_1762866128417-DS2_OO1j.png)
Pflicht aus der Norm, Pflicht aus dem Risiko
ISO/IEC 27001 kennt zwei Quellen für Dokumentationspflichten. Die Kapitel 4 bis 10 verlangen an bestimmten Stellen ausdrücklich dokumentierte Information – etwa den Geltungsbereich, die Risikobeurteilung oder die Erklärung zur Anwendbarkeit. Darüber hinaus ergeben sich Dokumente aus den Maßnahmen des Anhangs A, die Sie aufgrund Ihrer Risikobeurteilung als anwendbar erklärt haben. Einige dieser Maßnahmen verlangen ausdrücklich dokumentierte Regeln, etwa Richtlinien oder dokumentierte Betriebsverfahren.
Wie bei allen ISO-Managementsystemen gilt außerdem Kapitel 7.5.1 b: Sie bestimmen selbst, welche weitere Dokumentation für die Wirksamkeit Ihres ISMS notwendig ist. Der Umfang hängt von Größe, Tätigkeiten, Komplexität und Kompetenz der Beteiligten ab.
Pflichtdokumente aus den Kapiteln 4 bis 10
| Kapitel | Dokument oder Nachweis | Art |
|---|---|---|
| 4.3 | Anwendungsbereich des ISMS | Aufrechterhalten |
| 5.2 | Informationssicherheitspolitik | Aufrechterhalten |
| 6.1.2 | Prozess der Informationssicherheits-Risikobeurteilung | Aufrechterhalten |
| 6.1.3 | Prozess der Risikobehandlung | Aufrechterhalten |
| 6.1.3 d | Erklärung zur Anwendbarkeit (SoA) | Aufrechterhalten |
| 6.1.3 e | Risikobehandlungsplan | Aufrechterhalten |
| 6.2 | Informationssicherheitsziele | Aufrechterhalten |
| 7.2 | Nachweise der Kompetenz | Aufbewahren |
| 8.1 | Nachweise, dass Prozesse wie geplant durchgeführt wurden | Aufbewahren |
| 8.2 | Ergebnisse der Risikobeurteilungen | Aufbewahren |
| 8.3 | Ergebnisse der Risikobehandlung | Aufbewahren |
| 9.1 | Ergebnisse der Überwachung und Messung | Aufbewahren |
| 9.2 | Auditprogramm und Auditergebnisse | Aufbewahren |
| 9.3 | Ergebnisse der Managementbewertung | Aufbewahren |
| 10.2 | Nichtkonformitäten, Maßnahmen und Ergebnisse von Korrekturmaßnahmen | Aufbewahren |
Die Erklärung zur Anwendbarkeit (SoA)
Die SoA ist das Bindeglied zwischen Risikobeurteilung und Maßnahmen. Sie listet alle 93 Maßnahmen des Anhangs A und beantwortet für jede drei Fragen: Ist die Maßnahme anwendbar? Warum oder warum nicht? Ist sie umgesetzt? Zusätzlich können Sie eigene Maßnahmen aufnehmen, die über Anhang A hinausgehen.
| Spalte | Inhalt | Beispiel |
|---|---|---|
| Maßnahme | Nummer und Titel aus Anhang A | A.8.13 Sicherung von Information |
| Anwendbar | Ja oder nein | Ja |
| Begründung | Bezug zu Risiko, Gesetz oder Vertrag | Risiko R-12 Datenverlust; Kundenverträge |
| Umsetzungsstand | Umgesetzt, teilweise, geplant | Umgesetzt |
| Nachweis | Verweis auf Richtlinie oder Aufzeichnung | Backup-Richtlinie, Wiederherstellungstests |
Ausschlüsse sind erlaubt, müssen aber nachvollziehbar begründet sein. „Wir haben keine eigene Softwareentwicklung“ ist eine gute Begründung für den Ausschluss von A.8.25 bis A.8.28 – „zu aufwendig“ ist keine.
Dokumente zu den Maßnahmen aus Anhang A
Welche Richtlinien und Verfahren Sie brauchen, hängt von Ihrer SoA ab. Die folgende Übersicht zeigt Dokumente, die in fast jedem ISMS vorkommen:
| Maßnahme | Typisches Dokument |
|---|---|
| A.5.1 | Informationssicherheitsrichtlinien für einzelne Themen |
| A.5.9 | Inventar der Informationswerte |
| A.5.10 | Regeln zum zulässigen Gebrauch von Informationen und Werten |
| A.5.15–A.5.18 | Zugangssteuerung, Identitäts- und Berechtigungsmanagement |
| A.5.19–A.5.23 | Lieferantenbeziehungen und Nutzung von Cloud-Diensten |
| A.5.24–A.5.28 | Management von Sicherheitsvorfällen und Sammlung von Beweisen |
| A.5.29, A.5.30 | Informationssicherheit bei Störungen, IKT-Bereitschaft für Business Continuity |
| A.5.31 | Verzeichnis rechtlicher, gesetzlicher und vertraglicher Anforderungen |
| A.5.37 | Dokumentierte Betriebsverfahren |
| A.6.1–A.6.6 | Überprüfung, Beschäftigungsbedingungen, Sensibilisierung, Vertraulichkeitsvereinbarungen |
| A.8.13 | Datensicherung |
| A.8.32 | Änderungssteuerung |
Die elf neuen Maßnahmen der Fassung 2022
Mit der Fassung 2022 wurde Anhang A von 114 auf 93 Maßnahmen umgebaut. Viele wurden zusammengefasst, elf kamen neu hinzu. Prüfen Sie, ob Ihre Dokumentation diese Themen abdeckt:
- A.5.7 Informationen über die Bedrohungslage
- A.5.23 Informationssicherheit für die Nutzung von Cloud-Diensten
- A.5.30 IKT-Bereitschaft für Business Continuity
- A.7.4 Physische Sicherheitsüberwachung
- A.8.9 Konfigurationsmanagement
- A.8.10 Löschung von Informationen
- A.8.11 Datenmaskierung
- A.8.12 Verhinderung von Datenlecks
- A.8.16 Überwachung von Aktivitäten
- A.8.23 Webfilterung
- A.8.28 Sichere Programmierung
Ein sinnvoller Dokumentenaufbau
| Ebene | Inhalt | Umfang |
|---|---|---|
| Leitlinie | Informationssicherheitspolitik mit Zielen und Verpflichtung der Leitung | 1 bis 3 Seiten |
| Methoden | Geltungsbereich, Risikomethode, SoA, Risikobehandlungsplan | Kernstück des ISMS |
| Themenrichtlinien | Zugang, Kryptografie, Backup, Lieferanten, Vorfälle, mobiles Arbeiten | Je 1 bis 5 Seiten |
| Betriebsverfahren | Konkrete Abläufe für IT und Fachbereiche | Nach Bedarf |
| Nachweise | Protokolle, Berichte, Schulungen, Tests | Laufend |
Viele Unternehmen fassen die Regeln für Mitarbeitende in einer kurzen Richtlinie zusammen – Passwörter, Clean Desk, mobiles Arbeiten, Umgang mit E-Mails und KI-Tools. Diese Richtlinie wird mit Lesebestätigung verteilt und in der jährlichen Sensibilisierung behandelt.
Beispiel: Dokumentenset eines SaaS-Anbieters
Ein Softwareanbieter mit 80 Beschäftigten und Cloud-Infrastruktur kommt typischerweise auf folgendes Set:
- Politik, Geltungsbereich, Rollen, Ziele
- Risikomethode, Risikoregister, Risikobehandlungsplan, SoA
- Inventar der Werte und Klassifizierungsrichtlinie
- Richtlinien zu Zugang, Kryptografie, Backup, Logging, Änderungen, sicherer Entwicklung
- Lieferanten- und Cloud-Richtlinie mit Bewertung der Dienstleister
- Vorfallmanagement mit Meldewegen und Playbooks
- Business-Continuity-Konzept mit Wiederherstellungstests
- Sicherheitsregeln für Mitarbeitende und Schulungskonzept
- Auditprogramm, Auditberichte, Managementbewertung, Maßnahmenliste
Worauf Auditoren achten
- Roter Faden: Lassen sich Risiken, SoA, Richtlinien und Nachweise lückenlos verbinden?
- Aktualität: Wurden Risikobeurteilung und SoA nach wesentlichen Änderungen überarbeitet?
- Umsetzung: Werden Richtlinien gelebt – etwa Berechtigungsprüfungen tatsächlich durchgeführt und dokumentiert?
- Freigabe: Hat die Leitung Politik und Restrisiken nachweisbar genehmigt?
- Kompetenz: Gibt es Nachweise für Schulung und Sensibilisierung aller Beschäftigten?
Häufige Fehler bei der ISMS-Dokumentation
- Musterrichtlinien ohne Anpassung: Gekaufte Vorlagen beschreiben Maßnahmen, die im Unternehmen gar nicht umgesetzt sind. Auditoren erkennen das schnell an der Diskrepanz zwischen Papier und Praxis.
- SoA ohne Bezug zu Risiken: Maßnahmen werden pauschal als anwendbar markiert, ohne Begründung aus der Risikobeurteilung.
- Veraltetes Inventar: Neue Cloud-Dienste, Systeme oder Standorte fehlen im Inventar der Werte und damit auch in der Risikobeurteilung.
- Fehlende Nachweise: Richtlinien verlangen regelmäßige Prüfungen – etwa von Berechtigungen oder Backups –, aber es gibt keine Aufzeichnungen darüber.
- Zu viele Dokumente: Umfangreiche Handbücher, die niemand liest, schaden mehr als sie nutzen. Kurze, rollenbezogene Regeln werden eher befolgt.
ISO-27001-Dokumente und NIS2
Unternehmen, die unter NIS2 fallen, können ihre ISO-27001-Dokumentation weitgehend nutzen. Ergänzen sollten Sie vor allem die Dokumentation der Betroffenheitsprüfung und Registrierung, die Meldewege und Fristen für erhebliche Sicherheitsvorfälle sowie Nachweise zur Billigung der Maßnahmen und zur Schulung der Geschäftsleitung. Der Ratgeber NIS2 Meldepflicht beschreibt die Meldefristen im Detail.
Schritt für Schritt zum vollständigen Dokumentenset
- 1
Geltungsbereich festlegen
Standorte, Organisationseinheiten, Systeme und Schnittstellen bestimmen.
- 2
Risikomethode und Inventar
Methode beschreiben, Informationswerte erfassen, Risikoeigentümer benennen.
- 3
Risiken bewerten und behandeln
Risikoregister erstellen, Maßnahmen auswählen, SoA ableiten.
- 4
Richtlinien schreiben
Für jede anwendbare Maßnahme festlegen, ob eine Richtlinie, ein Verfahren oder ein Nachweis genügt.
- 5
Freigeben, verteilen, schulen
Dokumente freigeben, mit Lesebestätigung verteilen und Beschäftigte sensibilisieren.
- 6
Nachweise sammeln
Betrieb dokumentieren, intern auditieren, Managementbewertung durchführen.
ISO-27001-Dokumentation mit docxpert
docxpert enthält 27 Vorlagen mit ISO-27001-Bezug, darunter Risikobeurteilung und -behandlung, Erklärung zur Anwendbarkeit, Informationswerte und Zugriffssteuerung, Sicherheitsregeln für Mitarbeitende, technische Maßnahmen, Sicherheitsvorfälle und Business Continuity. Der Anforderungskatalog für die Gap-Analyse umfasst Kapitel und Anhang A; die Traceability verknüpft Maßnahmen mit Ihren Nachweisen.
Häufige Fragen
Was ist der Unterschied zwischen Risikobehandlungsplan und SoA?
Die SoA listet alle Anhang-A-Maßnahmen mit Anwendbarkeit, Begründung und Umsetzungsstand. Der Risikobehandlungsplan beschreibt, welche Maßnahmen für welche Risiken bis wann von wem umgesetzt werden. Beide hängen eng zusammen und werden meist gemeinsam gepflegt.
Dürfen Dokumente in englischer Sprache vorliegen?
Ja, die Norm schreibt keine Sprache vor. Wichtig ist, dass die Beschäftigten die für sie relevanten Regeln verstehen. Richtlinien für Mitarbeitende sollten deshalb in der Sprache vorliegen, die im Unternehmen gesprochen wird.
Wie viele Pflichtdokumente hat ISO 27001?
Aus den Kapiteln 4 bis 10 ergeben sich rund 15 ausdrücklich geforderte Dokumente und Nachweise. Hinzu kommen Richtlinien und Verfahren zu den anwendbaren Anhang-A-Maßnahmen, sodass ein typisches ISMS 20 bis 40 gelenkte Dokumente umfasst.
Ist die Erklärung zur Anwendbarkeit Pflicht?
Ja. Die SoA ist ausdrücklich in 6.1.3 d gefordert und eines der wichtigsten Dokumente im Zertifizierungsaudit.
Brauche ich für jede Anhang-A-Maßnahme eine eigene Richtlinie?
Nein. Viele Maßnahmen lassen sich in thematischen Richtlinien bündeln, andere werden durch technische Konfiguration oder Aufzeichnungen nachgewiesen. Entscheidend ist, dass die SoA auf den jeweiligen Nachweis verweist.
Muss das Risikoregister ein eigenes Dokument sein?
Die Norm verlangt die Ergebnisse der Risikobeurteilung als aufbewahrte Information, aber kein bestimmtes Format. Ein Register als Tabelle oder in einer Software ist üblich.
Wie oft müssen ISMS-Dokumente überprüft werden?
Mindestens im Rahmen der jährlichen Managementbewertung und anlassbezogen bei wesentlichen Änderungen, Vorfällen oder neuen Anforderungen. Die Risikobeurteilung muss in geplanten Abständen wiederholt werden.
Kann ich Dokumente aus ISO 9001 wiederverwenden?
Ja. Lenkung dokumentierter Information, internes Audit, Managementbewertung und Korrekturmaßnahmen lassen sich gemeinsam nutzen und um ISMS-spezifische Inhalte ergänzen.
Wie verknüpfe ich eine Anhang-A-Maßnahme mit belastbaren Nachweisen?
Beginnen Sie bei der Erklärung zur Anwendbarkeit und halten Sie dort fest, warum eine Maßnahme gilt oder ausgeschlossen wurde. Verweisen Sie dann auf den Nachweis, der die konkrete Umsetzung belegt: eine freigegebene Richtlinie, eine Systemkonfiguration, ein Protokoll, ein Vertrag oder ein dokumentierter Test können unterschiedliche Teile der Aussage stützen. Prüfen Sie, ob der Nachweis aktuell ist, den relevanten Geltungsbereich umfasst und einer verantwortlichen Person zugeordnet werden kann. Ein Dokumenttitel allein beweist keine Wirksamkeit; ergänzen Sie bei Bedarf Ergebnisse von Kontrollen oder Stichproben. Wenn die Maßnahme nicht anwendbar ist, dokumentieren Sie die Begründung und prüfen Sie sie bei Änderungen erneut. Diese Zuordnung macht die Verbindung zwischen Risiko, Entscheidung und Umsetzung nachvollziehbar, ohne unnötig für jede einzelne Maßnahme ein separates Dokument anzulegen.