Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

Den ISMS-Betrieb im Alltag organisieren

Verbinde die Sicherheitsabläufe mit eurem Geschäft. Kläre Übergaben, Mittel und Kommunikation und prüfe, ob der vereinbarte Ablauf funktioniert.

Verantwortlich: Geschäftsleitung und ISMS-Verantwortliche mit den ProzessverantwortlichenFachlich geprüft am

Vorhandene Unterlagen nutzen

Verwende den ISMS-Rahmen, die Leitlinie und Handbuch Kapitel 2, 5 und 6 weiter. Bestehende Prozessbeschreibungen, Besprechungen und Aufgaben reichen, wenn sie den Ablauf nachvollziehbar führen.

Was du konkret tun musst

  1. 1

    Prozesse und Übergaben verbinden

    Nimm die vorhandenen Geschäfts- und Sicherheitsabläufe als Ausgangspunkt. Kläre etwa, wie eine neue Kundenanforderung in Risikobeurteilung, Behandlung, Arbeitsregeln und Prüfung eingeht. Halte je Übergabe fest, welches Ergebnis in welcher Fassung benötigt wird und wer es weiterverwendet. Führe die Übergaben im bestehenden Prozess- oder Handbuchabschnitt.

  2. 2

    Mittel und Kommunikation im Ablauf festlegen

    Wende die führende Rollenverteilung an und kläre mit der Geschäftsleitung die benötigte Zeit, Kompetenz, Werkzeuge und sonstigen Mittel. Nutze für Kompetenzlücken die bestehende Unterweisungs- und Befähigungsplanung. Lege fest, was intern oder extern wann, durch wen, an wen und auf welchem Weg kommuniziert wird. Halte diese Angaben am vorhandenen Prozess oder Termin fest, statt einen zweiten Kommunikationsplan anzulegen.

  3. 3

    Betrieb und Änderungen kontrolliert durchführen

    Bestimme passende Kriterien für die benötigten Prozesse und führe sie danach durch. Erhalte die Informationen, die zeigen, dass der geplante Ablauf tatsächlich stattgefunden hat. Beziehe sicherheitsrelevante extern erbrachte Prozesse, Produkte und Dienste in die Steuerung ein. Plane nötige ISMS-Änderungen mit Zweck, Folgen, Zuständigkeit und Mitteln. Prüfe unbeabsichtigte Änderungen und begrenze nachteilige Folgen.

  4. 4

    Hindernisse und Verbesserungen weiterführen

    Prüfe anhand tatsächlicher Arbeit, ob Ergebnisse und Übergaben passen. Nutze dafür auch Risikobeurteilung, Messungen, Vorfälle, Audits und Managementbewertung. Entscheide Verbesserungen für Eignung, Angemessenheit und Wirksamkeit, ordne die nötige Arbeit zu und prüfe deren Ergebnis. Eine Abweichung folgt dem bestehenden Korrekturablauf. Die nächste Managementbewertung führt die Entwicklung zusammen.

Praxisbeispiel

Ein neuer Kundendienst braucht verlässliche Übergaben

Fiktives Beispiel. Ein kleines IT-Unternehmen nimmt einen neuen Dienst in sein ISMS auf. Die Beteiligten verwenden den bestehenden Dienstvorgang und das Handbuch.

Übergabe vor dem Start
FestlegungDer Vertrieb übergibt die vereinbarten Sicherheitsanforderungen. Die Dienstverantwortliche lässt Risiken und nötige Vorkehrungen beurteilen. Die Betriebsleitung stellt die erforderliche Zeit und Kompetenz bereit.
NachweisVerknüpfte Anforderung, Risikobeurteilung und freigegebene Arbeiten am Dienstvorgang.
Betrieb und Verbesserung
FestlegungDas Team hält den tatsächlichen Start und die Prüfung der Übergaben fest. Ein fehlender Ansprechpartner wird im führenden Rollenabschnitt ergänzt und den Beteiligten mitgeteilt.
NachweisErgebnis der Prüfung, zugeordnete Verbesserung und aktualisierter Verweis.

Ergebnis festhalten

  • Führende Beschreibung der benötigten Prozesse, ihrer Übergaben und Kriterien.
  • Nachvollziehbare Entscheidungen über Mittel sowie die benötigte interne und externe Kommunikation.
  • Tatsächliche Betriebs- und Änderungsergebnisse und nachgehaltene Verbesserungen im bestehenden Bestand.

Häufige Fehler bei der Umsetzung

Einen zweiten Verwaltungsapparat aufbauen

Nutze die vorhandenen Abläufe und Dokumentstellen. Ein Prozessdiagramm, Kommunikationsplan oder gesondertes Register ist kein Selbstzweck.

Änderungen nur ankündigen

Kläre Folgen und nötige Mittel vor der Umsetzung. Prüfe anschließend den erreichten Stand und behandle unbeabsichtigte Auswirkungen.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen

  • ISO/IEC 27001 · 4.4

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Der Ablauf verbindet die benötigten ISMS-Prozesse und ihre Wechselwirkungen mit tatsächlichem Betrieb und Verbesserung. Die Organisation richtet die Prozesse passend zu ihren Anforderungen ein und führt sie aus.

    Referenz

  • ISO/IEC 27001 · 6.3

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    ISMS-Änderungen werden vor ihrer Durchführung mit Zweck, Folgen, Verantwortung und Mitteln geplant. Die konkrete Änderungsplanung und Umsetzung bleiben betriebliche Arbeit.

    Referenz

  • ISO/IEC 27001 · 7.1

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Beteiligten bestimmen mit der Geschäftsleitung die für Aufbau, Betrieb, Erhaltung und Verbesserung benötigten Mittel und führen Hindernisse weiter. Geeignete Ressourcen müssen tatsächlich bereitstehen.

    Referenz

  • ISO/IEC 27001 · 7.4

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Der bestehende Ablauf benennt Gegenstand, Zeitpunkt, Empfänger, zuständige Person und Weg der relevanten internen und externen Kommunikation. Tatsächliche Kommunikationsbedarfe und Durchführung sind organisationsbezogen festzulegen.

    Referenz

  • ISO/IEC 27001 · 8.1

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Prozesskriterien, gesteuerte Durchführung, geeignete erhaltene Informationen, geplante und unbeabsichtigte Änderungen sowie relevante externe Leistungen werden im bestehenden Betrieb verbunden. Der Anwender muss die Prozesse tatsächlich kontrolliert ausführen.

    Referenz

  • ISO/IEC 27001 · 10.1

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Der Ablauf nutzt tatsächliche Ergebnisse, um Eignung, Angemessenheit und Wirksamkeit fortlaufend zu verbessern und den erreichten Stand erneut zu prüfen. Eine vorbereitete Anleitung allein belegt keine Verbesserung.

    Referenz

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen