ISO/IEC 27001:2022 Informationssicherheits-Managementsysteme (ISO_27001)

Diese Seite beschreibt das Community-Rahmenwerk ISO_27001, wie es mit SWAO ausgeliefert wird: was es abdeckt, wann Sie es einsetzen, was SWAO dabei prüft und wie Sie es aktivieren.

Überblick

Eigenschaft	Wert
Framework-ID (für regimes_active)	ISO_27001
Herausgeber	Internationale Organisation für Normung (ISO), gemeinsam mit der IEC
Version	2022
Status	Im Katalog nicht deklariert
SWAO-Katalogversion	1.0.0
Controls gesamt	93
Bewertungsmodus	binary (deklariert)
Assessment-Typen (Metadaten)	app, aud
Lizenz und Weiterverbreitung	ISO/IEC 27001:2022 und ISO/IEC 27002:2022 sind urheberrechtlich geschützt (ISO). Control-Titel und Beschreibungen geben die Absicht sinngemäß wieder und geben den Normtext nicht wieder; den maßgeblichen Text beziehen Sie über ISO oder ein nationales Normungsinstitut.
Zuletzt geprüft	2026-09-21
Ordner	iso-27001

Worum es geht

ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Organisationen werden von akkreditierten Zertifizierungsstellen danach zertifiziert. Die Revision 2022 hat Anhang A in 93 Controls und vier Themen neu gegliedert: organisatorisch (A.5), personenbezogen (A.6), physisch (A.7) und technologisch (A.8). Elf Controls sind in der Revision 2022 neu. Umsetzungshinweise zu jedem Control enthält ISO/IEC 27002:2022.

Der SWAO-Katalog enthält alle 93 Controls aus Anhang A. Die neuen Controls von 2022 tragen im Katalog die Kennzeichnung introduced. Die ISMS-Kapitel 4 bis 10 sind nicht als Controls modelliert.

Wer es in SWAO einsetzt und wann

• Unternehmensprojekte, die eine breite, branchenneutrale Sicherheitsabdeckung benötigen (Hinweise im Katalog: enterprise, ism, broad_coverage).
• Kunden mit bestehendem ISO-27001-Zertifikat, die zeigen müssen, dass der migrierte Workload im zertifizierten Geltungsbereich bleibt.
• Als gemeinsame Referenz, auf die viele andere Kataloge abbilden (BSI_C5, DORA, EUCS, KRITIS_DE und weitere verweisen auf Controls aus Anhang A).

Was SWAO prüft

Die Controls werden in Pass 11 (Compliance-Bewertung) bewertet. Der Pass liest die Liste assessment.regimes_active aus der .swao.yml der App, lädt den Katalog und sendet die Controls in Paketen zu je 20 an das konfigurierte LLM. Für jedes Control erhält das LLM ID, Titel, Beschreibung und Standard-Schweregrad sowie alle Signale, die die vorherigen Passes dieses Laufs erzeugt haben. Das LLM gibt je Control eines von fünf Ergebnissen zurück:

Ergebnis	Bedeutung
SATISFIED	Die Signale bestätigen, dass das Control erfüllt ist.
PARTIAL	Einige Elemente sind vorhanden, es bleiben Lücken.
GAP	Die Signale zeigen, dass das Control nicht erfüllt ist.
UNKNOWN	Kein Signal spricht für oder gegen das Control.
N_A	Das Control gilt für diesen Workload nicht (mit Begründung).

Zitierte Signal-IDs werden gegen die tatsächlich vorhandenen Signale geprüft; erfundene IDs werden verworfen. Ohne konfigurierten LLM-Anbieter wird jedes Control als UNKNOWN ausgewiesen.

Welche Nachweise die Controls erwarten

Jedes Control deklariert im Feld evidence_basis, auf welcher Art von Nachweis es beruht. Diese Angabe beschreibt den erwarteten Nachweis für die prüfende Person; das Ergebnis selbst bestimmt das LLM anhand der Signale. Für dieses Rahmenwerk ergibt sich folgende Aufteilung:

Nachweisart	Controls
Nur Code- und Konfigurationssignale (signal_prefix, local_signal_regex)	19
Signale und Dokumente kombiniert	14
Nur Dokumente oder Fragebögen (context_input, manual_questionnaire)	60
Davon als reines Audit-Control gekennzeichnet (assessment_type_scope: [aud])	0
Als Verantwortung des Cloud-Anbieters gekennzeichnet (csp_inherited: true)	12

Referenzierte Signalbereiche

Präfix	Controls	Quelle
OBS	12	Nachweisbereich Beobachtbarkeit, Logging und Monitoring; kein SWAO-Analysepass erzeugt Signale mit diesem Präfix
IAM	12	Nachweisbereich Identität und Zugriff; kein SWAO-Analysepass erzeugt Signale mit diesem Präfix
EGR	7	Pass 07 (EGR)
TF	5	Pass 06 (TF)
CRYPTO	1	Pass 08 (CRYPTO)

Beispiele

Controls mit Code- oder Konfigurationsnachweis:

• ISO_27001_A.5.7 Threat intelligence (OBS)
• ISO_27001_A.5.14 Information transfer (EGR)
• ISO_27001_A.5.15 Access control (IAM)

Controls, die Dokumente benötigen:

• ISO_27001_A.5.1 Policies for information security
• ISO_27001_A.5.2 Information security roles and responsibilities

Dokumente legen Sie im Ordner apps/<app-id>/wsp/inputs/ ab, damit Pass 04 (CTX) sie einliest und als Signale bereitstellt; siehe auch Workspace einrichten. Fehlen sie, ist für dokumentenbasierte Controls UNKNOWN zu erwarten.

Aufbau der Controls

Gruppenbezeichnungen und Control-Titel werden wie im Katalog (Englisch) wiedergegeben.

Gruppe	Controls	Beispiel-Controls
Organisational controls (A.5)	37	ISO_27001_A.5.1 Policies for information security; ISO_27001_A.5.2 Information security roles and responsibilities
People controls (A.6)	8	ISO_27001_A.6.1 Screening; ISO_27001_A.6.2 Terms and conditions of employment
Physical controls (A.7)	14	ISO_27001_A.7.1 Physical security perimeters; ISO_27001_A.7.2 Physical entry
Technological controls (A.8)	34	ISO_27001_A.8.1 User end-point devices; ISO_27001_A.8.2 Privileged access rights
Summe	93

Standard-Schweregrade: critical 3, high 56, medium 32, low 2.

Cross-Mapping

5 von 93 Controls tragen maps_to-Verweise auf Controls anderer Rahmenwerke. Die folgende Tabelle zählt die Verweise je Zielrahmenwerk. "Aufgelöst" bedeutet, dass die Ziel-ID als Control in einem mitgelieferten SWAO-Katalog existiert; "nicht aufgelöst" bedeutet, dass der Verweis auf Artikel- oder Klauselebene zielt oder eine ID-Schreibweise verwendet, die kein Katalog enthält.

Zielrahmenwerk	Aufgelöste Verweise	Nicht aufgelöste Verweise
BSI_GRUNDSCHUTZ_2023	3	0
GDPR	2	0

Umgekehrt verweisen Controls dieser Rahmenwerke auf Controls von ISO_27001: BSI_GRUNDSCHUTZ_2023 (144), BSI_C5 (97), SOC_2 (68), NIST_SP_800_66R2 (59), NCA_ECC (57), NCA_CCC_CSP (56), SAMA_CSF (54), EUCS (50), NIS2 (47), GDPR (43), KRITIS_DE (43), DORA (39), SECNUMCLOUD (38), COBIT_5 (21), NCA_CCC_CST (21), EU_CRA (10), OPENSSF_SCORECARD (6), EU_AI_ACT (4), EC_CSF (1).

Zusätzlich nennen die Metadaten (cross_mapping_hints) folgende verwandte Rahmenwerke: BSI_GRUNDSCHUTZ_2023, BSI_C5, GDPR, SOC_2, DORA, EUCS. Diese Liste ist ein Hinweis auf thematische Überschneidung, kein Control-Mapping.

Demo-Variante

Eigenschaft	Wert
Framework-ID	ISO_27001_DEMO
Ordner	iso-27001-demo
Controls	12
Katalogversion	0.1.0
Zuletzt geprüft	2026-09-21
In neuen Workspaces vorinstalliert	Nein

Die Demo-Variante enthält 12 Controls aus allen vier Themen von Anhang A (zum Beispiel A.5.1 Richtlinien, A.5.23 Cloud-Dienste, A.8.5 sichere Authentifizierung, A.8.24 Kryptografie) und verwendet die IDs des vollständigen Rahmenwerks. Sie ist für Live-Präsentationen gedacht; für echte Assessments verwenden Sie das vollständige ISO_27001-Rahmenwerk.

Die Demo-Variante ist für Workshops, Schulungen und Präsentationen gedacht, bei denen ein kurzer Bericht wichtiger ist als vollständige Abdeckung. Aktivieren Sie sie mit ihrer eigenen ID, zum Beispiel regimes_active: [ISO_27001_DEMO].

Rahmenwerk beziehen oder anpassen

• Quelle zum Ansehen und Kopieren: github.com/Accenture/SWAO/tree/main/packages/@swao/community-frameworks/frameworks/iso-27001
• Demo-Variante: github.com/Accenture/SWAO/tree/main/packages/@swao/community-frameworks/frameworks/iso-27001-demo
• Übersicht aller Community-Rahmenwerke: github.com/Accenture/SWAO/tree/main/community-frameworks

Um das Rahmenwerk für ein einzelnes Projekt anzupassen, kopieren Sie den Ordner iso-27001 (mit framework-meta.yaml und controls.yaml) in den Workspace nach wsp/inputs/catalogs/community/iso-27001/ und bearbeiten Sie dort die Kopie. SWAO liest Kataloge für die Compliance-Bewertung aus diesem Verzeichnis; die Workspace-Kopie ist damit maßgeblich. Behalten Sie die id in regime_meta bei, damit regimes_active sie weiterhin findet, und prüfen Sie die Kopie anschließend mit dem Health Check.

Aktivieren

1. Stellen Sie sicher, dass der Ordner iso-27001 unter wsp/inputs/catalogs/community/ im Workspace liegt (siehe oben). Neue Workspaces enthalten nach swao init nur die Demo-Rahmenwerke gdpr-demo, ai-10-pillars-demo, nist-sp-800-66r2-demo und bsi-grundschutz-2023-demo.

2. Tragen Sie die Framework-ID in die .swao.yml der App ein (apps/<app-id>/.swao.yml):

   assessment:
     regimes_active: [ISO_27001]

   Mehrere Rahmenwerke werden als Liste angegeben, zum Beispiel regimes_active: [ISO_27001, GDPR]. Alternativ schreibt swao regime-select --app app-crm-01 --regimes "ISO_27001" denselben Eintrag.

3. Führen Sie das Application Assessment mit einem konfigurierten LLM aus.

Pass 11 liest regimes_active aus der .swao.yml der App. Hat die App keine Liste, verwendet er die Liste in der .swao.yml im Workspace-Stammverzeichnis (die swao regime-select ohne --app schreibt); eine Liste in der App hat immer Vorrang. Fehlt der Katalog, erzeugt Pass 11 ein Signal COMP-NN mit dem Hinweis, dass kein Katalog gefunden wurde.

Grenzen und Hinweise

• 12 der 14 physischen Controls (A.7) sind als csp_inherited gekennzeichnet; in einer Cloud-Bereitstellung liegen sie in der Verantwortung des Anbieters. Der Bericht kennzeichnet sie als vom Anbieter verwaltet.
• Eine Zertifizierung erfordert ein Audit des gesamten ISMS einschließlich der Kapitel 4 bis 10. SWAO bewertet nur die Controls aus Anhang A in Bezug auf einen Workload.
• Die Ergebnisse stammen von einem LLM, das Signale und Dokumente auswertet. Sie sind ein strukturierter Ausgangspunkt für die Prüfung durch Fachleute, kein Prüfurteil und keine Zertifizierung.
• Die Control-Texte sind sinngemäße Zusammenfassungen. Maßgeblich ist immer die offizielle Quelle des Herausgebers.
• Diese Seite und die SWAO-Ergebnisse sind keine Rechtsberatung.

Verwandte Seiten

• Übersicht der Rahmenwerke
• Pass 11: Compliance-Bewertung
• Application Assessment