Die Norm schreibt keinen Penetrationstest vor. Mehrere Kontrollen aus Annex A sind ohne einen aber kaum zu belegen. Wir liefern den Test und den Bericht mit dem passenden Mapping.
Annex A der Fassung 2022 ordnet die Kontrollen in vier Themenbereiche. Die Balkenhöhe zeigt, wie viele Kontrollen auf jeden Bereich entfallen. Hervorgehoben sind die sechs, für die ein Penetrationstest der direkte Nachweis ist.
A.x.y vom Penetrationstest belegbar
Wir testen, ob Berechtigungen, Rollenkonzepte und privilegierte Konten in der Praxis greifen.
Active Directory, PhysicalDie Kontrolle, die ein Pentest-Bericht am direktesten beantwortet.
Alle ModuleBei physischen Assets im ISMS: der Zugang zu Serverräumen und sensiblen Bereichen.
PhysicalAusnutzbare Schwachstellen systematisch identifiziert. Der direkteste Nachweis überhaupt.
Alle ModuleSind Systeme und Dienste gehärtet konfiguriert, oder blieben Standardwerte stehen?
Infrastruktur, ADSegmentierung, Firewall-Regeln und exponierte Dienste gegen reale Angriffsmuster.
InfrastrukturWir führen den Penetrationstest durch und liefern den Bericht mit dem Mapping auf die Annex-A-Kontrollen. Zertifikate stellen akkreditierte Zertifizierungsstellen aus. Wir sind keine Zertifizierungsstelle, wir führen weder das Zertifizierungsaudit noch euer internes Audit durch und beraten nicht beim Aufbau des ISMS. Der Bericht ist ein Nachweis, den ihr dort vorlegt.
Zeigen Sie mir, wie Sie Schwachstellen in Ihrer Umgebung systematisch identifizieren und beheben. Ein Penetrationstest ist dafür das geeignete Instrument.
Typische Aussage eines ISO-27001-Auditors im Stage-2-Audit
Die Norm verlangt keinen Test. Die Kontrollen A.8.8 und A.8.29 sind ohne einen aber kaum nachweisbar.
Die meisten Auditoren akzeptieren Berichte bis zu einem Alter von 12 Monaten. Nach größeren Änderungen an der Infrastruktur wird unabhängig davon ein neuer erwartet.
Geprüft wird, was im Zertifizierungsumfang liegt. Ein beliebiges System zu testen hilft im Audit nicht.
Ein Zertifikat gilt drei Jahre. Weil die meisten Auditoren nur Berichte akzeptieren, die bis zu 12 Monate alt sind, braucht praktisch jeder dieser Termine einen eigenen aktuellen Test. Plant ihn mindestens sechs Wochen vorher ein, dann bleibt Zeit für Behebung und Re-Test.
114 Kontrollen in 14 Themengebieten, A.5 bis A.18. Viele überschnitten sich inhaltlich, was Mapping und Audit-Vorbereitung unnötig komplex machte.
93 Kontrollen in vier Themenbereichen, entstanden durch Zusammenlegung überlappender Kontrollen, nicht durch Streichung von Anforderungen. Dazu 11 neue Kontrollen, etwa Threat Intelligence (A.5.7) und Cloud-Sicherheit (A.5.23).
Die vom IAF gesetzte Übergangsfrist endete am 31. Oktober 2025. Zertifikate nach der Fassung von 2013 gelten seitdem nicht mehr. Zeigt das Mapping eures letzten Berichts noch auf die alten Kontrollnummern, gehört es beim nächsten Test aktualisiert.
ISO 27001 gilt branchenübergreifend und kennt keine gesetzliche Anwendbarkeitsschwelle. Zertifiziert wird, wer es selbst will oder wessen Kunden es fordern. Weltweit sind mehr als 50.000 Organisationen zertifiziert.
Häufigster Auslöser: ein Großkunde macht die Zertifizierung zur Lieferantenbedingung. Ab dann tickt die Uhr.
Es gibt keine universelle Regel, das entscheiden Auditor und Zertifizierungsstelle. In der Praxis akzeptieren die meisten Berichte, die bis zu 12 Monate alt sind. Nach wesentlichen Änderungen an der Infrastruktur wird unabhängig vom Alter ein neuer erwartet.
Genau dafür ist er da. Kritische Findings melden wir sofort nach der Entdeckung, damit ihr vor dem Audit handeln könnt. Nach der Behebung prüfen wir auf Wunsch nach und dokumentieren das im Bericht. Ein behobenes Finding mit Re-Test-Nachweis zeigt dem Auditor einen funktionierenden Verbesserungszyklus.
Technisch in nichts. Der Unterschied liegt in Vorbereitung und Bericht: Wir analysieren zuerst euren ISMS-Scope, leiten daraus den Test-Scope ab und ordnen die Findings den Annex-A-Kontrollen zu. Ohne dieses Mapping entsteht die Zuordnungsarbeit beim Audit.
30 Minuten Erstgespräch, kostenlos. Wir klären euren ISMS-Scope und welche Kontrollen abgedeckt sein müssen, danach folgt ein unverbindliches Angebot.
