ISO Basiszertifikat: Ihre Roadmap zur Zertifizierung
Gültig bis 29. September 2025
1. Unternehmen
Die Eingabe der grundlegenden Unternehmensdaten auf Ihrer Zertifizierungsplattform ist ein zentraler Schritt auf dem Weg zur ISO-Zertifizierung. Dazu gehören die Erstellung eines Inventars, die Klassifizierung aller verarbeiteten Informationen sowie die Erarbeitung einer Informationssicherheitsrichtlinie. Bislang war das komplex und hat wochenlange Arbeit bedeutet. Das gehört der Vergangenheit an! Unser KI-Assistent hat die erforderlichen Grundlagen bereits für Sie angelegt.
|
Beschreibung des Unternehmens, des Markts und der Anforderungen an die Informationssicherheit | Dokumentation angelegt |
|
Der Anwendungsbereich dieses Managementsystems | Dokumentation angelegt |
|
Unsere Qualitäts- und Informationssicherheitspolitik | Dokumentation angelegt |
Unternehmen / Interessengruppen
Die Analyse von Interessengruppen und ihrem Einfluss gehört zu den fundamentalen Voraussetzungen der ISO-Normen. Wir haben eine Liste der für uns relevanten Interessengruppen erstellt.
|
Die Interessen unserer Bestandskunden im Bereich Qualität und Informationssicherheit | Dokumentation angelegt |
|
Die Interessen unserer potenziellen Neukunden im Bereich Qualität und Informationssicherheit | Dokumentation angelegt |
|
Die Interessen unserer Beschäftigten im Bereich Qualität und Informationssicherheit | Dokumentation angelegt |
|
Die Interessen unserer Lieferanten, Dienstleister und Partner im Bereich Qualität und Informationssicherheit | Dokumentation angelegt |
|
Die Interessen von Behörden und der öffentlichen Verwaltung im Bereich Qualität und Informationssicherheit | Dokumentation angelegt |
|
Die Interessen von Versicherungen im Bereich Qualität und Informationssicherheit | Dokumentation angelegt |
Unternehmen / Führung
Unsere Führungskräfte verpflichten sich, die Prinzipien der ISO 9001 (Qualitätsmanagement) und ISO 27001 (Informationssicherheitsmanagement) in ihrer täglichen Arbeit konsequent umzusetzen.
Die hier aufgelisteten Führungsgrundsätze unserer Organisation umfassen:
- Verantwortung für Qualität: Führungskräfte fördern zuverlässige und effiziente Prozesse, um qualitativ hochwertige Ergebnisse zu gewährleisten.
- Sicherstellung der Informationssicherheit: Führungskräfte gewährleisten die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch die Einhaltung bewährter Sicherheitsstandards.
Unsere Führungsgrundsätze sind essenziell für unser Engagement in den Bereichen Qualität und Informationssicherheit. Sie bilden die Grundlage für ein verantwortungsvolles und vorbildliches Führungsverhalten in unserer Organisation.
|
Die Verantwortung der Führung für Qualität und Informationssicherheit | Dokumentation angelegt |
|
Definition von Zielen für Qualität und Informationssicherheit | Dokumentation angelegt |
|
Integration des Qualitäts- und Informationssicherheitsmanagements in unsere Geschäftsprozesse | Dokumentation angelegt |
|
Selbstverpflichtung zur kontinuierlichen Verbesserung unserer Leistungen | Dokumentation angelegt |
|
Verpflichtung zur Unterstützung von Beschäftigten | Dokumentation angelegt |
|
Verantwortung zur Entwicklung der Kompetenzen von Beschäftigten | Dokumentation angelegt |
|
Wir setzen uns aktiv mit den Risiken und Chancen unserer Geschäftstätigkeit auseinander | Dokumentation angelegt |
|
Wir kontrollieren die Ergebnisse unserer Geschäftstätigkeit | Dokumentation angelegt |
|
Wir stellen die notwendigen Ressourcen zur Erfüllung unserer Pflichten zur Verfügung | Dokumentation angelegt |
|
Erstellung und Aufrechterhaltung von Leitlinien | Dokumentation angelegt |
|
Führungskräfte verpflichten sich zur Einhaltung von Normen, Vorschriften und Gesetzen | Dokumentation angelegt |
|
Führungskräfte schaffen bei Beschäftigten das Bewusstsein | Dokumentation angelegt |
Unternehmen / Inventar
Die vorliegende Inventarliste bietet eine umfassende Übersicht über die Arbeitsgeräte, Software-Anwendungen und IT-Infrastruktur, die im Rahmen unserer Tätigkeit zum Einsatz kommen. Sie umfasst sowohl lokal installierte als auch cloudbasierte Tools und Systeme, die für die Durchführung unserer beruflichen Aufgaben erforderlich sind.
In dieser Übersicht finden sich - wo immer notwendig und sinnvoll - Hinweise darauf, wo detaillierte Auflistungen von Geräten und Applikationen hinterlegt sind, sowie Informationen darüber, wer für die Verwaltung von Passwörtern und Zugängen zuständig ist.
Es ist wichtig zu betonen, dass sicherheitskritische Passwörter oder Zugangsinformationen in dieser Liste nicht aufgeführt sind. Diese sind in speziell gesicherten Anwendungen hinterlegt, um den höchsten Sicherheitsstandards zu entsprechen und den Schutz sensibler Daten zu gewährleisten.
|
Wir verwenden dienstliche Smartphones | Dokumentation angelegt |
|
Wir verwenden dienstliche Desktop-Computer | Dokumentation angelegt |
|
Wir verwenden lokal installierte Bürosoftware | Dokumentation angelegt |
|
Wir verwenden cloudbasierte branchenspezifische Software | Dokumentation angelegt |
|
Wir verwenden eigene Server im Rechenzentrum eines Dienstleisters | Dokumentation angelegt |
Handbuch
Dieses Qualitätshandbuch beschreibt, wie wir als Unternehmen die Anforderungen der ISO 9001 in unserer Organisation umsetzen. Es dient als zentrale Grundlage für unser Qualitätsmanagement und unterstützt uns dabei, unsere Prozesse systematisch zu steuern und kontinuierlich zu verbessern. Die Inhalte orientieren sich an den Kapiteln der Norm und zeigen unsere praxisnahe Anwendung im betrieblichen Alltag. Unser Ziel ist es, die Qualität unserer Leistungen nachhaltig zu sichern und die Zufriedenheit unserer Kunden langfristig zu gewährleisten.
Unternehmen / Klassifizierung
In dieser Liste erfassen wir sämtliche Informationen, die wir im Rahmen unserer Geschäftstätigkeit verarbeiten. Die Klassifizierung basiert auf folgenden Kriterien:
- Gesetzliche Anforderungen, bei denen dokumentiert wird, welche rechtlichen Vorgaben für die jeweilige Information gelten;
- Wert der Information, der die Bedeutung der Information für den geschäftlichen Erfolg einschätzt;
- Wichtigkeit, die beschreibt, wie relevant die Information für den laufenden Geschäftsbetrieb ist;
- Empfindlichkeit, bei der festgehalten wird, wie anfällig die Information gegenüber unbefugter Offenlegung oder Veränderung ist.
Die systematische Erfassung hilft uns, den Überblick über die genutzten Informationen zu behalten, Sicherheitsmaßnahmen anzupassen und gesetzliche Anforderungen effizient umzusetzen.
Anwendbarkeitserklärung
Die Anwendbarkeitserklärung (Statement of Applicability, SoA) ist eines der zentralen Dokumente im Rahmen der ISO/IEC 27001. Sie legt dar, welche Maßnahmen aus Annex A der Norm für das Unternehmen relevant sind und wie diese umgesetzt werden. Damit bildet sie die Grundlage für die Planung, Steuerung und Überprüfung der Informationssicherheitsmaßnahmen. Die Anwendbarkeitserklärung schafft Transparenz gegenüber internen und externen Stakeholdern und dient als Nachweis für die wirksame Umsetzung des Informationssicherheits-Managementsystems. Sie ist somit ein wesentliches Steuerungsinstrument, um den Schutz von Informationen systematisch und nachvollziehbar sicherzustellen.
