Der Geltungsbereich wird einmal festgelegt und vererbt sich auf alle Assets, Risiken und Kontrollen, damit nichts außerhalb des Rahmens unbemerkt bleibt.
Ein vorgefertigtes Richtlinien-Set, das den Abschnitten zugeordnet ist, jeweils mit Verantwortlichem und Überprüfungsdatum. Sie geben es frei, ISOPlanner™ übernimmt die Nachverfolgung.
Ein Risikoregister, das direkt mit den Assets in Ihrem Microsoft 365 verknüpft ist, sodass die Analyse auf Basis Ihres tatsächlichen Bestands beginnt – nicht auf einem leeren Blatt Papier.
Basierend auf Ihren Risikoentscheidungen: Jede einbezogene Kontrolle hat einen Grund, und für jeden Ausschluss ist eine Begründung hinterlegt.
Alle 93 Kontrollen sind bereits über die vier Themenbereiche hinweg vorinstalliert, jeweils mit Verantwortlichem, Status und zugehörigem Nachweis.
Nachweise werden während der täglichen Arbeit direkt in Microsoft 365 gesammelt. Kein Suchen nach Screenshots, kein hektischer Nachweis-Sprint in den sechs Wochen vor dem Audit.
Beides ist im Jahresplan fest verankert, wobei Ergebnisse, Maßnahmen und Protokolle direkt dem jeweiligen Abschnitt zugeordnet sind, auf den sie sich beziehen.
Ergebnisse werden zu nachverfolgbaren Maßnahmen mit Verantwortlichen und Fristen; der Abschlussbericht ist genau das, was beim nächsten Überwachungsaudit geprüft wird.
Eine Klausel, eine Verpflichtung oder ein von Ihnen identifiziertes Risiko
Die gezielt gewählte Maßnahme zur Behandlung
Eine zugewiesene Person, die vom System benachrichtigt werden kann
Die Folgemaßnahme zur Schließung einer Lücke
Verknüpft mit den erledigten Aufgaben der Verantwortlichen
Jederzeit sichtbar, nicht erst kurz vor dem Audit
01.
Was ist der Geltungsbereich eines ISO 27001 Information Security Management Systems?
Der ISMS-Geltungsbereich legt fest, welche Prozesse, Standorte und Systeme Ihr Informationssicherheitsmanagementsystem umfasst. Klausel 4.3 von ISO 27001 verpflichtet Organisationen, diesen Geltungsbereich schriftlich zu definieren, bevor die Zertifizierung beginnt. Eine klar abgegrenzte Geltungsbereich verhindert Geltungsbereich Creep während des Audits und stellt sicher, dass das Zertifikat die relevanten Geschäftsaktivitäten abdeckt. ISOPlanner™ stellt eine Geltungsbereich-Vorlage bereit, mit der Sie dies gemäß Klausel 4.3 dokumentieren können.
02.
Was ist die Erklärung zur Anwendbarkeit und warum ist sie erforderlich?
Die Erklärung zur Anwendbarkeit (SoA) ist ein Pflichtdokument gemäß Clause 6.1.3 von ISO 27001. Sie beschreibt, welche der 93 Maßnahmen aus Annex A für Ihre Organisation gelten, einschließlich einer Begründung für etwaige Ausschlüsse. Auditoren prüfen die SoA als zentralen Nachweis für Ihren Risikobehandlungsansatz. Der Bericht kann direkt in ISOPlanner™ erstellt werden auf Basis Ihrer Risikobehandlungsentscheidungen.
03.
Wie funktioniert die Risikobeurteilung nach ISO 27001?
Clause 6.1 der ISO 27001 verlangt, Informationssicherheitsrisiken zu identifizieren, ihre Eintrittswahrscheinlichkeit und Auswirkungen zu analysieren und zu bewerten sowie einen Risikobehandlungsplan zu erstellen, der die akzeptierten Risiken adressiert. Organisationen müssen ihre eigene Methodik zur Risikobeurteilung festlegen und diese konsequent anwenden. ISOPlanner™ bietet ein integriertes Risikoregister und einen Risikobehandlungsplan, die Sie durch den gesamten Risikoprozess führen und jedes Risiko mit den relevanten Maßnahmen aus Anhang A verknüpfen.
04.
Was ist der Unterschied zwischen Korrekturmaßnahme und kontinuierlicher Verbesserung in ISO 27001?
Eine Korrekturmaßnahme (Clause 10.1) dient der Beseitigung einer konkreten Nichtkonformität oder einen Vorfall: Sie analysieren die Ursache und ergreifen gezielte Maßnahmen, um eine Wiederholung zu verhindern. Kontinuierliche Verbesserung (Clause 10.2) ist ein proaktiver Prozess, bei dem Sie das ISMS strukturell optimieren, auch ohne vorangegangenen Vorfall. Auditoren beurteilen beide Prozesse separat. ISOPlanner™ hilft Ihnen, Nichtkonformitäten und Verbesserungsmaßnahmen getrennt zu verwalten.
05.
Wie lange dauert eine ISO 27001-Zertifizierung in der Regel?
Die Implementierung eines ISO 27001-konformen ISMS dauert bei den meisten Organisationen sechs bis zwölf Monate, abhängig von Größe und Reifegrad. Die formale Zertifizierungsaudit umfasst zwei Phasen: eine Dokumentenprüfung (Phase 1) und ein Implementierungsaudit vor Ort (Phase 2). Nach der Zertifizierung folgen jährliche Überwachungsaudits sowie eine vollständige Rezertifizierung nach drei Jahren. ISOPlanner™ bietet einen strukturierten Implementierungspfad, der den Prozess erheblich beschleunigt.
06.
Was findet bei einer ISO 27001-Managementbewertung statt?
Die Managementbewertung ist eine Pflichtaktivität gemäß Clause 9.3 von ISO 27001 und muss mindestens einmal jährlich stattfinden. Pflichteingaben umfassen die Ergebnisse interner Audits, den Status früherer Maßnahmen, Risikoversionänderungen und Feedback von Interessengruppen. ISOPlanner™ stellt eine Managementbewertungsvorlage mit allen Pflichtein- und -ausgaben gemäß Clause 9.3 bereit.
07.
Wie unterstützt ISOPlanner™ die laufende ISO 27001-Konformität nach der Zertifizierung?
Nach der Zertifizierung beginnt die eigentliche Arbeit: 93 Maßnahmen müssen operativ bleiben, jährliche interne Audits müssen durchgeführt und Managementbewertungen müssen dokumentiert werden. ISOPlanner™ verfolgt den Status aller Maßnahmen, sendet Erinnerungen für Ablauftermine und generiert die Nachweise, die für jährliche Überwachungsaudits und die Rezertifizierung nach drei Jahren benötigt werden.
Log in to your ISOPlanner™ workspace, or start a free trial.
Log in Start your free trial