März 5, 2026

Anhang A 5.7 Erkenntnisse über Bedrohungen

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Die Bedrohungslage im Bereich der Informationssicherheit ist dynamisch und verändert sich kontinuierlich. Neue Angriffsmethoden, Schwachstellen, technische Entwicklungen und regulatorische Anforderungen führen dazu, dass bestehende Schutzmaßnahmen regelmäßig überprüft und angepasst werden müssen. Dieses Control stellt sicher, dass Organisationen systematisch relevante Erkenntnisse über Bedrohungen sammeln, bewerten und nutzen, um ihre Informationssicherheitsmaßnahmen risikoorientiert weiterzuentwickeln.

Zweck des Controls

A 5.7 soll gewährleisten, dass Organisationen aktuelle und relevante Informationen über Bedrohungen für ihre Informationswerte erhalten und in ihr Informationssicherheitsmanagement integrieren. Ziel ist es, Bedrohungen frühzeitig zu erkennen, deren potenzielle Auswirkungen zu bewerten und geeignete Maßnahmen abzuleiten, um Risiken wirksam zu reduzieren. Dadurch wird die Reaktionsfähigkeit der Organisation gestärkt und die Wirksamkeit des ISMS nachhaltig verbessert.

Anforderungen und Maßnahmen

1. Identifikation geeigneter Informationsquellen

Organisationen müssen geeignete interne und externe Quellen für Bedrohungsinformationen identifizieren, zum Beispiel:

  • nationale oder internationale CERTs
  • Sicherheitswarnungen von Behörden oder Aufsichtsstellen
  • Hersteller- und Anbieterinformationen
  • Branchenverbände und Fachnetzwerke
  • Informationsaustauschplattformen und Communities
  • Ergebnisse interner Audits, Tests oder Sicherheitsvorfälle

Die Auswahl der Quellen muss risikoorientiert erfolgen und regelmäßig überprüft werden.

2. Systematische Sammlung von Bedrohungsinformationen

Relevante Informationen über Bedrohungen müssen kontinuierlich gesammelt werden:

  • regelmäßige Auswertung externer Warnmeldungen und Reports
  • Erfassung interner Erkenntnisse aus Betrieb, Monitoring und Incident Management
  • Berücksichtigung von Erkenntnissen aus Penetrationstests oder Schwachstellenanalysen
  • Dokumentation relevanter Bedrohungsinformationen

Dies stellt sicher, dass ein aktuelles Lagebild zur Bedrohungssituation vorhanden ist.

3. Bewertung der Relevanz und Auswirkungen

Nicht jede Bedrohungsinformation ist für jede Organisation gleich relevant. Daher müssen Bedrohungen bewertet werden im Hinblick auf:

  • Betroffene Informationswerte, Systeme oder Prozesse
  • Eintrittswahrscheinlichkeit und potenzielle Auswirkungen
  • Bestehende Schutzmaßnahmen und deren Wirksamkeit
  • Abhängigkeiten von externen Parteien oder Lieferanten

Die Bewertung muss nachvollziehbar dokumentiert werden.

4. Integration in das Risikomanagement

Erkenntnisse über Bedrohungen müssen systematisch in das Risikomanagement einfließen:

  • Aktualisierung von Risikoanalysen und Risikobewertungen
  • Identifikation neuer Risiken oder Anpassung bestehender Risiken
  • Ableitung geeigneter Risikobehandlungsmaßnahmen
  • Priorisierung von Maßnahmen auf Basis aktueller Bedrohungslagen

So wird sichergestellt, dass Sicherheitsmaßnahmen stets risikoorientiert bleiben.

5. Ableitung und Umsetzung von Maßnahmen

Auf Basis der Bedrohungsinformationen müssen geeignete Maßnahmen umgesetzt werden, zum Beispiel:

  • Anpassung technischer und organisatorischer Sicherheitsmaßnahmen
  • Aktualisierung von Richtlinien, Verfahren oder Konfigurationen
  • Umsetzung zusätzlicher Schutz- oder Überwachungsmechanismen
  • Anpassung von Schulungs- und Awareness-Maßnahmen

Die Umsetzung der Maßnahmen muss überwacht und dokumentiert werden.

6. Kommunikation relevanter Bedrohungsinformationen

Relevante Erkenntnisse über Bedrohungen müssen an geeignete Stellen kommuniziert werden:

  • Information verantwortlicher Rollen und Fachbereiche
  • Weitergabe relevanter Informationen an Management oder Gremien
  • Sensibilisierung betroffener Mitarbeitender
  • Abstimmung mit externen Partnern, sofern erforderlich

Dies stellt sicher, dass Bedrohungsinformationen wirksam genutzt werden.

7. Dokumentation und Nachvollziehbarkeit

Die Organisation muss den Umgang mit Bedrohungsinformationen dokumentieren:

  • genutzte Informationsquellen
  • bewertete Bedrohungen und deren Relevanz
  • abgeleitete Entscheidungen und Maßnahmen
  • Nachweise über Umsetzungen und Überprüfungen

Diese Dokumentation dient als Nachweis und Grundlage für Audits und Reviews.

8. Regelmäßige Überprüfung und Verbesserung

Der Prozess zur Nutzung von Bedrohungsinformationen muss regelmäßig überprüft werden:

  • Bewertung der Aktualität und Qualität der genutzten Quellen
  • Überprüfung der Wirksamkeit abgeleiteter Maßnahmen
  • Anpassung des Vorgehens bei veränderter Bedrohungslage
  • Integration von Lessons Learned aus Vorfällen und Audits

So bleibt der Umgang mit Bedrohungsinformationen dauerhaft wirksam.

Zusammenfassung

A 5.7 fordert, dass Organisationen relevante Erkenntnisse über Bedrohungen systematisch erfassen, bewerten und nutzen. Durch die strukturierte Einbindung von Bedrohungsinformationen in das Risikomanagement, die Ableitung geeigneter Maßnahmen sowie die regelmäßige Überprüfung der Wirksamkeit wird die Fähigkeit der Organisation gestärkt, auf veränderte Bedrohungslagen angemessen zu reagieren. Das Control trägt wesentlich zur Aktualität, Resilienz und kontinuierlichen Verbesserung des Informationssicherheitsmanagementsystems bei.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 5.7 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 5.7 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Aus welchen Quellen beziehen Sie Bedrohungsinformationen?“
BSI-Warnungen, Herstellerhinweise, CVE-Feeds: Das Control ist 2022 neu und verlangt einen geregelten Bezug.
„Wie bewerten Sie, ob eine Meldung Sie betrifft?“
Ohne Abgleich mit dem eigenen Systeminventar bleibt jede Warnung unbewertet.
„Wie schnell reagieren Sie auf eine kritische Meldung?“
Gefragt sind Fristen nach Kritikalität – nicht die Zusicherung, zeitnah zu handeln.
„Wo ist der Prozess dokumentiert?“
Ein gelebter, aber unbeschriebener Ablauf ist im Audit schwer zu belegen und bei Personalwechsel verloren.
Das Dokument dazu

A 5.7-1 Prozess der Bedrohungsanalyse

Quellen für Bedrohungsinformationen mit Zuständigkeit · Bewertung der eigenen Betroffenheit anhand des Inventars · Reaktionsfristen nach Kritikalität. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick