ISO 27001:2022 Informationssicherheitsmanagement
ISO 27001 Checkliste: Bereitschaft nach Klauseln prüfen
Diese Checkliste folgt den Klauseln 4 bis 10 der Norm und dem Anhang A. Zu jedem Punkt steht, welchen Nachweis Sie vorlegen können sollten. So sehen Sie, ob Ihr Informationssicherheits-Managementsystem für ein Zertifikat bereit ist.
01: Einstieg
So arbeiten Sie die ISO 27001 Checkliste durch
Ein Punkt gilt erst als erledigt, wenn Sie das Dokument, das Protokoll oder die Konfiguration dazu zeigen können. Dass «wir das machen», genügt weder einem Auditor noch dem Einkauf eines Kunden, der Ihren Lieferantenfragebogen prüft.
Kern der Norm ist die Risikobewertung. Sie bestimmt, welche Kontrollen aus Anhang A Sie umsetzen und warum. Die Punkte zu Klausel 6 sind deshalb das Fundament, auf dem alle weiteren aufbauen. Wer die Norm zum ersten Mal angeht, beginnt am besten dort.
02: Klauseln 4 und 5
Kontext und Führung: Was die Geschäftsleitung belegen muss
Diese beiden Klauseln klären, wofür das System gilt und wer dafür geradesteht. Die Unterlagen sind meist schnell erstellt, fehlen in der Praxis aber erstaunlich oft.
Kontext und interessierte Parteien benennen (4.1, 4.2)
Sie wissen, welche Anforderungen Kunden, Aufsichtsstellen und Lieferanten an Ihre Informationssicherheit stellen. Nachweis: eine Liste der Parteien mit ihren Anforderungen, abgeleitet aus Verträgen und Lieferantenfragebögen.
Geltungsbereich festlegen (4.3)
Der Scope nennt Standorte, Systeme, Prozesse und Abgrenzungen. Nachweis: ein kurzes Scope-Dokument, das die Geschäftsleitung freigegeben hat.
Informationssicherheitspolitik freigeben (5.2)
Die Politik hält Ziele und Grundsätze fest und ist allen Mitarbeitenden zugänglich. Nachweis: die unterzeichnete Politik und der Ablageort im Intranet.
Rollen und Verantwortlichkeiten zuweisen (5.3)
Jemand trägt die Verantwortung für das ISMS und berichtet an die Geschäftsleitung. Nachweis: Organigramm, Stellenbeschrieb oder schriftliche Ernennung.
Ressourcen bereitstellen (5.1)
Zeit und Budget für Informationssicherheit sind eingeplant. Nachweis: ein Budgetposten oder ein Sitzungsprotokoll mit entsprechendem Beschluss.
03: Klauseln 6 und 7
Risiken und Unterstützung: Das Herzstück der Checkliste
Hier entscheidet sich, ob Ihr System auf einer nachvollziehbaren Grundlage steht. Die Erklärung zur Anwendbarkeit (SoA) verbindet die Risiken mit den Kontrollen aus Anhang A.
Methode der Risikobewertung festlegen (6.1.2)
Kriterien für Eintrittswahrscheinlichkeit, Auswirkung und akzeptables Risiko sind definiert. Nachweis: eine kurze Methodenbeschreibung.
Risiken identifizieren und bewerten (6.1.2)
Werte, Bedrohungen und Schwachstellen sind erfasst, jedes Risiko hat einen Eigentümer. Nachweis: ein Risikoregister mit Datum und Bewertung.
Risiken behandeln und SoA erstellen (6.1.3)
Für jede Kontrolle aus Anhang A steht, ob sie gilt und weshalb. Nachweis: die SoA mit Begründung für jeden Ein- und Ausschluss sowie ein Risikobehandlungsplan.
Messbare Sicherheitsziele setzen (6.2)
Jedes Ziel hat eine Kennzahl, einen Verantwortlichen und einen Termin. Nachweis: eine Zielliste, etwa mit der Zahl gemeldeter Phishing-Mails oder der Dauer bis zum Einspielen von Sicherheitsupdates.
Kompetenz und Sensibilisierung sicherstellen (7.2, 7.3)
Mitarbeitende kennen die Politik und ihre Pflichten. Nachweis: Teilnehmerlisten von Schulungen und Einführungsunterlagen für neue Mitarbeitende.
Dokumentierte Information lenken (7.5)
Dokumente sind versioniert, freigegeben und auffindbar. Nachweis: ein Dokumentenregister oder die Versionshistorie im Dokumentenablagesystem.
04: Klauseln 8 bis 10
Betrieb, Überwachung und Verbesserung: Was im Alltag laufen muss
Ab Klausel 8 geht es um den laufenden Betrieb. Papier allein reicht nicht mehr, gefragt sind Aufzeichnungen, die über Monate entstanden sind.
Risikobehandlung umsetzen (8.3)
Die geplanten Kontrollen sind eingeführt. Nachweis: Umsetzungsstand je Kontrolle, erledigte Tickets, Konfigurationsstände.
Risikobewertung regelmässig wiederholen (8.2)
Die Bewertung wird in geplanten Abständen und bei wesentlichen Änderungen erneuert. Nachweis: ein datiertes, überarbeitetes Risikoregister.
Leistung messen und auswerten (9.1)
Die Kennzahlen aus den Zielen werden erhoben. Nachweis: ein Bericht mit Werten und Kommentar.
Internes Audit durchführen (9.2)
Jemand ohne Verantwortung für das geprüfte Thema kontrolliert das System. Nachweis: Auditprogramm, Auditbericht und Liste der Feststellungen.
Managementbewertung abhalten (9.3)
Die Geschäftsleitung bespricht Ergebnisse, Risiken und Verbesserungen. Nachweis: ein Protokoll mit Beschlüssen.
Vorfälle und Abweichungen aufarbeiten (10)
Sicherheitsvorfälle werden erfasst, analysiert und führen zu Korrekturmassnahmen. Nachweis: Vorfallsregister und Massnahmenliste mit Erledigungsdatum.
05: Anhang A
Welche Nachweise zu den Kontrollen in Anhang A gehören
Die Ausgabe 2022 gliedert Anhang A in vier Themengruppen mit zusammen 93 Kontrollen. Sie müssen nicht alle umsetzen, aber jede einzelne in der SoA bewerten. Die Tabelle zeigt, welche Unterlagen zu welcher Gruppe üblicherweise vorliegen.
| Themengruppe | Kontrollen | Gängige Nachweise |
|---|---|---|
| Organisatorisch | 37 | Richtlinien, Lieferantenverträge mit Sicherheitsklauseln, Notfall- und Wiederanlaufplan, Cloud-Nutzungsregeln |
| Personen | 8 | Vertraulichkeitsklauseln im Arbeitsvertrag, Schulungslisten, Ein- und Austrittsprozess |
| Physisch | 14 | Zutrittsregelung, Besucherliste, Schutz des Serverraums oder Racks, Regeln für Arbeitsplatz und Geräte |
| Technologisch | 34 | Berechtigungsübersicht, Patch-Stand, Backup-Testprotokoll, Verschlüsselungskonzept, Protokollierung |
Bei Cloud-Diensten, Datenschutz und Cyberrisiken hat die Ausgabe 2022 die Kontrollen überarbeitet. Ältere Checklisten nach der Fassung von 2013 sind an diesen Stellen unvollständig.
06: Mit Zertify
Vom Ergebnis der Checkliste zum Zertifikat
Haben Sie die Punkte durchgearbeitet, prüfen Sie Ihren Stand im Self-Assessment von Zertify. Es umfasst 48 Ja/Nein-Fragen zu ISO 27001. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 35 Fragen müssen mindestens 24 mit Ja beantwortet sein.
Nach bestandenem Assessment und Zahlung liegt das Zertifikat innert 4 Stunden vor. Einen Audittermin vor Ort gibt es nicht. Ausgestellt wird es von der G6 Agency AG unter Lizenz von SICE, und SICE prüft jedes Assessment vor der Ausstellung. Über die Nummer oder den QR-Code auf dem PDF kann Ihr Kunde das Zertifikat auf der öffentlichen Verifizierungsseite abrufen.
Das Zertifikat kostet 849 CHF im ersten Jahr, danach 569 CHF pro Jahr inklusive kurzem Online-Re-Audit. Es gilt drei Jahre. Das Abonnement verlängert sich automatisch und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen.
07: FAQ
Häufige Fragen zur ISO 27001 Checkliste
08: Ratgeber
Weitere Seiten
Wo stehen Sie bei ISO 27001?
Beantworten Sie 48 Ja/Nein-Fragen und sehen Sie, welche Punkte noch offen sind.
Kostenlos und ohne Registrierung