Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

ISMS-Risiken und Ziele gemeinsam steuern

Eine führende Risikomethode mit Bewertungen, Behandlung, SoA und Sicherheitszielen verbinden. Entscheidungen und Ergebnisse bleiben in ihren vorhandenen Beständen nachvollziehbar.

Verantwortlich: ISMS-Verantwortliche mit Risikoeignern und ZielverantwortlichenFachlich geprüft am

Vorhandene Unterlagen nutzen

Verwende den bestehenden ISMS-Rahmen, die Leitlinie, das Risikoregister, die SoA und den Aufgabenbestand weiter. Das Handbuch führt die Methode. Die Kopexa-Anleitung erklärt ihre Anwendung im Produkt, ohne eine zweite Regelquelle anzulegen.

Was du konkret tun musst

  1. 1

    Methode festlegen und Risiken beurteilen

    Lege im führenden Methodenstand den Betrachtungsumfang, die Beurteilungs- und Akzeptanzkriterien sowie eine vergleichbare Wiederholung fest. Erfasse die Risiken für Vertraulichkeit, Integrität und Verfügbarkeit der Informationen im ISMS-Geltungsbereich mit ihren Risikoeignern. Begründe mögliche Folgen und realistische Eintrittswahrscheinlichkeit, bestimme das Risikoniveau und vergleiche es mit den Kriterien. Halte Bewertung und Behandlungspriorität nachvollziehbar fest.

  2. 2

    Behandlung, SoA und Zustimmung verbinden

    Wähle die Behandlung anhand der Bewertung und bestimme alle nötigen Sicherheitsvorkehrungen. Prüfe sie gegen den vollständigen Annex A, um nichts Notwendiges zu übersehen, und ergänze eigene Vorkehrungen bei Bedarf. Die SoA enthält Aufnahmebegründungen, tatsächlichen Umsetzungsstand und begründete Ausschlüsse. Verbinde den Behandlungsplan mit konkreten Arbeiten. Der jeweilige Risikoeigner genehmigt den Plan und akzeptiert das verbleibende Risiko ausdrücklich am zugehörigen Stand.

  3. 3

    Sicherheitsziele mit einem umsetzbaren Plan führen

    Leite Ziele aus Leitlinie, anwendbaren Anforderungen und den Ergebnissen der Risikobeurteilung und Behandlung ab. Beschreibe sie soweit praktikabel messbar. Halte vorgesehene Arbeiten, Mittel, Verantwortung, Abschlusszeitpunkt und Ergebnisbewertung im führenden Bestand fest. Vermittle die Ziele den Beteiligten, überwache sie und passe sie bei Bedarf an.

  4. 4

    Ergebnisse erheben und auswerten

    Bestimme für die überwachten oder gemessenen Prozesse und Sicherheitsvorkehrungen den Gegenstand, eine geeignete Methode und Datenquelle. Lege fest, wann und wer erhebt sowie wann und wer auswertet. Die Methode muss gültige, vergleichbare und reproduzierbare Ergebnisse ermöglichen. Bewahre die tatsächlichen Ergebnisse auf und halte fest, was sie über Sicherheitsleistung und ISMS-Wirksamkeit aussagen. Verbinde nötige Folgearbeiten mit dem vorhandenen Aufgabenbestand.

Praxisbeispiel

Ein Team will seine Rechteprüfungen verlässlicher durchführen

Fiktives Beispiel: Ein Risiko beschreibt nicht mehr benötigte Zugänge. Das Team verwendet eine gültige Risikomethode, ein vorhandenes Risikoregister und den bestehenden Aufgabenbestand.

Risiko und Behandlung
FestlegungDer Risikoeigner prüft die Bewertung und den konkreten Plan zur Bereinigung. Seine Zustimmung zu Plan und verbleibendem Risiko wird am gültigen Stand festgehalten.
NachweisBegründete Bewertung, zugehörige Behandlung, SoA-Entscheidung und ausdrückliche Zustimmung.
Ziel und Ergebnis
FestlegungEin Sicherheitsziel benennt den angestrebten Prüfstand und den Termin. Die zuständige Person erhebt den tatsächlichen Stand; eine benannte Rolle bewertet Zielerreichung und nötige Folgeschritte.
NachweisAusgangsstand, Zielplan, Erhebungsmethode, tatsächliche Ergebnisse und begründete Auswertung.

Ergebnis festhalten

  • Gültige Risikokriterien und nachvollziehbare Beurteilungen mit Risikoeignern, Bewertungsgründen und Priorität.
  • Behandlung, SoA und konkrete Zustimmung der Risikoeigner zum Plan und verbleibenden Risiko.
  • Dokumentierte Ziele und Planung sowie erhaltene Mess- und Auswertungsergebnisse mit den daraus abgeleiteten Folgeschritten.

Häufige Fehler bei der Umsetzung

Eine Matrixfarbe als Risikoakzeptanz behandeln

Eine Toleranzschwelle unterstützt die Entscheidung. Sie ersetzt weder die ausdrückliche Zustimmung des Risikoeigners noch die Einhaltung geltender Anforderungen.

Denselben Stand in mehreren Listen pflegen

Wähle je Arbeitsergebnis einen führenden Bestand. Verknüpfe Risiko, Behandlung, SoA, Ziele und Aufgaben, statt unabhängig gepflegte Abschriften anzulegen.

Ein Dashboard als Auswertung verwenden

Halte fest, wie die Werte zustande kommen und was die verantwortliche Person daraus schließt. Ein angezeigter Wert allein ist keine bewertete Wirksamkeit.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen

  • ISO/IEC 27001 · 6.1.2

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Der Ablauf führt gepflegte Beurteilungs- und Akzeptanzkriterien, vergleichbare Wiederholungen und CIA-Risiken im Scope mit Eignern, begründeten Folgen und Wahrscheinlichkeiten, Risikoniveau und Priorisierung zusammen. Der Anwender muss geeignete Kriterien entscheiden und tatsächliche Beurteilungen durchführen und erhalten.

    Referenz

  • ISO/IEC 27001 · 6.1.3

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Behandlung wird mit notwendigen Sicherheitsvorkehrungen, vollständigem Annex-A-Abgleich, SoA-Begründungen und tatsächlichem Umsetzungsstand, Behandlungsplan sowie ausdrücklicher Zustimmung der Risikoeigner zu Plan und Restrisiko verbunden. Die konkreten Entscheidungen und die tatsächliche Behandlung bleiben betriebliche Arbeit.

    Referenz

  • ISO/IEC 27001 · 6.2

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Zielplanung berücksichtigt Leitlinie, anwendbare Anforderungen und Risikobeurteilung beziehungsweise Behandlung. Der Ablauf nennt Messbarkeit soweit praktikabel, Kommunikation, Überwachung und Pflege sowie Arbeiten, Mittel, Verantwortung, Abschluss und Ergebnisbewertung. Ziele müssen organisationsbezogen festgelegt und nachgehalten werden.

    Referenz

  • ISO/IEC 27001 · 9.1

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Der Ablauf bestimmt Gegenstand, geeignete Methode und Quelle, Zuständigkeiten und Zeitpunkte für Erhebung und Auswertung. Tatsächliche Ergebnisse werden erhalten und hinsichtlich Sicherheitsleistung und ISMS-Wirksamkeit beurteilt. Ein Register oder Software-Dashboard allein belegt diese Bewertung nicht.

    Referenz

Vorlagen für die Umsetzung

Quellen und weiterführende Informationen