013 auf 2022. Wer hier nur eine pauschale Begründung abliefert, ohne konkrete Umsetzungsnachweise (z. B. Threat-Intel-Prozess für A 5.7, Cloud-Sicherheitsrichtlinie für A 5.23, Configuration-Management-Tool für A 8.9), riskiert eine Minor Nonconformity.

Abgrenzung zu verwandten Begriffen

Begriff	Fokus	Verhältnis zu Annex A Controls
Statement of Applicability (SoA)	Pflichtdokument, das für alle 93 Annex-A-Controls Status und Begründung dokumentiert	Das Statement of Applicability ist die organisationsspezifische Anwendungserklärung des Annex A. Während Annex A die normative Referenz mit 93 Controls bildet, dokumentiert das SoA welche dieser Controls die Organisation anwendet (mit Begründung), welche sie ausschließt (mit Begründung) und welchen Implementierungsstand jedes anwendbare Control hat. Annex A ist die Frage, das SoA ist die organisationsspezifische Antwort.
ISO/IEC 27002:2022	Implementation Guidance für alle Annex-A-Controls, nicht zertifizierungsrelevant	ISO/IEC 27002:2022 ist die Schwesternorm zu ISO/IEC 27001:2022 und liefert für jedes der 93 Annex-A-Controls eine Implementierungsanleitung (Definition, Purpose, Guidance, Other Information). Während Annex A in ISO 27001 verbindlich und auditrelevant ist, hat ISO 27002 reinen Empfehlungscharakter, Auditoren prüfen, ob die Controls wirksam umgesetzt sind, nicht ob die Umsetzung exakt der ISO 27002-Guidance folgt.
BSI IT-Grundschutz-Bausteine	Deutsche Alternative mit thematischen Bausteinen statt Einzelmaßnahmen	Das BSI IT-Grundschutz-Kompendium bietet eine methodisch verwandte, aber strukturell andere Maßnahmensystematik: Bausteine mit Anforderungen statt einzelner Controls. Der Geltungsbereich ist ähnlich, die Detaillierung ist im BSI-Ansatz tiefer (jeder Baustein enthält 10-30 Einzelanforderungen). BSI bietet zudem ein Mapping zwischen Grundschutz-Bausteinen und ISO 27001 Annex A.

Typische Fehler und wie ihr sie vermeidet

Annex A als Checkliste verwenden statt risikobasiert auswählen: Ein häufiger Methodenfehler ist die Behandlung von Annex A als statische Compliance-Checkliste: Alle 93 Controls werden mechanisch durchgegangen, ohne die zugrundeliegende Risikobeurteilung. Das führt zu pauschalen Bewertungen ohne erkennbare Risiko-Logik. ISO/IEC 27001:2022 Clause 6.1.3 fordert ausdrücklich die risikobasierte Auswahl: Erst werden die zu behandelnden Risiken festgestellt, dann werden passende Annex-A-Controls zugeordnet, dann wird mit dem vollständigen Annex A auf Lücken geprüft.
Migration von ISO 27001:2013 auf 2022 ohne neue Controls dokumentieren: Bei der Migration von der 2013er auf die 2022er Fassung ist die Behandlung der 11 neuen Controls (A 5.7 Threat Intelligence, A 5.23 Cloud-Sicherheit, A 5.30 ICT Readiness for Business Continuity, A 7.4 Physical Security Monitoring, A 8.9 Configuration Management, A 8.10 Information Deletion, A 8.11 Data Masking, A 8.12 Data Leakage Prevention, A 8.16 Monitoring Activities, A 8.23 Web Filtering, A 8.28 Secure Coding) der größte Audit-Schwerpunkt. Eine pauschale Übernahme der bisherigen Maßnahmen ist nicht ausreichend, die neuen Controls erfordern neue Umsetzungsnachweise oder dokumentierte Ausschluss-Begründungen.
ISO/IEC 27002:2022-Guidance als zwingend missverstehen: ISO/IEC 27002:2022 enthält für jedes Control unter „Guidance" konkrete Umsetzungsempfehlungen. Diese sind empfehlender Natur, der Auditor prüft die Wirksamkeit des Controls, nicht die exakte Übereinstimmung mit der ISO-27002-Empfehlung. Organisationen können abweichende Umsetzungen wählen, müssen aber die Schutzwirkung nachweisen.
Annex A als abschließenden Maßnahmenkatalog behandeln: Annex A ist ein „comprehensive list", also umfassend, aber nicht abschließend. Branchen- oder organisationsspezifische Risiken können zusätzliche Controls erfordern, die in Annex A nicht enthalten sind. Beispiel: Eine Finanzinstitution muss neben Annex A auch BAIT/VAIT-Anforderungen umsetzen; ein Cloud-Provider folgt BSI C5; ein Krankenhaus den B3S Krankenhaus. Diese zusätzlichen Controls werden im Statement of Applicability ergänzend aufgeführt.

