ISO 27001 Dokumentation: Der vollständige Leitfaden zu den ISMS-Pflichtdokumenten

Eine Richtlinie legt fest, dass die Zugriffsrechte von Lieferanten jeden Monat überprüft werden. So weit, so gut. Doch wo ist der Nachweis der Überprüfung vom letzten Monat?

Und welche Änderungen wurden daraufhin vorgenommen? Die Antworten auf diese Fragen sagen mehr über ein Informationssicherheits management system nach ISO 27001 aus als die Gestaltung der Richtlinie selbst.

Die Dokumentation soll solche Antworten für alle zugänglich machen, die sie benötigen.

Es geht nicht darum, möglichst viele Dokumente anzusammeln. Im Folgenden unterscheiden wir zwischen den Dokumenten, die ISO 27001:2022 tatsächlich vorschreibt, und zusätzlichen Unterlagen, die sich in der Praxis als wertvoll erweisen.

Was ist ISO 27001 und warum ist die Dokumentation wichtig?

Ein Informationssicherheitsmanagementsystem (ISMS) umfasst sämtliche Richtlinien, Verfahren und Sicherheitsmaßnahmen, mit denen ein Unternehmen seine Informationssicherheitsrisiken steuert. All das hat jedoch nur begrenzten Wert, wenn sich die Umsetzung nicht von einer externen Stelle überprüfen lässt. Genau deshalb verlangt ISO 27001 eine verbindliche Dokumentation.

Eine Zertifizierungsstelle muss die tatsächlichen dokumentierten Informationen bewerten können, anstatt sich lediglich darauf zu verlassen, dass ein Unternehmen seine Informationssicherheit im Griff hat.

Bereits vor einigen Normrevisionen wurde die Unterscheidung zwischen „Dokumenten und Aufzeichnungen“ durch den Begriff „dokumentierte Information“ ersetzt. Dadurch haben Unternehmen mehr Flexibilität bei der Wahl geeigneter Nachweise.

Eine Wiki-Seite kann denselben Zweck erfüllen wie eine PDF-Datei, solange klar geregelt ist, wer für ihre Aktualität verantwortlich ist und wie Änderungen kontrolliert werden.

Ein gutes Dokumentenmanagementsystem hilft dabei, diese Informationen zugänglich, übersichtlich und aktuell zu halten. Auf das Dateiformat kommt es letztlich nicht an.

Dennoch bewahren viele Unternehmen ihre ISO 27001 Dokumentation weiterhin in einem geschützten Ordner voller PDF-Dateien auf, die seit dem letzten Audit niemand mehr geöffnet hat.

Damit mag die formale Anforderung erfüllt sein, der eigentliche Zweck der Dokumentation wird jedoch verfehlt.

Pflichtdokumente nach ISO 27001:2022 (Kapitel 4–10)

Unternehmen müssen gemäß den Kapiteln 4 bis 10 bestimmte verpflichtende Dokumente und Aufzeichnungen führen. Dazu gehören zentrale Bestandteile des ISMS wie dessen Anwendungsbereich, die Informationssicherheitsrichtlinie, die Risikobewertung und Risikobehandlung, Informationssicherheitsziele, interne Audits, Managementbewertungen und Korrekturmaßnahmen.

Unternehmen können das für sie geeignete Format wählen, solange die erforderlichen Informationen dokumentiert, aktuell gehalten und bei einem Audit als Nachweis verfügbar sind. Hier kann die Automatisierung von Compliance-Prozessen unterstützen, insbesondere wenn Teams Aktualisierungen nachverfolgen, Nachweise verwalten und wiederkehrende Überprüfungen vorbereiten müssen.

Dokumentation des ISMS-Anwendungsbereichs: Grenzen festlegen (Kapitel 4.3)

Die Festlegung des ISMS-Anwendungsbereichs gehört zu den wichtigsten verpflichtenden Schritten beim Schutz von Informationen. Durch eine präzise Abgrenzung wird bestimmt, welche Bereiche und Informationen das Unternehmen schützt und was außerhalb des Managementsystems liegt.

Ein Cloud-Dienst kann beispielsweise zum Anwendungsbereich gehören. Doch wie sieht es mit dem Bürosystem aus, das das Supportteam verwendet, um auf dieselben Kundendaten zuzugreifen?

Manchmal gibt es gute Gründe, bestimmte Bereiche auszuschließen.

Diese Gründe sollten so dokumentiert werden, dass sie bei der nächsten Überprüfung leicht nachvollziehbar sind. Eine nicht erklärte Lücke im Anwendungsbereich wird spätestens bei der Risikobewertung Fragen aufwerfen.

Informationssicherheitsrichtlinie: Die strategische Richtung festlegen (Kapitel 5.2)

Die Informationssicherheitsrichtlinie ist Ausdruck der Verpflichtung der obersten Leitung und keine reine Dokumentationsaufgabe der IT-Abteilung.

Sie sollte zur Organisation passen, ihre Informationssicherheitsziele unterstützen und die Einhaltung geltender Anforderungen sowie die kontinuierliche Verbesserung verbindlich festlegen. Außerdem muss sie verfügbar sein und innerhalb der Organisation kommuniziert werden.

Fragen Sie ein Mitglied der Geschäftsleitung, was sich durch die Richtlinie konkret verändert hat. Die Person muss den Text nicht auswendig kennen, sollte aber die dahinterstehenden Prioritäten erklären können. Lautet die einzige Antwort „Wir haben sie für das Audit unterschrieben“, besteht weiterer Abstimmungsbedarf mit der Unternehmensleitung.

Dokumentation der Risikobewertung und des Risikobehandlungsplans (Kapitel 6.1.2 und 6.1.3)

Im Rahmen der Risikobewertung identifizieren, analysieren und bewerten Unternehmen ihre Risiken, bevor sie diese anhand definierter Kriterien einstufen. Dabei muss auch festgelegt werden, wie die Ergebnisse miteinander verglichen werden.

Dokumentieren Sie, welche Risiken als akzeptabel gelten und wie eine einheitliche Bewertung sichergestellt wird. Bewahren Sie anschließend die gemäß Kapitel 8.2 durchgeführten Risikobewertungen auf. Ohne gemeinsame Kriterien kann ein Risiko, das eine Person als „hoch“ einstuft, von einer anderen als „mittel“ bewertet werden.

Der Risikobehandlungsplan ordnet den identifizierten Risiken konkrete Sicherheitsmaßnahmen und Handlungsschritte zu. Ein Risiko zu kennen, bedeutet noch nicht, es wirksam zu behandeln.

Erst wenn eindeutig feststeht, wer für die Umsetzung verantwortlich ist und bis wann die Maßnahmen abgeschlossen sein müssen, entsteht aus der Risikoerkennung ein nachvollziehbarer Prozess, den Auditoren anhand der Aufzeichnungen überprüfen können.

Erklärung zur Anwendbarkeit (Statement of Applicability): Risiken mit den Maßnahmen aus Anhang A verknüpfen

Die Erklärung zur Anwendbarkeit, auch Statement of Applicability (SoA) genannt, ist ein verpflichtendes Dokument, das alle 93 Sicherheitsmaßnahmen aus Anhang A berücksichtigt.

Für jede Maßnahme muss begründet werden, warum sie berücksichtigt oder ausgeschlossen wird. Außerdem dokumentiert die SoA, ob die ausgewählten Maßnahmen bereits umgesetzt wurden. Anhang A umfasst einen Katalog von 93 Sicherheitsmaßnahmen, die in vier Themenbereiche gegliedert sind und im Rahmen der Risikobehandlung bewertet werden.

Die Risikobewertung bildet die Grundlage für die SoA. Am Beispiel externer Auftragnehmer sollte sich nachvollziehen lassen, wie ein identifiziertes Zugriffsrisiko zu einer bestimmten Risikobehandlungsentscheidung und schließlich zur Auswahl geeigneter Sicherheitsmaßnahmen geführt hat.

Auch Verträge und andere Anforderungen können diese Auswahl beeinflussen. Die Angabe „nicht anwendbar“ allein reicht als Begründung für einen Ausschluss nicht aus. Dokumentieren Sie, warum die betreffende Maßnahme nicht erforderlich ist.

Informationssicherheitsziele und ihre Dokumentation (Kapitel 6.2)

„Das Sicherheitsbewusstsein verbessern“ ist eher ein allgemeiner Vorsatz als ein messbares Ziel. Informationssicherheitsziele müssen messbar sein und regelmäßig überprüft werden.

Vage Absichtserklärungen, die kurz vor dem Audit lediglich der Vollständigkeit halber ergänzt werden, erfüllen diesen Zweck nicht. Ein Ziel wie „Die Klickrate bei Phishing-Simulationen in diesem Jahr um 15 % senken“ bietet dagegen eine konkrete Grundlage für die Dokumentation, Überwachung und Bewertung.

Schulungsnachweise sollten belegen, dass die Schulungen tatsächlich stattgefunden haben. In der Regel reichen dafür Abschlussprotokolle aus einem Learning-Management-System (LMS) oder unterschriebene Teilnehmerlisten aus.

Die operative Dokumentation sollte zeigen, dass Sicherheitsmaßnahmen in der Praxis funktionieren. Auditoren können beispielsweise Änderungsprotokolle, Incident-Tickets oder Risikobewertungen von Lieferanten prüfen, um festzustellen, ob die tatsächlichen Abläufe mit den festgelegten Richtlinien übereinstimmen.

Nachweise zu Kompetenz, Bewusstsein und Kommunikation (Kapitel 7.2–7.4)

Gemäß Kapitel 7.2 müssen Unternehmen nachweisen können, dass Personen, die sicherheitsrelevante Aufgaben ausführen, über die erforderlichen Kompetenzen verfügen. Ein Schulungszertifikat kann dabei hilfreich sein. Bei einer Person, die für die Wiederherstellung von Systemen verantwortlich ist, kann der Nachweis einer erfolgreich durchgeführten Wiederherstellung jedoch aussagekräftiger sein als eine reine Teilnahmebestätigung.

Kapitel 7.3 behandelt das Bewusstsein für die Informationssicherheitsrichtlinie und die jeweilige Rolle innerhalb des ISMS. Kapitel 7.4 legt fest, welche Informationen von wem, an wen, wann und auf welche Weise kommuniziert werden müssen.

Dokumentationen von Einführungsveranstaltungen und relevante Mitteilungen können belegen, dass diese Anforderungen umgesetzt wurden. Keines der beiden Kapitel verlangt jedoch, dass jedes Unternehmen für jede einzelne versendete Nachricht ein separates Protokoll führt.

Dokumentation der betrieblichen Planung und Steuerung (Kapitel 8.1)

Ein Change-Ticket kann sowohl die Genehmigung als auch das Ergebnis einer Änderung dokumentieren. Eine Kalendereinladung zeigt dagegen lediglich, dass ein Termin vereinbart wurde.

Gemäß Kapitel 8.1 müssen Unternehmen ausreichend dokumentierte Informationen aufbewahren, um nachweisen zu können, dass geplante Prozesse tatsächlich durchgeführt wurden. Dabei sind geplante und unbeabsichtigte Änderungen sowie relevante Tätigkeiten externer Dienstleister zu berücksichtigen.

Die Kapitel 8.2 und 8.3 verlangen außerdem, dass die Ergebnisse von Risikobewertungen und Risikobehandlungen aufbewahrt werden.

Wenn Lieferantenzugriffe monatlich überprüft werden sollen, müssen sowohl die abgeschlossene Überprüfung als auch etwaige Folgemaßnahmen dokumentiert sein. Eine wiederkehrende Erinnerung allein zeigt nicht, welche Benutzerkonten tatsächlich entfernt wurden.

Internes Auditprogramm und Auditaufzeichnungen (Kapitel 9.2)

Unternehmen müssen in regelmäßigen Abständen interne Audits durchführen. Dabei ist zu überprüfen, ob das ISMS sowohl die Anforderungen der Organisation als auch die Anforderungen der Norm erfüllt.

Ein gutes Records Management für die Einhaltung von Compliance-Anforderungen erleichtert zudem die Aufbewahrung eines nachvollziehbaren Audit-Trails und das schnelle Auffinden erforderlicher Nachweise.

Vor dem nächsten Auditzyklus empfiehlt es sich, das Auditprogramm mit dem festgelegten ISMS-Anwendungsbereich abzugleichen. Wird eine bestimmte Abteilung regelmäßig bei der Auditplanung übergangen? Ein sorgfältig erstellter Auditbericht aus einem weniger komplexen Bereich beantwortet diese Frage nicht.

Managementbewertung: Was muss dokumentiert werden? (Kapitel 9.3)

Die oberste Leitung muss das ISMS in geplanten Abständen bewerten und die Ergebnisse dieser Bewertungen aufbewahren. Die Managementbewertung berücksichtigt vorgeschriebene Eingaben wie die Leistung des ISMS, Ergebnisse aus Überwachung und Audits, Änderungen mit Auswirkungen auf das ISMS sowie Risiken und Verbesserungsmöglichkeiten. Entscheidungen, Maßnahmen und Verantwortlichkeiten müssen dokumentiert werden.

Ein Sitzungsprotokoll muss nicht den gesamten Gesprächsverlauf wiedergeben. Es sollte aber auch sechs Monate später noch eine klare Antwort auf die Frage ermöglichen:

Was hat die Geschäftsleitung angesichts der zunehmenden Sicherheitsvorfälle bei Lieferanten beschlossen?

Die bloße Angabe „wurde besprochen“ ist dafür in der Regel nicht ausreichend.

Aufzeichnungen zu Korrekturmaßnahmen und Nichtkonformitäten (Kapitel 10.2)

Eine Nichtkonformität liegt vor, wenn eine Anforderung der Norm nicht erfüllt wird. Daraus ergibt sich die Notwendigkeit, entsprechende Korrekturmaßnahmen einzuleiten. Zertifizierungsstellen prüfen diesen Bereich besonders gründlich. Denn der Umgang mit Nichtkonformitäten zeigt, ob ein Unternehmen Probleme tatsächlich behebt oder lediglich dokumentiert, dass es dies beabsichtigt.

Manche Unternehmen schließen dieselbe Nichtkonformität drei Mal hintereinander ab, ohne das zugrunde liegende Problem dauerhaft zu lösen. Das ist problematischer, als offen anzuerkennen, dass die erste Maßnahme nicht wirksam war, und einen anderen Ansatz zu verfolgen.

Dokumentation zu Anhang A: Sicherheitsmaßnahmen und Umsetzungshinweise aus ISO 27002

Anhang A gliedert die Sicherheitsmaßnahmen in vier Themenbereiche: organisatorische, personenbezogene, physische und technologische Maßnahmen. Für einige der ausgewählten Maßnahmen sind unterstützende dokumentierte Informationen erforderlich. Beispielsweise kann ein Verzeichnis der Informationswerte (Asset-Inventar) notwendig sein, um die Maßnahme A.5.9 umzusetzen.

Ob ein bestimmtes Verfahren dokumentiert werden muss, hängt davon ab, welche Maßnahmen ausgewählt wurden und wie diese in der Praxis funktionieren.

ISO/IEC 27002 enthält Umsetzungshinweise zu den Sicherheitsmaßnahmen aus Anhang A. ISO 27001 bleibt hingegen die Anforderungsnorm, auf deren Grundlage die Zertifizierung erfolgt.

Nutzen Sie die Hinweise, um praktikable Prozesse zu gestalten. Ein einziges gepflegtes Verfahren zur Zugriffssteuerung kann mehrere zusammenhängende Sicherheitsmaßnahmen abdecken. Würde für jede der 93 Maßnahmen ein eigenes Verfahren erstellt, müsste das Team entsprechend viele Dokumente dauerhaft aktuell halten.

Empfehlenswerte Dokumente, die nicht grundsätzlich verpflichtend sind

Ein Incident-Response-Runbook ist besonders wertvoll, wenn mitten in der Nacht dringend die Kontaktdaten eines Lieferanten benötigt werden. Ein Asset-Inventar macht die Diskussion über Risiken konkreter. Ein Dokumentenregister kann verhindern, dass gleichzeitig drei unterschiedliche Versionen derselben Richtlinie im Umlauf sind.

Was Auditoren letztlich über alle Normkapitel hinweg prüfen, ist die Übereinstimmung zwischen den Aussagen einer Richtlinie und den tatsächlich dokumentierten Abläufen. Nicht alle diese Unterlagen sind eigenständige, allgemein verpflichtende Dokumente gemäß den Kapiteln 4 bis 10.

Eine ausgewählte Maßnahme aus Anhang A, ein Vertrag oder eine andere Verpflichtung kann die entsprechenden Informationen dennoch erforderlich machen. Entscheidend ist, ob jemand das Dokument tatsächlich nutzt und die Verantwortung für seine Aktualisierung übernimmt.

ISO 27001:2022 vs. 2013: Was hat sich bei den Dokumentationsanforderungen geändert?

Anhang A wurde von 114 Sicherheitsmaßnahmen in 14 Kategorien auf 93 Maßnahmen in vier Themenbereichen umgestellt. Einige Maßnahmen wurden zusammengeführt oder umbenannt. Darüber hinaus wurden elf neue Maßnahmen eingeführt, darunter Threat Intelligence und Informationssicherheit bei der Nutzung von Cloud-Diensten. Die Kapitel 4 bis 10 haben sich dagegen deutlich weniger verändert.

Eine bewährte Dokumentensammlung aus der ISO 27001:2013 muss daher nicht allein aufgrund der geänderten Nummerierung vollständig neu aufgebaut werden.

Die Struktur von 2022 kann dazu beitragen, doppelte Dokumentation zu reduzieren. Sie beseitigt jedoch nicht die Pflicht, geeignete Nachweise bereitzuhalten. Ordnen Sie die bisherigen Sicherheitsmaßnahmen der neuen SoA zu, bewerten Sie die neuen Maßnahmen anhand der aktuellen Risiken und aktualisieren Sie Dokumente dort, wo sich Entscheidungen oder tatsächliche Abläufe verändert haben.

So bereiten Sie Ihre ISO 27001 Dokumentation auf das Zertifizierungsaudit vor

Eine Zertifizierungsstelle bewertet die dokumentierten Informationen und überprüft anhand von Stichproben, wie Prozesse tatsächlich umgesetzt werden. Wählen Sie ein relevantes Risiko aus und verfolgen Sie dessen Behandlung durch die gesamte Dokumentation:von der Risikobewertung über die Risikobehandlung und die SoA bis zur operativen Sicherheitsmaßnahme und den aktuellen Nachweisen.

Gehen Sie anschließend den umgekehrten Weg: Beginnen Sie bei einer Sicherheitsmaßnahme und verfolgen Sie die zugrunde liegenden Entscheidungen zurück. An welchen Stellen müssen Sie Vermutungen anstellen, weil Informationen fehlen?

Bitten Sie eine Person, die nicht an der Organisation der Dokumente beteiligt war, die aktuelle Informationssicherheitsrichtlinie, das Ergebnis des letzten internen Audits und eine abgeschlossene Korrekturmaßnahme zu finden.

Die Stelle, an der diese Person nicht mehr weiterkommt, liefert häufig wertvollere Erkenntnisse als ein weiterer Nachmittag, der mit der Überarbeitung einer Dokumentvorlage verbracht wird.

Warum KORTO?

KORTO bietet durchsuchbare Protokolle für Dokumentenzugriffe und Änderungen, differenzierte Zugriffsberechtigungen und Workflows zur Aufbewahrung von Unterlagen. Aufbewahrungsfristen lassen sich auf den ISMS-Anwendungsbereich abstimmen.

Gleichzeitig ermöglichen Zugriffsprotokolle, Fragen wie „Wer hatte an diesem Tag Zugriff auf diese Richtlinie?“ mit einer schnellen Abfrage zu beantworten, statt dafür aufwendige Nachforschungen durchführen zu müssen.

KORTO ist außerdem nach ISO 27001 zertifiziert und hat somit selbst die Art von Audit durchlaufen, auf die sich seine Kunden vorbereiten. Die Anforderungen an die ISO 27001 Dokumentation lassen sich leichter erfüllen, wenn ein System von Anfang an auf Nachweisführung und Nachvollziehbarkeit ausgelegt ist.

Sprechen Sie mit KORTO über ein auditgerechtes Dokumentenmanagement für Ihr ISMS oder informieren Sie sich über die Preise von KORTO, um herauszufinden, welche Lösung zu Ihrem Unternehmen passt.