ISO 27001 Anhang A: die 93 Maßnahmen in den Betrieb bringen

Anhang A bietet Sicherheitsteams einen nützlichen Referenzkatalog. Seinen betrieblichen Wert entfaltet er, wenn erkennbar wird, warum eine Maßnahme anwendbar ist, wie sie umgesetzt ist und welche Nachweise sie in Ihrer Umgebung stützen. Ein Register mit 93 grünen Statusanzeigen reicht nicht aus, wenn niemand erklären kann, welche Systeme diese Anzeigen abdecken.

Für einen CTO besteht die praktische Herausforderung darin, die Absicht einer Maßnahme in Entwicklungs- und Betriebsarbeit zu übersetzen, ohne das Informationssicherheitsmanagementsystem zu einer Parallelbürokratie zu machen. Zugriffsüberprüfungen sollten echte Berechtigungsdaten verwenden. Wiederherstellungspläne sollten die Abhängigkeiten der Dienste abbilden. Lieferantenbewertungen sollten die Dienste behandeln, die das Unternehmen tatsächlich nutzt.

Dieser Leitfaden erklärt, wie Sie Maßnahmen auswählen, Verantwortung verteilen, Umsetzungen festlegen und die daraus entstehenden Aussagen testen. Die nachfolgenden Prüfhäufigkeiten und Umsetzungsbeispiele sind praktische Empfehlungen, keine von der Norm vorgeschriebenen allgemeingültigen Intervalle.

Verstehen Sie, was Anhang A leistet und was nicht

ISO/IEC 27001:2022 enthält in Anhang A 93 Maßnahmen in vier Themen. Die Kapitel 4 bis 10 enthalten die Anforderungen an das Managementsystem: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Anhang A unterstützt die Auswahl der Maßnahmen; er ersetzt weder diese Anforderungen noch Ihre Risikobeurteilung.

Diese Unterscheidung ist bei der Umsetzung wichtig. Eine Konfiguration der Datensicherung kann eine ausgewählte Maßnahme stützen, belegt aber nicht, dass Sie den Geltungsbereich des ISMS festgelegt, Risiken beurteilt, ein internes Audit durchgeführt oder eine Managementbewertung abgeschlossen haben. Das sind eigenständige Tätigkeiten mit eigenen Nachweisen.

Die Auswahl der Maßnahmen ist risikobasiert. Bestimmen Sie die Maßnahmen, die zur Behandlung Ihrer Risiken erforderlich sind, und gleichen Sie sie dann mit Anhang A ab, um sicherzustellen, dass keine erforderlichen Maßnahmen fehlen. Zusätzliche Maßnahmen außerhalb von Anhang A können notwendig sein. Umgekehrt ist ein begründeter Ausschluss möglich; es gibt keine Regel, dass jede Organisation etwas ausschließen oder genau dieselbe Auswahl umsetzen muss.

ISO/IEC 27002:2022 bietet Umsetzungshinweise zu den Maßnahmen. Ihre Attribute helfen, die Maßnahmen nach Maßnahmenart, Informationssicherheitseigenschaft, Cybersicherheitskonzept, operativer Fähigkeit und Sicherheitsdomäne zu ordnen. Diese Attribute sind nützliche Filterhilfen, keine zusätzlichen Zertifizierungschecklisten. Ziehen Sie für den maßgeblichen Wortlaut die lizenzierten Normen heran.

Nutzen Sie die vier Themen, um die richtigen Verantwortlichen zu finden

Die Themen bieten eine Navigationsstruktur, keine vier voneinander unabhängigen Arbeitsstränge. Ein Austrittsprozess verbindet beispielsweise Pflichten aus dem Beschäftigungsverhältnis, Identitätsverwaltung, Rückgabe von Geräten und Anwendungszugriffe.

Organisatorische Maßnahmen: Governance mit betrieblichen Entscheidungen verbinden

Diese Maßnahmen betreffen Richtlinien, Verantwortlichkeiten, Funktionstrennung, Werte, Klassifizierung und Handhabung von Informationen, Zugriffssteuerung, Lieferanten, Vorfälle, Kontinuität, rechtliche Pflichten und Überprüfungstätigkeiten.

