ISMS Copilot
Kostenloses Tool

ISO 27001 Generator für die Anwendbarkeitserklärung

Arbeiten Sie alle 93 Annex-A-Controls der ISO/IEC 27001:2022 durch, markieren Sie jedes als anwendbar, ausgeschlossen oder teilweise mit Begründung und exportieren Sie einen strukturierten Entwurf — ein Entwurf zur Abstimmung mit Ihrer auditierenden Stelle, kein fertiges Dokument.

Dies erzeugt nur einen ENTWURF. Es gibt keine Control-Titel oder normativen Texte der ISO/IEC 27001:2022 wieder — diese entnehmen Sie der Norm über Ihre nationale Normungsorganisation. Eine echte Anwendbarkeitserklärung muss Ihre Risikobewertung und Risikobehandlungsentscheidungen widerspiegeln und intern geprüft werden, bevor sie durch eine kompetente auditierende Stelle oder Zertifizierungsstelle bewertet wird.

1. ISMS-Geltungsbereich

0 von 93 Controls entschieden · Anwendbar: 0 · Ausgeschlossen: 0 · Teilweise anwendbar: 0

Vor dem Export

Füllen Sie oben die ISMS-Geltungsbereichsfelder aus (Organisation, Geltungsbereichserklärung, Version, Datum) — eine Anwendbarkeitserklärung ist ohne sie unvollständig.

  • A.5.1 — Noch keine Entscheidung erfasst
  • A.5.2 — Noch keine Entscheidung erfasst
  • A.5.3 — Noch keine Entscheidung erfasst
  • A.5.4 — Noch keine Entscheidung erfasst
  • A.5.5 — Noch keine Entscheidung erfasst
  • A.5.6 — Noch keine Entscheidung erfasst
  • A.5.7 — Noch keine Entscheidung erfasst
  • A.5.8 — Noch keine Entscheidung erfasst
  • A.5.9 — Noch keine Entscheidung erfasst
  • A.5.10 — Noch keine Entscheidung erfasst
  • +83…

