Seit dem 1. November 2025 ist ISO/IEC 27001:2022 die einzige gültige Fassung. Wer die Umstellung rechtzeitig vollzogen hat, tat das in vielen Fällen im Rahmen eines Überwachungsaudits, also als Delta-Prüfung mit begrenztem Umfang. Diese Konstellation hat eine Folge, die im Kalender leicht untergeht: Die erste vollständige Rezertifizierung nach der neuen Fassung steht erst jetzt an.
Eine Rezertifizierung ist kein größeres Überwachungsaudit. Sie bewertet das gesamte Managementsystem einschließlich seiner Wirksamkeit über den abgelaufenen Zyklus. Bereiche, die in der Transition nur kursorisch berührt wurden, kommen dabei erstmals in voller Tiefe auf den Tisch.
Executive Summary
1. Ausgangslage: Transition und Rezertifizierung sind nicht dasselbe
Die dreijährige Übergangsfrist nach IAF MD 26 endete am 31. Oktober 2025. Viele Organisationen nutzten dafür ein laufendes Überwachungsaudit. Das war zulässig und wirtschaftlich sinnvoll, führt aber dazu, dass der Nachweis der Wirksamkeit für die neuen Anforderungen bislang nur punktuell erbracht wurde.
Im Rezertifizierungsaudit gilt das nicht mehr. Geprüft wird der gesamte Anwendungsbereich, die Wirksamkeit der Maßnahmen über den Zyklus und die Frage, ob das Managementsystem sich nachweislich weiterentwickelt hat.
2. Wer ist betroffen?
- Zertifikatsinhaber, deren Zertifikat 2026 oder 2027 ausläuft
- Organisationen, die die Transition über ein Überwachungsaudit statt über ein Rezertifizierungsaudit vollzogen haben
- Einrichtungen, die ISO 27001 zugleich als Nachweisgrundlage gegenüber NIS-2-Anforderungen verwenden
- Unternehmen mit erweitertem Geltungsbereich seit dem letzten Zyklus, etwa durch neue Standorte oder Cloud-Dienste
3. Wie hoch ist die Priorität?
Mittel bis hoch. Die Anforderungen selbst sind bekannt. Kritisch ist die Nachweislage: Ein Control, das seit der Transition zwar in der Erklärung zur Anwendbarkeit steht, aber keine Belege für den laufenden Betrieb hervorbringt, wird im Rezertifizierungsaudit zur Abweichung.
4. Warum ist das wichtig? Vier Verschiebungen seit der letzten Prüfung
Die elf neuen Controls werden jetzt in der Tiefe geprüft
Der Anhang A wurde von 114 Maßnahmen in 14 Kapiteln auf 93 Maßnahmen in vier Themenbereichen umgebaut. Elf Controls kamen neu hinzu, darunter Threat Intelligence, Sicherheit bei der Nutzung von Cloud-Diensten, Konfigurationsmanagement, Informationslöschung, Datenmaskierung, Verhinderung von Datenlecks, Überwachungsaktivitäten, Webfilterung und sichere Codierung. In der Transition genügte häufig der Nachweis, dass ein Verfahren existiert. Jetzt zählt, was es über zwölf Monate produziert hat.
Die Änderung 1:2024 zum Klimawandel
Die Änderung ergänzt die Kapitel 4.1 und 4.2 um die Frage, ob der Klimawandel für die Organisation relevant ist und ob interessierte Parteien dazu Anforderungen stellen. Verlangt wird keine Klimastrategie, sondern eine dokumentierte Bewertung. Fehlt sie in der Kontextanalyse, ist das eine formale Lücke im Hauptteil der Norm.
Wirksamkeit statt Existenz
Der Schwerpunkt liegt auf der Bewertung der Wirksamkeit. Interne Audits, Managementbewertung, Kennzahlen und der Umgang mit Abweichungen aus dem laufenden Zyklus sind die Belege dafür. Eine Managementbewertung, die in drei Jahren einmal stattgefunden hat, trägt diesen Nachweis nicht.
Der regulatorische Kontext hat sich verschoben
Seit Dezember 2025 gilt das neu gefasste BSI-Gesetz, seit März 2026 das KRITIS-Dachgesetz. Wo ISO 27001 als Nachweisgrundlage gegenüber NIS-2 dient, prüfen interne Stellen und Kunden zunehmend, ob der Geltungsbereich des Zertifikats die regulatorisch relevanten Prozesse überhaupt abdeckt. Details dazu im Beitrag zu Incident-Response-Plänen in NIS-2-Audits.
5. Was muss konkret getan werden?
- ✓ Erklärung zur Anwendbarkeit gegen die tatsächliche Nachweislage abgleichen, Control für Control
- ✓ Für jedes der elf neuen Controls mindestens einen Beleg aus dem laufenden Betrieb bereitlegen
- ✓ Klimabewertung nach Änderung 1:2024 in die Kontextanalyse aufnehmen und datieren
- ✓ Internes Auditprogramm auf Vollständigkeit über den Zyklus prüfen, nicht nur auf das letzte Jahr
- ✓ Managementbewertungen und Maßnahmenverfolgung lückenlos vorlegen können
- ✓ Geltungsbereich auf Veränderungen seit dem Erstaudit prüfen, insbesondere neue Cloud-Dienste und Standorte
- ✓ Offene Abweichungen aus Überwachungsaudits geschlossen und wirksamkeitsgeprüft dokumentieren
BAM Core
Nachweise einmal erheben, mehrfach verwenden
BAM Core ist der offene, kostenlose Datenmodell-Baustein auf GitHub. Vertiefende Titel zu ISO 27001 und ISMS-Aufbau finden Sie in der Brain-Media-Bibliothek. Mitte September erscheint zudem der ISMS-Software-Report DACH mit einem Marktvergleich führender ISMS-Plattformen.
6. Welche Dokumente werden benötigt?
- Aktuelle Erklärung zur Anwendbarkeit mit Begründung für Ausschlüsse
- Risikobeurteilung und Risikobehandlungsplan mit nachvollziehbarer Fortschreibung
- Kontextanalyse einschließlich dokumentierter Klimabewertung
- Internes Auditprogramm und Auditberichte des gesamten Zyklus
- Protokolle der Managementbewertungen mit Beschlüssen und deren Umsetzungsstand
- Wirksamkeitsnachweise je Control, etwa Protokolle, Kennzahlen, Tickets oder Testberichte
- Nachweise zum Umgang mit Abweichungen und Korrekturmaßnahmen
7. BAM-Mapping: Cross-Control-Mapping über die Frameworks
| Framework | Kapitel | Kontrolle | Priorität |
|---|---|---|---|
| ISO 27001 | 4.1, 4.2 (Änd. 1:2024) | Kontext einschließlich Klimabewertung | hoch |
| ISO 27001 | 9.1–9.3 | Bewertung der Leistung, internes Audit, Managementbewertung | hoch |
| ISO 27001 | A.5.7, A.5.23 | Threat Intelligence, Cloud-Dienste | hoch |
| ISO 27001 | A.8.9, A.8.16 | Konfigurationsmanagement, Überwachungsaktivitäten | mittel |
| NIS-2 | § 30 Abs. 2 Nr. 6 BSIG | Bewertung der Wirksamkeit von Maßnahmen | hoch |
| DORA | Art. 6 | IKT-Risikomanagementrahmen | mittel |
8. Unsere Empfehlung
Unsere Empfehlung
- Die Rezertifizierung als Vollprüfung planen, nicht als verlängertes Überwachungsaudit
- Für die elf neuen Controls Belege aus dem Betrieb sammeln, nicht Verfahrensbeschreibungen nachreichen
- Die Klimabewertung datiert in die Kontextanalyse aufnehmen, auch wenn das Ergebnis lautet, dass keine wesentliche Relevanz besteht
- Auditprogramm und Managementbewertung über den gesamten Zyklus prüfen, nicht nur über das letzte Jahr
- Den Geltungsbereich aktiv abgleichen, bevor die Zertifizierungsstelle es tut
- Mit der Zertifizierungsstelle frühzeitig den Auditumfang klären, weil Rezertifizierungen mehr Auditzeit binden als Überwachungsaudits
Häufige Fragen zur Rezertifizierung
Muss ich erneut ein Stufe-1-Audit durchlaufen?
In der Regel nicht. Ein Rezertifizierungsaudit setzt ein bestehendes, ununterbrochen aufrechterhaltenes Zertifikat voraus. Ist das Zertifikat abgelaufen oder der Geltungsbereich erheblich verändert, kann die Zertifizierungsstelle jedoch eine Stufe-1-Bewertung ansetzen.
Was passiert, wenn die Umstellung nicht bis zum 31. Oktober 2025 erfolgt ist?
Zertifikate nach ISO/IEC 27001:2013 sind seit dem 1. November 2025 ungültig. In diesem Fall ist keine Rezertifizierung möglich, sondern eine vollständige Neuzertifizierung mit Stufe-1- und Stufe-2-Audit.
Reicht eine kurze Notiz zur Klimabewertung aus?
Die Änderung 1:2024 verlangt die Prüfung, ob der Klimawandel für die Organisation ein relevantes Kontextthema ist, und die Berücksichtigung entsprechender Anforderungen interessierter Parteien. Eine kurze, datierte und begründete Bewertung genügt in vielen Fällen, sie muss aber Teil der Kontextdokumentation sein.
Quellen
- ISO/IEC 27001:2022 einschließlich Änderung 1:2024 (Klimaberücksichtigung), Kapitel 4 bis 10 und Anhang A
- ISO/IEC 27002:2022 als Umsetzungsleitfaden zu den 93 Maßnahmen
- IAF Mandatory Document 26 zur Übergangsregelung, Frist abgelaufen am 31. Oktober 2025
- § 30 BSIG in der Fassung des NIS2UmsuCG, Risikomanagementmaßnahmen
- BSI, NIS-2-Risikomanagementmaßnahmen