27001-12 Dokumentierte Information in den Abschnitten 4 bis 10

Für: IA, EA
Quelle: ISO/IEC 27001:2022(en), Englisch. Die Sätze mit „documented information“ in den Abschnitten 4 bis 10, und 6.1.3 d) zur Erklärung zur Anwendbarkeit

Diese Liste nennt, was die Abschnitte 4 bis 10 ausdrücklich verlangen. Sie ist kein Formularmuster.

• 4.3: Der Geltungsbereich muss als dokumentierte Information verfügbar sein.
• 5.2 e): Die Informationssicherheitspolitik muss als dokumentierte Information verfügbar sein.
• 6.1.2: Dokumentierte Information über den Prozess der Informationssicherheits-Risikobeurteilung muss aufbewahrt werden.
• 6.1.3: Eine Erklärung zur Anwendbarkeit muss erstellt werden, mit den notwendigen Maßnahmen, der Begründung ihrer Aufnahme, der Angabe, ob sie umgesetzt sind, und der Begründung für den Ausschluss von Maßnahmen aus Anhang A. Dokumentierte Information über den Prozess der Risikobehandlung muss aufbewahrt werden.
• 6.2 g): Die Informationssicherheitsziele müssen als dokumentierte Information verfügbar sein. Zusätzlich muss dokumentierte Information über die Informationssicherheitsziele aufbewahrt werden.
• 7.2 d): Geeignete dokumentierte Information als Nachweis der Kompetenz muss aufbewahrt werden.
• 7.5.1: Das System muss die von diesem Dokument verlangte dokumentierte Information einschließen und die dokumentierte Information, welche die Organisation als nötig für die Wirksamkeit bestimmt. 7.5.2 und 7.5.3 regeln Erstellen, Aktualisieren und Lenken.
• 8.1: Dokumentierte Information muss in dem Umfang verfügbar sein, der nötig ist, um Vertrauen zu haben, dass die Prozesse wie geplant ausgeführt wurden.
• 8.2: Dokumentierte Information über die Ergebnisse der Informationssicherheits-Risikobeurteilungen muss aufbewahrt werden.
• 8.3: Dokumentierte Information über die Ergebnisse der Informationssicherheits-Risikobehandlung muss aufbewahrt werden.
• 9.1: Dokumentierte Information muss als Nachweis der Ergebnisse verfügbar sein.
• 9.2: Dokumentierte Information muss als Nachweis der Verwirklichung des Auditprogramms und der Auditergebnisse verfügbar sein.
• 9.3: Dokumentierte Information muss als Nachweis der Ergebnisse der Managementbewertungen verfügbar sein.
• 10.2: Dokumentierte Information muss als Nachweis der Art der Nichtkonformitäten und etwaiger folgender Maßnahmen sowie der Ergebnisse jeder Korrekturmaßnahme verfügbar sein.

In 4.1, 4.2, 5.1, 5.3, 6.1.1, 6.3, 7.1, 7.3 und 7.4 steht kein eigener Satz, der eine benannte dokumentierte Information verlangt. Die Anmerkung zu 7.5.1 sagt, der Umfang könne sich unterscheiden.

Wo eine Maßnahme in Anhang A selbst Dokumentation, ein Dokumentieren oder dokumentierte Verfahren verlangt, gilt das, soweit diese Maßnahme nach 6.1.3 notwendig ist. Diese Stellen stehen in den Maßnahmenartikeln. Sie verlängern diese Liste der Abschnitte 4 bis 10 nicht.

Nicht in diesem Text: Vorlagen für Risikoregister, Erklärung, Auditbericht oder Zielmatrix.