Das ISO 27001:2022-Übergangsaudit. Dieser Satz jagt vielen Tech-Startups Angst ein, die bereits fleißig genug waren, um ihre ISO 27001:2013-Zertifizierung zu erhalten
Aber, keine Angst. Wenn Sie bereits nach ISO 27001:2013 zertifiziert sind, ist diese Zertifizierung noch bis zum Ende Ihres Zertifizierungszyklus gültig, wenn dieser Zyklus vor dem 1. November 2025 endet. Mehr dazu später.
Warum das Update von ISO 27001:2013 auf ISO 27001:2022?
Da die Informationssicherheit eine hohe Priorität hat, müssen die Sicherheitsstandards natürlich regelmäßig überarbeitet und verbessert werden. Es versteht sich also von selbst, dass in Zukunft neue und verbesserte Versionen der ISO 27001 eingeführt werden müssen.
Es ist fast 10 Jahre her, dass die Version 2013 herauskam, und bis alle auf die Version 2022 umgestellt haben, werden es 12 Jahre sein, also ist es sicherlich Zeit für eine überarbeitete Zertifizierung.
Was hat sich von ISO 27001:2013 zu ISO 27001:2022 geändert?
Werfen wir zunächst einen Blick auf den Unterschied zwischen ISO 27001:2013 und ISO 27001:2022. Eine kurze Zusammenfassung finden Sie im LinkedIn-Post von Compleye vom 21. März.
Die Änderungen sind in Anhang A am deutlichsten und betreffen Aspekte der Cybersicherheit und des Datenschutzes. Es gibt 11 neue Kontrollen, 58 aktualisierte Kontrollen und 24 zusammengelegte Kontrollen.
Neue Sicherheitskontrollen umfassen:
- Bedrohungsanalyse
- Informationssicherheit bei der Nutzung von Cloud-Diensten
- ICT-Bereitschaft für die Geschäftskontinuität
- Physikalische Sicherheitsüberwachung
- Konfigurationsverwaltung
- Löschung von Informationen
- Datenmaskierung
- Verhinderung von Datenverlusten
- Überwachungsmaßnahmen
- Webfilterung
- Sichere Codierung
Wie sieht der Zeitplan für den Übergang zu ISO 27001:2022 aus?
Wie bereits erwähnt, ist Ihre ISO 27001:2013-Zertifizierung bis zum Ende des aktuellen Zyklus gültig, solange dieser Zyklus vor dem 31. Oktober 2025 endet, was die endgültige Frist für die Umsetzung der ISO 27001:2022 ist.
Wenn Sie also derzeit nach der Version 2013 zertifiziert sind, ist Ihre Zertifizierung immer noch gültig, aber nur bis zum 31. Oktober 2025.
Was ist das ISO 27001:2022 Übergangsaudit?
Das Übergangsaudit ist die Prüfung, die der Auditor durchführt, um die neuen Anforderungen der ISO 27001:2022 zu prüfen. Der Auditor prüft, wie Ihre Organisation die neuen Kontrollen umgesetzt hat.
Wann kann das Übergangsaudit durchgeführt werden?
Sie können die Übergangsprüfung während jeder geplanten Prüfung durchführen. Dies bedeutet, dass zusätzliche Zeit zu der bestehenden Prüfung hinzugefügt wird
Sie können aber auch eine spezielle Übergangsprüfung separat durchführen lassen, so dass Sie nicht bis zu Ihrer nächsten geplanten Prüfung warten müssen und nicht früher bereit sein müssen, als Sie wollen oder können.
Wenn meine Organisation noch nie zertifiziert wurde, sollte ich dann nach ISO 27001:2013 oder ISO 27001:2022 zertifizieren?
Obwohl Sie sich theoretisch nach ISO 27001:2013 zertifizieren lassen könnten, wenn Sie planen, sich vor Oktober 2023 zertifizieren zu lassen, empfehlen wir Unternehmen, die noch nicht zertifiziert sind, nach Möglichkeit in den sauren Apfel zu beißen und sich direkt nach ISO 27001:2022 zu zertifizieren.
Wenn Sie sich für ISO 27001:2013 entscheiden, wird der Prüfer erwarten, dass Sie eine Lückenanalyse durchführen, um zu zeigen, dass Sie verstehen, was Sie für ISO 27001:2022 tun müssen und welche zusätzlichen Ressourcen erforderlich sein werden.
Dies gilt auch für Unternehmen, die bereits zertifiziert sind und sich für eine Erneuerung der Zertifizierung mit der Version 2013 von ISO 27001 entscheiden
Dies ist wichtig, denn wenn Sie ISO 27001:2022 ausprobieren und nicht darauf vorbereitet sind, werden Sie wahrscheinlich auf viele Nichtkonformitäten stoßen. Am besten wäre es, ISO 27001:2013 zu implementieren und eine Lückenanalyse durchzuführen, die zeigt, dass Sie die Anforderungen verstehen und in der Lage sein werden, ISO 27001:2022 vor dem 31. Oktober 2025 zu implementieren
Wann kann ich das Übergangsaudit spätestens durchführen?
Alle Übergangsprüfungen sollten bis zum 21. Juli 2025 durchgeführt werden.
Natürlich brauchen Sie kein Übergangsaudit, wenn Sie sich direkt für ISO 27001:2022 entscheiden.
Wenden Sie sich an Compleye, um weitere Ratschläge für die beste Wahl im Vorfeld der Umstellung zu erhalten!