Ermitteln Sie zunächst, wo Entscheidungen fallen. Wer genehmigt einen neuen Cloud-Dienst? Wer legt eine Informationsklassifizierung fest? Wer entscheidet, ob ein gemeldetes Ereignis ein Sicherheitsvorfall ist? Eine Richtlinie sollte diese Entscheidungen wiederholbar machen und Befugnisse zuweisen, statt bloß Unterstützung für Sicherheit zu bekunden.

Lieferantensicherheit braucht eine dienstbezogene Nachweiskette: den geschäftlichen Zweck des Dienstes, die verarbeiteten Informationen, die beurteilten Risiken, die vertraglichen Verantwortlichkeiten und die laufende Überprüfung. Ein Prüfbericht des Lieferanten kann diese Bewertung stützen, doch sein Geltungsbereich, sein Zeitraum und die Pflichten auf Kundenseite müssen zu Ihrer Nutzung passen.

Ebenso braucht das Vorfallmanagement mehr als eine Notfallkontaktliste. Legen Sie Meldewege, Bewertungskriterien, Reaktionsbefugnisse, den Umgang mit Beweismitteln und Lernaktivitäten fest. Dokumentieren Sie Übungen oder tatsächliche Reaktionen einschließlich Folgemaßnahmen und Verantwortlichen.

Personenbezogene Maßnahmen: Ereignisse im Beschäftigungsverhältnis zu verlässlichen Auslösern machen

Die acht personenbezogenen Maßnahmen betreffen Sicherheitsüberprüfung, Beschäftigungsbedingungen, Sensibilisierung und Schulung, Maßregelungsprozesse, Verantwortlichkeiten nach Veränderungen im Beschäftigungsverhältnis, Vertraulichkeit, Telearbeit und die Meldung von Ereignissen.

Bauen Sie diese Maßnahmen in bestehende Personalprozesse ein. Eine neu eintretende Person braucht angemessene Verpflichtungen, Zugriffe und Unterweisung. Bei einem Rollenwechsel müssen Berechtigungen neu beurteilt und nicht einfach ergänzt werden. Bei einem Austritt sind Zugriffsentzug, Rückgabe von Werten und Klarheit über fortbestehende Vertraulichkeitspflichten nötig.

Die Verantwortung erstreckt sich oft über mehrere Teams. Die Personalabteilung stößt einen Austritt an, die Identitätsadministration deaktiviert das zentrale Konto, Anwendungsverantwortliche entfernen lokal verwaltete Zugriffe, und eine Führungskraft bestätigt den Abschluss. Wer den gesamten Prozess der Sicherheit zuweist, verdeckt diese Abhängigkeiten.

Nützliche Nachweise sind freigegebene Workflow-Aufzeichnungen, Schulungsabschlüsse und die Nachverfolgung überfälliger Schulungen, bestätigte Beschäftigungsbedingungen und stichprobenartig geprüfte Veränderungen im Beschäftigungsverhältnis. Beschränken Sie den Zugriff auf sensible Personalnachweise; wer eine Maßnahme prüft, braucht nicht automatisch vollständige Personalakten.

Physische Maßnahmen: Ihre Grenze und die Grenze des Lieferanten dokumentieren

Physische Maßnahmen betreffen Gebäude, Zutritt, Überwachung, umweltbedingte Bedrohungen, Sicherheitsbereiche, Arbeitsplätze und Bildschirme, Geräte, Speichermedien, Versorgungseinrichtungen, Verkabelung, Instandhaltung und Entsorgung.

Auch eine Cloud-first-Organisation muss physische Sicherheit berücksichtigen. Ein Teil der Umsetzung kann von einem Cloud-Anbieter erbracht werden, während Bürozutritt und Geräte der Beschäftigten in der eigenen Verantwortung bleiben. Dokumentieren Sie diese Aufteilung, statt das gesamte Thema automatisch auszuschließen.

Ermitteln Sie für Ihre eigenen Standorte, wer Zutritt hat, wie sich Zutrittsrechte ändern, wo sich sensible Geräte befinden und wie mit Besuchern umgegangen wird. Legen Sie für mobile Geräte Regelungen zu Aufbewahrung, Transport, Reparatur und Entsorgung fest, die ihren Risiken angemessen sind.

Nachweise können Aufzeichnungen über Zutrittsberechtigungen, Besucherverfahren, Geräteinventare und Entsorgungsnachweise sein. Nachweise des Lieferanten sollten erläutern, welche Einrichtungen und Dienste sie abdecken; sie dürfen nicht als Beleg für die Maßnahmen in Ihrem Büro oder an Ihren Laptops behandelt werden.