2. Entscheidungen zu den Annex-A-Controls

A.5
A.5.1Richtliniensatz: Eine kurze, auffindbare Sammlung von Dokumenten, die den Mitarbeitenden die Sicherheitsregeln erläutern, jeweils mit einer verantwortlichen Person und einem Datum der letzten Überprüfung.
A.5.2Festlegen und dokumentieren, wer für welche Informationssicherheitsaktivität verantwortlich und rechenschaftspflichtig ist.
A.5.3Konfligierende Aufgaben trennen, sodass keine Einzelperson einen Prozess missbrauchen und zugleich verbergen kann.
A.5.4Sicherheit von der Führungsebene aus sichtbar machen: Erwartungen werden bei der Einarbeitung, in Teammeetings und durch das eigene Verhalten vermittelt, nicht nur in einem Richtliniendokument.
A.5.5Funktionierende Kontaktwege zu Behörden, Strafverfolgung und Aufsicht vorhalten, bevor sie dringend gebraucht werden.
A.5.6An Sicherheitsforen und Fachgruppen teilnehmen, um bei Bedrohungen und bewährter Praxis aktuell zu bleiben.
A.5.7Ausgewählte Bedrohungsquellen nutzen, um relevante Warnsignale in konkrete Sicherheitsmaßnahmen umzusetzen.
A.5.8Sicherheitsanforderungen und Risikobewertung von Projektbeginn an in Projekte einbauen.
A.5.9Eine aktuelle Liste wichtiger Informationsbestände, unterstützender Systeme und zuständiger Verantwortlicher pflegen.
A.5.10Praktische Ge- und Verbote dafür festlegen, wie Personen Informationsbestände nutzen, handhaben und ausmustern.
A.5.11Bei Ausscheiden oder Teamwechsel von Mitarbeitenden Laptop, Ausweis, Tokens und alle Unternehmensdateien zurückfordern und anhand einer Checkliste abhaken.
A.5.12Informationen nach Sensibilität einstufen, damit der Schutz ihrem Wert und rechtlichen Anforderungen entspricht.
A.5.13Informationen konsistent gemäß ihrer Klassifizierung kennzeichnen, damit Handhabungsregeln eindeutig sind.
A.5.14Informationen, die zwischen Personen, Systemen oder Organisationen übertragen werden, nach vereinbarten Regeln schützen.
A.5.15Zugriffsentscheidungen auf dokumentierten Bedarf, Risiko und genehmigten Geschäftszweck stützen.
A.5.16Jedem Nutzer und jeder Arbeitslast eine nachverfolgbare Identität zuweisen, vom Tag der Erstellung bis zur Außerbetriebnahme.
A.5.17Passwörter, Token und andere zur Authentisierung genutzte Geheimnisse ausgeben, schützen und verwalten.
A.5.18Benutzerberechtigungen aktuell halten: nur das Nötige geben, regelmäßig prüfen und bei Wegfall zügig entfernen.
A.5.19Prüfen, welche Anbieter auf Daten oder Systeme zugreifen, und deren Sicherheit vor Vertragsabschluss sowie bei Verlängerung bewerten.
A.5.20Sicherheitserwartungen an Lieferanten in Verträge oder gleichwertige schriftliche Zusagen aufnehmen.
A.5.21Sicherheitsanforderungen durch mehrstufige IKT-Produkt- und Dienstlieferketten weitergeben.
A.5.22Wichtige Dienstleister nach Vertragsabschluss überwachen: Berichte und Vorfälle prüfen sowie bei Änderungen der Serviceerbringung neu bewerten.
A.5.23Vor der Nutzung festlegen, wie Cloud-Dienste freigegeben, betrieben und wieder beendet werden.
A.5.24Vorfallrollen, Ablaufpläne und Werkzeuge vorbereiten, bevor ein echter Vorfall eintritt.
A.5.25Erkannte Sicherheitsereignisse bewerten und entscheiden, welche als Vorfälle gelten.
A.5.26Bestätigte Vorfälle gemäß Reaktionsplan eindämmen, beseitigen und wiederherstellen.
A.5.27Nach jedem Vorfall eine Nachbesprechung ohne Schuldzuweisung durchführen und identifizierte Schwachstellen in nachverfolgbare Maßnahmen überführen.
A.5.28Vorfallbeweise so behandeln, dass Verlässlichkeit und Nachvollziehbarkeit erhalten bleiben.
A.5.29Sicherheit im Krisenmodus: Sicherstellen, dass Notfalllösungen während eines Ausfalls die Zugriffskontrolle, Protokollierung oder Verschlüsselung nicht unbemerkt deaktivieren.
A.5.30Wiederherstellungszeiten und Datenverlustgrenzen für kritische Systeme festlegen und durch Tests nachweisen, dass diese eingehalten werden können.
A.5.31Ein Verzeichnis externer, sicherheitsrelevanter Verpflichtungen führen und Verantwortliche für deren Erfüllung benennen.
A.5.32Software, Inhalte und Lizenzen so steuern, dass fremdes geistiges Eigentum gewahrt und eigenes geschützt wird.
A.5.33Erforderliche Aufzeichnungen verlässlich halten, nur Befugten zugänglich machen und für die nötige Dauer aufbewahren.
A.5.34Die Datenschutzpflichten für die von der Organisation verarbeiteten personenbezogenen Daten erfüllen.
A.5.35Regelmäßige externe oder unparteiische Überprüfungen anstoßen, wie gut das Sicherheitsprogramm funktioniert.
A.5.36Prüfen, dass der Betrieb die eigenen Sicherheitsrichtlinien und -standards tatsächlich einhält.
A.5.37Wiederkehrende betriebliche Aufgaben aufschreiben, bei denen Konsistenz für die Sicherheit zählt.
A.6
A.6.1Den Hintergrund von Bewerbenden risikoangemessen und im rechtlichen Rahmen überprüfen.
A.6.2Sicherheitspflichten in Arbeitsverträge, Onboarding-Unterlagen oder gleichwertige Bedingungen aufnehmen.
A.6.3Personen durch wiederkehrende Sicherheits-Briefings, Schulungen und rollenspezifisches Lernen aktuell halten.
A.6.4Einen definierten, fairen Prozess für den Umgang mit Verstößen gegen Sicherheitsrichtlinien betreiben.
A.6.5Sicherheitspflichten festlegen, die nach Ausscheiden oder Rollenwechsel fortbestehen.
