ISO 27001

ISO 27001 · das Risikoregister

Risikoregister und Risikobehandlungsplan, aus fünf Antworten geschrieben

Die Ausgangsrisiken, die ein Softwareunternehmen trägt, jedes mit Wahrscheinlichkeit und Auswirkung auf einer 5-stufigen Skala, die Stufe als ihr Produkt in 4 Bändern, eine Akzeptanzschwelle, und für jedes Risiko darüber eine Behandlungsoption und die Maßnahmen, die es behandeln; Register und Plan werden so geschrieben, wie der Auditor sie liest, und die Erklärung zur Anwendbarkeit folgt aus den Maßnahmen.

Wie viele Menschen arbeiten im Unternehmen?
Entwickelt das Unternehmen Software selbst?
Nutzt es externe Parteien für Entwicklungsarbeit?
Hat es eigene physische Räumlichkeiten?
Verarbeitet es personenbezogene Daten von Kunden?
Risiken bis zu welcher Stufe akzeptieren?

Die Stufe ist Wahrscheinlichkeit mal Auswirkung, jeweils höchstens 5; ein Risiko auf oder unter der Schwelle wird mit benanntem Verantwortlichen beibehalten, ein Risiko darüber wird behandelt.

Wo das Register steht

14 Risiken im Register, 14 über der Schwelle und behandelt, 0 akzeptiert; 59 Maßnahmen aus Anhang A von den Behandlungen genannt.

Das Register (14 Risiken)

Die Ausgangsrisiken sind der eigene erste Entwurf des Produkts für ein Unternehmen wie Ihres; ändern Sie die Bewertungen, wählen Sie die Option, nennen Sie den Verantwortlichen, entfernen Sie, was nicht zutrifft, und ergänzen Sie, was fehlt.

  • Phishing führt zur Kompromittierung von Zugangsdaten

    Eine Mitarbeiterin oder ein Mitarbeiter wird dazu verleitet, Zugangsdaten preiszugeben. · Benutzerkonten

    A.6.3 Menschen für sicheres Arbeiten schulen · A.8.5 Sicher anmelden · A.8.23 Zugriff auf riskante Websites filtern

    16 · kritisch
  • Verlust oder Diebstahl eines Endgeräts

    Ein Laptop oder Telefon mit Informationen geht verloren oder wird gestohlen. · Endgeräte

    A.8.1 Laptops, Telefone und Arbeitsplatzrechner absichern · A.7.9 Geräte außerhalb des Geländes schützen · A.8.24 Verschlüsselung richtig einsetzen und Schlüssel verwalten

    9 · mittel
  • Ausfall eines kritischen Cloud-Dienstes

    Ein wichtiger SaaS- oder Cloud-Anbieter hat einen Ausfall. · Cloud-Dienste

    A.5.23 Cloud-Dienste sicher nutzen · A.8.14 Reserven, damit ein Ausfall überstanden wird · A.5.30 Technik durch Störungen hindurch am Laufen halten · A.5.29 Sicherheit auch in der Krise aufrechterhalten · A.8.6 Genug Kapazität, um weiterzulaufen

    12 · hoch
  • Sicherungen lassen sich nicht wiederherstellen

    Sicherungen existieren, aber eine echte Wiederherstellung funktioniert im Bedarfsfall nicht. · Daten

    A.8.13 Daten sichern und Wiederherstellungen nachweisen

    10 · hoch
  • Ausscheidende Mitarbeitende behalten Zugriff

    Zugriff wird nicht zeitnah entzogen, wenn jemand geht. · Konten

    A.5.11 Geräte und Daten zurückerhalten, wenn Menschen gehen · A.6.5 Pflichten, die über das Ausscheiden hinaus gelten · A.5.18 Berechtigungen erteilen, überprüfen und entziehen

    9 · mittel
  • Geräte oder Datenträger werden mit noch vorhandenen Daten entsorgt

    Eine Festplatte, ein USB-Stick oder ein alter Laptop verlässt das Unternehmen, ohne gelöscht worden zu sein. · Geräte und Datenträger

    A.7.10 Umgang mit Datenträgern und Wechselmedien · A.7.14 Geräte vor Entsorgung oder Weiterverwendung löschen · A.8.10 Daten löschen, die nicht mehr gebraucht werden

    8 · mittel
  • Kompromittierung eines Lieferanten oder Cloud-Anbieters

    Ein Lieferant, der unsere Informationen hält oder Teile unseres Dienstes betreibt, wird kompromittiert, und wir erfahren es spät oder gar nicht. · Lieferanten und Cloud-Dienste

    A.5.19 Das Risiko steuern, das Lieferanten mitbringen · A.5.20 Sicherheitsanforderungen in Lieferantenverträge aufnehmen · A.5.21 Sicherheit entlang der Technologielieferkette · A.5.22 Lieferanten im Blick behalten, wenn sie sich ändern

    12 · hoch
  • Vorfall nicht rechtzeitig erkannt oder gemeldet

    Ein Sicherheitsereignis fällt niemandem auf, oder jemandem, der nicht weiß, wo er es melden soll, und die Reaktion beginnt Tage zu spät. · Reaktion auf Vorfälle

    A.5.24 Vorbereitet sein, bevor ein Vorfall eintritt · A.5.25 Beurteilen, welche Ereignisse echte Vorfälle sind · A.5.26 Handeln, sobald ein Vorfall festgestellt ist · A.5.27 Aus Vorfällen im Nachhinein lernen · A.6.8 Es Beschäftigten leicht machen, Probleme zu melden

    12 · hoch
  • Rechtliche oder vertragliche Anforderung übersehen

    Ein Gesetz, eine Verordnung, eine Lizenz oder ein Kundenvertrag verlangt etwas von uns, das niemand aufgeschrieben hat, und die Lücke findet ein Auditor, ein Kunde oder eine Behörde. · Verpflichtungsregister

    A.5.31 Die bindenden Gesetze und Verträge kennen · A.5.32 Urheberrecht und Softwarelizenzen achten · A.5.35 Die Sicherheit unabhängig überprüfen lassen · A.5.36 Prüfen, ob die eigenen Regeln wirklich befolgt werden · A.8.34 Systeme prüfen, ohne sie zu stören

    9 · mittel
  • Sicherheitsverantwortung unklar oder unbesetzt

    Eine Maßnahme hat keinen benannten Verantwortlichen, eine Pflicht gehört allen und wird von niemandem erledigt, oder eine Person hält eine Rolle, die getrennt sein sollte. · Rollen und Verantwortlichkeiten

    A.5.1 Schriftliche Sicherheitsrichtlinien, genehmigt und aktuell · A.5.2 Wer wofür in der Sicherheit verantwortlich ist · A.5.3 Heikle Aufgaben auf mehrere Personen aufteilen · A.5.4 Was die Leitung von allen verlangen muss · A.5.37 Aufschreiben, wie die Dinge tatsächlich laufen · A.6.2 Sicherheitspflichten im Arbeitsvertrag

    9 · mittel
  • Ein- und Austritte ohne die Sicherheitsgrundlagen

    Jemand beginnt ohne Überprüfung, Bedingungen oder Vertraulichkeitsvereinbarung, oder niemand weiß, was bei einem Regelverstoß passiert. · Personen

    A.6.1 Überprüfung vor der Einstellung · A.6.4 Konsequenzen bei Regelverstößen · A.6.6 Vertraulichkeitsvereinbarungen · A.5.5 Wissen, wen man bei den Behörden erreicht · A.5.6 Kontakt zu Sicherheitsgemeinschaften halten

    9 · mittel
  • Informationen unsicher geteilt oder übertragen

    Vertrauliche Informationen werden über ein Netz oder einen Dienst gesendet, übertragen oder offengelegt, ohne die Handhabung, die ihre Klassifizierung verlangt. · Informationen in Übertragung

    A.5.13 Informationen mit ihrer Einstufung kennzeichnen · A.5.14 Informationen sicher übermitteln, intern wie extern · A.8.3 Begrenzen, was jede Person öffnen kann · A.8.21 Sicherheitsbedingungen für Netzdienste vereinbaren · A.8.19 Steuern, was in der Produktion installiert wird · A.5.8 Sicherheit in jedes Projekt einbauen

    12 · hoch
  • Schwachstelle in der eigenen Software eingeführt

    Unsicherer Code oder eine unsichere Abhängigkeit gelangt in Produktion. · Anwendung

    A.8.25 Sicherheit über den gesamten Entwicklungsweg · A.8.26 Festlegen, was eine Anwendung sicher leisten muss · A.8.27 Systeme nach sicheren Prinzipien entwerfen · A.8.28 Code schreiben, der Angriffen standhält · A.8.33 Beim Testen unbedenkliche Daten verwenden · A.8.8 Bekannte Schwachstellen finden und beheben

    12 · hoch
  • Unbefugte Offenlegung personenbezogener Daten

    Personenbezogene Kundendaten gelangen an die falsche Partei. · Personenbezogene Daten

    A.5.34 Personenbezogene Daten schützen · A.8.12 Verhindern, dass Daten unbefugt abfließen · A.5.12 Informationen nach Schutzbedarf einstufen · A.8.11 Daten verbergen, die nicht gezeigt werden müssen

    15 · hoch

Ein Risiko hinzufügen

Das Dokument

# Informationssicherheitsrisikobeurteilung und Risikobehandlungsplan

Geschrieben am 14. September 2026 mit der kostenlosen Seite auf getstandardos.com, für ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001:2022: die Kriterien nach Abschnitt 6.1.2 a), die Risiken identifiziert, analysiert und bewertet nach 6.1.2 c) bis e), die Behandlungsoptionen und die Maßnahmen aus Anhang A nach 6.1.3 a) bis c) und der Plan nach 6.1.3 e). Die Methode ist die von StandardOS; die Titel der Maßnahmen sind Beschreibungen von StandardOS, nicht der Text der Norm.

## Risikokriterien

Wahrscheinlichkeit und Auswirkung werden jeweils von 1 bis 5 bewertet; die Stufe ist ihr Produkt. Ein Risiko auf oder unter 4 wird akzeptiert und mit Verantwortlichem beibehalten; ein Risiko darüber wird behandelt. Die Bänder:

- niedrig: 1 bis 4
- mittel: 5 bis 9
- hoch: 10 bis 15
- kritisch: 16 bis 25

## Risikoregister (14 Risiken)

| Risiko | Wert | Wahrscheinlichkeit | Auswirkung | Stufe | Behandlung | Verantwortlich |
|---|---|---|---|---|---|---|
| Phishing führt zur Kompromittierung von Zugangsdaten | Benutzerkonten | 4 | 4 | 16 (kritisch) | Mit Maßnahmen verändern |  |
| Verlust oder Diebstahl eines Endgeräts | Endgeräte | 3 | 3 | 9 (mittel) | Mit Maßnahmen verändern |  |
| Ausfall eines kritischen Cloud-Dienstes | Cloud-Dienste | 3 | 4 | 12 (hoch) | Mit Maßnahmen verändern |  |
| Sicherungen lassen sich nicht wiederherstellen | Daten | 2 | 5 | 10 (hoch) | Mit Maßnahmen verändern |  |
| Ausscheidende Mitarbeitende behalten Zugriff | Konten | 3 | 3 | 9 (mittel) | Mit Maßnahmen verändern |  |
| Geräte oder Datenträger werden mit noch vorhandenen Daten entsorgt | Geräte und Datenträger | 2 | 4 | 8 (mittel) | Mit Maßnahmen verändern |  |
| Kompromittierung eines Lieferanten oder Cloud-Anbieters | Lieferanten und Cloud-Dienste | 3 | 4 | 12 (hoch) | Mit Maßnahmen verändern |  |
| Vorfall nicht rechtzeitig erkannt oder gemeldet | Reaktion auf Vorfälle | 3 | 4 | 12 (hoch) | Mit Maßnahmen verändern |  |
| Rechtliche oder vertragliche Anforderung übersehen | Verpflichtungsregister | 3 | 3 | 9 (mittel) | Mit Maßnahmen verändern |  |
| Sicherheitsverantwortung unklar oder unbesetzt | Rollen und Verantwortlichkeiten | 3 | 3 | 9 (mittel) | Mit Maßnahmen verändern |  |
| Ein- und Austritte ohne die Sicherheitsgrundlagen | Personen | 3 | 3 | 9 (mittel) | Mit Maßnahmen verändern |  |
| Informationen unsicher geteilt oder übertragen | Informationen in Übertragung | 3 | 4 | 12 (hoch) | Mit Maßnahmen verändern |  |
| Schwachstelle in der eigenen Software eingeführt | Anwendung | 3 | 4 | 12 (hoch) | Mit Maßnahmen verändern |  |
| Unbefugte Offenlegung personenbezogener Daten | Personenbezogene Daten | 3 | 5 | 15 (hoch) | Mit Maßnahmen verändern |  |

## Risikobehandlungsplan (14 Risiken behandelt)

Jedes Risiko über der Akzeptanzstufe von 4, mit seiner Behandlungsoption, den Maßnahmen, die es behandeln, wo die Option Verändern ist, und seinem Verantwortlichen; 0 Risiken werden akzeptiert und beibehalten.

### Phishing führt zur Kompromittierung von Zugangsdaten

Eine Mitarbeiterin oder ein Mitarbeiter wird dazu verleitet, Zugangsdaten preiszugeben.

Stufe: 16 (kritisch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.6.3: Menschen für sicheres Arbeiten schulen
- A.8.5: Sicher anmelden
- A.8.23: Zugriff auf riskante Websites filtern

### Verlust oder Diebstahl eines Endgeräts

Ein Laptop oder Telefon mit Informationen geht verloren oder wird gestohlen.

Stufe: 9 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.8.1: Laptops, Telefone und Arbeitsplatzrechner absichern
- A.7.9: Geräte außerhalb des Geländes schützen
- A.8.24: Verschlüsselung richtig einsetzen und Schlüssel verwalten

### Ausfall eines kritischen Cloud-Dienstes

Ein wichtiger SaaS- oder Cloud-Anbieter hat einen Ausfall.

Stufe: 12 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.5.23: Cloud-Dienste sicher nutzen
- A.8.14: Reserven, damit ein Ausfall überstanden wird
- A.5.30: Technik durch Störungen hindurch am Laufen halten
- A.5.29: Sicherheit auch in der Krise aufrechterhalten
- A.8.6: Genug Kapazität, um weiterzulaufen

### Sicherungen lassen sich nicht wiederherstellen

Sicherungen existieren, aber eine echte Wiederherstellung funktioniert im Bedarfsfall nicht.

Stufe: 10 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.8.13: Daten sichern und Wiederherstellungen nachweisen

### Ausscheidende Mitarbeitende behalten Zugriff

Zugriff wird nicht zeitnah entzogen, wenn jemand geht.

Stufe: 9 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.5.11: Geräte und Daten zurückerhalten, wenn Menschen gehen
- A.6.5: Pflichten, die über das Ausscheiden hinaus gelten
- A.5.18: Berechtigungen erteilen, überprüfen und entziehen

### Geräte oder Datenträger werden mit noch vorhandenen Daten entsorgt

Eine Festplatte, ein USB-Stick oder ein alter Laptop verlässt das Unternehmen, ohne gelöscht worden zu sein.

Stufe: 8 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.7.10: Umgang mit Datenträgern und Wechselmedien
- A.7.14: Geräte vor Entsorgung oder Weiterverwendung löschen
- A.8.10: Daten löschen, die nicht mehr gebraucht werden

### Kompromittierung eines Lieferanten oder Cloud-Anbieters

Ein Lieferant, der unsere Informationen hält oder Teile unseres Dienstes betreibt, wird kompromittiert, und wir erfahren es spät oder gar nicht.

Stufe: 12 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.5.19: Das Risiko steuern, das Lieferanten mitbringen
- A.5.20: Sicherheitsanforderungen in Lieferantenverträge aufnehmen
- A.5.21: Sicherheit entlang der Technologielieferkette
- A.5.22: Lieferanten im Blick behalten, wenn sie sich ändern

### Vorfall nicht rechtzeitig erkannt oder gemeldet

Ein Sicherheitsereignis fällt niemandem auf, oder jemandem, der nicht weiß, wo er es melden soll, und die Reaktion beginnt Tage zu spät.

Stufe: 12 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.5.24: Vorbereitet sein, bevor ein Vorfall eintritt
- A.5.25: Beurteilen, welche Ereignisse echte Vorfälle sind
- A.5.26: Handeln, sobald ein Vorfall festgestellt ist
- A.5.27: Aus Vorfällen im Nachhinein lernen
- A.6.8: Es Beschäftigten leicht machen, Probleme zu melden

### Rechtliche oder vertragliche Anforderung übersehen

Ein Gesetz, eine Verordnung, eine Lizenz oder ein Kundenvertrag verlangt etwas von uns, das niemand aufgeschrieben hat, und die Lücke findet ein Auditor, ein Kunde oder eine Behörde.