Technologische Maßnahmen: die Abdeckung festlegen, bevor Werkzeuge gewählt werden

Das technologische Thema umfasst Endgeräte, privilegierte Zugriffe, Authentisierung, Zugriff auf Quellcode, Kapazität, Schadsoftware, Schwachstellen, Konfigurationen, Datenhandhabung, Datensicherungen, Redundanz, Protokollierung, Überwachung, Netzwerke, Kryptografie, Entwicklung und Änderungsmanagement.

Beginnen Sie mit der Abdeckung der Systeme. Eine Identitätsrichtlinie ist unvollständig, wenn Produktivzugriffe, Dienstkonten oder eine separat verwaltete Anwendung außerhalb ihrer Umsetzung liegen. Eine Protokollierungsplattform ist unvollständig, wenn kritische Ereignisse sie nie erreichen oder niemand auf Warnmeldungen reagiert.

Verbinden Sie in der Softwareentwicklung Anforderungen und Designentscheidungen mit Code-Review, Sicherheitstests, Trennung von Umgebungen, Umgang mit Testdaten und Freigabe von Releases. Threat Modeling kann helfen, Sicherheitsanforderungen vor der Umsetzung zu ermitteln. Die Testtiefe sollte sich nach Risiko und Pflichten richten; ISO 27001 schreibt keinen allgemeingültigen Zeitplan für Penetrationstests vor.

Unterscheiden Sie bei der Kryptografie zwischen gespeicherten und übertragenen Daten und dokumentieren Sie Verantwortung, Zugriff, Wiederherstellung, Rotation und Widerruf von Schlüsseln. „Verschlüsselung aktiviert“ lässt wichtige Umsetzungsfragen offen.

Was sich 2022 geändert hat und wo Sie nach Lücken suchen sollten

Die Ausgabe von 2013 enthielt 114 Maßnahmen in 14 Bereichen. Die Ausgabe von 2022 hat sie in 93 Maßnahmen in vier Themen neu gegliedert, darunter 11 neue Maßnahmen. Eine geringere Zahl bedeutet nicht weniger Sicherheitsarbeit: Durch die Zusammenfassung können mehrere betriebliche Verantwortlichkeiten unter einer einzigen Referenz stehen.

Bewahren Sie bei der Aktualisierung eines älteren Registers die zugrunde liegenden Umsetzungen und Nachweise, statt lediglich Kennungen auszutauschen. Prüfen Sie, ob die neue Gliederung Abdeckung, Verantwortung oder die Tests verändert, die zur Begründung Ihres Status nötig sind.

Die Übergangsfrist für akkreditierte Zertifizierungen nach ISO/IEC 27001:2013 endete am 31. Oktober 2025. Diese Zertifikate sind nicht mehr gültig; die bloße Aktualisierung eines Maßnahmenregisters begründet keine Zertifizierung nach der Ausgabe von 2022.

Die folgenden Punkte sind praktische Ausgangspunkte für die 11 neuen Maßnahmen, keine Wiedergabe ihres maßgeblichen Wortlauts.

Behandeln Sie diese nicht als elf automatische Produktkäufe. Informationen über die Bedrohungslage erfordern beispielsweise Analyse und Handeln, nicht nur einen abonnierten Feed. Die Löschung von Daten setzt ein Verständnis von Kopien, Datensicherungen und Aufbewahrungspflichten voraus, nicht bloß eine Löschtaste. Überwachung braucht einen operativen Reaktionsweg.

Dokumentieren Sie Anwendbarkeit und Umsetzung getrennt

Ihre Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) sollte die erforderlichen Maßnahmen benennen, ihre Aufnahme begründen, festhalten, ob sie umgesetzt sind, und Ausschlüsse von Maßnahmen aus Anhang A begründen. Diese Anforderungen stehen in den Bestimmungen zur Risikobehandlung der ISO/IEC 27001.

Alle 93 Referenzen als Prüfindex zu verwenden ist ein praktischer Weg, den Abgleich nachvollziehbar zu machen. Nehmen Sie auch alle zusätzlich erforderlichen Maßnahmen auf. Die Erklärung zur Anwendbarkeit ist weder das Risikoregister noch der Behandlungsplan oder die Nachweisablage, sollte aber, wo relevant, mit jedem davon verknüpft sein.