A.6.6Durchsetzbare Vertraulichkeitsverpflichtungen für den Umgang mit geschützten Informationen einrichten.
A.6.7Informationen schützen, wenn Personen außerhalb der Organisationsstandorte arbeiten.
A.6.8Mitarbeitenden genau mitteilen, wo verdächtige Vorfälle gemeldet werden können (etwa über einen Phishing-Button oder ein Sicherheitspostfach), und die Meldung so einfach wie möglich gestalten.
A.7
A.7.1Wände, Türen, Sperren oder gleichwertige Grenzen nutzen, um sensible Arbeitsbereiche von öffentlichem oder weniger vertrauenswürdigem Raum zu trennen.
A.7.2Steuern, wer wann physisch Sicherheitsbereiche betreten darf.
A.7.3Arbeitsbereiche und Einrichtungen schwerer missbrauchbar, betretbar oder beschädigbar machen.
A.7.4Alarme, Überwachung, Rundgänge oder Protokolle nutzen, um unerwünschte Zutrittsversuche zu erkennen und darauf zu reagieren.
A.7.5Einrichtungen gegen Feuer, Wasser, Stromausfall und ähnliche Umweltgefahren schützen.
A.7.6Regeln für Verhalten und Arbeiten in sensiblen Bereichen festlegen.
A.7.7Keine sensiblen Informationen offen auf Tischen oder unbeaufsichtigten Bildschirmen lassen.
A.7.8Geräte so aufstellen und sichern, dass Standort-, Umwelt- und Zugriffsrisiken sinken.
A.7.9Geräte und Werte schützen, die außerhalb der Standorte genutzt oder gelagert werden.
A.7.10Speichermedien von der ersten Nutzung bis zur Ausmusterung nachverfolgen und schützen.
A.7.11Für Versorgungseinrichtungen, von denen kritische Geräte abhängen, Ausfallsicherheit bereitstellen.
A.7.12Wichtige Kabel so verlegen und abschirmen, dass sie schwerer abzuhören, zu manipulieren oder versehentlich zu beschädigen sind.
A.7.13Geräte so warten, dass sie verfügbar und sicher bleiben.
A.7.14Vor Weiternutzung oder Entsorgung sensible Inhalte löschen und lizenzierte Software bei Bedarf entfernen.
A.8
A.8.1Grundschutz auf Laptops, Telefone und andere Endgeräte anwenden, die mit Organisationsinformationen umgehen.
A.8.2Erhöhte administrative Zugriffe streng beschränken und überwachen.
A.8.3Zugriff auf Informationen und Funktionen auf das beschränken, was jede Person benötigt.
A.8.4Zugang zu Repository und Build-System auf Personen und Dienste mit berechtigtem Bedarf begrenzen.
A.8.5Authentisierungsstärke und -verfahren am Zugriffsrisiko ausrichten.
A.8.6Ressourcennutzung überwachen und anpassen, damit Systeme unter Last verfügbar bleiben.
A.8.7Mehrschichtige Abwehr und Nutzersensibilisierung gegen Schadsoftware einsetzen.
A.8.8Technische Schwachstellen rechtzeitig finden, bewerten und beheben.
A.8.9System- und Softwareeinstellungen an genehmigten sicheren Baselines ausgerichtet halten.
A.8.10Nicht mehr benötigte Informationen löschen, um Exposition zu begrenzen und Pflichten zu erfüllen.
A.8.11Sensible Daten wie personenbezogene Daten maskieren oder deren Exposition begrenzen.
A.8.12Unbefugte Offenlegung sensibler Daten erkennen und verhindern.
A.8.13Backups nach Zeitplan erstellen, mindestens eine Kopie vor Angreifern geschützt aufbewahren und Wiederherstellungstests durchführen.
A.8.14Ausweichkapazität dort ergänzen, wo Ausfälle die Toleranz der Organisation überschreiten würden.
A.8.15Erfassen, wer welche Aktivitäten auf wichtigen Systemen durchgeführt hat, diese Protokolle vor Manipulation schützen und sie ausreichend lange aufbewahren, um Untersuchungen zu ermöglichen.
A.8.16Technische Überwachung nutzen, um ungewöhnliche Aktivität zu erkennen und Alarme zur Untersuchung weiterzuleiten.
A.8.17Systemzeit abgeglichen halten, damit Ereigniszeitleisten vertrauenswürdig sind.
A.8.18Werkzeuge, die übliche Kontrollen umgehen können, auf freigegebene Nutzer und protokollierte Nutzung begrenzen.
A.8.19Unkontrollierte Softwareinstallationen in der Produktion unterbinden: Nur geprüfte Pakete über eine kontrollierte Pipeline oder Positivliste zulassen.
A.8.20Netzwerke und die sie betreibenden Geräte absichern.
A.8.21Sicherheitserwartungen an Netzwerkdienste festlegen und ihre Einhaltung prüfen.
A.8.22Netzwerke in Zonen unterteilen, um Risiken einzudämmen und laterale Bewegung zu begrenzen.
A.8.23Browsing-Kontrollen nutzen, um Nutzer von bekannten riskanten oder ungeeigneten Web-Zielen wegzulenken.
A.8.24Festlegen, wo Verschlüsselung verpflichtend ist, welche Algorithmen zugelassen sind und wer Schlüssel erstellen, rotieren und löschen darf.
A.8.25Sicherheit über den gesamten Softwareentwicklungslebenszyklus einbauen.
A.8.26Anwendungsspezifische Sicherheitsanforderungen ermitteln und umsetzen.
A.8.27Sichere Entwurfsprinzipien beim Planen und Prüfen von Systemen anwenden.
A.8.28Programmierpraktiken nutzen, die verbreitete Sicherheitsfehler verhindern sollen.
A.8.29Sicherheit prüfen, bevor neue oder geänderte Software abgenommen wird.
A.8.30Sicherheit steuern und überprüfen, wenn Entwicklungsarbeit ausgelagert ist.
A.8.31Verhindern, dass Nicht-Produktionsarbeit Live-Systeme beeinflusst: durch getrennte Zugriffs-, Daten- und Infrastrukturgrenzen.
A.8.32Produktionsänderungen über ein Ticket, eine Prüfung und Genehmigung steuern sowie eine getestete Rückfallmöglichkeit vorhalten.
A.8.33Echte Kundendaten nach Möglichkeit aus Testumgebungen fernhalten und erforderliche Daten maskieren oder einschränken.
A.8.34Audittests so eingrenzen, dass Live-Systeme nicht exponiert oder gestört werden.

