Was ist ISO/IEC 27001:2022?

ISO/IEC 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Die Fassung 2022 fasst die Maßnahmen in Anhang A in 93 Controls in vier Themen zusammen: organisatorisch, personell, physisch und technologisch. Für die Zertifizierung zeigt eine Organisation, dass die anwendbaren Controls umgesetzt sind und wirken, nicht nur zum Audit-Termin. blacklens.io ist kein ISMS-Werkzeug und ersetzt keine Risikobewertung; die Plattform ist die technische Evidenzquelle.

Welche Annex-A-Controls kann blacklens.io belegen?

Im Kern A.5.7 (Bedrohungsintelligenz), A.5.9 (Inventar), A.5.19 bis A.5.22 (Lieferanten), A.5.23 (Cloud), A.8.8 (technische Schwachstellen), A.8.9 (Konfiguration), A.8.16 (Überwachung) und A.8.20 (Netzwerksicherheit), ergänzend A.8.5 (Authentifizierung) und A.5.24 bis A.5.26 (Vorfälle). Organisatorische, personelle und physische Controls bleiben Aufgabe Ihres ISMS.

Reicht ein Schwachstellenscanner für A.8.8?

Nein. A.8.8 verlangt, Informationen über technische Schwachstellen zu beschaffen, die Exposition zu bewerten und angemessene Maßnahmen zu ergreifen. Ein Scan-Ergebnis belegt nur den ersten Schritt. Der dokumentierte Finding-Lebenszyklus mit Bewertung, Status, Retest und Archiv belegt alle drei.

Wie oft sollten wir für ISO 27001 scannen?

Die Norm schreibt keine Frequenz vor; sie verlangt ein risikobasiertes Vorgehen. Kontinuierliches Scanning der externen Angriffsfläche und ein regelmäßiger interner Rhythmus sind gegenüber Auditoren gut begründbar, zumal NIS2 und DORA in dieselbe Richtung gehen. Wichtiger als die Frequenz ist, dass der Rhythmus dokumentiert und eingehalten wird.

Wie belegen wir Bedrohungsintelligenz nach A.5.7?

A.5.7 verlangt, Bedrohungsinformationen zu sammeln, zu analysieren und zu nutzen. Der Threat-Center-Verlauf zeigt, welche neuen CVEs mit Ihrem Inventar abgeglichen, verifiziert und behandelt wurden; die Darknet-Funde zeigen, welche Bedrohungen gegen Identitäten erkannt und bearbeitet wurden. Beides ist exportierbar.

Hilft das auch für TISAX?

Ja. TISAX basiert auf dem VDA ISA, dessen Fragen zu Schwachstellenmanagement, Netzwerksicherheit, Cloud und Lieferanten inhaltlich den genannten Annex-A-Controls entsprechen. Dieselben Berichte und Protokolle dienen als Nachweis; das Label vergibt ein akkreditierter Prüfdienstleister.

Wie kommen die Nachweise in unser ISMS-Werkzeug?

Über zeitgesteuerte PDF-Berichte, CSV-Exporte aus jeder Liste und die REST-API mit 250+ Endpunkten. Viele Kunden verknüpfen im ISMS einfach den monatlichen Schwachstellenbericht und den Executive-Report als Evidenz zum jeweiligen Control.

Compliance

ISO 27001: Annex-A-Controls laufend belegen

Auditoren wollen sehen, dass Controls wirken. blacklens.io erzeugt die Evidenz für Schwachstellen, Inventar, Bedrohungen und Lieferanten, laufend und mit Historie.

Kostenlos testen Demo buchen

Evidenz für Anhang Aals PDF

Asset-InventarISO/IEC 27001 A.5.9laufend

Threat-Center-AbgleichISO/IEC 27001 A.5.7Echtzeit

Lieferanten-WatchlistISO/IEC 27001 A.5.22etwa alle 30 Min.

Schwachstellen-ReportISO/IEC 27001 A.8.8monatlich

Was ISO 27001 im Audit verlangt

ISO/IEC 27001:2022 verlangt ein ISMS, dessen Controls nachweisbar wirken, und zwar nicht nur am Audit-Termin.

Anhang A

93 Controls in vier Themen

Organisatorisch, personell, physisch, technologisch. Ihre Erklärung zur Anwendbarkeit wählt aus.

Kapitel 9.1

Überwachen und messen

Die Wirksamkeit des ISMS wird laufend überwacht, gemessen und bewertet.

Kapitel 9.3

Management-Review

Die Leitung bewertet das ISMS in geplanten Abständen, auch anhand von Trends.

Zertifizierung

Daten statt Beschreibung

Auditoren fragen etwa, welche Schwachstellen Sie in drei Monaten erkannt, bewertet und behoben haben.

Technische Orientierung, keine Rechtsberatung. Welche Pflichten für Sie gelten, klären Sie mit Rechtsabteilung, Auditor oder Aufsichtsbehörde.

Controls, für die blacklens.io Evidenz liefert

Die Zuordnung folgt Anhang A der Fassung 2022. Welche Controls für Sie gelten, legt Ihre Erklärung zur Anwendbarkeit fest.

A.8.8

Zuerst behebennach Risiko sortiert

1CVE-2024-21762vpn.beispiel-gmbh.atKEV

2CVE-2024-21410mail.beispiel-gmbh.atKEV

3TLS 1.0 aktivshop.beispiel-gmbh.atMittel

A.5.9

Neu entdeckte Assets+4 seit gestern

beispiel-gmbh.atRoot-Domain

vpn.beispiel-gmbh.atFortiGate SSL-VPN 7.0.12Kritisch

dev-old.beispiel-gmbh.atGitLab 15.2Shadow ITHoch

mail.beispiel-gmbh.atExchange Server 2019Mittel

203.0.113.24OpenSSH 8.9NeuInfo

A.5.7

Frühwarnungvor 47 Min.

CVE-2024-21762FortiOS SSL-VPNKritisch

CVE veröffentlicht08:12
2 Assets im Inventar betroffen09:00
Per PoC-Scan bestätigt09:26
Alert in Microsoft Teams09:27

A.5.19 bis A.5.22

Lieferanten-Watchlist12 Lieferanten

Logistik Partner GmbHEintrag auf Ransomware-Leak-Site, vor 30 Min.Kritisch

Software Zulieferer AGSoftwareKeine Treffer

Muster SteuerberatungSteuerberatungKeine Treffer

A.5.23 und A.8.9

Cloud-Konten4 verbunden

S3-Bucket öffentlich erreichbarAWSHoch

Admin-Konten ohne MFAMicrosoft 365Kritisch

VM mit öffentlicher IPAzureMittel

Öffentlicher API-EndpunktGoogle CloudMittel

Darstellungen mit Beispieldaten.

Audit-Nachweise, die blacklens.io erzeugt

Executive-, Schwachstellen-, Pentest-, Query- und Insights-Reports gehen täglich, wöchentlich oder monatlich per E-Mail an Ihr Team. So liegt die Evidenz zum Audit lückenlos vor.

Berichtezeitgesteuert per E-Mail

PDFExecutive ReportWöchentlich, Montag 07:00

PDFSchwachstellen-ReportMonatlich

PDFPentest-ReportNach jedem Test

Geschäftsführung, IT-Leitung

Aktivitätsprotokoll
Wer hat wann welches Finding geöffnet, kommentiert, akzeptiert oder geschlossen.
Finding-Historie
Geschlossene Findings werden nach 30 Tagen archiviert statt gelöscht.
Trends für Kapitel 9
Nächtliche Snapshots und Exposure Score für Messung und Management-Review.
Exporte und API
CSV und PDF aus jeder Liste, REST-API für Ihr ISMS- oder GRC-Werkzeug.

Audit-Vorbereitung in vier Schritten

1
Controls zuordnen
Anwendbare Controls aus der Erklärung zur Anwendbarkeit den passenden Nachweisen zuordnen.
2
Prüfumfang verbinden
Domains und Cloud-Konten eintragen, Sentry für das interne Netz ausrollen.
3
Berichte planen
Schwachstellen- und Executive-Report monatlich an die ISMS-Verantwortlichen senden.
4
Evidenz verknüpfen
Berichte und Exporte im ISMS-Werkzeug dem jeweiligen Control zuordnen.

Beispiel aus der Praxis

Logistikdienstleister belegt A.8.8 länderübergreifend

Ein europaweit tätiger Logistikdienstleister musste Schwachstellen aus Netzen, Cloud-Konten und Landesgesellschaften zentral erfassen. Mit blacklens.io entstand ein vollständiges Inventar; neu exponierte Systeme wurden auch zwischen geplanten Scans erkannt.

Ergebnis
Reduzierte Angriffsfläche, klare Zuständigkeiten und prüffähige Umsetzung nach ISO 27001.

Fortschrittletzte 90 Tage

Kritische Findings143

Exponierte Dienste3821

Darstellungen mit Beispieldaten.

Häufige Fragen

: ISO/IEC 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Die Fassung 2022 fasst die Maßnahmen in Anhang A in 93 Controls in vier Themen zusammen: organisatorisch, personell, physisch und technologisch. Für die Zertifizierung zeigt eine Organisation, dass die anwendbaren Controls umgesetzt sind und wirken, nicht nur zum Audit-Termin. blacklens.io ist kein ISMS-Werkzeug und ersetzt keine Risikobewertung; die Plattform ist die technische Evidenzquelle.
: Im Kern A.5.7 (Bedrohungsintelligenz), A.5.9 (Inventar), A.5.19 bis A.5.22 (Lieferanten), A.5.23 (Cloud), A.8.8 (technische Schwachstellen), A.8.9 (Konfiguration), A.8.16 (Überwachung) und A.8.20 (Netzwerksicherheit), ergänzend A.8.5 (Authentifizierung) und A.5.24 bis A.5.26 (Vorfälle). Organisatorische, personelle und physische Controls bleiben Aufgabe Ihres ISMS.
: Nein. A.8.8 verlangt, Informationen über technische Schwachstellen zu beschaffen, die Exposition zu bewerten und angemessene Maßnahmen zu ergreifen. Ein Scan-Ergebnis belegt nur den ersten Schritt. Der dokumentierte Finding-Lebenszyklus mit Bewertung, Status, Retest und Archiv belegt alle drei.
: Die Norm schreibt keine Frequenz vor; sie verlangt ein risikobasiertes Vorgehen. Kontinuierliches Scanning der externen Angriffsfläche und ein regelmäßiger interner Rhythmus sind gegenüber Auditoren gut begründbar, zumal NIS2 und DORA in dieselbe Richtung gehen. Wichtiger als die Frequenz ist, dass der Rhythmus dokumentiert und eingehalten wird.
: A.5.7 verlangt, Bedrohungsinformationen zu sammeln, zu analysieren und zu nutzen. Der Threat-Center-Verlauf zeigt, welche neuen CVEs mit Ihrem Inventar abgeglichen, verifiziert und behandelt wurden; die Darknet-Funde zeigen, welche Bedrohungen gegen Identitäten erkannt und bearbeitet wurden. Beides ist exportierbar.
: Ja. TISAX basiert auf dem VDA ISA, dessen Fragen zu Schwachstellenmanagement, Netzwerksicherheit, Cloud und Lieferanten inhaltlich den genannten Annex-A-Controls entsprechen. Dieselben Berichte und Protokolle dienen als Nachweis; das Label vergibt ein akkreditierter Prüfdienstleister.
: Über zeitgesteuerte PDF-Berichte, CSV-Exporte aus jeder Liste und die REST-API mit 250+ Endpunkten. Viele Kunden verknüpfen im ISMS einfach den monatlichen Schwachstellenbericht und den Executive-Report als Evidenz zum jeweiligen Control.

Weiterführende Seiten

Compliance & Audit

Überblick über NIS2, ISO 27001, TISAX, DORA und KRITIS.

NIS2

Artikel 21 mit denselben Nachweisen belegen.

Unified Vulnerability Management

Der Prozess hinter A.8.8.

DORA

ICT-Risikomanagement für Finanzunternehmen.

Evidenz für Annex A, laufend erzeugt

Sehen Sie in einer Demo, welche Berichte und Protokolle Ihr Auditor bekommt. Oder starten Sie mit Ihren Domains.

14 Tage kostenlos testen Demo buchen

14 Tage kostenlos, voller Funktionsumfang
Keine Kreditkarte nötig
Erste Funde besprechen wir gemeinsam