Erfassen Sie für jede anwendbare Maßnahme:

• Die Risiken oder Pflichten, die ihre Aufnahme begründen.
• Relevante Systeme, Standorte, Informationen und Prozesse.
• Die tatsächliche Umsetzung und die verantwortliche Person.
• Unterstützende Nachweise und ihren Prüfzeitraum.
• Abhängigkeiten, Ausnahmen und offene Arbeiten.
• Das nächste Überprüfungsdatum oder den auslösenden Anlass.

Halten Sie die Anwendbarkeit unabhängig vom Umsetzungsstand. „Anwendbar, teilweise umgesetzt“ ist ein ehrlicher und nützlicher Eintrag. „Nicht anwendbar, weil wir kein Werkzeug gekauft haben“ ist keine Begründung der Anwendbarkeit.

Ein Ausschluss sollte die Tatsachen zum Geltungsbereich beschreiben, die die Maßnahme entbehrlich machen, und mit der Risikobeurteilung übereinstimmen. „Wir entwickeln keine Software“ bedarf einer genauen Prüfung, wenn ein Dienstleister Ihr Kundenportal entwickelt. Auslagerung verändert den Umsetzungs- und Nachweisweg; sie beseitigt das Risiko nicht automatisch.

Dokumentieren Sie bei verteilten Umsetzungen die Aufteilung. Eine Maßnahme zum physischen Schutz kann von Rechenzentren in Lieferantenbetrieb, vom unternehmensseitig gesteuerten Bürozutritt und vom Umgang der Beschäftigten mit Geräten abhängen. Eine Person kann für die Gesamtaussage verantwortlich bleiben, während verschiedene Teams die Tätigkeiten ausführen.

Eine brauchbare Umsetzungsbeschreibung ist konkret genug, um getestet zu werden: „Produktivadministratoren erhalten personengebundene, genehmigte Zugriffe über den Identitätsdienst; Notfallzugriffe werden gesondert protokolliert und überprüft.“ „Zugriffe werden sicher verwaltet“ kann weder Entwickler noch Prüfende anleiten.

Testen Sie die Aussage hinter dem Status

Eine Richtlinie beschreibt beabsichtigtes Verhalten. Sie kann Ausgestaltung und Freigabe belegen, allein aber keinen Betrieb nachweisen. Bauen Sie eine Nachweiskette von der Anforderung über den umgesetzten Mechanismus bis zu einem beobachteten Ergebnis auf.

Vergleichen Sie im Zugriffsmanagement die genehmigten Regeln mit tatsächlichen Benutzerberechtigungen und Austrittsdaten. Beziehen Sie, wo relevant, privilegierte Identitäten, nicht-menschliche Konten und Anwendungen außerhalb des zentralen Identitätsmanagements ein. Dokumentieren Sie Grundgesamtheit, Stichprobe und Ausnahmen, statt einen einzelnen passenden Screenshot vorzulegen.

Prüfen Sie bei Datensicherungen die Konfiguration und ein Wiederherstellungsergebnis. Ein erfolgreicher Sicherungsjob beweist weniger als die erfolgreiche Wiederherstellung nutzbarer Informationen. Prüfen Sie Berechtigungen, Abhängigkeiten und Wiederherstellungsziele; eine wiederhergestellte Datenbank ohne ihre Verschlüsselungsschlüssel stellt den Dienst womöglich nicht wieder her.

Verbinden Sie bei der Lieferantensicherheit die Bewertung mit dem konkreten Dienst und den vertraglichen Verantwortlichkeiten. Prüfen Sie, ob die Nachweise den von Ihnen genutzten Dienst abdecken und ob die festgestellten Pflichten auf Kundenseite umgesetzt sind.

Eine praxistaugliche Testaufzeichnung sollte erwartetes Ergebnis, Methode, Umfang, Nachweisdatum, prüfende Person, Ergebnis und Folgeentscheidung enthalten. Unterscheiden Sie:

• Ausgestaltung: Der vorgesehene Mechanismus adressiert das ermittelte Risiko.
• Umsetzung: Der Mechanismus besteht im gesamten angegebenen Umfang.
• Betrieb: Aufzeichnungen zeigen, dass er im relevanten Zeitraum funktioniert hat.
• Wirksamkeit: Tests zeigen, dass er das beabsichtigte Ergebnis erreicht.

