ISO/IEC 27001:2022 ist jetzt verbindlich – Was die neuen Controls für Datenträger und IT-Entsorgung bedeuten
Seit dem 1. November 2025 gibt es nur noch eine gültige Fassung der wichtigsten Norm für Informationssicherheit: Die dreijährige Übergangsfrist für ISO/IEC 27001:2022 ist am 31. Oktober 2025 abgelaufen, Zertifikate nach der Version 2013 haben ihre Gültigkeit verloren. Wer zertifiziert bleiben wollte, musste sein Informationssicherheits-Managementsystem (ISMS) bis dahin auf den neuen Anhang A umstellen.
Auch Unternehmen ohne eigenes Zertifikat sind betroffen – indirekt. Denn immer mehr Kunden und Auftraggeber verlangen von ihren Lieferanten eine Orientierung an der Norm. Wir schauen auf die Controls, die den Lebenszyklus von Hardware und Datenträgern betreffen, und erklären, was sich in der Praxis der IT-Ausmusterung ändert.
Was sich mit der Revision 2022 geändert hat
Der Anhang A wurde grundlegend neu strukturiert: Statt 114 Maßnahmen in 14 Bereichen gibt es jetzt 93 Controls in vier Themenfeldern – organisatorisch, personell, physisch und technologisch. Elf Controls sind neu, darunter Threat Intelligence (A.5.7), Informationssicherheit bei Cloud-Diensten (A.5.23), Konfigurationsmanagement (A.8.9), Data Leakage Prevention (A.8.12) und – besonders relevant für die IT-Entsorgung – Löschung von Informationen (A.8.10). Seit dem 1. Mai 2024 durften Erst- und Rezertifizierungsaudits ohnehin nur noch nach der Fassung 2022 stattfinden.
Drei Controls, die den Hardware-Lebenszyklus betreffen
A.7.10 Speichermedien: Datenträger sind über ihren gesamten Lebenszyklus zu verwalten – Beschaffung, Nutzung, Transport und Entsorgung. Das verlangt ein Inventar, klare Kennzeichnung und sichere Transportwege, etwa versiegelte Behälter bei der Abholung. A.7.14 Sichere Entsorgung oder Wiederverwendung von Betriebsmitteln: Vor Weitergabe oder Entsorgung muss sichergestellt sein, dass sensible Daten und lizenzierte Software entfernt oder sicher überschrieben wurden. A.8.10 Löschung von Informationen: Informationen sind zu löschen, wenn sie nicht mehr benötigt werden – mit nachweisbarem Verfahren. Für ausgemusterte Geräte heißt das: Löschung nach einem anerkannten Standard wie NIST SP 800-88 oder IEEE 2883, dokumentiert je Datenträger.
Lieferanten im Blick: A.5.19 bis A.5.22
Die Norm verlangt, dass Informationssicherheit auch in Lieferantenbeziehungen gesteuert wird – von der Auswahl über vertragliche Vereinbarungen bis zur laufenden Überwachung. Ein ITAD-Dienstleister, der Datenträger übernimmt, ist ein solcher Lieferant. Auditoren fragen deshalb zunehmend nach: Gibt es einen Auftragsverarbeitungsvertrag? Ist die Übergabe dokumentiert (Chain of Custody)? Liegt für jeden Datenträger ein Löschnachweis mit Seriennummer vor? Wird zertifizierte Löschsoftware eingesetzt? Wer diese Fragen mit Dokumenten beantworten kann, besteht diesen Teil des Audits ohne Diskussion.
Praxis-Checkliste für die Ausmusterung nach 27001:2022
Inventar aller Datenträger führen – inklusive eingebauter SSDs in Notebooks, Druckern und Netzwerkgeräten. Löschverfahren je Medientyp festlegen (HDD, SSD/NVMe, Mobilgeräte, Bandmedien) und mit dem Dienstleister vertraglich vereinbaren. Transport nur versiegelt und mit Übergabeprotokoll. Löschzertifikat je Gerät im ISMS ablegen, mindestens für die Dauer der Aufbewahrungspflichten. Verfahren jährlich im internen Audit prüfen.
Fazit
ISO/IEC 27001:2022 macht die sichere Ausmusterung von Hardware vom Nebenthema zum prüfbaren Control. Der Aufwand hält sich in Grenzen, wenn der Prozess mit einem Partner läuft, der die Nachweise standardmäßig liefert. Rhein ITAD Cycle löscht mit zertifizierter Blancco-Software, dokumentiert jeden Datenträger einzeln und übergibt die Protokolle revisionssicher – damit A.7.10, A.7.14 und A.8.10 im Audit kein Thema sind.
Quellen: ISO/IEC 27001:2022 und ISO/IEC 27002:2022; IAF MD 26:2023 „Transition requirements for ISO/IEC 27001:2022″; Hinweise der DAkkS zur Übergangsfrist.
Sind Zertifikate nach ISO 27001:2013 noch gültig?
Nein. Mit Ablauf der Übergangsfrist am 31. Oktober 2025 haben alle Zertifikate nach der Fassung 2013 ihre Gültigkeit verloren. Gültig sind nur noch Zertifikate nach ISO/IEC 27001:2022.
Welche Controls betreffen die IT-Entsorgung?
Vor allem A.7.10 (Speichermedien), A.7.14 (sichere Entsorgung oder Wiederverwendung von Betriebsmitteln) und das neue Control A.8.10 (Löschung von Informationen). Dazu kommen A.5.19 bis A.5.22 für die Steuerung von Lieferanten wie ITAD-Dienstleistern.
Muss mein ITAD-Dienstleister selbst nach ISO 27001 zertifiziert sein?
Die Norm verlangt das nicht zwingend. Entscheidend ist, dass Sie die Sicherheit der Lieferantenbeziehung nachweisen können: Vertrag, dokumentierte Übergabe, anerkanntes Löschverfahren mit zertifizierter Software und ein Löschnachweis je Datenträger.