2. Ziele
Die Eingabe und Bearbeitung Ihrer Ziele ist ein wichtiger Schritt, um Ihre Richtung festzulegen und Ihre Fortschritte zu dokumentieren. Auch das ist ganz einfach, denn die Ziele, die Sie uns im Fragebogen genannt haben, sind bereits angelegt.
|
Unser Qualitätsziel: Wir möchten die Anzahl unserer Neukunden steigern | Dokumentation angelegt |
|
Unser Ziel: Wir möchten das Vertrauen unserer Kunden in unsere Informationssicherheit sicherstellen | Dokumentation angelegt |
|
Unser Ziel: Standard für Informationssicherheit im Unternehmen erhöhen | Dokumentation angelegt |
|
Unser Ziel: Risiken für Informationssicherheit professionell managen | Dokumentation angelegt |
|
Unser Ziel: Das Bewusstsein für Informationssicherheit erhöhen | Dokumentation angelegt |
|
Unser Ziel: Sofortige Reaktion bei Zwischenfällen sicherstellen | Dokumentation angelegt |
|
Unser Ziel: Einhaltung der gesetzlichen Vorgaben und Auflagen sicherstellen | Dokumentation angelegt |
|
Unser Ziel: Sicherheits- und Datenschutzvorfälle vermeiden | Dokumentation angelegt |
3. Prozesse
Während Sie den Fragebogen ausgefüllt haben, haben wir bereits Ihre Prozesslandschaft angelegt. Die Prozesse und Abläufe sind den unterschiedlichen Bereichen Ihres Unternehmens zugeordnet. Jetzt gilt es nur noch, den Feinschliff zu machen: Ihre Prozesse weiter auszuarbeiten und individuell an Ihr Unternehmen anzupassen.
|
Unser Prozess zur Auftragsgewinnung | Dokumentation angelegt |
|
Unser Prozess zur Auftragsplanung | Dokumentation angelegt |
|
Unser Prozess zur Auftragsdurchführung | Dokumentation angelegt |
|
Unser Prozess zum Auftragsabschluss | Dokumentation angelegt |
|
Unser Prozess zum After Sales | Dokumentation angelegt |
|
Unser Einkaufs- und Beschaffungsprozess | Dokumentation angelegt |
|
Maßregelungsprozess bei Verstößen gegen Informationssicherheit (Annex A 6.4) | Dokumentation angelegt |
|
Unser Prozess zur Beurteilung von Informationssicherheitsrisiken | Dokumentation angelegt |
|
Unser Prozess zur Behandlung von Informationssicherheitsrisiken | Dokumentation angelegt |
|
Unser Prozess zur Registrierung neuer Nutzer und zur Erteilung von Zugängen (Identitätsmanagement) | Dokumentation angelegt |
|
Unser Prozess zur De-registrierung (Entfernung) von Nutzern aus unseren Systemen (Identitätsmanagement) | Dokumentation angelegt |
|
Verwaltung geheimer Authentisierungsinformationen / Identitätsmanagement / Endpunktgeräte (Annex A, 5.17, 5.18,8.1,8.5) | Dokumentation angelegt |
|
Unser Prozess zur Kennzeichnung von Informationen (Annex A, 5.12) | Dokumentation angelegt |
|
Unser Prozess zur Handhabung von Werten (Hardware, Software) (Annex A, 5.10) | Dokumentation angelegt |
|
Unser Prozess zum Umgang mit Informationssicherheit in der Lieferkette (Annex A, 5.21) | Dokumentation angelegt |
|
Unser Prozess zum Erwerb, zur Nutzung, zur Verwaltung und zum Ausstieg aus Cloud-Diensten (Annex A, 5.23) | Dokumentation angelegt |
|
Notfallplan bei Störungen, Ereignissen und Vorfällen der Informationssicherheit (Annex A, 5.25, 5.26, 5.27, 5.29) | Dokumentation angelegt |
|
Unser Prozess zur Bearbeitung von datenschutzrechtlichen Auskunftsanfragen seitens Betroffener | Dokumentation angelegt |
|
Betriebsablauf/Betriebsverfahren Change Management: Änderungen an IT-Systemen (Annex A, 5.37, 8.32) | Dokumentation angelegt |
|
Betriebsablauf/Betriebsverfahren Schutz vor Malware und Schadsoftware (Annex A, 5.37,8.7) | Dokumentation angelegt |
|
Betriebsablauf/Betriebsverfahren Schulungen zur Informationssicherheit (Annex A, 5.37, 6.3) | Dokumentation angelegt |
|
Betriebsablauf/Betriebsverfahren Sicherung und Wiederherstellung (Backup & Recovery) (Annex A, 5.37, 8.13) | Dokumentation angelegt |
|
Betriebsablauf/Betriebsverfahren Patch- und Schwachstellenmanagement (Backup & Recovery) (Annex A, 5.37, 8.8) | Dokumentation angelegt |
|
Betriebsablauf/Betriebsverfahren zum Konfigurationsmanagement (Annex A, 8.9) | Dokumentation angelegt |
|
Betriebsablauf/Betriebsverfahren zur Steuerung externer / ausgegliederter Entwicklung (Annex A 8.30) | Dokumentation angelegt |
|
Ablauf / Prozess: Rekrutierung von Mitarbeitenden | Dokumentation angelegt |
4. Dokumente
Arbeitsanweisungen und Richtlinien sind ein zentraler Bestandteil Ihres Managementsystems. Die wichtigsten Dokumente haben wir bereits auf Basis Ihrer Angaben für Sie angelegt. Nun gilt es, diese mit Hilfe unserer KI an Ihre spezifischen Anforderungen anzupassen.
|
Richtlinie zur Erstellung von Marketingcontent | Dokumentation angelegt |
|
Richtlinie zum Umgang mit Fehlern und Mängeln in unserer Arbeit | Dokumentation angelegt |
|
Richtlinie zur kontinuierlichen Verbesserung | Dokumentation angelegt |
|
Richtlinie für Veränderungen in unserem Managementsystem | Dokumentation angelegt |
|
Grundsätze unserer Ressourcenplanung / Arbeitsvorbereitung | Dokumentation angelegt |
|
Umsetzung von vereinbarten Maßnahmen zur Projekt- / Auftragsdurchführung | Dokumentation angelegt |
|
Auswahlkriterien für externe Serviceanbieter (Qualität, Informationssicherheit) | Dokumentation angelegt |
|
Vorgehen bei der Bewertung von externen Serviceanbietern | Dokumentation angelegt |
|
Richtlinie zur Auswahl und Überwachung von Subunternehmen (Qualität, Informationssicherheit) | Dokumentation angelegt |
|
Vorgehen bei der Bewertung der von uns beauftragten Subunternehmen | Dokumentation angelegt |
|
Richtlinie zur Registrierung neuer Nutzer in Systemen und zur Rollenvergabe (Identitätsmanagement) | Dokumentation angelegt |
|
Richtlinie zur Informationssicherheit bei der Durchführung von Projekten (Annex A, 5.8) | Dokumentation angelegt |
|
Richtlinie zum Einsatz und zur Verwendung mobiler Endgeräte (Smartphone, Tablet) | Dokumentation angelegt |
|
Richtlinie zur Informationssicherheit bei Remote-Arbeit (mobiles Arbeiten / Homeoffice) (Annex A, 6.7) | Dokumentation angelegt |
|
Durchführung von Sicherheitsüberprüfungen von Beschäftigten und Partnern (Annex A, 5.35, 6.1) | Dokumentation angelegt |
|
Besondere Verpflichtungen von Führungskräften im Bereich Informationssicherheit | Dokumentation angelegt |
|
Bewusstsein und Kompetenz im Bereich Informationssicherheit | Dokumentation angelegt |
|
Besondere Anforderungen an den Abschluss von Verträgen mit Beschäftigten und Dienstleistern (Annex A 6.5) | Dokumentation angelegt |
|
Richtlinie zur Nutzung des Internets und zum Einsatz von Cloud-Diensten | Dokumentation angelegt |
|
Richtlinie zur Handhabung von Wechseldatenträgern | Dokumentation angelegt |
|
Richtlinie Zugangssteuerung / Zugangsrechte (Identitätsmanagement) (Annex A, 5.15, 5.16, 5.17, 5.18,8.2,8.3,8.4) | Dokumentation angelegt |
|
Richtlinie zur Erstellung und Verwendung sicherer Passwörter | Dokumentation angelegt |
|
Richtlinie: Webfilterung und Gebrauch von kryptographischen Maßnahmen (Annex A, 8.23, 8.24) | Dokumentation angelegt |
|
Durchführung von Freigaben | Dokumentation angelegt |
|
Richtlinie zur Entsorgung von Datenträgern, Betriebsmitteln und Speichermedien (Annex A, 7.10 und 7.14) | Dokumentation angelegt |
|
Richtlinie zur Rückgabe von Werten und zur Löschung von Informationen (Annex A, 5.3) | Dokumentation angelegt |
|
Richtlinie zur regelmäßigen Analyse der Bedrohungslage (Annex A, 5.7) | Dokumentation angelegt |
|
Richtlinie zur Übermittlung / Weitergabe von Informationen (Annex A, 5.14) | Dokumentation angelegt |
|
Richtlinie zur Behandlung Informationssicherheit in Lieferantenverträgen (Annex A, 5.20) | Dokumentation angelegt |
|
Beurteilung der Informationssicherheit bei Lieferanten (Annex A, 5.19, 5.22) | Dokumentation angelegt |
|
Richtlinie zum Business Continuity Management (BCM) (Annex A, 5.29, 5.30) | Dokumentation angelegt |
|
Richtlinie zum Umgang, zur Verwendung und zum Einsatz von geistigem Eigentum (Annex A, 5.32) | Dokumentation angelegt |
|
Richtlinie zum Schutz von Aufzeichnungen (Annex A, 5.33) | Dokumentation angelegt |
|
Richtlinie zum Datenschutz und zum Schutz von personenbezogenen Daten (PbD, Annex A, 5.34) | Dokumentation angelegt |
|
Richtlinie zur Meldung von Vorfällen der Informationssicherheit (Meldeverfahren) (Annex A, 6.8) | Dokumentation angelegt |
|
Richtlinie: Aufgeräumte Arbeitsumgebung und Bildschirmsperren (Annex A, 7.7) | Dokumentation angelegt |
|
Richtlinie zur Aufgabentrennung (Annex A, 5.3) | Dokumentation angelegt |
|
Richtlinie zum zulässigen Gebrauch von Informationen und Hardware (Annex A, 5.10) | Dokumentation angelegt |
|
Sammlung von Beweismaterial im Zusammenhang mit Sicherheitsereignissen (Annex A, 5.28) | Dokumentation angelegt |
|
Richtlinie: Dokumentation und Protokollierung von Aktivitäten, Ausnahmen, Fehlern und Ereignissen (Annex A, 8.15) | Dokumentation angelegt |
|
Richtlinie: Installation von Software auf Systemen im Betrieb (Annex A, 8.19) | Dokumentation angelegt |
|
Richtlinie zur Sicherstellung der Einhaltung juristischer, gesetzlicher, regulatorischer und vertraglicher Anforderungen (Annex A, 5.31) | Dokumentation angelegt |
5. Risiken und Chancen
In Ihrem Zertifizierungstool haben wir bereits eine Liste mit Risiken angelegt. Diese basieren auf den Angaben, die Sie im Fragebogen gemacht haben, sowie auf den Informationen zu Ihren Tätigkeiten. Nun können Sie diese Risiken und Chancen weiter bearbeiten und anpassen.
|
Hackerangriff auf unsere Webseite | Dokumentation angelegt |
|
Copyrightverletzungen bei der Erstellung von Marketingcontent | Dokumentation angelegt |
|
Akquiserisiko: Wir gewinnen zu wenig neue Kunden | Dokumentation angelegt |
|
Mangelnde Ressourcen durch schlechte Auftragsplanung und -vorbereitung | Dokumentation angelegt |
|
Datenschutzrisiko bei der Kaltakquise neuer Kunden | Dokumentation angelegt |
|
Keine bzw. zu langsame Reaktion auf Sicherheitsvorfälle | Dokumentation angelegt |
|
Unser Ziel: Einhaltung der gesetzlichen Vorgaben und Auflagen sicherstellen | Dokumentation angelegt |
|
Es besteht das Risiko von Nachfragerückgang nach unseren Dienstleistungen | Dokumentation angelegt |
|
Es besteht das Risiko der Abhängigkeit von einer begrenzten Anzahl von Kunden oder Branchen | Dokumentation angelegt |
|
Datenverlust und Diebstahl unserer dienstlich zur Verfügung gestellten Smartphones | Dokumentation angelegt |
|
Sicherheitsrisiken bei der Nutzung von dienstlichen Desktops | Dokumentation angelegt |
|
Sicherheitsrisiken bei der Nutzung lokal installierter Software | Dokumentation angelegt |
|
Sicherheitsrisiken bei der Nutzung cloudbasierter Software (Software as a Service) | Dokumentation angelegt |
|
Sicherheitsrisiken durch die Verwendung eigener Server bei einem Dienstleister | Dokumentation angelegt |
|
Sicherheitsrisiko: Datenlecks externer Services beinhalten Informationen von Beschäftigten | Dokumentation angelegt |
6. Bewertungen
Die ISO-Normen verlangen als Grundlage der Zertifizierung, dass ein erstes Audit und eine erste Managementbewertung durchgeführt werden. Beide Dokumente haben wir bereits für Sie vorbereitet und angelegt, sodass Sie jetzt bereits optimal auf die Zertifizierung vorbereitet sind.
