ISMS Dokumentation erstellen: Ablage, Freigaben und Versionierung
Eine nutzbare Ablage für ISMS-Dokumente aufbauen
ISMS-Dokumentation muss im Alltag auffindbar, verständlich und verlässlich sein. Dafür braucht es eine überschaubare Ordnung, benannte Verantwortliche und erkennbare Freigaben. Ein umfangreicher Ordner mit mehreren widersprüchlichen Fassungen erschwert die Anwendung und die spätere Prüfung.
Die Ablage kann vorhandene Werkzeuge nutzen, sofern Zugriffsrechte, Versionierung und Nachvollziehbarkeit geeignet geregelt sind. Ein zusätzliches Spezialwerkzeug ist nicht automatisch erforderlich.
Dokumentarten und Verantwortlichkeiten festlegen
Eine mögliche Gliederung unterscheidet übergeordnete Vorgaben, Arbeitsabläufe und Nachweise. Für jede wichtige Unterlage wird festgelegt, wer sie pflegt, wer sie freigibt und wer sie anwenden muss. Ein kurzer Dokumentenindex kann dabei den Einstieg erleichtern.
Zu einem Dokument sollten beispielsweise folgende Angaben gehören:
- eindeutige Bezeichnung und fachlich verantwortliche Person;
- aktueller Freigabestand und Datum der letzten Änderung;
- zugehöriger Prozess oder Anwendungsbereich;
- vorgesehene Überprüfung und Umgang mit älteren Fassungen.
Änderung und Freigabe voneinander unterscheiden
Beispiel: Eine Berechtigungsrichtlinie wird überarbeitet. Der Entwurf ist für die Beteiligten zugänglich, gilt aber noch nicht als neue Arbeitsanweisung. Nach der Freigabe wird die aktuelle Fassung kenntlich gemacht, die betroffenen Personen werden informiert und die bisherige Fassung wird gegen versehentliche Nutzung abgegrenzt.
Eine Versionsnummer allein genügt nicht, wenn Mitarbeitende weiterhin über alte Links auf überholte Regeln zugreifen.
Nachweise geschützt und auffindbar halten
Prüfprotokolle oder Zugriffstickets können vertrauliche Informationen enthalten. Ihre Ablage benötigt angemessene Berechtigungen und eine nachvollziehbare Aufbewahrung. Aufbewahrungsfristen richten sich nach den tatsächlichen Anforderungen; eine pauschale Frist für sämtliche ISMS-Unterlagen ist nicht sinnvoll.
Regelmäßige Stichproben sollten prüfen, ob Verweise funktionieren, Verantwortliche noch stimmen und freigegebene Unterlagen zur praktischen Arbeit passen.
Welche Inhalte als ISO-27001-Dokumentation und Auditnachweise gebraucht werden, ist von der Ablagestruktur zu unterscheiden. Für die verständliche Formulierung einzelner Regeln helfen die Hinweise zum Erstellen von ISMS-Richtlinien.
Quellen und fachliche Grundlagen
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
- BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik