Was in den Dateien steht
- der Anwendungsbereich des ISMS mit den internen und externen Themen, der Frage zum Klimawandel aus Änderung 1:2024, den interessierten Parteien und ihren Anforderungen, den Standorten, den Ausnahmen und den Schnittstellen (Abschnitte 4.1 bis 4.3);
- die Informationssicherheitspolitik mit den Verpflichtungen der obersten Leitung, den Rollen und Ihren themenspezifischen Richtlinien (5.2);
- die Risikobeurteilung: Methode, Skalen von 1 bis 5, Ihre Akzeptanzschwelle und das Register mit Eintrittswahrscheinlichkeit × Auswirkung für jedes Risiko (6.1.2);
- der Risikobehandlungsplan mit Option, Maßnahmen aus Anhang A, Aktion, Verantwortlichem und Termin sowie einer Spalte für die Freigabe jedes Risikoeigentümers (6.1.3);
- die Erklärung zur Anwendbarkeit: alle 93 Maßnahmen aus Anhang A, einbezogen oder ausgeschlossen, die Begründung (die Risiken, die eine Maßnahme behandelt, werden für Sie eingetragen) und der Umsetzungsstand (6.1.3 d), auch als CSV-Datei für die Tabellenkalkulation;
- die Informationssicherheitsziele mit Messgröße, Ressourcen, Verantwortlichem und Termin (6.2) sowie eine Lies-mich-Datei mit dem, was die Norm über diese Dateien hinaus verlangt.
Was das Paket prüft
Eine Risikostufe wird nur aus ganzen Bewertungen von 1 bis 5 berechnet; alles andere wird als auszufüllen gekennzeichnet. Eine Maßnahmennummer, die es in Anhang A nicht gibt, wird als abgelehnt angezeigt, nicht erraten. Eine Maßnahme, die Sie ausschließen, obwohl eines Ihrer Risiken auf ihr beruht, wird im Formular und in der Erklärung zur Anwendbarkeit markiert. Nichts bleibt stillschweigend leer: Jede Lücke heißt AUSZUFÜLLEN.
ISO 27001 und NIS-2
Die NIS-2-Richtlinie (EU) 2022/2555 verlangt keine Zertifizierung nach ISO/IEC 27001. Ihr Artikel 21 verpflichtet wesentliche und wichtige Einrichtungen zu Risikomanagementmaßnahmen unter Berücksichtigung, soweit anwendbar, einschlägiger europäischer und internationaler Normen, und Artikel 25 verlangt von den Mitgliedstaaten, deren Anwendung zu fördern. Risikobeurteilung, Informationssicherheitspolitik und Erklärung zur Anwendbarkeit sind ein üblicher Weg zu zeigen, wie diese Maßnahmen gewählt wurden. Wie das Paket seine Richtlinien SOC 2 und Artikel 21 zuordnet: SOC 2 und NIS-2 Richtlinien.
Was das Paket nicht leistet
Es enthält nicht den Text der Norm: Die Bezeichnungen der Maßnahmen sind unsere eigenen Kurzbeschreibungen, und für die Anforderungen brauchen Sie ein eigenes Exemplar der ISO/IEC 27001 (in Deutschland als DIN EN ISO/IEC 27001 bei DIN Media). Es schreibt nicht die Verfahren hinter den Maßnahmen, führt weder internes Audit noch Managementbewertung durch und zertifiziert nichts: Ein Zertifikat gibt es nur nach einem Audit durch eine akkreditierte Zertifizierungsstelle. Die Dokumente gibt es auf Deutsch, Englisch, Spanisch, Französisch, Polnisch und Italienisch.
Nichts, was Sie eingeben, verlässt Ihren Browser; die Dateien entstehen auf Ihrem Gerät. Vorlagen, keine Rechtsberatung.