AnnexOps Compliance
ISO 27001 automatisiert: mit Controls, die Sie schon betreiben
AnnexOps bildet ISO/IEC 27001:2022 als 118 Anforderungen ab, die Abschnitte 4 bis 10 und die 93 Controls aus Anhang A, und ermittelt die bewertete Anforderungsabdeckung aus Controls, die Sie bereits betreiben. Konnektoren mit Lesezugriff erfassen Konfigurationsmetadaten in einem per Hash verketteten Nachweisspeicher, und Ihre Erklärung zur Anwendbarkeit wird aus demselben Datensatz exportiert. Versionierte Regeln. Nachweise, die Ihr Auditor prüfen kann.
Abschnitte 4 bis 10 verfolgt · Alle 93 Controls aus Anhang A · Exportierbare Erklärung zur Anwendbarkeit
So funktioniert die ISO-27001-Automatisierung
Regeln als Daten, überprüfbare Nachweise
Regeln als Daten
Jede ISO-27001-Anforderung, die Abschnitte 4 bis 10 und die 93 Controls aus Anhang A, ist eine versionierte Regel mit Angabe ihres Abschnitts. Ein zweiter Auditor, der eine Prüfung erneut ausführt, erhält dieselbe Antwort. Kein LLM entscheidet über ein Ergebnis.
Ableitung statt Ermessen
Die bewertete Anforderungsabdeckung wird aus erfassten Fakten abgeleitet: welche Controls laufen, welche Nachweise anhängen, welche Risiken behandelt werden. Die Plattform zeigt die Lücke. Anwendungsbereich (Abschnitt 4.3), Risikoakzeptanz (Abschnitte 6.1.2 und 6.1.3 f) und Ausschlüsse aus Anhang A (Abschnitt 6.1.3 d) bleiben menschliche Entscheidungen.
Agenten entwerfen, Sie zeichnen ab
Richtlinien starten aus Vorlagen, Agenten entwerfen die Änderungen. Vorschläge landen in den Freigaben (Approvals). Nichts zählt, bevor ein namentlich benannter Verantwortlicher abzeichnet. Jede Freigabe, Richtlinienversion und Kenntnisnahme durch Mitarbeitende wird zum Audit-Datensatz, also zu den dokumentierten Informationen, die Abschnitt 7.5 verlangt.
Überprüfbare Nachweise
Konnektoren zu GitHub, AWS und Microsoft Entra ID lesen nur Konfigurationsmetadaten. Jedes Element wird append-only gespeichert und je Verbindung per Hash verkettet, sodass Manipulationen erkennbar sind und Ihr Auditor die Kette prüfen kann, statt einem Screenshot zu vertrauen.
Kernfunktionen
Ihr ISMS-Nachweis an einem Ort
Nachweise per Lesezugriff, automatisch geprüft
Nachweise aus GitHub, AWS und Microsoft Entra ID gelangen per Lesezugriff, append-only und per Hash verkettet in den Nachweisspeicher. 743 automatisierte Prüfungen bewerten sie gegen jedes Ihrer Regelwerke. Die ISO-27001-Prüfzuordnungen wurden von AnnexOps erstellt und werden fachlich geprüft. Wo eine Prüfung einem Control wie Anhang A 8.5 oder 8.8 zugeordnet ist, erscheint eine fehlgeschlagene Prüfung als benannte Lücke.
Anforderungen und Erklärung zur Anwendbarkeit
ISO/IEC 27001:2022 ist als 118 Anforderungen vorinstalliert: Abschnitte 4 bis 10 und die 93 Controls aus Anhang A in vier Themen. Sie markieren jedes Control als anwendbar oder ausgeschlossen, erfassen die Begründung, und die Erklärung zur Anwendbarkeit nach Abschnitt 6.1.3 d) wird für Ihre Zertifizierungsstelle exportiert.
Eine Control-Bibliothek, viele Regelwerke
Eine Common Control Library mit 211 gemeinsamen Controls, 148 davon mit ISO 27001 verknüpft. Nachweise hängen am Control, nicht am Regelwerk, sodass eine einmal erfasste Zugriffsprüfung für Anhang A 5.18, SOC 2 CC6, NIS2 Artikel 21 und DORA zählt.
Richtlinien mit versionierten Freigaben
Starten Sie mit Vorlagen für die Informationssicherheitspolitik (Abschnitt 5.2) und die themenspezifischen Richtlinien, die Anhang A 5.1 erwartet. Jede Version wird von einem namentlich benannten Verantwortlichen freigegeben, an die Mitarbeitenden veröffentlicht und bestätigt; die Bestätigung wird als Nachweis für das Bewusstsein nach Abschnitt 7.3 und Anhang A 6.3 gespeichert.
Risiko-, Asset-, Lieferanten- und Vorfallsregister
Ein Risikoregister für die Beurteilung nach Abschnitt 6.1.2 und die Behandlung nach 6.1.3, mit Verantwortlichen und Terminen. Asset-, Lieferanten-, Personal- und Vorfallsregister enthalten die Datensätze hinter Anhang A 5.9, 5.19 bis 5.22, 5.25 bis 5.28 sowie 6.1, 6.2, 6.5 und 6.6. Vierteljährliche Zugriffsprüfungen werden als Nachweis für Anhang A 5.18 erfasst, der eine Überprüfung der Zugangsrechte in regelmäßigen Abständen verlangt.
Interne Audits, Reviews, Audit Room
Interne Audits nach Abschnitt 9.2 und Managementbewertungen nach Abschnitt 9.3, dokumentiert mit Verantwortlichen, Terminen und Feststellungen. Ihr Auditor erhält einen schreibgeschützten Audit Room, auf ISO 27001 beschränkt und bis zu einem von Ihnen festgelegten Datum, für Stage 1, Stage 2 und Überwachungsaudits.
Integrationen
Passt zu Ihrem bestehenden Stack
- GitHub
- AWS
- Microsoft Entra ID
- Jira
- SharePoint
- GitLab (demnächst)
- Microsoft Azure (demnächst)
- Google Cloud (demnächst)
- Okta (demnächst)
- Google Workspace (demnächst)
- Microsoft Intune (demnächst)
- Jamf (demnächst)
FAQ
Häufig gestellte Fragen und Antworten
Wer stellt das ISO-27001-Zertifikat aus, und welche Rolle spielt AnnexOps im Audit?
AnnexOps ist keine Zertifizierungsstelle. Über die Zertifizierung entscheidet eine nach ISO/IEC 17021-1 und ISO/IEC 27006-1 akkreditierte Zertifizierungsstelle. Der Zyklus umfasst eine Dokumentenprüfung in Stage 1, ein Umsetzungsaudit in Stage 2, jährliche Überwachungsaudits und die Rezertifizierung vor Ablauf des dreijährigen Zertifikats. AnnexOps unterstützt Sie bei der Vorbereitung auf die Zertifizierung und ordnet die Nachweise für Ihren Auditor: Anforderungen verfolgt, Erklärung zur Anwendbarkeit exportiert und ein schreibgeschützter Audit Room für die Prüfung vor Ort. Eine Garantie für das Bestehen des Audits ist das nicht.
Wie geht AnnexOps mit der Erklärung zur Anwendbarkeit für die 93 Controls aus Anhang A um?
Abschnitt 6.1.3 d) verlangt eine Erklärung zur Anwendbarkeit mit den erforderlichen Controls, der Begründung für ihre Aufnahme, ihrem Umsetzungsstand und der Begründung für den Ausschluss von Controls aus Anhang A. AnnexOps lädt alle 93 Controls der Ausgabe 2022 in vier Themen vor: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34). Sie erfassen Anwendbarkeit und Begründung je Control, Nachweise hängen am umsetzenden Control, und die SoA wird für Ihre Zertifizierungsstelle exportiert.
Wir haben bereits SOC 2 oder arbeiten an NIS2 und DORA. Wie viel von ISO 27001 ist schon abgedeckt?
Die Common Control Library enthält 211 gemeinsame Controls, 148 davon mit ISO 27001 und 154 mit SOC 2 verknüpft. Eine Zugriffsprüfung (Anhang A 5.18), ein Vorfallsdatensatz (5.25 bis 5.28) oder eine Lieferantenbewertung (5.19 bis 5.22) wird einmal erfasst und für jedes Regelwerk angerechnet. Wenn Sie ISO 27001 hinzufügen, zeigt die Regelwerkskarte, welchen Prozentsatz der Anforderungen Ihre vorhandenen Nachweise bereits abdecken, berechnet für Ihre Organisation. Der Wert kann niedrig oder null sein. Er ist indikativ: bewertete Anforderungsabdeckung, kein Compliance-Score.
Werden die ISO-27001-Anforderungsinhalte in AnnexOps juristisch geprüft?
Die ISO/IEC 27001-Anforderungsinhalte in AnnexOps wurden von AnnexOps erstellt, eine Fachprüfung läuft, und das Produkt kennzeichnet sie entsprechend. Die 118 Anforderungen folgen der Struktur der Ausgabe 2022: Abschnitte 4 bis 10 und die 93 Controls aus Anhang A, jeweils mit Kennung zitiert. Die Ausgabe 2022 wurde 2024 geändert (Amendment 1: Klimaschutzaspekte in den Abschnitten 4.1 und 4.2). Die Zuordnung automatisierter Prüfungen zu Controls aus Anhang A ist ebenfalls ein Entwurf. Regeln sind versionierte Daten, sodass ein zweiter Auditor bei erneuter Ausführung einer Prüfung dieselbe Antwort erhält. Inhalte zum EU AI Act und zur DSGVO werden anwaltlich geprüft. Nichts davon ist Rechtsberatung.
