Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

Informationssicherheit im Projekt prüfen

Nimm Sicherheitsanforderungen und Risiken früh in die vorhandene Projektplanung auf. Prüfe ihre Behandlung im Verlauf und am Ergebnis, auch bei Projekten außerhalb der IT.

Verantwortlich: Projektleitung mit fachlich Verantwortlichen, Betrieb und RisikoverantwortungFachlich geprüft am

Vorhandene Unterlagen nutzen

Ergänze den bestehenden Projektauftrag, Backlog und passende Entscheidungspunkte. Nutze die führende Risikomethode, Informationsklassen sowie vorhandene Lieferanten-, Änderungs- und Betriebsregeln. Ein zusätzlicher Sicherheitsprojektplan oder eine neue Risikotabelle ist nicht grundsätzlich nötig.

Was du konkret tun musst

  1. 1

    Anforderungen und Risiken früh bestimmen

    Beschreibe im bestehenden Auftrag Zweck, Ergebnis, betroffene Informationen und Assets sowie interne und externe Beteiligte. Bestimme Schutzbedarf und anwendbare Anforderungen aus Geschäft, Recht, Verträgen und führenden Regeln. Bewerte Risiken mit der vorhandenen Methode. Betrachte sowohl das spätere Ergebnis als auch die Durchführung, etwa Projektzugriffe, Kommunikation und geteilte Unterlagen. Halte prüfbare Sicherheitskriterien fest.

  2. 2

    Sicherheitsarbeit in den Projektverlauf einplanen

    Ordne Verantwortung, Befugnisse und nötige Ressourcen zu. Verbinde die Behandlung mit vorhandenen Aufgaben und geeigneten Projektpunkten, an denen befugte Personen Fortschritt und Ergebnis prüfen. Kläre passende Anforderungen an externe Beteiligte über den bestehenden Lieferantenprozess. Die Methode darf zum Projekt passen, ob kurzer Standortwechsel, längeres Bauprojekt oder agile Entwicklung.

  3. 3

    Änderungen und Wirksamkeit prüfen

    Bewerte Risiken im Verlauf und bei wesentlichen Änderungen erneut. Prüfe an den geplanten Punkten, ob die Sicherheitsanforderungen umgesetzt und wirksam sind; wähle passende fachliche oder technische Prüfungen. Halte Ergebnisse, Abweichungen und Entscheidungen im Projektvorgang. Die beauftragte Rolle entscheidet über erforderliche Nacharbeit oder verbleibende Risiken nach der führenden Methode.

  4. 4

    An den Betrieb übergeben

    Übergib die tatsächlich benötigten Regeln, Zugänge, Verantwortlichkeiten, Nachweise und offenen Punkte. Prüfe mit den Übernehmenden, ob sie den vorgesehenen Betrieb leisten können. Nicht mehr benötigte Projektzugriffe und Kopien werden nach den geltenden Regeln behandelt. Führe Restarbeit im bestehenden Vorgang weiter und nutze wichtige Erkenntnisse für folgende Projekte.

Praxisbeispiel

Ein Standortumzug verändert den Informationsschutz

Fiktives Beispiel: Ein kleines Unternehmen verlegt Arbeitsplätze und ein Archiv an einen neuen Standort.

Planung und Durchführung
FestlegungDas Projekt bestimmt Schutz und erlaubte Empfänger für Unterlagen und Transport. Zutritt, geeignete Räume und betriebliche Abhängigkeiten werden früh eingeplant; beteiligte Dienstleister erhalten passende Anforderungen.
NachweisBestehender Projektauftrag mit Anforderungen, Risiken, zuständigen Personen und Prüfpunkten.
Prüfung und Übergabe
FestlegungVor Nutzung prüfen die zuständigen Rollen den vorgesehenen Zutritt und die erreichbaren benötigten Informationen. Offene Arbeiten und neue Zuständigkeiten werden an den Betrieb übergeben.
NachweisNachvollziehbare Ergebnisse und Entscheidungen im vorhandenen Projektvorgang.

Ergebnis festhalten

  • Bestehender Projektauftrag oder Backlog mit Sicherheitsanforderungen, Risiken, Verantwortlichen und Prüfpunkten.
  • Umgesetzte und geprüfte Behandlung mit Entscheidungen zu Änderungen und Abweichungen.
  • Nachvollziehbare Übergabe an den Betrieb mit nötigen Regeln und verantworteter Restarbeit.

Häufige Fehler bei der Umsetzung

Erst zum Projektende nach Sicherheit fragen

Leite Anforderungen früh ab und führe Risiken und Prüfungen im Verlauf weiter.

Nur das Projektergebnis schützen

Auch Projektzugriffe, externe Zusammenarbeit, Kommunikation und verwendete Kopien können Risiken erzeugen.

Neue Standardformulare erzwingen

Ergänze die vorhandenen Projektunterlagen und nutze die führende Methode statt eines zweiten Bestands.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen
  • A.5.8 · Informationssicherheit im Projektmanagement

    Der Ablauf integriert Anforderungen, Risiken der Durchführung und des Ergebnisses, Rollen, Behandlung und Wirksamkeitsprüfung über den Projektlebenszyklus einschließlich Übergabe. Er ist nicht auf IT-Projekte begrenzt.

  • TISAX · 1.2.3

    VDA ISA 6.0.3 · Teilweise Überschneidung

    Frühe Einordnung und Risikobewertung, abgeleitete Maßnahmen, Prüfung im Verlauf und Änderungen unterstützen die ISA-Projektfrage. Eigene Projekte und anwendbare Zusatzanforderungen sind tatsächlich zu bearbeiten.

    Referenz

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen