ISO 27001 · das Risikoregister
Risikoregister und Risikobehandlungsplan, aus fünf Antworten geschrieben
Die Ausgangsrisiken, die ein Softwareunternehmen trägt, jedes mit Wahrscheinlichkeit und Auswirkung auf einer 5-stufigen Skala, die Stufe als ihr Produkt in 4 Bändern, eine Akzeptanzschwelle, und für jedes Risiko darüber eine Behandlungsoption und die Maßnahmen, die es behandeln; Register und Plan werden so geschrieben, wie der Auditor sie liest, und die Erklärung zur Anwendbarkeit folgt aus den Maßnahmen.
Wo das Register steht
14 Risiken im Register, 14 über der Schwelle und behandelt, 0 akzeptiert; 59 Maßnahmen aus Anhang A von den Behandlungen genannt.
Das Register (14 Risiken)
Die Ausgangsrisiken sind der eigene erste Entwurf des Produkts für ein Unternehmen wie Ihres; ändern Sie die Bewertungen, wählen Sie die Option, nennen Sie den Verantwortlichen, entfernen Sie, was nicht zutrifft, und ergänzen Sie, was fehlt.
Phishing führt zur Kompromittierung von Zugangsdaten
Eine Mitarbeiterin oder ein Mitarbeiter wird dazu verleitet, Zugangsdaten preiszugeben. · Benutzerkonten
A.6.3 Menschen für sicheres Arbeiten schulen · A.8.5 Sicher anmelden · A.8.23 Zugriff auf riskante Websites filtern
16 · kritischVerlust oder Diebstahl eines Endgeräts
Ein Laptop oder Telefon mit Informationen geht verloren oder wird gestohlen. · Endgeräte
A.8.1 Laptops, Telefone und Arbeitsplatzrechner absichern · A.7.9 Geräte außerhalb des Geländes schützen · A.8.24 Verschlüsselung richtig einsetzen und Schlüssel verwalten
9 · mittelAusfall eines kritischen Cloud-Dienstes
Ein wichtiger SaaS- oder Cloud-Anbieter hat einen Ausfall. · Cloud-Dienste
A.5.23 Cloud-Dienste sicher nutzen · A.8.14 Reserven, damit ein Ausfall überstanden wird · A.5.30 Technik durch Störungen hindurch am Laufen halten · A.5.29 Sicherheit auch in der Krise aufrechterhalten · A.8.6 Genug Kapazität, um weiterzulaufen
12 · hochSicherungen lassen sich nicht wiederherstellen
Sicherungen existieren, aber eine echte Wiederherstellung funktioniert im Bedarfsfall nicht. · Daten
A.8.13 Daten sichern und Wiederherstellungen nachweisen
10 · hochAusscheidende Mitarbeitende behalten Zugriff
Zugriff wird nicht zeitnah entzogen, wenn jemand geht. · Konten
A.5.11 Geräte und Daten zurückerhalten, wenn Menschen gehen · A.6.5 Pflichten, die über das Ausscheiden hinaus gelten · A.5.18 Berechtigungen erteilen, überprüfen und entziehen
9 · mittelGeräte oder Datenträger werden mit noch vorhandenen Daten entsorgt
Eine Festplatte, ein USB-Stick oder ein alter Laptop verlässt das Unternehmen, ohne gelöscht worden zu sein. · Geräte und Datenträger
A.7.10 Umgang mit Datenträgern und Wechselmedien · A.7.14 Geräte vor Entsorgung oder Weiterverwendung löschen · A.8.10 Daten löschen, die nicht mehr gebraucht werden
8 · mittelKompromittierung eines Lieferanten oder Cloud-Anbieters
Ein Lieferant, der unsere Informationen hält oder Teile unseres Dienstes betreibt, wird kompromittiert, und wir erfahren es spät oder gar nicht. · Lieferanten und Cloud-Dienste
A.5.19 Das Risiko steuern, das Lieferanten mitbringen · A.5.20 Sicherheitsanforderungen in Lieferantenverträge aufnehmen · A.5.21 Sicherheit entlang der Technologielieferkette · A.5.22 Lieferanten im Blick behalten, wenn sie sich ändern
12 · hochVorfall nicht rechtzeitig erkannt oder gemeldet
Ein Sicherheitsereignis fällt niemandem auf, oder jemandem, der nicht weiß, wo er es melden soll, und die Reaktion beginnt Tage zu spät. · Reaktion auf Vorfälle
A.5.24 Vorbereitet sein, bevor ein Vorfall eintritt · A.5.25 Beurteilen, welche Ereignisse echte Vorfälle sind · A.5.26 Handeln, sobald ein Vorfall festgestellt ist · A.5.27 Aus Vorfällen im Nachhinein lernen · A.6.8 Es Beschäftigten leicht machen, Probleme zu melden
12 · hochRechtliche oder vertragliche Anforderung übersehen
Ein Gesetz, eine Verordnung, eine Lizenz oder ein Kundenvertrag verlangt etwas von uns, das niemand aufgeschrieben hat, und die Lücke findet ein Auditor, ein Kunde oder eine Behörde. · Verpflichtungsregister
A.5.31 Die bindenden Gesetze und Verträge kennen · A.5.32 Urheberrecht und Softwarelizenzen achten · A.5.35 Die Sicherheit unabhängig überprüfen lassen · A.5.36 Prüfen, ob die eigenen Regeln wirklich befolgt werden · A.8.34 Systeme prüfen, ohne sie zu stören
9 · mittelSicherheitsverantwortung unklar oder unbesetzt
Eine Maßnahme hat keinen benannten Verantwortlichen, eine Pflicht gehört allen und wird von niemandem erledigt, oder eine Person hält eine Rolle, die getrennt sein sollte. · Rollen und Verantwortlichkeiten
A.5.1 Schriftliche Sicherheitsrichtlinien, genehmigt und aktuell · A.5.2 Wer wofür in der Sicherheit verantwortlich ist · A.5.3 Heikle Aufgaben auf mehrere Personen aufteilen · A.5.4 Was die Leitung von allen verlangen muss · A.5.37 Aufschreiben, wie die Dinge tatsächlich laufen · A.6.2 Sicherheitspflichten im Arbeitsvertrag
9 · mittelEin- und Austritte ohne die Sicherheitsgrundlagen
Jemand beginnt ohne Überprüfung, Bedingungen oder Vertraulichkeitsvereinbarung, oder niemand weiß, was bei einem Regelverstoß passiert. · Personen
A.6.1 Überprüfung vor der Einstellung · A.6.4 Konsequenzen bei Regelverstößen · A.6.6 Vertraulichkeitsvereinbarungen · A.5.5 Wissen, wen man bei den Behörden erreicht · A.5.6 Kontakt zu Sicherheitsgemeinschaften halten
9 · mittelInformationen unsicher geteilt oder übertragen
Vertrauliche Informationen werden über ein Netz oder einen Dienst gesendet, übertragen oder offengelegt, ohne die Handhabung, die ihre Klassifizierung verlangt. · Informationen in Übertragung
A.5.13 Informationen mit ihrer Einstufung kennzeichnen · A.5.14 Informationen sicher übermitteln, intern wie extern · A.8.3 Begrenzen, was jede Person öffnen kann · A.8.21 Sicherheitsbedingungen für Netzdienste vereinbaren · A.8.19 Steuern, was in der Produktion installiert wird · A.5.8 Sicherheit in jedes Projekt einbauen
12 · hochSchwachstelle in der eigenen Software eingeführt
Unsicherer Code oder eine unsichere Abhängigkeit gelangt in Produktion. · Anwendung
A.8.25 Sicherheit über den gesamten Entwicklungsweg · A.8.26 Festlegen, was eine Anwendung sicher leisten muss · A.8.27 Systeme nach sicheren Prinzipien entwerfen · A.8.28 Code schreiben, der Angriffen standhält · A.8.33 Beim Testen unbedenkliche Daten verwenden · A.8.8 Bekannte Schwachstellen finden und beheben
12 · hochUnbefugte Offenlegung personenbezogener Daten
Personenbezogene Kundendaten gelangen an die falsche Partei. · Personenbezogene Daten
A.5.34 Personenbezogene Daten schützen · A.8.12 Verhindern, dass Daten unbefugt abfließen · A.5.12 Informationen nach Schutzbedarf einstufen · A.8.11 Daten verbergen, die nicht gezeigt werden müssen
15 · hoch
Ein Risiko hinzufügen
Das Dokument
# Informationssicherheitsrisikobeurteilung und Risikobehandlungsplan Geschrieben am 14. September 2026 mit der kostenlosen Seite auf getstandardos.com, für ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001:2022: die Kriterien nach Abschnitt 6.1.2 a), die Risiken identifiziert, analysiert und bewertet nach 6.1.2 c) bis e), die Behandlungsoptionen und die Maßnahmen aus Anhang A nach 6.1.3 a) bis c) und der Plan nach 6.1.3 e). Die Methode ist die von StandardOS; die Titel der Maßnahmen sind Beschreibungen von StandardOS, nicht der Text der Norm. ## Risikokriterien Wahrscheinlichkeit und Auswirkung werden jeweils von 1 bis 5 bewertet; die Stufe ist ihr Produkt. Ein Risiko auf oder unter 4 wird akzeptiert und mit Verantwortlichem beibehalten; ein Risiko darüber wird behandelt. Die Bänder: - niedrig: 1 bis 4 - mittel: 5 bis 9 - hoch: 10 bis 15 - kritisch: 16 bis 25 ## Risikoregister (14 Risiken) | Risiko | Wert | Wahrscheinlichkeit | Auswirkung | Stufe | Behandlung | Verantwortlich | |---|---|---|---|---|---|---| | Phishing führt zur Kompromittierung von Zugangsdaten | Benutzerkonten | 4 | 4 | 16 (kritisch) | Mit Maßnahmen verändern | | | Verlust oder Diebstahl eines Endgeräts | Endgeräte | 3 | 3 | 9 (mittel) | Mit Maßnahmen verändern | | | Ausfall eines kritischen Cloud-Dienstes | Cloud-Dienste | 3 | 4 | 12 (hoch) | Mit Maßnahmen verändern | | | Sicherungen lassen sich nicht wiederherstellen | Daten | 2 | 5 | 10 (hoch) | Mit Maßnahmen verändern | | | Ausscheidende Mitarbeitende behalten Zugriff | Konten | 3 | 3 | 9 (mittel) | Mit Maßnahmen verändern | | | Geräte oder Datenträger werden mit noch vorhandenen Daten entsorgt | Geräte und Datenträger | 2 | 4 | 8 (mittel) | Mit Maßnahmen verändern | | | Kompromittierung eines Lieferanten oder Cloud-Anbieters | Lieferanten und Cloud-Dienste | 3 | 4 | 12 (hoch) | Mit Maßnahmen verändern | | | Vorfall nicht rechtzeitig erkannt oder gemeldet | Reaktion auf Vorfälle | 3 | 4 | 12 (hoch) | Mit Maßnahmen verändern | | | Rechtliche oder vertragliche Anforderung übersehen | Verpflichtungsregister | 3 | 3 | 9 (mittel) | Mit Maßnahmen verändern | | | Sicherheitsverantwortung unklar oder unbesetzt | Rollen und Verantwortlichkeiten | 3 | 3 | 9 (mittel) | Mit Maßnahmen verändern | | | Ein- und Austritte ohne die Sicherheitsgrundlagen | Personen | 3 | 3 | 9 (mittel) | Mit Maßnahmen verändern | | | Informationen unsicher geteilt oder übertragen | Informationen in Übertragung | 3 | 4 | 12 (hoch) | Mit Maßnahmen verändern | | | Schwachstelle in der eigenen Software eingeführt | Anwendung | 3 | 4 | 12 (hoch) | Mit Maßnahmen verändern | | | Unbefugte Offenlegung personenbezogener Daten | Personenbezogene Daten | 3 | 5 | 15 (hoch) | Mit Maßnahmen verändern | | ## Risikobehandlungsplan (14 Risiken behandelt) Jedes Risiko über der Akzeptanzstufe von 4, mit seiner Behandlungsoption, den Maßnahmen, die es behandeln, wo die Option Verändern ist, und seinem Verantwortlichen; 0 Risiken werden akzeptiert und beibehalten. ### Phishing führt zur Kompromittierung von Zugangsdaten Eine Mitarbeiterin oder ein Mitarbeiter wird dazu verleitet, Zugangsdaten preiszugeben. Stufe: 16 (kritisch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.6.3: Menschen für sicheres Arbeiten schulen - A.8.5: Sicher anmelden - A.8.23: Zugriff auf riskante Websites filtern ### Verlust oder Diebstahl eines Endgeräts Ein Laptop oder Telefon mit Informationen geht verloren oder wird gestohlen. Stufe: 9 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.8.1: Laptops, Telefone und Arbeitsplatzrechner absichern - A.7.9: Geräte außerhalb des Geländes schützen - A.8.24: Verschlüsselung richtig einsetzen und Schlüssel verwalten ### Ausfall eines kritischen Cloud-Dienstes Ein wichtiger SaaS- oder Cloud-Anbieter hat einen Ausfall. Stufe: 12 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.5.23: Cloud-Dienste sicher nutzen - A.8.14: Reserven, damit ein Ausfall überstanden wird - A.5.30: Technik durch Störungen hindurch am Laufen halten - A.5.29: Sicherheit auch in der Krise aufrechterhalten - A.8.6: Genug Kapazität, um weiterzulaufen ### Sicherungen lassen sich nicht wiederherstellen Sicherungen existieren, aber eine echte Wiederherstellung funktioniert im Bedarfsfall nicht. Stufe: 10 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.8.13: Daten sichern und Wiederherstellungen nachweisen ### Ausscheidende Mitarbeitende behalten Zugriff Zugriff wird nicht zeitnah entzogen, wenn jemand geht. Stufe: 9 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.5.11: Geräte und Daten zurückerhalten, wenn Menschen gehen - A.6.5: Pflichten, die über das Ausscheiden hinaus gelten - A.5.18: Berechtigungen erteilen, überprüfen und entziehen ### Geräte oder Datenträger werden mit noch vorhandenen Daten entsorgt Eine Festplatte, ein USB-Stick oder ein alter Laptop verlässt das Unternehmen, ohne gelöscht worden zu sein. Stufe: 8 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.7.10: Umgang mit Datenträgern und Wechselmedien - A.7.14: Geräte vor Entsorgung oder Weiterverwendung löschen - A.8.10: Daten löschen, die nicht mehr gebraucht werden ### Kompromittierung eines Lieferanten oder Cloud-Anbieters Ein Lieferant, der unsere Informationen hält oder Teile unseres Dienstes betreibt, wird kompromittiert, und wir erfahren es spät oder gar nicht. Stufe: 12 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.5.19: Das Risiko steuern, das Lieferanten mitbringen - A.5.20: Sicherheitsanforderungen in Lieferantenverträge aufnehmen - A.5.21: Sicherheit entlang der Technologielieferkette - A.5.22: Lieferanten im Blick behalten, wenn sie sich ändern ### Vorfall nicht rechtzeitig erkannt oder gemeldet Ein Sicherheitsereignis fällt niemandem auf, oder jemandem, der nicht weiß, wo er es melden soll, und die Reaktion beginnt Tage zu spät. Stufe: 12 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.5.24: Vorbereitet sein, bevor ein Vorfall eintritt - A.5.25: Beurteilen, welche Ereignisse echte Vorfälle sind - A.5.26: Handeln, sobald ein Vorfall festgestellt ist - A.5.27: Aus Vorfällen im Nachhinein lernen - A.6.8: Es Beschäftigten leicht machen, Probleme zu melden ### Rechtliche oder vertragliche Anforderung übersehen Ein Gesetz, eine Verordnung, eine Lizenz oder ein Kundenvertrag verlangt etwas von uns, das niemand aufgeschrieben hat, und die Lücke findet ein Auditor, ein Kunde oder eine Behörde. Stufe: 9 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.5.31: Die bindenden Gesetze und Verträge kennen - A.5.32: Urheberrecht und Softwarelizenzen achten - A.5.35: Die Sicherheit unabhängig überprüfen lassen - A.5.36: Prüfen, ob die eigenen Regeln wirklich befolgt werden - A.8.34: Systeme prüfen, ohne sie zu stören ### Sicherheitsverantwortung unklar oder unbesetzt Eine Maßnahme hat keinen benannten Verantwortlichen, eine Pflicht gehört allen und wird von niemandem erledigt, oder eine Person hält eine Rolle, die getrennt sein sollte. Stufe: 9 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.5.1: Schriftliche Sicherheitsrichtlinien, genehmigt und aktuell - A.5.2: Wer wofür in der Sicherheit verantwortlich ist - A.5.3: Heikle Aufgaben auf mehrere Personen aufteilen - A.5.4: Was die Leitung von allen verlangen muss - A.5.37: Aufschreiben, wie die Dinge tatsächlich laufen - A.6.2: Sicherheitspflichten im Arbeitsvertrag ### Ein- und Austritte ohne die Sicherheitsgrundlagen Jemand beginnt ohne Überprüfung, Bedingungen oder Vertraulichkeitsvereinbarung, oder niemand weiß, was bei einem Regelverstoß passiert. Stufe: 9 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.6.1: Überprüfung vor der Einstellung - A.6.4: Konsequenzen bei Regelverstößen - A.6.6: Vertraulichkeitsvereinbarungen - A.5.5: Wissen, wen man bei den Behörden erreicht - A.5.6: Kontakt zu Sicherheitsgemeinschaften halten ### Informationen unsicher geteilt oder übertragen Vertrauliche Informationen werden über ein Netz oder einen Dienst gesendet, übertragen oder offengelegt, ohne die Handhabung, die ihre Klassifizierung verlangt. Stufe: 12 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.5.13: Informationen mit ihrer Einstufung kennzeichnen - A.5.14: Informationen sicher übermitteln, intern wie extern - A.8.3: Begrenzen, was jede Person öffnen kann - A.8.21: Sicherheitsbedingungen für Netzdienste vereinbaren - A.8.19: Steuern, was in der Produktion installiert wird - A.5.8: Sicherheit in jedes Projekt einbauen ### Schwachstelle in der eigenen Software eingeführt Unsicherer Code oder eine unsichere Abhängigkeit gelangt in Produktion. Stufe: 12 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.8.25: Sicherheit über den gesamten Entwicklungsweg - A.8.26: Festlegen, was eine Anwendung sicher leisten muss - A.8.27: Systeme nach sicheren Prinzipien entwerfen - A.8.28: Code schreiben, der Angriffen standhält - A.8.33: Beim Testen unbedenkliche Daten verwenden - A.8.8: Bekannte Schwachstellen finden und beheben ### Unbefugte Offenlegung personenbezogener Daten Personenbezogene Kundendaten gelangen an die falsche Partei. Stufe: 15 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt Maßnahmen, die dieses Risiko behandeln: - A.5.34: Personenbezogene Daten schützen - A.8.12: Verhindern, dass Daten unbefugt abfließen - A.5.12: Informationen nach Schutzbedarf einstufen - A.8.11: Daten verbergen, die nicht gezeigt werden müssen ## Vom Plan genannte Maßnahmen (59) Die Maßnahmen aus Anhang A, die der Behandlungsplan nennt und die die Erklärung zur Anwendbarkeit dann als anwendbar führt: - A.5.1: Schriftliche Sicherheitsrichtlinien, genehmigt und aktuell - A.5.2: Wer wofür in der Sicherheit verantwortlich ist - A.5.3: Heikle Aufgaben auf mehrere Personen aufteilen - A.5.4: Was die Leitung von allen verlangen muss - A.5.5: Wissen, wen man bei den Behörden erreicht - A.5.6: Kontakt zu Sicherheitsgemeinschaften halten - A.5.8: Sicherheit in jedes Projekt einbauen - A.5.11: Geräte und Daten zurückerhalten, wenn Menschen gehen - A.5.12: Informationen nach Schutzbedarf einstufen - A.5.13: Informationen mit ihrer Einstufung kennzeichnen - A.5.14: Informationen sicher übermitteln, intern wie extern - A.5.18: Berechtigungen erteilen, überprüfen und entziehen - A.5.19: Das Risiko steuern, das Lieferanten mitbringen - A.5.20: Sicherheitsanforderungen in Lieferantenverträge aufnehmen - A.5.21: Sicherheit entlang der Technologielieferkette - A.5.22: Lieferanten im Blick behalten, wenn sie sich ändern - A.5.23: Cloud-Dienste sicher nutzen - A.5.24: Vorbereitet sein, bevor ein Vorfall eintritt - A.5.25: Beurteilen, welche Ereignisse echte Vorfälle sind - A.5.26: Handeln, sobald ein Vorfall festgestellt ist - A.5.27: Aus Vorfällen im Nachhinein lernen - A.5.29: Sicherheit auch in der Krise aufrechterhalten - A.5.30: Technik durch Störungen hindurch am Laufen halten - A.5.31: Die bindenden Gesetze und Verträge kennen - A.5.32: Urheberrecht und Softwarelizenzen achten - A.5.34: Personenbezogene Daten schützen - A.5.35: Die Sicherheit unabhängig überprüfen lassen - A.5.36: Prüfen, ob die eigenen Regeln wirklich befolgt werden - A.5.37: Aufschreiben, wie die Dinge tatsächlich laufen - A.6.1: Überprüfung vor der Einstellung - A.6.2: Sicherheitspflichten im Arbeitsvertrag - A.6.3: Menschen für sicheres Arbeiten schulen - A.6.4: Konsequenzen bei Regelverstößen - A.6.5: Pflichten, die über das Ausscheiden hinaus gelten - A.6.6: Vertraulichkeitsvereinbarungen - A.6.8: Es Beschäftigten leicht machen, Probleme zu melden - A.7.9: Geräte außerhalb des Geländes schützen - A.7.10: Umgang mit Datenträgern und Wechselmedien - A.7.14: Geräte vor Entsorgung oder Weiterverwendung löschen - A.8.1: Laptops, Telefone und Arbeitsplatzrechner absichern - A.8.3: Begrenzen, was jede Person öffnen kann - A.8.5: Sicher anmelden - A.8.6: Genug Kapazität, um weiterzulaufen - A.8.8: Bekannte Schwachstellen finden und beheben - A.8.10: Daten löschen, die nicht mehr gebraucht werden - A.8.11: Daten verbergen, die nicht gezeigt werden müssen - A.8.12: Verhindern, dass Daten unbefugt abfließen - A.8.13: Daten sichern und Wiederherstellungen nachweisen - A.8.14: Reserven, damit ein Ausfall überstanden wird - A.8.19: Steuern, was in der Produktion installiert wird - A.8.21: Sicherheitsbedingungen für Netzdienste vereinbaren - A.8.23: Zugriff auf riskante Websites filtern - A.8.24: Verschlüsselung richtig einsetzen und Schlüssel verwalten - A.8.25: Sicherheit über den gesamten Entwicklungsweg - A.8.26: Festlegen, was eine Anwendung sicher leisten muss - A.8.27: Systeme nach sicheren Prinzipien entwerfen - A.8.28: Code schreiben, der Angriffen standhält - A.8.33: Beim Testen unbedenkliche Daten verwenden - A.8.34: Systeme prüfen, ohne sie zu stören Die Risiken sind ein erster Entwurf für ein Unternehmen dieses Profils, und die Bewertungen sind die eigenen des Unternehmens; die Maßnahmen werden aus den Anhang-A-Daten des Pakets gelesen. Dies ist ein Dokument, kein Zertifikat.
Das Register, mit dem die Erklärung beginnt
StandardOS legt dieselben Ausgangsrisiken am ersten Tag an, hält Bewertung, Verantwortlichen und Überprüfungsdatum an jedem, macht jede Behandlung zu einer Position in der Erklärung zur Anwendbarkeit und öffnet die Beurteilung im Intervall neu, das Abschnitt 8.2 verlangt.
Skala, Bänder und Schwelle sind die eigene Methode von StandardOS; die Norm verlangt Kriterien und überlässt die Methode der Organisation. Die Ausgangsrisiken werden aus dem Paket gelesen, nie auf dieser Seite getippt, und ihre Maßnahmenreferenzen sind Bezeichner aus Anhang A mit den eigenen Titeln von StandardOS. Dies ist ein Dokument, keine Rechts- oder Zertifizierungsberatung.