Relevanz im regulatorischen Kontext

Annex A der ISO/IEC 27001:2022 bildet die normative Maßnahmenbasis für alle akkreditierten ISO/IEC 27001-Zertifizierungen weltweit. Akkreditierungsregeln des International Accreditation Forum (IAF MD 1:2018) verpflichten Zertifizierungsstellen zur Prüfung des vollständigen Annex A im Stage-2-Audit. Die ISO/IEC 27001:2022-Revision wurde am 25. Oktober 2022 veröffentlicht; das International Accreditation Forum hat ein dreijähriges Übergangsfenster bis Oktober 2025 für die Migration aller bestehenden Zertifikate festgelegt. Nach diesem Datum sind nur noch Zertifikate nach der 2022-Fassung gültig. Im NIS-2-Kontext (Richtlinie (EU) 2022/2555 Artikel 21) gilt die ISO/IEC 27001-Zertifizierung mit angewendetem Annex A als anerkannter Nachweis der Risikomanagementmaßnahmen, sowohl auf EU-Ebene als auch in der deutschen NIS-2-Umsetzung im BSIG. Die NIS-2-Maßnahmenkataloge orientieren sich strukturell an Annex A, sind aber rechtlich eigenständig.

Im Finanzsektor ist die DORA-Verordnung (EU) 2022/2554 die zentrale regulatorische Referenz. Artikel 6 verlangt ein IKT-Risikomanagement-Rahmenwerk, das in Artikel 9-12 detaillierte Anforderungen an Schutzmaßnahmen, Erkennung und Reaktion stellt. Die EBA, ESMA und EIOPA haben in ihren technischen Standards (RTS, ITS) konkrete Mapping-Tabellen zu ISO/IEC 27001 Annex A veröffentlicht, Finanzinstitute können Annex A als methodische Grundlage nutzen, müssen aber DORA-spezifische Ergänzungen vornehmen. Im KRITIS-Bereich verlangt das BSIG (§ 8a, künftig § 30 in der NIS-2-Umsetzung) den Nachweis angemessener organisatorischer und technischer Vorkehrungen; eine ISO/IEC 27001-Zertifizierung mit dokumentiertem SoA und vollständigem Annex-A-Vergleich gilt als anerkannte Nachweisform. Branchenspezifische Sicherheitsstandards (B3S) für Gesundheit, Energie, Wasser etc. enthalten oft Mapping-Tabellen zu Annex A, was die parallele Anwendung erleichtert.

Häufige Fragen

Was ist neu in Annex A der ISO/IEC 27001:2022 gegenüber 2013?

Die wichtigste Änderung ist die Reduzierung von 114 Controls in 14 Domänen auf 93 Controls in 4 Themengruppen. 11 Controls sind komplett neu: A 5.7 Threat Intelligence, A 5.16 Identity Management, A 5.23 Information Security for Use of Cloud Services, A 5.30 ICT Readiness for Business Continuity, A 7.4 Physical Security Monitoring, A 8.1 User Endpoint Devices, A 8.9 Configuration Management, A 8.10 Information Deletion, A 8.11 Data Masking, A 8.12 Data Leakage Prevention, A 8.28 Secure Coding. Diese adressieren aktuelle Bedrohungen und Architekturen, insbesondere Cloud, Threat Intelligence und sichere Softwareentwicklung. Zusätzlich wurden zahlreiche bestehende Controls zusammengeführt oder umformuliert.

Muss ich alle 93 Annex-A-Controls anwenden?

Nein. ISO/IEC 27001:2022 erlaubt ausdrücklich Ausschlüsse, jeder ausgeschlossene Control muss aber im Statement of Applicability begründet werden. Die Auswahl ist risikobasiert: Nur Controls, die zur Behandlung der identifizierten Risiken erforderlich sind, werden angewendet. Wer Controls ohne erkennbares Risiko anwendet, verschwendet Ressourcen; wer notwendige Controls ohne Begründung ausschließt, riskiert eine Major Nonconformity im Audit. Die Auswahl wird typischerweise im Statement of Applicability dokumentiert (Clause 6.1.3 lit. d).

Wann läuft der Übergang von ISO 27001:2013 auf 2022 ab?

Das International Accreditation Forum (IAF) hat ein dreijähriges Übergangsfenster bis 31. Oktober 2025 festgelegt. Bis dahin müssen alle bestehenden ISO/IEC 27001:2013-Zertifikate auf die 2022-Fassung migriert sein. Bestehende Zertifikate nach 2013 verlieren ihre Gültigkeit, wenn keine Migration erfolgt. Der Migrationsaufwand variiert: Organisationen mit gut dokumentierten SoA und gepflegten Controls können die Migration im Rahmen des nächsten Surveillance Audits oder einer Rezertifizierung durchführen. Schwerpunkte sind die 11 neuen Controls und die Neustrukturierung von Annex A in vier Themengruppen.

Quellen & weiterführende Literatur

Annex A risikobasiert anwenden

Wir unterstützen Sie bei der Auswahl, Umsetzung und Wirksamkeitsmessung der ISO 27001 Annex-A-Controls, von der Migration auf die 2022er Fassung bis zur audit-robusten Dokumentation im Statement of Applicability.

Erstgespräch buchen →

Verwandte Begriffe

Passende Leistungen

Themen