Nachweise können Konfigurationen, Exporte, Tickets, Verträge, Interviews und physische Beobachtungen umfassen. Wählen Sie Nachweise, die die tatsächliche Aussage stützen. Ein Konfigurationsexport kann aktuelle Einstellungen zeigen; historische Tickets können zeigen, ob Ausnahmen im Zeitverlauf bearbeitet wurden.

Bewahren Sie die Herkunft: Quellsystem, Erhebungsdatum, abgedeckter Zeitraum und etwaige Filter. Schützen Sie Nachweise, die Geheimnisse oder personenbezogene Daten enthalten, durch Zugriffsbeschränkungen und angemessene Schwärzung. Die Nachweissammlung sollte keine neue unkontrollierte Ablage sensibler Daten schaffen.

Beispiel: einen Austrittsprozess prüfbar machen

Betrachten Sie als Beispiel ein SaaS-Unternehmen mit 45 Beschäftigten, einem Büro, Cloud-Hosting, zentral verwalteten Identitäten und zwei Anwendungen mit lokalen Konten. Dies sind Beispielannahmen, keine Kundenergebnisse von Secani.

Das Risiko besteht in fortbestehendem Zugriff auf Kunden- oder Unternehmensinformationen nach einem Austritt. Relevante Maßnahmen umfassen Verantwortlichkeiten bei Veränderungen im Beschäftigungsverhältnis, Identitätsmanagement, Zugangsrechte und die Rückgabe von Werten. Technische Authentisierung und Zugriffsbeschränkungen unterstützen die Umsetzung ebenfalls.

Das Unternehmen dokumentiert die Maßnahme als anwendbar. Die Personalabteilung verantwortet den Auslöser für den Austritt; die IT verantwortet Identitäts- und Gerätemaßnahmen; die jeweiligen Anwendungsverantwortlichen sind für die Entfernung lokaler Konten zuständig. Die Führungskraft der ausscheidenden Person bestätigt den erforderlichen Austrittszeitpunkt. Die Sicherheitsverantwortliche überprüft den Prozess und offene Ausnahmen.

Die Umsetzung umfasst ein genehmigtes Austrittsticket, die geplante Deaktivierung des zentralen Kontos, den Widerruf von Sitzungen, wo unterstützt, die Entfernung lokaler Konten, die Rückgabe von Werten und die Prüfung von Zugangsdaten, über die die Person verfügte. Gemeinsam genutzte Geheimnisse werden bei Bedarf geändert; persönliche Konten werden nicht leichtfertig einer Nachfolgerin oder einem Nachfolger übertragen.

Das Nachweispaket verbindet das freigegebene Verfahren, das Austrittsticket, die Aufzeichnungen der Kontomaßnahmen, die Bestätigungen für lokale Anwendungen und den Geräteeintrag. Jedes Element stützt einen festgelegten Teil der Aussage.

Bei einer beispielhaften Überprüfung untersucht das Team vier Austritte. Die zentralen Konten wurden planmäßig deaktiviert, doch eine lokale Anwendung behielt den Zugriff zwei Tage lang. Die Maßnahme wird nicht allein aufgrund der Nachweise aus dem zentralen Identitätsmanagement für vollständig wirksam erklärt.

Der Anwendungsverantwortliche entfernt das Konto, prüft, ob ein Zugriff stattfand, und dokumentiert das Ergebnis. Das Team nimmt die Anwendung in die Austrittscheckliste auf und weist einen Abgleichschritt zu. Die Behandlungsmaßnahme erhält eine verantwortliche Person und ein Fälligkeitsdatum; ein späterer Test prüft, ob der überarbeitete Ablauf funktioniert.

Dieses Beispiel zeigt, warum Nachweise den Abhängigkeiten folgen müssen. Vier Systeme, die „abgeschlossen“ melden, belegen keinen Abschluss, wenn ein fünftes System nie einbezogen wurde.

Halten Sie Maßnahmen zwischen den Überprüfungen in Betrieb

Maßnahmen ändern sich, wenn sich Systeme, Lieferanten, Menschen und geschäftliche Anforderungen ändern. Legen Sie neben planmäßigen Überprüfungen Auslöser für wesentliche Releases, neue Dienste, Veränderungen bei Büros, Vorfälle und geänderte Pflichten fest.

