Gibt es eine ISO 27001:2027? Was sich wirklich geändert hat
Die Frage taucht in verschiedenen Formen auf. Eine Geschäftsführerin will wissen, ob das Zertifikat nächstes Jahr wertlos wird. Ein Berater bietet eine „Gap-Analyse für die neue ISO 27001“ an. Eine Kollegin hat etwas über „ISO 27001 2026“ gelesen und fragt, was sich jetzt ändern muss. Eine ISO 27001:2027 gibt es nicht, und an einer neuen Ausgabe wird derzeit nicht gearbeitet. Die Verwirrung hat drei Ursachen, und seit 2022 hat sich einiges geändert, das Sie umsetzen sollten.
Das Wichtigste in Kürze
- ISO/IEC 27001:2022 ist die aktuelle Ausgabe. ISO führt sie als veröffentlicht, ohne Nachfolger in Arbeit.
- Es gibt eine Änderung: Amd 1:2024 hat den Klimawandel in die Abschnitte 4.1 und 4.2 aufgenommen. Auditoren prüfen das.
- Neu ist ISO/IEC 27000:2026, veröffentlicht am 3. Juli 2026. Das ist die Übersichts- und Begriffsnorm, keine Zertifizierungsnorm.
- Ihr Zertifikat nach 27001:2022 ist davon nicht betroffen.
- Zertifikate nach der Ausgabe 2013 sind am 31. Oktober 2025 abgelaufen. Wenn Ihres noch nicht umgestellt ist, ist das die dringende Baustelle.
- Bis 2027 steht die turnusmäßige Überprüfung der 27001:2022 an. Das ist eine Entscheidung über eine mögliche Überarbeitung, keine neue Norm.
Woher die Verwirrung kommt
Drei Dinge sind kurz nacheinander passiert, und sie lassen sich leicht verwechseln.
Erstens hat ISO im Februar 2024 eine Änderung zur ISO/IEC 27001:2022 veröffentlicht, die zwei Sätze zum Klimawandel ergänzt. Manche lesen „2024“ und vermuten eine neue Ausgabe.
Zweitens haben ISO und IEC am 3. Juli 2026 die sechste Ausgabe der ISO/IEC 27000 veröffentlicht, der Norm, die einen Überblick über die ganze Normenfamilie gibt und ihre Begriffe festlegt. Die europäische Fassung EN ISO/IEC 27000:2026 folgte am 15. Juli. Beiträge über „ISO 27001 2026“ meinen fast immer diese Norm.
Drittens überprüft ISO jede Norm mindestens alle fünf Jahre. Die ISO/IEC 27001:2022 erschien im Oktober 2022, ihre systematische Überprüfung steht also bis 2027 an. Das Ergebnis kann sein, die Norm zu bestätigen, zu überarbeiten oder zurückzuziehen. Solange ISO keine Überarbeitung beschlossen und keine neue Ausgabe erarbeitet hat, gibt es nichts umzusetzen.
Was gilt, auf einen Blick
Die Klima-Änderung: wenig Text, echte Auditfrage
Änderung 1:2024 ergänzt eine Anforderung und einen Hinweis. In Abschnitt 4.1 muss die Organisation bestimmen, ob der Klimawandel ein relevantes Thema ist. In Abschnitt 4.2 stellt ein Hinweis klar, dass interessierte Parteien Anforderungen zum Klimawandel haben können.
Das macht aus Ihrem ISMS kein Umweltmanagementsystem. Es heißt aber, dass Ihre Kontextanalyse zeigen muss: Sie haben den Klimawandel betrachtet und eine Schlussfolgerung gezogen. Für ein Softwareunternehmen kann das eine kurze Bewertung sein, welche Risiken Hitze, Hochwasser oder Stromausfälle für Rechenzentren und Büros bedeuten, verknüpft mit den vorhandenen Maßnahmen zur Aufrechterhaltung des Betriebs. Zertifizierungsstellen prüfen das seit 2024. Eine Kontextanalyse, die das Klima gar nicht erwähnt, ist eine leicht vermeidbare Feststellung.
ISO/IEC 27000:2026: was sich geändert hat und was das für Sie bedeutet
Die ISO/IEC 27000 ist der Einstieg in die Normenfamilie. Sie beschreibt, was ein ISMS ist, und legt die Begriffe fest, die die anderen Normen verwenden. Die Ausgabe 2026 hat einen neuen Titel, „Informationssicherheit, Cybersicherheit und Schutz der Privatsphäre“. Cybersicherheit und Datenschutz stehen damit erstmals im Titel. Gemeinsame Begriffe stehen jetzt in einem Anhang, sodass einzelne Normen ihre Definitionen anpassen können, ohne dass die 27000 komplett überarbeitet werden muss. Neben Vertraulichkeit, Integrität und Verfügbarkeit betont die Ausgabe stärker Authentizität, Verantwortlichkeit und Nichtabstreitbarkeit und richtet ihr Risikoverständnis enger an der ISO 31000 aus.
Neue Pflichten für zertifizierte Unternehmen entstehen dadurch nicht. Nach der ISO/IEC 27000 kann man sich nicht zertifizieren lassen, und Zertifizierungsstellen weisen darauf hin, dass sie die Gültigkeit bestehender Zertifikate nach ISO/IEC 27001 nicht berührt. ISO/IEC 27001 und 27002 sollen sich nach und nach an die neuen Begriffe angleichen, ohne festen Termin.
Was wir jetzt tun würden
- Prüfen, ob Sie auf der Ausgabe 2022 sind. Zertifikate nach der Ausgabe 2013 sind am 31. Oktober 2025 abgelaufen. Wenn Ihre Erklärung zur Anwendbarkeit noch die alte Nummerierung aus Anhang A verwendet, fangen Sie dort an.
- Die Klima-Lücke schließen. Ergänzen Sie Kontextanalyse und interessierte Parteien um eine dokumentierte Klimabewertung und verknüpfen Sie sie mit Ihren Notfallmaßnahmen.
- Angebote für eine Gap-Analyse zur „neuen ISO 27001“ ignorieren. Es gibt keine neue Ausgabe, gegen die man prüfen könnte.
- Begriffe anpassen, wenn es passt. Die Angleichung Ihrer ISMS-Dokumente an die ISO/IEC 27000:2026 ist gute Pflege, keine Auditanforderung.
- Die Überprüfung im Blick behalten. Beschließt ISO eine Überarbeitung, folgen Entwürfe, Umfragephasen und eine Übergangsfrist. Beim letzten Wechsel, von 2013 auf 2022, hatten Unternehmen drei Jahre Zeit.
- Das ISMS so aufbauen, dass Änderungen wenig kosten. Wenn Maßnahmen, Risiken und Nachweise verknüpft statt in Dokumente kopiert sind, ist eine künftige Überarbeitung eine Anpassung der Zuordnung, kein neues Projekt.
Wenn Sie Ihre Erklärung zur Anwendbarkeit aufbauen oder überarbeiten, führt unser Leitfaden zur Erklärung zur Anwendbarkeit nach ISO 27001 mit einem Beispiel durch.