Wichtig

Dieses Tool erzeugt aus Ihren Eingaben den Entwurf einer Anwendbarkeitserklärung. Es ist keine Rechtsberatung, kein Audit, zertifiziert Ihre Organisation nicht und ist keine Konformitätserklärung. Es dokumentiert nicht allein alle Nachweise, Umsetzungsstände oder Begründungen für einbezogene Controls, die für eine finale Anwendbarkeitserklärung erforderlich sein können. Ihre Anwendbarkeitserklärung muss aus Ihrer Risikobewertung und -behandlung abgeleitet und mit einer kompetenten auditierenden Stelle bestätigt werden; einige Anforderungen sind hier nicht erfasst.

Häufige Fragen

Ist das eine fertige Anwendbarkeitserklärung?
Nein — es ist ein strukturierter Entwurf. Eine echte Anwendbarkeitserklärung muss auf Ihre Risikobewertung und -behandlung rückführbar sein und mit Ihrer auditierenden Stelle geprüft werden. Dieses Tool hilft, kein Control zu übersehen und Begründungen zu ordnen.
Sind das die offiziellen ISO-Control-Titel?
Nein. Wir geben Control-Titel und normativen Text der ISO/IEC 27001:2022 bewusst nicht wieder. Jedes Control zeigt seine Nummer und unsere eigene verständliche Zusammenfassung. Den offiziellen Wortlaut entnehmen Sie der Norm über Ihre nationale Normungsorganisation.
Warum müssen Ausschlüsse begründet werden?
Ein Annex-A-Control ohne dokumentierte, belastbare Begründung auszuschließen, ist ein typisches Auditthema. Das Tool markiert jeden Ausschluss oder Teilweise-Status ohne Begründung, damit Sie dies vor dem Export beheben.
Speichern Sie meine Antworten?
Nein. Alles läuft in Ihrem Browser. Es gibt kein Formular davor; CSV-/JSON-Export und die druckbare Ansicht werden lokal erzeugt.

Von ISMS Copilot. Strukturiert anhand von ISO/IEC 27001:2022 Annex A. Die Control-Zusammenfassungen sind originale redaktionelle Inhalte; offizielle Titel und normative Anforderungen entnehmen Sie der Norm über Ihre nationale Normungsorganisation.

Alle 21 kostenlosen Compliance-Tools ansehen

Bereit, Ihre Compliance-Arbeit zu optimieren?

Entwickelt für Geschwindigkeit, Genauigkeit und prüfungsreife Ergebnisse.

ISMS Copilot testen