März 5, 2026

Anhang A 8.32 Änderungssteuerung

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Änderungen an Informationsverarbeitungssystemen, Anwendungen, Konfigurationen oder Prozessen können erhebliche Auswirkungen auf die Informationssicherheit haben. Unkontrollierte oder unzureichend geprüfte Änderungen sind eine häufige Ursache für Sicherheitslücken, Systemausfälle oder Betriebsstörungen. Dieses Control stellt sicher, dass Änderungen systematisch geplant, bewertet, genehmigt und kontrolliert umgesetzt werden.

Zweck des Controls

A 8.32 soll gewährleisten, dass Änderungen an informationsverarbeitenden Einrichtungen kontrolliert und nachvollziehbar erfolgen. Ziel ist es, Sicherheitsrisiken durch Änderungen zu minimieren, die Stabilität des Betriebs zu gewährleisten und unbeabsichtigte Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu vermeiden.

Anforderungen und Maßnahmen

1. Festlegung eines Änderungsmanagement-Prozesses

Organisationen müssen einen formalen Prozess zur Änderungssteuerung definieren, insbesondere:

  • Arten von Änderungen (z. B. normal, dringend, Notfall)
  • Rollen und Verantwortlichkeiten
  • Genehmigungs- und Freigabeschritte
  • Dokumentationsanforderungen

Der Prozess muss dokumentiert und verbindlich sein.

2. Identifikation und Beschreibung von Änderungen

Änderungen müssen eindeutig beschrieben werden:

  • Zweck und Umfang der Änderung
  • betroffene Systeme, Anwendungen oder Prozesse
  • geplante Umsetzung und Zeitrahmen
  • verantwortliche Personen

Dies schafft Transparenz und Nachvollziehbarkeit.

3. Bewertung der Auswirkungen auf die Informationssicherheit

Vor der Umsetzung müssen Änderungen bewertet werden:

  • Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit
  • Risiken für bestehende Sicherheitsmaßnahmen
  • Abhängigkeiten zu anderen Systemen oder Prozessen
  • Notwendigkeit zusätzlicher Schutzmaßnahmen

Die Bewertung muss dokumentiert sein.

4. Genehmigung und Freigabe von Änderungen

Änderungen dürfen nur nach formaler Genehmigung umgesetzt werden:

  • Freigabe durch zuständige Stellen
  • Berücksichtigung der Sicherheitsbewertung
  • Ablehnung oder Anpassung bei unvertretbaren Risiken
  • dokumentierte Entscheidungsfindung

So wird Kontrolle sichergestellt.

5. Planung und kontrollierte Umsetzung

Die Umsetzung von Änderungen muss geplant erfolgen:

  • definierte Umsetzungs- und Rollback-Pläne
  • Durchführung durch berechtigte Personen
  • Umsetzung in geeigneten Zeitfenstern
  • Minimierung von Betriebsunterbrechungen

Dies reduziert operative Risiken.

6. Tests und Überprüfung nach Änderungen

Nach der Umsetzung müssen Änderungen überprüft werden:

  • Funktions- und Sicherheitstests
  • Überprüfung der Systemstabilität
  • Kontrolle der Einhaltung von Sicherheitsanforderungen
  • Freigabe für den regulären Betrieb

Tests stellen die Wirksamkeit sicher.

7. Umgang mit Notfall- und dringenden Änderungen

Notfalländerungen müssen gesondert geregelt sein:

  • klare Definition von Notfallszenarien
  • beschleunigte Genehmigungsprozesse
  • vollständige nachträgliche Dokumentation
  • Überprüfung und Bewertung nach Umsetzung

So bleibt Kontrolle auch in Ausnahmesituationen erhalten.

8. Dokumentation und kontinuierliche Verbesserung

Alle Änderungen müssen dokumentiert und ausgewertet werden:

  • Änderungsprotokolle und Freigaben
  • Testergebnisse und Bewertungen
  • Analyse von Problemen oder Vorfällen
  • Anpassung des Änderungsprozesses

Die Dokumentation unterstützt Audits und Lernprozesse.

Zusammenfassung

A 8.32 fordert, dass Organisationen Änderungen an informationsverarbeitenden Systemen systematisch steuern. Durch formale Änderungsprozesse, Sicherheitsbewertungen, Genehmigungen, kontrollierte Umsetzung sowie Überprüfung und Dokumentation wird sichergestellt, dass Änderungen nicht unbeabsichtigt neue Risiken für die Informationssicherheit erzeugen. Das Control ist ein zentraler Bestandteil stabiler, sicherer und nachvollziehbarer IT- und Betriebsprozesse im Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 8.32 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 8.32 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Wie läuft eine Änderung an einem Produktivsystem ab?“
Antrag, Bewertung, Freigabe, Test, Umsetzung, Dokumentation – der Auditor verfolgt eine reale Änderung durch alle Schritte.
„Wer bewertet die Sicherheitsauswirkung?“
Ohne diesen Schritt wird die Änderungssteuerung zur reinen Ablaufkontrolle.
„Wie ist der Rückweg geplant?“
Ein Rollback-Plan gehört zur Freigabe. Wer ihn erst im Fehlerfall entwickelt, verliert Zeit.
„Wie behandeln Sie Notfalländerungen?“
Sie sind zulässig, müssen aber nachträglich dokumentiert und bewertet werden – sonst wird jede Änderung zur Notfalländerung.
Das Dokument dazu

A 8.32-1 Änderungsmanagement-Prozess

Änderungsverfahren mit Bewertung, Freigabe und Dokumentation · Bewertung der Sicherheitsauswirkung · Rollback-Planung und Umgang mit Notfalländerungen. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick