ISO 27001 · die Erklärung zur Anwendbarkeit
Die Erklärung zur Anwendbarkeit: 93 Maßnahmen, vier Spalten, ein Dokument
Jede Maßnahme aus Anhang A mit ihrem Status, eine Begründung für jeden Ausschluss, und die Erklärung so geschrieben, wie der Auditor sie liest: die Maßnahme, ob sie gilt, ob sie umgesetzt ist und warum; die Status reisen in der Adresse, damit der Entwurf geteilt werden kann.
Jede Maßnahme beginnt als anwendbar und geplant, der ehrliche Ausgangspunkt für ein System im Aufbau; markieren Sie eine Maßnahme als umgesetzt, wenn ihr Nachweis vorliegt, als teilweise, wenn sie für einen Teil des Anwendungsbereichs steht, und als ausgeschlossen nur mit schriftlicher Begründung: ein Auditor liest die Ausschlüsse zuerst.
Wo die Erklärung steht
93 Maßnahmen anwendbar, davon 0 umgesetzt, 0 teilweise und 93 geplant; 0 ausgeschlossen.
Organisatorisch (37)
A.5.1 Schriftliche Sicherheitsrichtlinien, genehmigt und aktuell
Ein genehmigtes Richtlinienwerk zur Informationssicherheit festlegen, den richtigen Personen bekanntgeben, planmäßig und bei größeren Änderungen überprüfen.
A.5.2 Wer wofür in der Sicherheit verantwortlich ist
Zuweisen und bekanntgeben, wer welche Sicherheitsverantwortung trägt.
A.5.3 Heikle Aufgaben auf mehrere Personen aufteilen
Konfliktträchtige Aufgaben so trennen, dass niemand allein eine schädliche Handlung begehen und verbergen kann.
A.5.4 Was die Leitung von allen verlangen muss
Die Leitung verlangt, dass alle die für sie geltenden Sicherheitsregeln tatsächlich befolgen.
A.5.5 Wissen, wen man bei den Behörden erreicht
Wissen, welche Behörden in Sicherheitsfragen zu kontaktieren sind und wie, bevor man sie braucht.
A.5.6 Kontakt zu Sicherheitsgemeinschaften halten
In Sicherheitsgemeinschaften eingebunden bleiben, um Wissen über Bedrohungen und Praxis aktuell zu halten.
A.5.7 Bedrohungsinformationen sammeln und nutzen
Bedrohungsinformationen sammeln, auswerten und in Handeln überführen.
A.5.8 Sicherheit in jedes Projekt einbauen
Sicherheit in die Planung und Durchführung von Projekten einbauen, unabhängig von der Projektart.
A.5.9 Wissen, welche Informationen und Geräte vorhanden sind
Ein aktuelles Verzeichnis der Informationen und der sie tragenden Werte führen, jeweils mit Eigentümer.
A.5.10 Regeln für den Umgang mit Informationen und Geräten
Regeln für den zulässigen Gebrauch und die Handhabung von Informationen und Werten festlegen und bekanntgeben.
A.5.11 Geräte und Daten zurückerhalten, wenn Menschen gehen
Geräte und Informationen zurückerhalten, wenn Menschen ausscheiden oder Verträge enden.
A.5.12 Informationen nach Schutzbedarf einstufen
Informationen nach ihrem Bedarf an Vertraulichkeit, Integrität und Verfügbarkeit klassifizieren.
A.5.13 Informationen mit ihrer Einstufung kennzeichnen
Informationen entsprechend ihrer Klassifizierung kennzeichnen, damit die Handhabungsregeln ihnen folgen können.
A.5.14 Informationen sicher übermitteln, intern wie extern
Regeln und Vereinbarungen für die Übermittlung von Informationen innerhalb und außerhalb der Organisation festlegen.
A.5.15 Entscheiden, wer welche Systeme und Daten erreichen darf
Auf Basis fachlicher und sicherheitsbezogener Anforderungen entscheiden und durchsetzen, wer worauf Zugriff erhält.
A.5.16 Konten und Identitäten über ihren Lebenszyklus verwalten
Den gesamten Lebenszyklus von Identitäten verwalten: eine Identität je Person, deaktiviert, sobald sie nicht mehr gebraucht wird.
A.5.17 Umgang mit Kennwörtern, Schlüsseln und anderen Geheimnissen
Steuern, wie Kennwörter und andere Geheimnisse ausgegeben, gespeichert und verwendet werden.
A.5.18 Berechtigungen erteilen, überprüfen und entziehen
Zugriffsrechte gemäß den Zugriffsregeln erteilen, überprüfen und entziehen.
A.5.19 Das Risiko steuern, das Lieferanten mitbringen
Die Sicherheitsrisiken steuern, die mit der Nutzung von Lieferanten einhergehen.
A.5.20 Sicherheitsanforderungen in Lieferantenverträge aufnehmen
Die einschlägigen Sicherheitsanforderungen in Lieferantenverträge aufnehmen.
A.5.21 Sicherheit entlang der Technologielieferkette
Sicherheitsanforderungen die IKT-Lieferkette hinunter erstrecken, nicht nur auf direkte Lieferanten.
A.5.22 Lieferanten im Blick behalten, wenn sie sich ändern
Leistungserbringung und Sicherheit der Lieferanten beobachten und Änderungen daran steuern.
A.5.23 Cloud-Dienste sicher nutzen
Festlegen, wie Cloud-Dienste sicher beschafft, genutzt, verwaltet und wieder verlassen werden.
A.5.24 Vorbereitet sein, bevor ein Vorfall eintritt
Das Vorfallmanagement planen: Abläufe, Rollen und Verantwortlichkeiten, festgelegt bevor etwas passiert.
A.5.25 Beurteilen, welche Ereignisse echte Vorfälle sind
Ereignisse bewerten und entscheiden, welche davon tatsächlich Sicherheitsvorfälle sind.
A.5.26 Handeln, sobald ein Vorfall festgestellt ist
Auf Vorfälle gemäß den dokumentierten Verfahren reagieren.
A.5.27 Aus Vorfällen im Nachhinein lernen
Erkenntnisse aus Vorfällen nutzen, um die Maßnahmen zu stärken.
A.5.28 Beweise nach einem Vorfall sichern
Beweise zu Vorfällen so sammeln und sichern, dass sie belastbar bleiben.
A.5.29 Sicherheit auch in der Krise aufrechterhalten
Sicherheit auch bei Störungen auf angemessenem Niveau halten, nicht nur im Normalbetrieb.
A.5.30 Technik durch Störungen hindurch am Laufen halten
Sicherstellen, dass die IKT die Kontinuitätsziele erreichen kann: planen, umsetzen, testen.
A.5.31 Die bindenden Gesetze und Verträge kennen
Die geltenden gesetzlichen und vertraglichen Sicherheitsanforderungen ermitteln und aktuell halten.
A.5.32 Urheberrecht und Softwarelizenzen achten
Geistige Eigentumsrechte schützen, die eigenen wie die fremden.
A.5.33 Aufzeichnungen so lange sichern, wie es nötig ist
Aufzeichnungen so lange wie erforderlich vor Verlust, Verfälschung und unbefugtem Zugriff schützen.
A.5.34 Personenbezogene Daten schützen
Anforderungen an Datenschutz und den Schutz personenbezogener Daten aus Gesetz und Vertrag erfüllen.
A.5.35 Die Sicherheit unabhängig überprüfen lassen
Den Sicherheitsansatz in Abständen und nach wesentlichen Änderungen unabhängig überprüfen lassen.
A.5.36 Prüfen, ob die eigenen Regeln wirklich befolgt werden
Regelmäßig prüfen, ob Sicherheitsrichtlinien und -vorgaben tatsächlich eingehalten werden.
A.5.37 Aufschreiben, wie die Dinge tatsächlich laufen
Betriebsabläufe für sicherheitsrelevante Tätigkeiten dokumentieren und denen zugänglich machen, die sie brauchen.
Personenbezogen (8)
A.6.1 Überprüfung vor der Einstellung
Bewerberinnen und Bewerber im Verhältnis zu Rolle, Recht und Risiko überprüfen.
A.6.2 Sicherheitspflichten im Arbeitsvertrag
Sicherheitsverantwortung in die Arbeitsbedingungen aufnehmen.
A.6.3 Menschen für sicheres Arbeiten schulen
Alle in der Sicherheit schulen, die ihre Rolle verlangt, und das Wissen frisch halten.
A.6.4 Konsequenzen bei Regelverstößen
Ein formales, bekanntgegebenes Verfahren für Verstöße gegen Sicherheitsrichtlinien haben.
A.6.5 Pflichten, die über das Ausscheiden hinaus gelten
Festlegen, welche Sicherheitspflichten einen Wechsel oder Austritt überdauern, und sie durchsetzen.
A.6.6 Vertraulichkeitsvereinbarungen
Vertraulichkeitsvereinbarungen nutzen und überprüfen, die dem Schutzbedarf entsprechen.
A.6.7 Sicher außerhalb des Büros arbeiten
Sicherheitsmaßnahmen für Menschen festlegen, die außerhalb des Büros arbeiten.
A.6.8 Es Beschäftigten leicht machen, Probleme zu melden
Einen Kanal bereitstellen, über den beobachtete oder vermutete Sicherheitsereignisse rasch gemeldet werden, und dafür sorgen, dass er bekannt ist.
Physisch (14)
A.7.1 Die geschützte physische Grenze festlegen
Sicherheitszonen um Bereiche mit sensiblen Informationen oder Werten festlegen und schützen.
A.7.2 Steuern, wer durch die Tür kommt
Den Zutritt zu Sicherheitsbereichen so steuern, dass nur Befugte hineingelangen.
A.7.3 Die Räume selbst absichern
Physische Sicherheit für Büros und Einrichtungen planen und umsetzen.
A.7.4 Das Gelände auf Eindringlinge überwachen
Das Gelände laufend auf unbefugten physischen Zutritt überwachen.
A.7.5 Schutz vor Feuer, Wasser und Ähnlichem
Schutz gegen Feuer, Wasser, Stromprobleme und andere physische Bedrohungen planen.
A.7.6 Regeln für die Arbeit in Sicherheitsbereichen
Regeln dafür festlegen, wie in Sicherheitsbereichen gearbeitet wird.
A.7.7 Nichts Sensibles auf Tischen oder Bildschirmen lassen
Sensibles Material von unbeaufsichtigten Arbeitsplätzen und Bildschirmen fernhalten.
A.7.8 Geräte dort aufstellen, wo sie sicher sind
Geräte so aufstellen und schützen, dass Umgebungs- und Zugriffsrisiken sinken.
A.7.9 Geräte außerhalb des Geländes schützen
Geräte und Datenträger schützen, die das Gelände verlassen.
A.7.10 Umgang mit Datenträgern und Wechselmedien
Speichermedien über ihren Lebenszyklus steuern: Beschaffung, Nutzung, Transport, Entsorgung.
A.7.11 Sicher auf Strom, Kühlung und Wasser bauen
Einrichtungen vor dem Ausfall von Strom und anderen Versorgungsleistungen schützen.
A.7.12 Strom- und Netzwerkverkabelung schützen
Strom- und Datenverkabelung vor Abhören, Störung und Beschädigung schützen.
A.7.13 Geräte instand halten, damit sie weiter funktionieren
Geräte fachgerecht warten, um Verfügbarkeit, Integrität und Vertraulichkeit zu erhalten.
A.7.14 Geräte vor Entsorgung oder Weiterverwendung löschen
Vor Entsorgung oder Weiterverwendung prüfen, dass sensible Daten und lizenzierte Software entfernt sind.
Technologisch (34)
A.8.1 Laptops, Telefone und Arbeitsplatzrechner absichern
Informationen auf Endgeräten und über sie erreichbare Informationen schützen.
A.8.2 Administrative Zugriffe einschränken
Privilegierte Zugriffe eng begrenzen und verwalten.
A.8.3 Begrenzen, was jede Person öffnen kann
Den Zugriff auf Informationen und Funktionen gemäß der Zugriffsrichtlinie begrenzen.
A.8.4 Steuern, wer den Quellcode erreichen kann
Lese- und Schreibzugriff auf Quellcode, Werkzeuge und Bibliotheken verwalten.
A.8.5 Sicher anmelden
Authentifizierungstechnik und -verfahren passend zu den Zugriffsbeschränkungen einsetzen, mit MFA, wo es zählt.
A.8.6 Genug Kapazität, um weiterzulaufen
Ressourcenkapazität überwachen und an die Anforderungen anpassen.
A.8.7 Schadsoftware abwehren
Technischen Schutz vor Schadsoftware mit dem Bewusstsein der Nutzenden verbinden.
A.8.8 Bekannte Schwachstellen finden und beheben
Schwachstellen im Eingesetzten verfolgen, die Betroffenheit bewerten und beheben.
A.8.9 Systeme so konfiguriert halten, wie beabsichtigt
Sichere Konfigurationen einschließlich Härtung festlegen, anwenden, überwachen und überprüfen.
A.8.10 Daten löschen, die nicht mehr gebraucht werden
Informationen löschen, sobald sie nicht mehr benötigt werden, überall wo sie liegen.
A.8.11 Daten verbergen, die nicht gezeigt werden müssen
Daten maskieren oder pseudonymisieren, wo Richtlinie und Recht es verlangen.
A.8.12 Verhindern, dass Daten unbefugt abfließen
Maßnahmen anwenden, die unbefugten Datenabfluss erkennen und verhindern.
A.8.13 Daten sichern und Wiederherstellungen nachweisen
Gemäß Richtlinie sichern und prüfen, dass Wiederherstellungen tatsächlich funktionieren.
A.8.14 Reserven, damit ein Ausfall überstanden wird
Genug Redundanz aufbauen, um die Verfügbarkeitsanforderungen zu erfüllen.
A.8.15 Aufzeichnen, was auf den Systemen geschah
Protokolle über Aktivitäten, Ausnahmen und Ereignisse erzeugen, schützen und auswerten.
A.8.16 Systeme auf auffälliges Verhalten beobachten
Systeme auf Anomalien überwachen und auf Funde reagieren.
A.8.17 Systemuhren gleich halten
Uhren mit genehmigten Zeitquellen synchronisieren, damit Protokolle zusammenpassen.
A.8.18 Mächtige Systemwerkzeuge einschränken
Werkzeuge einschränken und kontrollieren, die Systemmaßnahmen außer Kraft setzen können.
A.8.19 Steuern, was in der Produktion installiert wird
Die Softwareinstallation auf Produktivsystemen sicher steuern.
A.8.20 Das Netzwerk selbst absichern
Netzwerke und Netzwerkgeräte absichern, verwalten und kontrollieren.
A.8.21 Sicherheitsbedingungen für Netzdienste vereinbaren
Sicherheitsanforderungen an Netzdienste ermitteln und durchsetzen, intern wie ausgelagert.
A.8.22 Netze voneinander trennen
Netzsegmente nach Vertrauensstellung und Bedarf trennen.
A.8.23 Zugriff auf riskante Websites filtern
Den Zugriff auf externe Websites steuern, um die Aussetzung gegenüber schädlichen Inhalten zu senken.
A.8.24 Verschlüsselung richtig einsetzen und Schlüssel verwalten
Regeln für wirksame Kryptografie einschließlich Schlüsselverwaltung festlegen und anwenden.
A.8.25 Sicherheit über den gesamten Entwicklungsweg
Sicherheitsregeln über den gesamten Entwicklungslebenszyklus anwenden.
A.8.26 Festlegen, was eine Anwendung sicher leisten muss
Sicherheitsanforderungen festlegen, wenn Anwendungen gebaut oder beschafft werden.
A.8.27 Systeme nach sicheren Prinzipien entwerfen
Grundsätze sicherer Entwicklung aufstellen und bei jedem Bau anwenden.
A.8.28 Code schreiben, der Angriffen standhält
Grundsätze sicherer Programmierung auf selbst geschriebene Software anwenden.
A.8.29 Sicherheit prüfen, bevor etwas ausgeliefert wird
Sicherheitstests während der Entwicklung und bei der Abnahme festlegen und durchführen.
A.8.30 Sicherheit beaufsichtigen, wenn andere für Sie bauen
Extern entwickelte Arbeit gegen die eigenen Anforderungen steuern, überwachen und überprüfen.
A.8.31 Bau-, Test- und Produktivumgebungen trennen
Entwicklungs-, Test- und Produktivumgebungen trennen und absichern.
A.8.32 Änderungen an Produktivsystemen steuern
Änderungen an Systemen und Einrichtungen durch Änderungsverfahren führen.
A.8.33 Beim Testen unbedenkliche Daten verwenden
Testdaten auswählen, schützen und verwalten.
A.8.34 Systeme prüfen, ohne sie zu stören
Audits und Tests an Produktivsystemen so planen, dass sie weder stören noch etwas offenlegen.
Das Dokument
# Erklärung zur Anwendbarkeit Geschrieben am 14. September 2026 mit der kostenlosen Seite auf getstandardos.com, gegen Anhang A der ISO/IEC 27001:2022, 93 Maßnahmen. Für jede Maßnahme: ob sie für den Anwendungsbereich gilt, ob sie umgesetzt ist und der Grund für Aufnahme oder Ausschluss (Abschnitt 6.1.3 d)). Die Titel der Maßnahmen sind die Beschreibungen von StandardOS in einfacher Sprache, nicht der Text der Norm; die Referenzen sind die der Norm. ## Zusammenfassung 93 Maßnahmen anwendbar: 0 umgesetzt, 0 teilweise umgesetzt, 93 geplant. 0 Maßnahmen ausgeschlossen, jede mit ihrer Begründung unten. ## Organisatorisch (37) | Maßnahme | Worum es geht | Anwendbar | Umgesetzt | Begründung | |---|---|---|---|---| | A.5.1 | Schriftliche Sicherheitsrichtlinien, genehmigt und aktuell | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.2 | Wer wofür in der Sicherheit verantwortlich ist | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.3 | Heikle Aufgaben auf mehrere Personen aufteilen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.4 | Was die Leitung von allen verlangen muss | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.5 | Wissen, wen man bei den Behörden erreicht | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.6 | Kontakt zu Sicherheitsgemeinschaften halten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.7 | Bedrohungsinformationen sammeln und nutzen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.8 | Sicherheit in jedes Projekt einbauen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.9 | Wissen, welche Informationen und Geräte vorhanden sind | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.10 | Regeln für den Umgang mit Informationen und Geräten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.11 | Geräte und Daten zurückerhalten, wenn Menschen gehen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.12 | Informationen nach Schutzbedarf einstufen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.13 | Informationen mit ihrer Einstufung kennzeichnen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.14 | Informationen sicher übermitteln, intern wie extern | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.15 | Entscheiden, wer welche Systeme und Daten erreichen darf | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.16 | Konten und Identitäten über ihren Lebenszyklus verwalten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.17 | Umgang mit Kennwörtern, Schlüsseln und anderen Geheimnissen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.18 | Berechtigungen erteilen, überprüfen und entziehen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.19 | Das Risiko steuern, das Lieferanten mitbringen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.20 | Sicherheitsanforderungen in Lieferantenverträge aufnehmen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.21 | Sicherheit entlang der Technologielieferkette | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.22 | Lieferanten im Blick behalten, wenn sie sich ändern | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.23 | Cloud-Dienste sicher nutzen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.24 | Vorbereitet sein, bevor ein Vorfall eintritt | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.25 | Beurteilen, welche Ereignisse echte Vorfälle sind | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.26 | Handeln, sobald ein Vorfall festgestellt ist | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.27 | Aus Vorfällen im Nachhinein lernen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.28 | Beweise nach einem Vorfall sichern | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.29 | Sicherheit auch in der Krise aufrechterhalten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.30 | Technik durch Störungen hindurch am Laufen halten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.31 | Die bindenden Gesetze und Verträge kennen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.32 | Urheberrecht und Softwarelizenzen achten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.33 | Aufzeichnungen so lange sichern, wie es nötig ist | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.34 | Personenbezogene Daten schützen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.35 | Die Sicherheit unabhängig überprüfen lassen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.36 | Prüfen, ob die eigenen Regeln wirklich befolgt werden | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.5.37 | Aufschreiben, wie die Dinge tatsächlich laufen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | ## Personenbezogen (8) | Maßnahme | Worum es geht | Anwendbar | Umgesetzt | Begründung | |---|---|---|---|---| | A.6.1 | Überprüfung vor der Einstellung | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.6.2 | Sicherheitspflichten im Arbeitsvertrag | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.6.3 | Menschen für sicheres Arbeiten schulen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.6.4 | Konsequenzen bei Regelverstößen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.6.5 | Pflichten, die über das Ausscheiden hinaus gelten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.6.6 | Vertraulichkeitsvereinbarungen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.6.7 | Sicher außerhalb des Büros arbeiten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.6.8 | Es Beschäftigten leicht machen, Probleme zu melden | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | ## Physisch (14) | Maßnahme | Worum es geht | Anwendbar | Umgesetzt | Begründung | |---|---|---|---|---| | A.7.1 | Die geschützte physische Grenze festlegen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.2 | Steuern, wer durch die Tür kommt | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.3 | Die Räume selbst absichern | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.4 | Das Gelände auf Eindringlinge überwachen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.5 | Schutz vor Feuer, Wasser und Ähnlichem | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.6 | Regeln für die Arbeit in Sicherheitsbereichen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.7 | Nichts Sensibles auf Tischen oder Bildschirmen lassen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.8 | Geräte dort aufstellen, wo sie sicher sind | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.9 | Geräte außerhalb des Geländes schützen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.10 | Umgang mit Datenträgern und Wechselmedien | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.11 | Sicher auf Strom, Kühlung und Wasser bauen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.12 | Strom- und Netzwerkverkabelung schützen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.13 | Geräte instand halten, damit sie weiter funktionieren | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.7.14 | Geräte vor Entsorgung oder Weiterverwendung löschen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | ## Technologisch (34) | Maßnahme | Worum es geht | Anwendbar | Umgesetzt | Begründung | |---|---|---|---|---| | A.8.1 | Laptops, Telefone und Arbeitsplatzrechner absichern | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.2 | Administrative Zugriffe einschränken | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.3 | Begrenzen, was jede Person öffnen kann | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.4 | Steuern, wer den Quellcode erreichen kann | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.5 | Sicher anmelden | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.6 | Genug Kapazität, um weiterzulaufen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.7 | Schadsoftware abwehren | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.8 | Bekannte Schwachstellen finden und beheben | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.9 | Systeme so konfiguriert halten, wie beabsichtigt | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.10 | Daten löschen, die nicht mehr gebraucht werden | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.11 | Daten verbergen, die nicht gezeigt werden müssen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.12 | Verhindern, dass Daten unbefugt abfließen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.13 | Daten sichern und Wiederherstellungen nachweisen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.14 | Reserven, damit ein Ausfall überstanden wird | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.15 | Aufzeichnen, was auf den Systemen geschah | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.16 | Systeme auf auffälliges Verhalten beobachten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.17 | Systemuhren gleich halten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.18 | Mächtige Systemwerkzeuge einschränken | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.19 | Steuern, was in der Produktion installiert wird | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.20 | Das Netzwerk selbst absichern | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.21 | Sicherheitsbedingungen für Netzdienste vereinbaren | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.22 | Netze voneinander trennen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.23 | Zugriff auf riskante Websites filtern | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.24 | Verschlüsselung richtig einsetzen und Schlüssel verwalten | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.25 | Sicherheit über den gesamten Entwicklungsweg | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.26 | Festlegen, was eine Anwendung sicher leisten muss | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.27 | Systeme nach sicheren Prinzipien entwerfen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.28 | Code schreiben, der Angriffen standhält | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.29 | Sicherheit prüfen, bevor etwas ausgeliefert wird | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.30 | Sicherheit beaufsichtigen, wenn andere für Sie bauen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.31 | Bau-, Test- und Produktivumgebungen trennen | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.32 | Änderungen an Produktivsystemen steuern | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.33 | Beim Testen unbedenkliche Daten verwenden | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | | A.8.34 | Systeme prüfen, ohne sie zu stören | Ja | Nein | Für die Risikobehandlung im Anwendungsbereich erforderlich. | Die Referenzen der Maßnahmen sind die Bezeichner aus Anhang A der ISO/IEC 27001:2022; die Titel sind die eigenen Beschreibungen von StandardOS. Die Status und die Begründungen sind die des Unternehmens. Dies ist ein Dokument, kein Zertifikat.
Die Erklärung, die sich bewegt, wenn der Nachweis es tut
StandardOS führt die 93 Maßnahmen als Positionen auf einem Bildschirm, setzt eine Maßnahme an dem Tag auf umgesetzt, an dem ihr Nachweis angehängt wird, bewahrt jede Begründung mit dem Risiko, aus dem sie stammt, und druckt am Audittag die Erklärung, die der Auditor verlangt, datiert.
Die Maßnahmen werden aus den Anhang-A-Daten des Pakets gelesen, nie auf dieser Seite getippt, und ihre Titel sind die Beschreibungen von StandardOS, nicht der Wortlaut der Norm. Ob eine Maßnahme gilt und umgesetzt ist, ist die eigene Lesart des Unternehmens. Dies ist ein Dokument, keine Rechts- oder Zertifizierungsberatung.