ISO 27001 Dokumentation erstellen: Dokumente und Auditnachweise
Dokumentierte Informationen für ISO 27001 einordnen
Eine ISO-27001-Dokumentation soll erklären, wie das ISMS gesteuert wird, und dessen Anwendung nachvollziehbar machen. Dabei sind Vorgaben und Nachweise zu unterscheiden: Eine Richtlinie beschreibt das erwartete Vorgehen, während eine Aufzeichnung zeigt, was bei einem konkreten Vorgang tatsächlich geschehen ist.
Der erforderliche Umfang hängt vom Managementsystem, seinen Risiken und der Komplexität der Abläufe ab. Die konkrete Vollständigkeit ist gegen die maßgebliche Normfassung zu prüfen. Eine allgemeine Vorlagenliste kann diesen Abgleich nicht ersetzen.
Zentrale Unterlagen sinnvoll zuordnen
Zum Dokumentationsrahmen gehören insbesondere die Beschreibung des Geltungsbereichs, Sicherheitsleitlinie und Ziele, die Methodik der Risikobewertung sowie Ergebnisse und Entscheidungen der Risikobehandlung. Die Anwendbarkeitserklärung macht die Auswahl und Begründung der relevanten Maßnahmen nachvollziehbar.
Dazu kommen Nachweise aus dem Betrieb, beispielsweise zu Prüfungen, internen Audits, Managementbewertungen und der Bearbeitung von Abweichungen. Verweise auf bestehende Systeme können sinnvoll sein, wenn Informationen dort zuverlässig auffindbar und geschützt sind.
Anwendbarkeitserklärung und Umsetzung verbinden
Die Anwendbarkeitserklärung sollte nicht als losgelöste Checkliste gepflegt werden. Ihre Angaben müssen zu den bewerteten Risiken, ausgewählten Maßnahmen und tatsächlichen Umsetzungsständen passen. Eine als umgesetzt dargestellte Maßnahme braucht eine nachvollziehbare Grundlage.
Beispiel: Eine Regel verlangt die Freigabe privilegierter Zugänge. Als Nachweis dient ein konkret bearbeitetes Zugriffsticket. Die Dokumentation verweist auf den zuständigen Prozess und die Stelle, an der solche Nachweise aufbewahrt werden. Eine zweite Kopie des Tickets in einem separaten Handbuch wäre dafür häufig nicht erforderlich.
Eine prüfbare Dokumentation erhalten
Für jede zentrale Unterlage sollten Verantwortlicher, Freigabe und aktueller Stand erkennbar sein. Veraltete Fassungen dürfen nicht versehentlich als geltende Regel verwendet werden. Entscheidend bleibt, dass Dokumentation und gelebter Ablauf übereinstimmen.
Für Ablage, Versionierung und Freigaben ist eine alltagstaugliche ISMS-Dokumentenverwaltung erforderlich. Bei der Auditvorbereitung wird geprüft, ob die richtigen Fassungen und passende Umsetzungsnachweise erreichbar sind.
Quellen und fachliche Grundlagen
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik