ISO 27001 Anforderungen: Vom Normtext zum nachvollziehbaren Nachweis

ISO 27001 verlangt ein gesteuertes Managementsystem für Informationssicherheit. Dazu gehören ein abgegrenzter Anwendungsbereich, Verantwortlichkeiten, Risikobeurteilung und Risikobehandlung sowie Bewertung und Verbesserung. Technische Maßnahmen sind ein Bestandteil. Entscheidend ist, dass die Organisation ihre Entscheidungen und deren Umsetzung nachvollziehbar belegt.

Die 93 Maßnahmen dienen als Referenz für die Auswahl notwendiger Sicherheitsmaßnahmen. Die Organisation begründet ihre Auswahl anhand der Risikobehandlung und weiterer Anforderungen und dokumentiert die Anwendbarkeit. Nicht jede Maßnahme ist pauschal umzusetzen; zugleich können über den Referenzkatalog hinausgehende Maßnahmen nötig sein. Die Zahl 114 bezieht sich auf die Vorgängerausgabe.

Eine universelle Dokumentenliste genügt nicht. Benötigt werden die im Normtext geforderten dokumentierten Informationen und die für den eigenen ISMS-Betrieb erforderlichen Unterlagen und Nachweise. Wir unterscheiden Richtlinien und Verfahren von ausgefüllten Betriebsnachweisen. Das Register hält Stand, Freigabe, Verantwortliche und offene Lücken fest.

Ein durchgeführter Kontrollschritt ist noch kein Beleg für seine Wirksamkeit. Ausgewählte Stichproben, interne Audits, Bewertungen durch die Leitung und nachverfolgte Korrekturmaßnahmen liefern unterschiedliche Nachweise. Prüfumfang, Bewertungsmaßstab und verbleibende Einschränkungen müssen zu den jeweiligen Aussagen passen.

Die Organisation legt nachvollziehbare Kriterien für die Beurteilung ihrer Informationssicherheitsrisiken fest und wendet diese konsistent an. Risiken, Behandlungsschritte, Maßnahmen und verbleibende Risikoentscheidungen müssen zusammenpassen. Die Risikoverantwortlichen entscheiden über die Behandlung und Akzeptanz; eine Beratung nimmt ihnen diese Verantwortung nicht ab.

Ein internes Audit prüft das ISMS anhand eines vereinbarten Programms, Prüfumfangs und nachvollziehbarer Nachweise. Unabhängigkeit und Objektivität der Prüfenden sind zu beachten. Auditvorbereitung, internes Audit und externe Zertifizierung haben verschiedene Rollen und werden im Auftrag getrennt abgegrenzt.

Zum vereinbarten Umfang gehören das Anforderungs- und Nachweisregister, eine abgestimmte Befundliste und ein priorisierter Maßnahmenplan mit Verantwortlichen und Abschlusschecks. Ob technische Umsetzung, internes Audit oder weitere Begleitung enthalten sind, wird gesondert vereinbart.

ADVISORI kann die vereinbarte ISMS-Arbeit und Auditvorbereitung unterstützen. Über eine Zertifizierung entscheidet die dafür beauftragte unabhängige Zertifizierungsstelle. Weder ein Arbeitsblatt noch ein abgeschlossenes Beratungsprojekt garantiert ein Zertifikat.

Die Organisation legt fest, wer das ISMS steuert, Maßnahmen umsetzt und Risiken entscheiden darf. Eine Rollenübersicht sollte Aufgaben, Befugnisse, Vertretung und Eskalationswege verbinden. Die Leitung benötigt nachvollziehbare Informationen, um Ressourcen und Verbesserungen zu entscheiden. Ein bestimmter Jobtitel oder ein zusätzliches Gremium ersetzt diese Zuordnung nicht. Als Nachweise eignen sich freigegebene Zuständigkeiten und dokumentierte Entscheidungen aus dem tatsächlichen Betrieb.

Ausgangspunkt sind Schutzbedarf, Risiken, relevante Anforderungen und die vorhandene Architektur. Daraus werden geeignete Maßnahmen und überprüfbare Kriterien abgeleitet, etwa für Zugriffsschutz, Verschlüsselung oder Wiederherstellung. Eine bestimmte IAM-, DLP- oder SIEM-Plattform ist kein pauschaler Ersatz für diese Auswahl. Im Nachweisregister wird festgehalten, wo eine Maßnahme umgesetzt ist, wie sie geprüft wurde und welche Systeme oder Abhängigkeiten noch offen sind.

Ein gemeinsamer Nachweis kann für mehrere Prüfziele relevant sein. Dafür werden zunächst die tatsächlich anwendbaren Anforderungen mit Quelle, Geltungsbereich und Stand erfasst. Eine Zuordnung zeigt gemeinsame Kontrollziele und verbleibende Unterschiede. Gleiche Schlagwörter bedeuten keine vollständige Gleichwertigkeit. Fachlich Verantwortliche prüfen die konkrete Abdeckung; gesetzliche Pflichten oder besondere Meldewege werden nicht durch ein ISO-Zertifikat ersetzt.

Die vereinbarten Abläufe müssen tatsächlich ausgeführt und überprüft werden. Beispiele sind Berechtigungsreviews, die Behandlung von Sicherheitsvorfällen, Maßnahmenverfolgung und Prüfungen der Wiederherstellung. Für jede ausgewählte Aufgabe sollten Verantwortliche, Anlass oder Termin, Ergebnis und Eskalation erkennbar sein. Ein Dashboard allein belegt keine Durchführung. Stichproben zeigen, ob der beschriebene Prozess im Alltag funktioniert und Abweichungen bearbeitet werden.

Eine Änderung sollte erkennen lassen, was sich ändert, welche Sicherheitsauswirkungen zu prüfen sind und wer die Umsetzung freigibt. Je nach Risiko gehören Tests, ein Rückfallverfahren und aktualisierte Dokumentation dazu. Auch dringende Änderungen brauchen einen passenden Entscheidungs- und Nachweisweg. Ob ein Change Advisory Board sinnvoll ist, hängt von der Organisation ab; entscheidend ist eine nachvollziehbare Zuständigkeit statt einer ungeprüften Standardstruktur.

Zunächst wird festgelegt, welche Kenntnisse und Fähigkeiten die jeweiligen Rollen benötigen. Eine Einweisung für Mitarbeitende und die Befähigung einer ISMS-Verantwortlichen sind unterschiedliche Aufgaben. Trainingsunterlagen und Teilnahme können Aktivitäten belegen; eine praktische Aufgabe oder fachliche Bewertung liefert zusätzliche Hinweise auf die Befähigung. Offene Lernbedarfe werden nachgehalten. Eine Schulung ersetzt keine funktionierenden Meldewege und Verantwortlichkeiten.

Das ISMS muss auch relevante Informationssicherheitsrisiken bei Störungen berücksichtigen. Für den eigenen Anwendungsbereich sind beispielsweise Wiederherstellungsbedarf, sichere Ersatzverfahren und getestete Abhängigkeiten zu klären. Ein vorhandenes Backup reicht als Nachweis eines erfolgreichen Wiederanlaufs nicht aus. Umfang und Nachweise werden anhand der tatsächlichen Risiken bestimmt. Daraus folgt nicht automatisch ein vollständig eingeführtes Business-Continuity-Management für alle Geschäftsprozesse.

Wichtige Ausgangspunkte sind die bezogenen Leistungen, Informationszugriffe, Abhängigkeiten und vertraglich vereinbarten Sicherheitsanforderungen. Eine Nachweisübersicht kann Auswahlprüfung, vereinbarte Pflichten, verfügbare Prüfberichte und den Umgang mit Änderungen oder Vorfällen verbinden. Ungeprüfte Angaben bleiben als solche sichtbar. Ein Zertifikat des Lieferanten kann relevant sein, deckt aber nicht automatisch die konkrete Leistung, Schnittstelle oder eigene Konfiguration ab.

Die Klassifizierung braucht verständliche Kriterien und passende Regeln für Zugriff, Weitergabe, Speicherung und Löschung. Fachverantwortliche ordnen Informationen anhand ihres tatsächlichen Schutzbedarfs ein. Ein Testfall kann zeigen, ob Mitarbeitende aus einer Klasse die richtige Handlung ableiten können. Automatische Werkzeuge sind eine mögliche Unterstützung; sie ersetzen weder die fachliche Zuordnung noch den Umgang mit Ausnahmen und widersprüchlichen Anforderungen.

Zu klären sind Erkennung und Meldung, Bewertung, befugte Reaktion, Kommunikation und die anschließende Verbesserung. Für ausgewählte Vorfälle wird festgelegt, welche Informationen wie gesichert werden und wer darüber verfügen darf. Ein durchgespielter Fall macht fehlende Kontakte oder Zugriffe sichtbar. Ob ein eigener Rund-um-die-Uhr-Dienst oder externe Forensik benötigt wird, muss am tatsächlichen Risiko und Betriebsmodell entschieden werden; beides ist keine pauschale Leistungszusage.

Änderungen an Nutzung, Architektur, Lieferanten oder Bedrohungslage sind Anlässe, betroffene Risiken und Maßnahmen erneut zu prüfen. Festgehalten werden Änderung, Auswirkung, Entscheidung und erforderliche Nachweise. Nicht jeder Technologietrend führt zu einer neuen Pflicht oder einem neuen Produktbedarf. Ein nachvollziehbarer Review der tatsächlich eingesetzten Systeme hilft mehr als eine unverbindliche Liste vermeintlich zukunftssicherer Technologien.

Sichtbar sein sollten befugte Entscheidungen, verfügbare Ressourcen, ausgeführte Aufgaben und bearbeitete Feststellungen. Ein konkreter Prüfweg kann beispielsweise vom Risikobefund über die Maßnahme bis zur erneuten Wirksamkeitsprüfung führen. Fehlen Verantwortliche oder bleiben Befunde dauerhaft ohne Entscheidung, ist das ein Klärungsbedarf. Ein vollständig ausgefülltes Vorlagenset allein belegt keinen wirksamen Betrieb.

Ein Vorhaben wird früh auf Änderungen am Anwendungsbereich, an Informationsflüssen, Lieferanten und Verantwortlichkeiten geprüft. Relevante Sicherheitsanforderungen kommen mit überprüfbaren Kriterien in den Projektumfang. Vor der Übergabe müssen Betrieb, Nachweise und offene Risiken zugeordnet sein. Eine Cloud-Migration oder ein automatisierter Scan aktualisiert das ISMS nicht von selbst. Welche technische Umsetzung beauftragt ist, wird getrennt von der Anforderungsprüfung vereinbart.

Hilfreich sind ein klarer Anwendungsbereich, risikoorientierte Prioritäten und die Weiterverwendung geeigneter vorhandener Nachweise. Doppelte Dokumentation kann reduziert werden, wenn ein Register die Nutzung derselben Quelle für mehrere Prüfziele nachvollziehbar macht. Aufwandstreiber wie zusätzliche Standorte, Systeme und fehlende Verantwortliche werden zu Beginn sichtbar gemacht. Eine feste Kostenersparnis lässt sich daraus ohne belastbare Ausgangsdaten und einen konkreten Vergleich nicht ableiten.