Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

Abweichungen und Korrekturmaßnahmen bearbeiten

Führe den vorhandenen Befund von der Reaktion über Ursachen und Korrektur bis zur geprüften Wirkung.

Verantwortlich: Befundverantwortliche mit den für Umsetzung und Wirksamkeitsprüfung zuständigen PersonenFachlich geprüft am

Vorhandene Unterlagen nutzen

Handbuch Kapitel 10 führt die Methode. Verwende den vorhandenen Befund-, Aufgaben- oder Vorfallvorgang; verknüpfe zugehörige Arbeiten und Nachweise, statt den Fall in einer zweiten Liste nachzuführen.

Was du konkret tun musst

  1. 1

    Abweichung und Reaktion festhalten

    Beschreibe, welche Anforderung nicht eingehalten wurde und was tatsächlich passiert ist. Halte Folgen und eine zuständige Person im vorhandenen Vorgang fest. Veranlasse nötige Korrekturen und begrenze weitere Folgen. Ist ein Vorfall beteiligt, verweise auf seine vorhandene Fallakte.

  2. 2

    Ursache und ähnliche Fälle untersuchen

    Prüfe die Ursache und ob vergleichbare Abweichungen bereits bestehen oder an anderer Stelle entstehen können. Entscheide angemessene Korrekturmaßnahmen, damit die Ursache behandelt wird und sich die Abweichung nicht wiederholt oder anderswo auftritt. Halte Befund, Begründung und Entscheidung im selben Vorgang fest.

  3. 3

    Korrektur umsetzen und mit dem Befund verbinden

    Ordne die beschlossenen Arbeiten den zuständigen Personen zu und verfolge die tatsächliche Umsetzung. Verknüpfe vorhandene Aufgaben oder dokumentiere die Arbeit direkt am Befund. Führe nötige ISMS-Änderungen im bestehenden Änderungsablauf weiter. Eine erledigte Aufgabe allein belegt keine wirksame Korrektur.

  4. 4

    Wirkung prüfen und begründet abschließen

    Lege passend zum Fall fest, woran, wann und durch wen die Wirkung geprüft wird. Prüfe den erreichten Zustand anhand geeigneter Belege und beurteile das Ergebnis. Erhalte Art der Abweichung, Folgemaßnahmen und Ergebnisse der Korrektur einschließlich Wirksamkeitsprüfung im vorhandenen Vorgang. Bleibt das Problem bestehen, führe es weiter. Schließe den Vorgang ab, sobald das tatsächliche Ergebnis den Abschluss trägt.

Praxisbeispiel

Eine Rechteprüfung wurde als erledigt geführt

Fiktives Beispiel. Eine Stichprobe zeigt, dass ein nicht mehr benötigter Zugang trotz abgeschlossener Rechteprüfung aktiv ist. Das Team bearbeitet den Fall im vorhandenen Auditbefund.

Reaktion und Ursache
FestlegungDie zuständige Person prüft und bereinigt die betroffenen Zugänge. Die Ursachenanalyse zeigt, dass die bisherige Aufgabe nur eine Bestätigung, aber keinen Abgleich des tatsächlichen Rechtebestands verlangte. Vergleichbare Prüfungen werden einbezogen.
NachweisBefund, begrenzte Folgen, belegte Ursache und entschiedene Korrektur im selben Vorgang.
Geprüfte Wirkung
FestlegungDie zuständige Rolle prüft nach der Anpassung am tatsächlichen Rechtebestand, ob der neue Ablauf funktioniert. Ihr Ergebnis und verbleibende Arbeiten begründen den Abschluss.
NachweisBezug zur Änderung, tatsächlicher Prüfbeleg und begründete Abschlussentscheidung.

Ergebnis festhalten

  • Art der Abweichung, betroffene Anforderung, Reaktion und Behandlung ihrer Folgen.
  • Beurteilte Ursache und ähnliche oder mögliche weitere Fälle mit entschiedenen Korrekturmaßnahmen.
  • Tatsächliche Umsetzung, Wirksamkeitsprüfung und Ergebnisse der Korrektur einschließlich nötiger ISMS-Änderungen.

Häufige Fehler bei der Umsetzung

Nur den sichtbaren Fehler korrigieren

Die Sofortkorrektur kann nötig sein. Prüfe trotzdem die Ursache und mögliche weitere Fälle, bevor du die angemessene Korrekturmaßnahme bestimmst.

Aufgabenabschluss als Wirksamkeit ansehen

Eine Umsetzungsmeldung ersetzt keine Prüfung des Ergebnisses. Halte fest, was geprüft wurde und warum der erreichte Stand einen Abschluss rechtfertigt.

Bezug zur Anforderung

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen

  • ISO/IEC 27001 · 10.2

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die vier Schritte führen Reaktion und Folgen, Ursachen und ähnliche Fälle, angemessene Korrekturmaßnahmen, tatsächliche Umsetzung, Wirksamkeitsprüfung, nötige ISMS-Änderungen sowie erhaltene Angaben zur Abweichung und ihren Ergebnissen zusammen. Der Anwender muss die konkreten Fälle angemessen bearbeiten und die Wirkung tatsächlich prüfen.

    Referenz

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen