Die Einführung eines Informationssicherheits-Managementsystems (ISMS) erfordert, dass zahlreiche Dokumentationen und Nachweise als sogenannte “dokumentierte Informationen” vom CISO bzw. Informationssicherheitsverantwortlichen erstellt, gepflegt und veröffentlicht werden. Speziell bei der Einführung eines neuen ISMS nach ISO 27001:2022 oder nach VDA ISA für eine TISAX® Zertifizierung suchen neue CISOs nach einer Liste der erforderlichen ISMS Dokumente.
In diesem Betrag teilen wir die SEC4YOU Liste der dokumentierten Informationen für ein ISMS nach ISO 27001:2022, das auch die Basis für TISAX®, DORA, NIS2 und andere Branchenstandards bilden kann. Die Dokumentenliste ist bei zahlreichen ISO 27001:2013 und 27001:2022 sowie TISAX® Zertifizierungen nach VDA ISA 5 und VDA ISA 6 erprobt und bei allen unseren Kunden im Einsatz.
Rund 40 ISMS Dokumente für eine ISO 27001 Zertifizierung
Je nach Größe der Unternehmen kann die Liste erweitert oder vereinfacht werden, indem zusätzliche Richtlinien erstellt oder Dokumente zusammengefasst werden.
Dokument Kurzbeschreibung oder Begründung Eigner Aktualisierung passende Vorlage ISMS-Betrieb InfoSec-Politik gemäß ISO 27001, Kapitel 5.2 Geschäftsführung 1 Jahr InfoSec Politik ISMS-Handbuch gemäß ISO 27001 Kapitel 4–10 CISO 1 Jahr ISMS-Handbuch Interessierte Parteien gemäß ISO 27001 Kapitel 4.2 CISO 1 Jahr ISMS-Tool, Blatt Interessierte Parteien ISMS Chancen & Risiken eine Bewertung der Risiken und Chancen für das ISMS selbst gemäß ISO 27001 Kapitel 6.1.1 CISO 1 Jahr ISMS-Tool, Blatt Chancen&Risiken Anwendbarkeitserklärung/SoA gemäß ISO 27001 Kapitel 6.1.3 d eine Bewertung der Risiken und Chancen für das ISMS selbst gemäß ISO 27001 Kapitel 6.1.1 CISO 1 Jahr ISMS-Tool, Blatt Chancen&Risiken Risikomanagement Methode gemäß ISO 27001 Kapitel 6.1.2 CISO 1 Jahr Vorlage Risiko-Management-Methode Risiko-Assessment gemäß ISO 27001 Kapitel 6.1.2 CISO anlassbezogen, sonst 1 Jahr ISMS-Tool, Blatt Risiko-Assessment Auditprogramm gemäß ISO 27001 Kapitel 9.2 CISO 3 Jahre ISMS-Tool, Blatt Auditprogramm Auditprogramm: Auditplanung gemäß ISO 27001 Kapitel 9.2 CISO 3 Jahre Vorlage Auditprogramm/Planung ISMS Maßnahmenliste Maßnahmenverfolgung, Ursachenanalyse und Wirksamkeitsprüfung gemäß ISO 27001 CISO tagaktuell, Arbeitsdokument ISMS-Tool, Blatt Auditprogramm Dokument Kurzbeschreibung oder Begründung Eigner Aktualisierung passende Vorlage Richtlinien BenutzerInnen Richtlinie gemäß ISO 27001, Anhang A 5.1 CISO 1 Jahr Vorlage BenutzerInnen-Richtlinie Informationssicherheits-Richtlinie gemäß ISO 27001, Anhang A 5.1, A 5.10, A 5.12, A 5.13 CISO 1 Jahr Vorlage Informationssicherheits-Richtlinie Cloud-Freigaben Liste der erlaubten und verbotenen Cloud Dienste gemäß ISO 27001, Anhang A 5.23 CISO 1 Jahr Vorlage Informationssicherheits-Richtlinie Dokument Kurzbeschreibung oder Begründung Eigner Aktualisierung passende Vorlage Organisatorische Maßnahmen Projektliste Liste nach InfoSec bewerteter Projekte gemäß ISO 27001 Anhang A 5.8 CISO tagaktuell, Arbeitsdokument ISMS-Tool, Blatt Projekte Informationswerte Informationswerte (Assets) gruppiert gemäß ISO 27001 Anhang A 5.9 CISO 1 Jahr ISMS-Tool, Blatt Informationswerte Sekundärassets Sekundärassets (IT-Assets, Speicherorte, IT-Dienste/Cloud) gruppiert gemäß ISO 27001 Anhang A 5.9 CISO 1 Jahr ISMS-Tool, Blatt Informationswerte Lieferantenbewertung gemäß ISO 27001 Anhang A 5.19 bis 5.22 Leiter-Einkauf tagaktuell, Arbeitsdokument ISMS-Tool, Blatt Lieferanten Cloud-Freigaben Veröffentlichung der erlaubten Cloud-Dienste gemäß ISO 27001 Anhang A 5.23 CISO 1 Jahr ISMS-Tool, Blatt Cloud-Freigaben IT-Notfallorganisation, Notfallhandbuch gemäß ISO 27001 Anhang A 5.30 IT-Leiter 1 Jahr Vorlage IT-Notfallorganisation Dokumentierte Betriebsverfahren gemäß ISO 27001 Anhang A 5.37 IT-Leiter tagaktuell, Arbeitsdokument individuelles Dokument z.B. im Intranet, Confluence Personelle Maßnahmen Security Awareness Schulungskonzept Inhalte des lfd. Jahres für die Mitarbeiterschulung gemäß ISO 27001 Anhang A 6.3 CISO 1 Jahr Schulungspräsentation oder e‑Learning Tool InfoSec Schulungskalender Plan über 3 Jahre für InfoSec Schulungsmaßnahmen gemäß ISO 27001 Anhang A 6.3 CISO 3 Jahre ISMS-Tool, Blatt Schulungsprogramm Physische Maßnahmen Gebäude Zonenplan Gebäudeplan/Büroplan mit Kennzeichnung der Zonen gemäß ISO 27001 Anhang A 7.1 Leiter-Facility 1 Jahr eigenes Dokument Technische Maßnahmen Change-Management-Methode Beschreibung der Methode zur Durchführung von Änderungen an Systemen und dem ISMS selbst gemäß ISO 27001 Anhang A 8.32 CISO tagaktuell, Arbeitsdokument ISMS-Tool, Blatt Projekte Kapazitätsplanung gemäß ISO 27001 Anhang A 8.6 IT-Leiter 1 Jahr ISMS-Tool, Blatt Kapazitäten Kryptographie Erhebung der Kryptographienutzung gemäß ISO 27001 Anhang A 8.24 IT-Leiter 1 Jahr ISMS-Tool, Blatt Kryptographie Secure Coding Manual für Entwickler Vorgaben für Entwickler zur sicheren Softwareentwicklung gemäß ISO 27001 Anhang A 8.27 IT-Leiter 1 Jahr Vorlage Secure Coding Manual Dokument Kurzbeschreibung oder Begründung Eigner Aktualisierung passende Vorlage Vorlagen Checkliste HR für Personal Ein- und Austritt Berücksichtigung von InfoSec bei Personalveränderungen, u.a. Verpflichtung NDA, Datenschutz, Richtlinien gemäß ISO 27001 Anhang A 6.1 Leiter-HR 1 Jahr eigenes Dokument Vertraulichkeitsvereinbarung MitarbeiterInnen NDA Vorlage für MitarbeiterInnen gemäß ISO 27001 Anhang A 6.6 Leiter-HR 1 Jahr eigenes Dokument NDA für Firmen NDA Vorlage für externe Firmen gemäß ISO 27001 Anhang A 6.6 Leiter-Legal 1 Jahr eigenes Dokument NDA für externe Personen NDA Vorlage persönlich für externe Personen gemäß ISO 27001 Anhang A 6.6 Leiter-Legal 1 Jahr eigenes Dokument Dokument Kurzbeschreibung oder Begründung Eigner Aktualisierung Quelle Referenz ISO 27001:2022 Norm Referenzdokument der Norm für das InfoSec Team CISO - ISO.org Dokument Kurzbeschreibung oder Begründung Eigner Aktualisierung Ablage Nachweise Bestellung ISB/CISO Bestellungsurkunde mit Übertragung der Verantwortung gemäß ISO 27001 Kapitel 5.3 Geschäftsführung bei ISB/CISO Wechsel ISMS-Handbuch Cloud-Dienste Freigabeprotokolle Einzelbewertungen und Freigaben für Cloud-Dienste gemäß ISO 27001 Anhang A 5.23 CISO - geschütztes Verzeichnis Auditberichte intern, extern/CISO Archiv der internen Auditberichte, Zertifizierungsaudits, technische Audits, Pentests gemäß ISO 27001 Kapitel 9.2.2 CISO - geschütztes Verzeichnis Log Dateien Aufzeichnungen Protokolle der sicherheitsrelevanten Ereignisse gemäß ISO 27001 Anhang A 8.15 IT-Leiter - Log-Server oder SIEM Management-Reviews Archiv der bisherigen Management-Reviews und deren Meeting Protokolle gemäß ISO 27001 Kapitel 9.3 CISO - geschütztes VerzeichnisWo soll man die Dokumente verwalten und speichern?
Die Dokumentationen können im einfachsten Fall mit Word und Excel erstellt werden, jedoch ist eine strenge Dokumentenlenkung mit Version, Datum, Änderungshistorie, Dokumenteneigner und Freigabeperson erforderlich. Microsoft Teams Teams mit aktiver Versionierung eignen sich sehr gut für die Ablage der Bearbeitungsdokumente, hingegen ist für die Veröffentlichung der freigegeben Dokumente eine PDF Version empfohlen.
Atlassian Kunden können anstelle von Microsoft Word und Excel die Dokumente und Tabellen diese direkt in Confluence erstellen und die entsprechenden Aufgaben für die Umsetzung in Jira planen. In dieser Konstellation lassen sich die verschiedenen Versionen von Confluence-Dokumenten für die Versionierung im ISMS verwenden, während ein Confluence-Workflow für den Freigabeprozess im ISMS eingesetzt werden kann.
Vergessen Sie nicht die Veröffentlichung aller relevanter ISMS Dokumente an die jeweilige Zielgruppe. Vertrauliche Dokumente wie das Risiko-Assessment verbleiben im Zugriff nur durch den CISO und die Geschäftsleitung.
Passende Produkte aus dem SEC4YOU Shop
