Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

Sicherheitsrollen und Aufgaben zuordnen

Ordne Sicherheitsaufgaben und Entscheidungsbefugnisse zu, verhindere unvereinbare Aufgaben und mache die Regeln im Team ausführbar. Nutze das bestehende Organisationsmodell.

Verantwortlich: Geschäftsleitung und zuständige Führungskräfte mit ISMS-KoordinationFachlich geprüft am

Vorhandene Unterlagen nutzen

Ergänze den vorhandenen Organisations- oder Rollenabschnitt im ISMS-Handbuch. Verwende vorhandene Freigaben, Einweisungen und Arbeitsplanung. Das fachliche Rollenmodell ersetzt keine tatsächlichen Rechte im Zielsystem; ein zweites Rollenregister ist nicht nötig.

Was du konkret tun musst

  1. 1

    Aufgaben und Entscheidungsbefugnisse zuordnen

    Sichte die vorhandenen Sicherheitsaufgaben: etwa Schutz von Informationen und Assets, Risikobehandlung, Annahme von Restrisiken, Regelpflege und Vorfallbearbeitung. Halte je Aufgabe verantwortliche Rolle, nötige Entscheidungsbefugnis und erreichbare Zuordnung zu einer geeigneten Person fest. Präzisiere Standorte oder Dienste nur soweit nötig. Nutze die vorhandene Rollenbeschreibung; eine beauftragte Person bleibt auch bei delegierter Ausführung für das Ergebnis verantwortlich und prüft die Durchführung. Ordne ausdrücklich zu, wer die Übereinstimmung des ISMS mit seinen Anforderungen sicherstellt und der Geschäftsleitung über die ISMS-Leistung berichtet. Vermittle Rollen und Befugnisse den Betroffenen.

  2. 2

    Unvereinbare Aufgaben im Ablauf trennen

    Bestimme konkrete Konflikte, etwa eigene Rechte beantragen und genehmigen oder Zahlung erstellen und freigeben. Trenne diese Aufgaben in Zuständigkeit und tatsächlichen Systemrechten; beziehe kombinierte Rollen und mögliche Umgehung durch Zusammenarbeit ein. Wende die Trennung so weit praktisch möglich an. Wo das schwierig bleibt, entscheide über geeignete ergänzende Kontrolle, etwa unabhängige Leitungskontrolle, überwachte Aktivitäten oder prüfbare Vorgänge, und kontrolliere ihre tatsächliche Anwendung.

  3. 3

    Rolleninhaber und Team arbeitsfähig machen

    Kläre Kompetenz, erforderliche Weiterentwicklung, Vertretung, Zeit und Mittel mit den zuständigen Führungskräften. Erläutere den betroffenen Personen vor den entsprechenden Zugängen ihre Aufgaben und geltenden Sicherheitsregeln. Fordere deren Anwendung ein und behandle Hindernisse über die bestehende Arbeitsplanung. Stelle geeignete vertrauliche Meldewege bereit, soweit praktikabel. Nutze bestehende Einweisungsnachweise statt eines zusätzlichen Dokuments je Person. Die Geschäftsleitung richtet Leitlinie und Ziele an der strategischen Richtung aus, integriert die ISMS-Anforderungen in die Geschäftsabläufe und unterstützt die verantwortlichen Personen bei wirksamer Umsetzung und fortlaufender Verbesserung. Sie vermittelt, warum wirksame Informationssicherheit und die Einhaltung der ISMS-Anforderungen wichtig sind, und prüft, ob die beabsichtigten Ergebnisse erreicht werden. Sie unterstützt weitere Führungskräfte dabei, die Sicherheitsverantwortung in ihren Bereichen wahrzunehmen.

  4. 4

    Anwendung prüfen und Änderungen nachführen

    Prüfe einen tatsächlichen Freigabe- oder Sicherheitsvorgang: Ist klar, wer ausführt, entscheidet und kontrolliert, und stehen die nötigen Mittel bereit? Bearbeite festgestellte Abweichungen im bestehenden Vorgang. Pflege Rollen, Befugnisse und Vertretung bei wesentlichen Aufgaben- oder Personaländerungen am führenden Ort nach und teile sie den Betroffenen mit.

Praxisbeispiel

Eine kleine IT-Mannschaft braucht kontrollierte Freigaben

Fiktives Beispiel: Eine Person betreut technische Administration und beantragt eine zusätzliche Berechtigung für die eigene Arbeit.

Rollen und Selbstfreigabe
FestlegungDie zuständige Fachrolle entscheidet über den Bedarf; die Administration setzt die genehmigte Änderung um. Der tatsächliche Zugriff wird geprüft. Wo eine weitere Ausführungstrennung praktisch nicht möglich ist, wird geeignete unabhängige Kontrolle vereinbart und durchgeführt.
NachweisBestehender Rollenabschnitt und Zugangsvorgang mit Entscheidung, Ausführung, Kontrolle und behandelten Grenzen.

Ergebnis festhalten

  • Führender Rollenabschnitt mit Aufgaben, Verantwortung, Befugnissen und angemessener Vertretung.
  • Im tatsächlichen Ablauf umgesetzte Trennung oder geeignete ergänzende Kontrollen.
  • Bestehende Einweisung und Arbeitsplanung mit geklärten Voraussetzungen sowie überprüfte Anwendung.

Häufige Fehler bei der Umsetzung

Eine Zusatzstelle statt klarer Aufgaben schaffen

Das Control schreibt keine bestimmte Stellenbezeichnung vor. Die Aufgaben müssen kompetent und mit geeigneten Befugnissen erfüllt werden.

Vier Augen nur auf dem Papier festlegen

Prüfe wirksame Rechte, kombinierte Rollen und den tatsächlichen Entscheidungsweg.

Delegation als Ende der Verantwortung verstehen

Die verantwortliche Rolle kontrolliert die ordnungsgemäße Durchführung.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen
  • A.5.2 · Informationssicherheitsrollen und -verantwortlichkeiten

    Der Ablauf ordnet Sicherheitsaufgaben, Befugnisse, Kompetenz und bekannte Verantwortliche im bestehenden Organisationsmodell zu und hält Delegation und Pflege nachvollziehbar.

  • A.5.3 · Aufgabentrennung

    Konkrete unvereinbare Aufgaben werden im Ablauf und den tatsächlichen Rechten getrennt. Praktische Grenzen werden mit geeigneten wirksamen ergänzenden Kontrollen behandelt.

  • A.5.4 · Managementverantwortlichkeiten

    Führungskräfte erläutern Aufgaben und Regeln vor relevantem Zugang, fordern ihre Anwendung ein und stellen nötige Kompetenz, Mittel und Planungszeit bereit. Die tatsächliche Anwendung wird am Vorgang geprüft.

  • TISAX · 1.2.2

    VDA ISA 6.0.3 · Teilweise Überschneidung

    Zugeordnete qualifizierte Rollen, Ressourcen, bekannte Kontakte und geeignete Trennung unterstützen die ISA-Frage. Tatsächliche Organisation und anwendbare Schutzbedarfszusätze bleiben zu prüfen.

    Referenz

  • ISO/IEC 27001 · 5.1

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Führungsarbeit verbindet strategisch passende Leitlinie und Ziele, Integration in Geschäftsabläufe, nötige Mittel, Kommunikation, Unterstützung der Beteiligten sowie beabsichtigte Ergebnisse und fortlaufende Verbesserung. Die Geschäftsleitung muss diese Verantwortung tatsächlich wahrnehmen; delegierte Aufgaben ersetzen ihre Führung nicht.

    Referenz

  • ISO/IEC 27001 · 5.3

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Zuordnung benennt Rollen und Befugnisse einschließlich Sicherstellung der ISMS-Konformität und Berichterstattung zur Leistung an die Geschäftsleitung. Die Zuständigkeiten werden vermittelt und bei Änderungen gepflegt; ihre tatsächliche Anwendung bleibt erforderlich.

    Referenz

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen