Unser Bericht ist explizit auf ISO-27001-Audits ausgelegt, mit Mapping auf die relevanten Annex-A-Kontrollen, die euer Auditor prüft.
Jedes Finding wird den relevanten ISO-27001-Kontrollen zugeordnet, etwa A.8.8, A.8.9 und A.5.15. Keine Interpretationsarbeit für euren Auditor.
Ob Erstzertifizierung, Rezertifizierung oder anlassbezogener Test nach Änderungen: Wir passen den Scope eurem Zertifizierungsstand an.
Wir wissen, dass Zertifizierungstermine nicht warten. Auf Wunsch priorisieren wir euer Projekt und liefern den Bericht termingerecht.
Unser ISO-27001-Pentest-Bericht ist so aufgebaut, dass er eurem Auditor alle nötigen Nachweise liefert, ohne Rückfragen.
Annex A der ISO 27001:2022 enthält 93 Kontrollen in vier Kategorien. Ein Penetrationstest ist das direkteste Nachweisinstrument für diese sechs:
| Kontrolle | Bezeichnung | Wie unser Pentest hilft | Modul |
|---|---|---|---|
| A.8.8 | Schwachstellenmanagement | Wir identifizieren ausnutzbare Schwachstellen systematisch. Das ist der direkteste Nachweis für A.8.8. | Alle Module |
| A.8.9 | Konfigurationsmanagement | Wir prüfen, ob Systeme, Dienste und Netzkomponenten gehärtet konfiguriert sind und ob Standardkonfigurationen zurückgeblieben sind. | Infra, AD |
| A.5.15 | Zugriffssteuerung | Wir testen, ob Zugriffskontrollen in der Praxis tatsächlich greifen, statt nur auf dem Papier zu existieren. | AD, Physical |
| A.8.20 | Netzwerksicherheit | Segmentierung, Firewall-Regeln, exponierte Dienste: wir prüfen das Netzwerk gegen reale Angriffsmuster. | Infrastruktur |
| A.7.2 | Physische Zugangskontrollen | Für Organisationen mit physischen ISMS-Assets testen wir, ob der Zugang zu kritischen Bereichen wirklich kontrolliert wird. | Physical |
| A.8.29 | Sicherheitsprüfung in Entwicklung und Abnahme | Das ist die Kontrolle, die euer Auditor am direktesten mit einem Pentest-Bericht beantwortet bekommt. | Alle Module |
Die aktuelle Fassung der Norm hat Annex A grundlegend neu strukturiert. Für euren Pentest-Scope und dessen Mapping auf Kontrollen ist das relevant: Die alten Kontrollnummern aus 2013 existieren so nicht mehr.
Die 2013er-Fassung gliederte Annex A in 14 klassische Domänen wie Kryptografie, physische Sicherheit oder Lieferantenbeziehungen. Viele Kontrollen überschnitten sich inhaltlich, was Mapping und Audit-Vorbereitung unnötig komplex machte.
114 Kontrollen · 14 Themengebiete
Organisatorisch (37 Kontrollen), Personenbezogen (8), Physisch (14) und Technologisch (34), erreicht durch Zusammenlegung überlappender Kontrollen, nicht durch Streichung von Anforderungen. Dazu kommen 11 neue Kontrollen, etwa zu Threat Intelligence (A.5.7) und Cloud-Sicherheit (A.5.23), die frühere Fassungen noch nicht kannten.
93 Kontrollen · 4 Themenbereiche · maßstäblich zur Zeile darüber
ISO 27001 schreibt keinen Penetrationstest explizit vor, aber jeder erfahrene Auditor wird ihn als Nachweis für mehrere Annex-A-Kontrollen einfordern, ganz gleich ob es um eine Erstzertifizierung, eine Rezertifizierung nach drei Jahren oder ein jährliches Überwachungsaudit geht. Wer ohne aktuellen Pentest-Bericht in ein Audit geht, hat ein Problem.
Zeigen Sie mir, wie Sie Schwachstellen in Ihrer Umgebung systematisch identifizieren und beheben. Ein Penetrationstest ist dafür das geeignete Instrument.
Annex A der ISO 27001:2022 enthält 93 Kontrollen in vier Themenbereichen (Organisatorisch, Personenbezogen, Physisch, Technologisch), gegenüber 114 Kontrollen in 14 Themengebieten der Vorgängerfassung von 2013. Mehrere dieser Kontrollen lassen sich ohne einen Penetrationstest nur schwer nachweisen, insbesondere rund um Schwachstellenmanagement, Zugriffskontrollen und Netzwerksicherheit. Ein fehlender oder veralteter Pentest-Bericht ist einer der häufigsten Gründe für Findings und Nichtkonformitäten im Audit, sowohl im Zertifizierungsaudit als auch in den jährlichen Überwachungsaudits.
ISO 27001 schreibt keinen Pentest vor, aber die Kontrollen A.8.8 und A.8.29 sind ohne ihn kaum nachweisbar.
Ein drei Jahre alter Pentest-Bericht überzeugt keinen Auditor. Die meisten akzeptieren maximal 12 Monate.
Der Pentest muss den ISMS-Scope abdecken, statt irgendein System zu testen und zu hoffen, dass es reicht.
Anders als NIS2 oder KRITIS gilt ISO 27001 branchenübergreifend: Die Norm kennt keine gesetzliche Anwendbarkeitsschwelle. Zertifiziert wird, wer es selbst will, um Vertrauen bei Kunden und Partnern zu schaffen, oder wer es muss, weil Kunden, Auftraggeber oder Ausschreibungen es als Vorbedingung fordern. Weltweit sind aktuell mehr als 50.000 Organisationen nach ISO 27001 zertifiziert, Tendenz steigend.
Häufigster Auslöser: ein Großkunde stellt ISO-27001-Zertifizierung als Lieferantenbedingung. Ab dann tickt die Uhr.
Abgestimmt auf euren Zertifizierungsstand, euren Auditortermin und die relevanten Annex-A-Kontrollen.
Wir analysieren euren ISMS-Scope und klären, welche Systeme, Prozesse und Standorte im Zertifizierungsumfang liegen, damit der Pentest genau das abdeckt, was euer Auditor sieht.
Basierend auf eurem ISMS definieren wir den Pentest-Scope und ordnen ihn den relevanten Annex-A-Kontrollen zu. Kein Mehraufwand für euch beim Audit.
Manuelle Penetrationstests auf vereinbarte Systeme und Bereiche. Wir dokumentieren jeden Schritt lückenlos, das schätzen Auditoren.
Jedes Finding wird nach Schweregrad und ISMS-Relevanz bewertet. Kritische Findings kommunizieren wir sofort, damit ihr vor dem Audit handeln könnt.
Vollständiger Bericht mit Annex-A-Mapping, Management-Summary und technischem Anhang. So aufgebaut, dass euer Auditor alle Antworten findet, ohne Nachfragen.
Der richtige Scope hängt von eurem ISMS ab. Diese drei Module decken die häufigsten Annex-A-Anforderungen ab.