ISO 27001 Pflichtdokumente: Liste nach Kapiteln

ISO/IEC 27001:2022 verlangt dokumentierte Informationen zu: Anwendungsbereich des ISMS (4.3), Informationssicherheitsleitlinie (5.2), Prozess und Ergebnisse der Risikobeurteilung und -behandlung (6.1.2, 6.1.3, 8.2, 8.3), Erklärung zur Anwendbarkeit (6.1.3 d), Informationssicherheitsziele (6.2), Nachweise der Kompetenz (7.2), betriebliche Planung (8.1), Ergebnisse der Überwachung und Messung (9.1), Auditprogramm und Auditergebnisse (9.2), Ergebnisse der Managementbewertung (9.3) sowie Nichtkonformitäten und Korrekturmaßnahmen (10.2).

Pflichtdokumente und -nachweise nach Kapitel

Kapitel	Dokument oder Nachweis	Art
4.3	Anwendungsbereich des ISMS	Dokument
5.2	Informationssicherheitsleitlinie	Dokument
6.1.2	Prozess der Risikobeurteilung (Methodik)	Dokument
6.1.3	Prozess der Risikobehandlung und Risikobehandlungsplan	Dokument
6.1.3 d)	Erklärung zur Anwendbarkeit (SoA)	Dokument
6.2	Informationssicherheitsziele	Dokument
7.2	Nachweise der Kompetenz der Beschäftigten	Nachweis
8.1	Nachweise, dass Prozesse wie geplant durchgeführt werden	Nachweis
8.2	Ergebnisse der Risikobeurteilungen	Nachweis
8.3	Ergebnisse der Risikobehandlung	Nachweis
9.1	Ergebnisse der Überwachung und Messung	Nachweis
9.2.2	Auditprogramm und Auditergebnisse	Nachweis
9.3.3	Ergebnisse der Managementbewertungen	Nachweis
10.2	Nichtkonformitäten, ergriffene Maßnahmen und Ergebnisse der Korrekturmaßnahmen	Nachweis

Dokumente, die die Organisation selbst festlegt

Kapitel 7.5.1 b) ergänzt alle dokumentierten Informationen, die die Organisation für die Wirksamkeit ihres ISMS als notwendig bestimmt. In der Praxis sind das Verfahren wie Dokumentenlenkung, internes Audit, Korrekturmaßnahmen und Änderungsmanagement sowie die Betriebsnachweise, die zeigen, dass die Maßnahmen funktionieren.

Übliche Dokumente für die Maßnahmen aus Anhang A

Mehrere Maßnahmen aus Anhang A lassen sich am besten mit Dokumenten belegen. Sie sind für sich genommen nicht verpflichtend; ist die Maßnahme aber anwendbar, erwartet der Auditor Nachweise wie:

Themenspezifische Richtlinien: Zugangssteuerung, zulässige Nutzung, Klassifizierung, Lieferanten, Cloud, Telearbeit, Datensicherung, Kryptografie (5.1, 5.10, 5.12, 5.15, 5.19, 5.23, 6.7, 8.13, 8.24).
Inventar der Informationen und anderen zugehörigen Werte (5.9).
Dokumentierte Betriebsabläufe (5.37).
Handhabung von Informationssicherheitsvorfällen (5.24 bis 5.28).
Ermittelte gesetzliche, behördliche und vertragliche Anforderungen (5.31).
Informationssicherheit bei Störungen und IKT-Bereitschaft (5.29, 5.30).

ISO 27001 oder BSI IT-Grundschutz?

In Deutschland arbeiten viele Organisationen auch mit dem IT-Grundschutz des BSI. Beide Wege führen zu einem ISMS; ISO/IEC 27001 ist jedoch international anerkannt und lässt der Organisation mehr Freiheit bei Methode und Dokumentenstruktur. Die hier genannten Pflichtdokumente beziehen sich auf ISO/IEC 27001:2022 (in Deutschland als DIN EN ISO/IEC 27001 veröffentlicht); die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle, in Deutschland in der Regel von der DAkkS akkreditiert.

So ordnen Sie die Dokumentation

Eine einfache Struktur erleichtert das Audit: ein Dokumentenverzeichnis mit Kennung, Version, Verantwortlichem und Prüfdatum jedes Dokuments; Ordner nach Kapiteln (Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung) und ein Ordner mit den Richtlinien zu Anhang A. Entscheidend ist, dass jedes Dokument freigegeben, versioniert und für die Personen verfügbar ist, die es brauchen (Kapitel 7.5.3).

Das NexoDocs-Kit auf Deutsch

Das NexoDocs-Kit auf Deutsch bündelt die Pflichtdokumente, Richtlinien zu den Maßnahmen aus Anhang A, Register mit Formeln in Excel, ein Dokumentenverzeichnis und ausgefüllte Beispiele für ein fiktives Unternehmen, geordnet nach Phasen. Jedes Dokument muss an Ihre Organisation angepasst werden. Die verkleinerte Risikomatrix (auf Englisch) können Sie kostenlos ausprobieren.

Kostenlose Probe herunterladen (Englisch) Zum vollständigen Kit

Häufige Fragen

Wie viele Pflichtdokumente hat ISO 27001:2022?

Je nach Zählweise etwa 14 Positionen dokumentierter Information aus den Kapiteln 4 bis 10, dazu alles, was die Organisation selbst für notwendig hält, und was die anwendbaren Maßnahmen aus Anhang A erfordern.

Sind Verfahrensanweisungen Pflicht?

Die Norm verlangt keine Verfahren mit bestimmten Namen, wohl aber ausreichende dokumentierte Information. Die meisten Organisationen dokumentieren mindestens Dokumentenlenkung, internes Audit und Korrekturmaßnahmen.

Was hat sich gegenüber der Version 2013 geändert?

Neu ist die Planung von Änderungen (6.3), und Anhang A wurde von 114 auf 93 Maßnahmen in 4 Themen umgestellt; Erklärung zur Anwendbarkeit und Richtlinien müssen daher aktualisiert werden.

Reichen alle Dokumente für die Zertifizierung?

Nein. Der Auditor prüft, ob die Dokumente angewendet werden und Nachweise vorliegen; die Zertifizierung erteilt eine Zertifizierungsstelle nach ihrem Audit.