Stufe: 9 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.5.31: Die bindenden Gesetze und Verträge kennen
- A.5.32: Urheberrecht und Softwarelizenzen achten
- A.5.35: Die Sicherheit unabhängig überprüfen lassen
- A.5.36: Prüfen, ob die eigenen Regeln wirklich befolgt werden
- A.8.34: Systeme prüfen, ohne sie zu stören

### Sicherheitsverantwortung unklar oder unbesetzt

Eine Maßnahme hat keinen benannten Verantwortlichen, eine Pflicht gehört allen und wird von niemandem erledigt, oder eine Person hält eine Rolle, die getrennt sein sollte.

Stufe: 9 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.5.1: Schriftliche Sicherheitsrichtlinien, genehmigt und aktuell
- A.5.2: Wer wofür in der Sicherheit verantwortlich ist
- A.5.3: Heikle Aufgaben auf mehrere Personen aufteilen
- A.5.4: Was die Leitung von allen verlangen muss
- A.5.37: Aufschreiben, wie die Dinge tatsächlich laufen
- A.6.2: Sicherheitspflichten im Arbeitsvertrag

### Ein- und Austritte ohne die Sicherheitsgrundlagen

Jemand beginnt ohne Überprüfung, Bedingungen oder Vertraulichkeitsvereinbarung, oder niemand weiß, was bei einem Regelverstoß passiert.

Stufe: 9 (mittel). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.6.1: Überprüfung vor der Einstellung
- A.6.4: Konsequenzen bei Regelverstößen
- A.6.6: Vertraulichkeitsvereinbarungen
- A.5.5: Wissen, wen man bei den Behörden erreicht
- A.5.6: Kontakt zu Sicherheitsgemeinschaften halten

### Informationen unsicher geteilt oder übertragen

Vertrauliche Informationen werden über ein Netz oder einen Dienst gesendet, übertragen oder offengelegt, ohne die Handhabung, die ihre Klassifizierung verlangt.

Stufe: 12 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.5.13: Informationen mit ihrer Einstufung kennzeichnen
- A.5.14: Informationen sicher übermitteln, intern wie extern
- A.8.3: Begrenzen, was jede Person öffnen kann
- A.8.21: Sicherheitsbedingungen für Netzdienste vereinbaren
- A.8.19: Steuern, was in der Produktion installiert wird
- A.5.8: Sicherheit in jedes Projekt einbauen

### Schwachstelle in der eigenen Software eingeführt

Unsicherer Code oder eine unsichere Abhängigkeit gelangt in Produktion.

Stufe: 12 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.8.25: Sicherheit über den gesamten Entwicklungsweg
- A.8.26: Festlegen, was eine Anwendung sicher leisten muss
- A.8.27: Systeme nach sicheren Prinzipien entwerfen
- A.8.28: Code schreiben, der Angriffen standhält
- A.8.33: Beim Testen unbedenkliche Daten verwenden
- A.8.8: Bekannte Schwachstellen finden und beheben

### Unbefugte Offenlegung personenbezogener Daten

Personenbezogene Kundendaten gelangen an die falsche Partei.

Stufe: 15 (hoch). Behandlung: Mit Maßnahmen verändern. Verantwortlich: noch nicht benannt

Maßnahmen, die dieses Risiko behandeln:

- A.5.34: Personenbezogene Daten schützen
- A.8.12: Verhindern, dass Daten unbefugt abfließen
- A.5.12: Informationen nach Schutzbedarf einstufen
- A.8.11: Daten verbergen, die nicht gezeigt werden müssen

## Vom Plan genannte Maßnahmen (59)

Die Maßnahmen aus Anhang A, die der Behandlungsplan nennt und die die Erklärung zur Anwendbarkeit dann als anwendbar führt:

- A.5.1: Schriftliche Sicherheitsrichtlinien, genehmigt und aktuell
- A.5.2: Wer wofür in der Sicherheit verantwortlich ist
- A.5.3: Heikle Aufgaben auf mehrere Personen aufteilen
- A.5.4: Was die Leitung von allen verlangen muss
- A.5.5: Wissen, wen man bei den Behörden erreicht
- A.5.6: Kontakt zu Sicherheitsgemeinschaften halten
- A.5.8: Sicherheit in jedes Projekt einbauen
- A.5.11: Geräte und Daten zurückerhalten, wenn Menschen gehen
- A.5.12: Informationen nach Schutzbedarf einstufen
- A.5.13: Informationen mit ihrer Einstufung kennzeichnen
- A.5.14: Informationen sicher übermitteln, intern wie extern
- A.5.18: Berechtigungen erteilen, überprüfen und entziehen
- A.5.19: Das Risiko steuern, das Lieferanten mitbringen
- A.5.20: Sicherheitsanforderungen in Lieferantenverträge aufnehmen
- A.5.21: Sicherheit entlang der Technologielieferkette
- A.5.22: Lieferanten im Blick behalten, wenn sie sich ändern
- A.5.23: Cloud-Dienste sicher nutzen
- A.5.24: Vorbereitet sein, bevor ein Vorfall eintritt
- A.5.25: Beurteilen, welche Ereignisse echte Vorfälle sind
- A.5.26: Handeln, sobald ein Vorfall festgestellt ist
- A.5.27: Aus Vorfällen im Nachhinein lernen
- A.5.29: Sicherheit auch in der Krise aufrechterhalten
- A.5.30: Technik durch Störungen hindurch am Laufen halten
- A.5.31: Die bindenden Gesetze und Verträge kennen
- A.5.32: Urheberrecht und Softwarelizenzen achten
- A.5.34: Personenbezogene Daten schützen
- A.5.35: Die Sicherheit unabhängig überprüfen lassen
- A.5.36: Prüfen, ob die eigenen Regeln wirklich befolgt werden
- A.5.37: Aufschreiben, wie die Dinge tatsächlich laufen
- A.6.1: Überprüfung vor der Einstellung
- A.6.2: Sicherheitspflichten im Arbeitsvertrag
- A.6.3: Menschen für sicheres Arbeiten schulen
- A.6.4: Konsequenzen bei Regelverstößen
- A.6.5: Pflichten, die über das Ausscheiden hinaus gelten
- A.6.6: Vertraulichkeitsvereinbarungen
- A.6.8: Es Beschäftigten leicht machen, Probleme zu melden
- A.7.9: Geräte außerhalb des Geländes schützen
- A.7.10: Umgang mit Datenträgern und Wechselmedien
- A.7.14: Geräte vor Entsorgung oder Weiterverwendung löschen
- A.8.1: Laptops, Telefone und Arbeitsplatzrechner absichern
- A.8.3: Begrenzen, was jede Person öffnen kann
- A.8.5: Sicher anmelden
- A.8.6: Genug Kapazität, um weiterzulaufen
- A.8.8: Bekannte Schwachstellen finden und beheben
- A.8.10: Daten löschen, die nicht mehr gebraucht werden
- A.8.11: Daten verbergen, die nicht gezeigt werden müssen
- A.8.12: Verhindern, dass Daten unbefugt abfließen
- A.8.13: Daten sichern und Wiederherstellungen nachweisen
- A.8.14: Reserven, damit ein Ausfall überstanden wird
- A.8.19: Steuern, was in der Produktion installiert wird
- A.8.21: Sicherheitsbedingungen für Netzdienste vereinbaren
- A.8.23: Zugriff auf riskante Websites filtern
- A.8.24: Verschlüsselung richtig einsetzen und Schlüssel verwalten
- A.8.25: Sicherheit über den gesamten Entwicklungsweg
- A.8.26: Festlegen, was eine Anwendung sicher leisten muss
- A.8.27: Systeme nach sicheren Prinzipien entwerfen
- A.8.28: Code schreiben, der Angriffen standhält
- A.8.33: Beim Testen unbedenkliche Daten verwenden
- A.8.34: Systeme prüfen, ohne sie zu stören

Die Risiken sind ein erster Entwurf für ein Unternehmen dieses Profils, und die Bewertungen sind die eigenen des Unternehmens; die Maßnahmen werden aus den Anhang-A-Daten des Pakets gelesen. Dies ist ein Dokument, kein Zertifikat.
Die Erklärung zur Anwendbarkeit schreiben

Das Register, mit dem die Erklärung beginnt

StandardOS legt dieselben Ausgangsrisiken am ersten Tag an, hält Bewertung, Verantwortlichen und Überprüfungsdatum an jedem, macht jede Behandlung zu einer Position in der Erklärung zur Anwendbarkeit und öffnet die Beurteilung im Intervall neu, das Abschnitt 8.2 verlangt.

Skala, Bänder und Schwelle sind die eigene Methode von StandardOS; die Norm verlangt Kriterien und überlässt die Methode der Organisation. Die Ausgangsrisiken werden aus dem Paket gelesen, nie auf dieser Seite getippt, und ihre Maßnahmenreferenzen sind Bezeichner aus Anhang A mit den eigenen Titeln von StandardOS. Dies ist ein Dokument, keine Rechts- oder Zertifizierungsberatung.