ISO 27001:2022 jetzt umstellen: Migrationspfad bis Oktober 2026

Die International Accreditation Forum Resolution 2024-12 setzt das endgültige Ablaufdatum für ISO/IEC 27001:2013-Zertifikate auf den 31. Oktober 2026. Ab diesem Tag verlieren alle nach der alten Norm ausgestellten Zertifikate ihre Gültigkeit, unabhängig vom Original-Ausstellungsdatum. Wer bis dahin nicht migriert hat, steht ohne gültigen Nachweis vor Kunden, Versicherern und Aufsichtsbehörden da.

Die Umstellung ist kein reiner Papier-Akt. Anhang A der Version 2022 reduziert die Controls von 114 auf 93, führt elf neue Kontrollen ein und ordnet das gesamte Set in vier Themen statt vierzehn Kategorien. Dieser Beitrag zeigt, wie Sie die Migration in fünf operativen Schritten planen, welche Vorlagen Sie benötigen und wann ein externer Beauftragter den Engpass löst.

ISO/IEC 27001:2022 wurde am 25. Oktober 2022 veröffentlicht und löst die seit neun Jahren geltende Version 2013 ab. Der Hauptteil der Norm, Klauseln 4 bis 10, bleibt strukturell weitgehend stabil. Die operativ relevanten Änderungen liegen im Anhang A, der die Sicherheitskontrollen definiert und in Praxis von Auditoren am intensivsten geprüft wird.

Die 93 Controls der Version 2022 ersetzen die 114 aus 2013. Elf Kontrollen sind neu, 24 wurden zusammengelegt, 58 nur überarbeitet. Die Vier-Themen-Struktur (Organisatorisch, Personell, Physisch, Technologisch) ersetzt die alten vierzehn Kategorien und erleichtert die Zuordnung zu modernen IT-Landschaften, insbesondere Cloud, Remote Work und Lieferkettensicherheit.

Für Bestandszertifikate gilt eine Übergangsphase von drei Jahren ab Publikation der neuen Norm. Diese endet am 31. Oktober 2026. Innerhalb dieser Frist müssen Sie entweder ein Re-Audit oder ein Transition Audit absolviert haben, abhängig vom Zyklus Ihrer regulären Überwachungsaudits.

Die Bundesnetzagentur erkennt im NIS-2-Kontext nur Zertifikate nach der aktuellen Norm an. Auch viele Versicherer, Cyber-Underwriter und Großkunden in regulierten Sektoren verlangen ab 2026 explizit ISO 27001:2022 als Mindeststandard für Lieferanten und Dienstleister.

Den vollständigen Hintergrund zur Norm und zur Übergangslogik finden Sie im CIVAC-Beitrag zum ISO 27001:2022-Übergang. Dieser Artikel konzentriert sich auf die operative Umsetzung im eigenen Unternehmen.

Die elf neuen Controls in Anhang A der Version 2022 adressieren technologische Entwicklungen, die in der 2013er Norm noch keine systematische Rolle spielten. Sie betreffen Threat Intelligence, Cloud Services, ICT Readiness for Business Continuity, Physical Security Monitoring, Configuration Management, Information Deletion, Data Masking, Data Leakage Prevention, Monitoring Activities, Web Filtering und Secure Coding.

A.5.7 Threat Intelligence verlangt einen dokumentierten Prozess zur Sammlung, Bewertung und Verbreitung von Bedrohungsinformationen. In der Praxis bedeutet das eine Anbindung an CERT-Quellen wie BSI CERT-Bund, eine interne Triage-Routine und eine Verknüpfung mit dem Incident-Response-Plan. Eine reine RSS-Feed-Sammlung reicht im Audit nicht aus.

A.5.23 Information Security for Use of Cloud Services definiert Verantwortlichkeiten gegenüber Cloud-Anbietern. Sie müssen Shared-Responsibility-Modelle dokumentieren, vertragliche Mindestanforderungen festlegen und Audits beim Anbieter ermöglichen. Das betrifft auch SaaS-Tools wie Microsoft 365, Salesforce oder GitHub.

A.8.28 Secure Coding verlangt Coding-Standards, Code-Reviews und automatisierte Sicherheitstests im Entwicklungszyklus. Auch ohne eigene Software-Entwicklung kann der Control relevant sein, wenn Sie Skripte, Automatisierungen oder Low-Code-Plattformen einsetzen.

A.8.16 Monitoring Activities und A.8.23 Web Filtering erfordern technische Maßnahmen mit dokumentierten Schwellenwerten, Eskalationsregeln und Aufbewahrungsfristen. Hier scheitern viele Migrationen am fehlenden Nachweis der Auswertung. Es genügt nicht, ein SIEM zu betreiben; Sie müssen belegen, dass Alarme tatsächlich bearbeitet werden.

Der erste operative Schritt ist eine strukturierte Gap-Analyse. Sie nehmen Ihre bestehende Statement of Applicability (SoA) zur 2013er-Norm und mappen jeden der 114 alten Controls auf die 93 neuen. Die ISO selbst stellt mit Anhang B der 27002:2022 eine offizielle Übergangstabelle bereit, die diese Zuordnung erleichtert.

Im zweiten Schritt erstellen Sie das neue SoA gegen die 93 Controls. Für jeden Control entscheiden Sie: anwendbar oder nicht, mit Begründung. Die elf neuen Kontrollen verlangen besondere Aufmerksamkeit, weil hier keine Bestandsdokumentation vorhanden ist. Erfahrungsgemäß sind sieben bis neun davon für jedes Unternehmen anwendbar.

Schritt drei ist der Maßnahmenplan. Pro nicht erfüllter Anforderung dokumentieren Sie: Verantwortlicher, Fälligkeit, Ressourcen, Erfolgsindikator. Ein realistischer Zeitplan umfasst zwei Monate für Konzeption, zwei Monate für Implementierung und einen Monat für interne Wirksamkeitsprüfung.

Die CIVAC-FAQ dokumentiert die häufigsten Stolpersteine in dieser Phase. Besonders kritisch: Unternehmen unterschätzen den Aufwand für A.5.7 Threat Intelligence und A.8.28 Secure Coding, weil hier oft komplett neue Prozesse aufgebaut werden müssen statt bestehende anzupassen.

Die 490 einsatzbereiten Audit-Vorlagen aus dem CIVAC Workspace decken alle 93 Controls ab. Sie erhalten Muster-SoA, Maßnahmenpläne, Threat-Intelligence-Verfahren und Secure-Coding-Richtlinien als bearbeitbare Vorlagen, die Sie auf Ihren Kontext zuschneiden. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Schritt vier ist das interne Audit gegen die neue Norm. Es muss vor dem externen Transition Audit abgeschlossen sein und dokumentieren, dass alle 93 Controls bewertet, alle anwendbaren implementiert und wirksam sind. Auditoren verlangen Stichproben über mindestens drei Monate Beobachtungszeitraum, idealerweise sechs.

Das interne Audit deckt typischerweise zwei bis fünf Findings auf, die vor dem Transition Audit korrigiert werden müssen. Plant man dafür keine Pufferzeit ein, gerät man unter Druck. Erfahrungswerte: Reservieren Sie acht Wochen zwischen internem Audit und externem Transition Audit.

Schritt fünf ist das Transition Audit durch die Zertifizierungsstelle. Es kann als Stand-alone-Audit, kombiniert mit dem regulären Überwachungsaudit oder im Rahmen des Re-Zertifizierungsaudits durchgeführt werden. Die kombinierte Variante ist die effizienteste, verlangt aber, dass Ihre Re-Zertifizierung in das Migrationsfenster fällt.

Die Dauer des Transition Audits liegt bei einem bis drei Tagen, abhängig von Unternehmensgröße und Scope. Der Auditor prüft schwerpunktmäßig die elf neuen Controls und die Konsistenz zwischen SoA, Risikobewertung und Maßnahmenumsetzung. Lücken in der Dokumentation führen zu Major Nonconformities und Verzögerungen.

Buchen Sie das Transition Audit mit mindestens drei Monaten Vorlauf bei Ihrer Zertifizierungsstelle. Im Sommer 2026 ist mit Kapazitätsengpässen zu rechnen, weil viele Unternehmen die Migration bis zuletzt aufschieben. Wer im Q3 2026 noch nicht gebucht hat, riskiert eine Zertifikatslücke.

Der häufigste Fehler in Migrationsprojekten ist die isolierte Bearbeitung von Anhang A ohne Rückbindung an Risikobewertung und SoA. Auditoren prüfen die Konsistenz dieser drei Artefakte mit hoher Priorität. Wenn ein Risiko in der Bewertung als hoch eingestuft ist, der zugehörige Control im SoA aber als nicht anwendbar markiert wird, ist das ein automatisches Major Finding.

Der zweite Stolperstein ist die unterschätzte Komplexität neuer Controls wie A.5.7 Threat Intelligence. Viele Unternehmen meinen, ein Abonnement bei einem CERT-Newsletter reiche aus. Tatsächlich verlangt der Control einen dokumentierten Prozess mit Quellen, Bewertungsmaßstab, Verteilerliste, Eskalation und nachweisbarer Reaktion auf konkrete Bedrohungen.

Stolperstein drei ist die Lieferantensteuerung gegen A.5.19 bis A.5.22. Die neue Norm verlangt eine differenziertere Behandlung von ICT-Lieferanten als 2013. Sie müssen kritische ICT-Lieferanten identifizieren, vertraglich absichern und regelmäßig überprüfen. Das betrifft alle Cloud- und SaaS-Anbieter mit Zugriff auf vertrauliche Informationen.

Vierter Stolperstein: Die Dokumentation von A.8.16 Monitoring Activities. Hier reicht keine Tool-Liste. Auditoren verlangen Use Cases mit Schwellenwerten, Eskalationsregeln, dokumentierte Bearbeitung von Alarmen und Wirksamkeitsprüfung über einen definierten Beobachtungszeitraum.

Der fünfte Stolperstein ist Ressourcenplanung. Ein interner ISB benötigt vier bis sechs Monate Fokuszeit für eine saubere Migration. Wer das Projekt neben dem Tagesgeschäft laufen lässt, verfehlt die Frist. Die Berichtslinie zur Geschäftsführung muss von Anfang an klar sein, sonst stockt jede Eskalation.

Ein interner Informationssicherheitsbeauftragter mit mehrjähriger Erfahrung kann eine ISO-Migration eigenständig stemmen. In der Realität sind solche Profile in Deutschland knapp und kostspielig. Die durchschnittliche Vakanzdauer für einen ISB in mittelständischen Unternehmen lag 2025 bei 5,2 Monaten, in regulierten Sektoren bei über sieben Monaten.

Externe Unterstützung amortisiert sich in zwei Szenarien klar. Erstens, wenn Ihre interne Kapazität fehlt: Eine erfahrene externe Kraft bringt die Migration in vier bis fünf Monaten ans Ziel, statt acht bis zwölf Monate intern aufzubauen. Zweitens, wenn Ihre Migration parallel zu NIS-2-Umsetzung oder DORA-Implementation läuft und intern Konflikte um Prioritäten entstehen.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle liefern denselben Migrationsweg mit derselben Dokumentation, unterscheiden sich aber in der Personalauslastung.

Der CIVAC-SLA für die Bestellung eines externen Informationssicherheitsbeauftragten liegt bei zwei Werktagen statt der klassischen zwei bis sechs Wochen. Bestellurkunde, Berichtslinie zur Geschäftsführung und initialer Maßnahmenplan sind nach 72 Stunden im Workspace verfügbar.

Im Workspace finden Sie 93 Control-Vorlagen, 37 Audit-Templates und die EU-Datenresidenz, die für NIS-2-relevante Branchen vorgeschrieben ist. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Der Prüfer ruft an, der Nachweis liegt bereit.

Die direkten Kosten der Umstellung gliedern sich in vier Posten: Beratung oder externer ISB, Tooling, Schulung interner Mitarbeiter und Auditkosten der Zertifizierungsstelle. Für ein mittelständisches Unternehmen mit 100 bis 500 Mitarbeitern liegt die Spanne erfahrungsgemäß bei 45.000 bis 120.000 Euro, abhängig von Scope und Reifegrad.

Das Transition Audit selbst kostet bei den großen Zertifizierern wie TÜV, DEKRA oder DQS zwischen 8.000 und 18.000 Euro netto. Wird es mit dem regulären Überwachungsaudit kombiniert, reduziert sich der Aufschlag auf 30 bis 50 Prozent der Audit-Gebühr. Diese Kombination ist die wirtschaftlichste Variante.

Der Zeitplan sollte rückwärts vom 31. Oktober 2026 gerechnet werden. Drei Monate Audit-Buchungsvorlauf, zwei Monate internes Audit und Korrekturschleife, vier Monate Maßnahmenumsetzung, einen Monat Gap-Analyse und SoA-Update. Wer Anfang 2026 startet, hat noch Reserve. Wer im zweiten Quartal 2026 beginnt, läuft am Limit.

Bei der Verhandlung mit der Zertifizierungsstelle lohnt sich die Frage nach festen Audit-Slots. Viele Zertifizierer bieten Reservierungen gegen Anzahlung, die bei späterer Buchung verrechnet wird. Das sichert Kapazität in der erwarteten Engpassphase im dritten Quartal 2026.

Für eine belastbare Kalkulation Ihrer eigenen Migration empfehlen wir, mit einem strukturierten Reifegrad-Check zu starten. Der Aufwand variiert je nach Ausgangslage zwischen 30 Personentagen und 120 Personentagen. Frist läuft ab Kenntnis. Wer die Stichtagslogik unterschätzt, zahlt am Ende das Doppelte.

Die ISO 27001:2022-Migration steht nicht isoliert. Sie überlappt operativ mit der NIS-2-Umsetzung, die seit Oktober 2024 in Kraft ist und in Deutschland durch das NIS-2-Umsetzungsgesetz konkretisiert wird. Etwa 29.500 Unternehmen sind betroffen, viele davon planen ISO 27001 ohnehin als Nachweis-Standard.

NIS-2 verlangt risikobasierte Sicherheitsmaßnahmen nach Art. 21 der EU-Richtlinie 2022/2555. Ein ISO 27001:2022-Zertifikat erfüllt diese Anforderungen substantiell, ist aber kein Freibrief. Sie müssen zusätzlich die spezifischen Meldepflichten (24h Frühwarnung, 72h Folgemeldung) operativ abbilden, was Anhang A der ISO nicht abdeckt.

DORA, der Digital Operational Resilience Act für den Finanzsektor, verlangt ab 17. Januar 2025 eigene Anforderungen an ICT-Risikomanagement, Incident Reporting und Third-Party Risk. ISO 27001:2022 liefert hier eine starke Basis, ergänzt um spezifische DORA-Artefakte wie das Register of Information.

Auf Datenschutzseite überlappt ISO 27001:2022 mit Art. 32 DSGVO (Sicherheit der Verarbeitung). Die elf neuen Controls, insbesondere Data Masking, Information Deletion und Data Leakage Prevention, sind direkte technische und organisatorische Maßnahmen im Sinne der Verordnung und können in der DSGVO-Dokumentation referenziert werden.

Ein gut geplantes Migrationsprojekt nutzt diese Schnittstellen. Es vermeidet doppelte Dokumentation, indem Controls einmal beschrieben und mehrfach referenziert werden. Der CIVAC Workspace bildet diese Mehrfachzuordnung systematisch ab und vermeidet inkonsistente Aussagen über verschiedene Compliance-Domänen hinweg.

Die ISO 27001:2022-Migration ist planbar, wenn Sie jetzt starten. Mit zwölf Monaten Vorlauf zum Stichtag 31. Oktober 2026 haben Sie noch Pufferzeit für Gap-Analyse, Maßnahmenumsetzung und Transition Audit ohne Eskalationsdruck. Ab Frühjahr 2026 wird die Luft dünn, ab Sommer 2026 sind Audit-Kapazitäten knapp.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service mit zwei klar getrennten Modellen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege liefern dieselbe Migrationsstruktur mit 93 Control-Vorlagen, 37 Audit-Templates und EU-Datenresidenz im ISO/IEC 27001:2022-zertifizierten ISMS.

Modell eins, Workspace-Lizenz: Ihre interne ISB oder Ihr Sicherheitsteam nutzt die Plattform für SoA, Risikobewertung, Maßnahmenplan, internes Audit und Vorbereitung des Transition Audits. Die Vorlagen sind anpassbar, die Berichtslinie zur Geschäftsführung ist abgebildet, die Audit-Historie wird automatisch dokumentiert.

Modell zwei, Officer-as-a-Service: CIVAC bestellt einen externen Informationssicherheitsbeauftragten, der die Migration end-to-end verantwortet. Bestellurkunde innerhalb von zwei Werktagen, Berichtslinie zur Geschäftsführung etabliert, erster Maßnahmenplan in 72 Stunden, Übergabe an Ihre Zertifizierungsstelle koordiniert.

Beide Modelle adressieren denselben Engpass: knappe interne Kapazität bei harter Frist. Welches passt, hängt von Ihrer Personalsituation und der internen Reife ab. Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de für ein strukturiertes Erstgespräch.