Wählen Sie einen Rhythmus, der zu Veränderlichkeit und Risiko passt. Ausnahmen bei privilegierten Zugriffen können eine zeitnahe Überprüfung erfordern, während für eine stabile Richtlinie ein längerer Zyklus mit ergänzenden Änderungsauslösern genügen kann. Das sind Managemententscheidungen, keine allgemeingültigen Häufigkeiten aus Anhang A.

Verfolgen Sie eine kleine Zahl nützlicher Indikatoren: überfällige Behebungen, nicht abgedeckte Systeme, offene Nachweisausnahmen und fehlgeschlagene Maßnahmentests. Trennen Sie diese von der Zahl der Dokumente. Eine große Nachweisbibliothek kann trotzdem eine kritische Produktivumgebung ungetestet lassen.

Das interne Audit liefert eine eigenständige Bewertung des ISMS; routinemäßige Überprüfungen durch die Maßnahmenverantwortlichen ersetzen es nicht. Ebenso braucht die Managementbewertung Entscheidungen der Leitung über Leistung, Änderungen, Ressourcen und Verbesserung, nicht nur eine ausgefüllte Maßnahmentabelle. Die Zertifizierung erfolgt durch eine unabhängige Zertifizierungsstelle, nicht durch ISO oder einen Softwareanbieter.

Typische Fehler sind, alles der Sicherheit zuzuweisen, die Ausschlüsse einer anderen Organisation zu kopieren, sich ohne Prüfung des Geltungsbereichs auf Lieferantenzertifikate zu verlassen und Feststellungen zu schließen, sobald sich eine Richtlinie ändert, statt erst dann, wenn der überarbeitete Prozess getestet wurde.

Beginnen Sie mit einem Dienst und einer vollständigen Nachweiskette

Wählen Sie einen repräsentativen Dienst und verfolgen Sie seine Systeme, Dienstleister, Informationen und betrieblichen Verantwortlichen. Wählen Sie eine kleine Gruppe zusammenhängender Maßnahmen aus, etwa Zugriff, Änderungsmanagement, Protokollierung und Wiederherstellung, und machen Sie jede Umsetzung prüfbar, bevor Sie das Register erweitern.

Secani unterstützt diesen Ablauf, indem es Systeme und Abhängigkeiten modelliert, Nachweise mit Anforderungen, Maßnahmen und Entscheidungen verbindet und Lücken als Aufgaben verfolgt. Benennen Sie eine verantwortliche und eine prüfende Person, verknüpfen Sie vorhandene Aufzeichnungen und bewahren Sie Prüfkommentare und Freigaben. Behandeln Sie KI-gestützte Zuordnungen oder Zusammenfassungen als Entwürfe: Validieren Sie die Quellen und halten Sie die menschliche Freigabe ausdrücklich fest. Audit-Readiness strukturieren erklärt das zugrunde liegende Nachweismodell.

Das erste Arbeitsergebnis sollte eine schlüssige Kette vom Risiko über Maßnahme, Umsetzung, Nachweis und Testergebnis bis zur Folgeentscheidung sein. Diese Kette lässt sich dann im übrigen Geltungsbereich wiederholen, ohne für jede Referenz aus Anhang A einen neuen Prozess zu erfinden.

Praktische Fragen

Kann ein Datensatz mehrere Maßnahmen stützen?

Ja. Ein Austrittsticket kann mehrere zusammenhängende Maßnahmen stützen. Erläutern Sie für jede, welche Aussage es belegt; gemeinsam genutzte Nachweise machen die Maßnahmen nicht identisch.

Braucht jede Maßnahme eine eigene Richtlinie?

Nein. Gliedern Sie Richtlinien und Verfahren nach verständlichen Betriebsprozessen. Ein Dokument kann mehrere Maßnahmen abdecken, sofern Verantwortlichkeiten und Umsetzung klar bleiben.

Woher sollte die maßgebliche Maßnahmenliste stammen?

Verwenden Sie für den Wortlaut von Anhang A die lizenzierte Norm ISO/IEC 27001 und für Umsetzungshinweise ISO/IEC 27002. Operative Zusammenfassungen sind nützliche Orientierungshilfen, aber kein Ersatz für die Normen.