|
Informationssicherheitsbeurteilung dienstliches Smartphone / Tablet | Dokumentation angelegt |
|
Informationssicherheitsbeurteilung dienstlicher Desktop | Dokumentation angelegt |
|
Sicherheitsrisiken bei der Nutzung lokal installierter Software | Dokumentation angelegt |
|
Informationssicherheitsbeurteilung für Server, die bei einem IT-Dienstleister betrieben werden | Dokumentation angelegt |
|
Sicherheitsrisiken bei der Nutzung cloudbasierter Software (Software as a Service) | Dokumentation angelegt |
Bewertungen / Internes Audit
Im Rahmen der Errichtung unseres Qualitätsmanagementsystems haben wir ein Systemaudit durchgeführt, um die Konformität mit den Normkapiteln der ISO 9001:2015 zu überprüfen. Dabei sind wir Schritt für Schritt die Anforderungen der Norm durchgegangen und haben sie mit der Umsetzung in unserem Unternehmen abgeglichen. Das Vorgehen stützt sich dabei auf die hier aufgeführten Methoden.
- Dokumentation überprüft: Wir haben überprüft, ob die erforderliche Dokumentation vollständig ist.
- Umfassende Analyse: Wir haben eine weitreichende Überprüfung der Dokumentation sowie der Umsetzung veranlasst.
- Befragung durchgeführt: Wir haben Personen interviewt, die von den entsprechenden Normvorgaben betroffen sind.
- Erfolgskontrolle: Wir haben geprüft, ob die getroffenen Maßnahmen erfolgreich durchgeführt wurden.
Das Ergebnis dieser umfassenden Überprüfung ist in diesem ersten Auditbericht festgehalten, der sowohl die Stärken als auch die Verbesserungspotenziale unseres Qualitätsmanagementsystems dokumentiert.
|
Kapitel 4.1: Interne und externe Themen sind angelegt und relevant | Dokumentation angelegt |
|
Kapitel 4.2: Erfordernisse und Erwartungen interessierter Parteien sind definiert | Dokumentation angelegt |
|
Kapitel 4.3: Anwendungsbereich des Qualitätsmanagements ist festgelegt | Dokumentation angelegt |
|
Kapitel 4.4: Das Qualitätsmanagement und seine Prozesse sind beschrieben | Dokumentation angelegt |
|
Kapitel 5.1: Führungsgrundsätze unterstützen das Qualitätsmanagement | Dokumentation angelegt |
|
Kapitel 5.2: Die Qualitätspolitik ist angelegt und für unsere Ziele relevant | Dokumentation angelegt |
|
Kapitel 5.3: Rollen und Befugnisse sind korrekt definiert | Dokumentation angelegt |
|
Kapitel 6.1: Risiken und Chancen sowie Maßnahmen sind bestimmt | Dokumentation angelegt |
|
Kapitel 6.2: Qualitätsziele sind definiert, messbar und relevant | Dokumentation angelegt |
|
Kapitel 6.3: Änderungen werden geplant und strukturiert durchgeführt | Dokumentation angelegt |
|
Kapitel 7.1: Die Anforderungen an die Ressourcenplanung werden erfüllt | Dokumentation angelegt |
|
Kapitel 7.2. Die Anforderungen an die Kompetenz werden erfüllt | Dokumentation angelegt |
|
Kapitel 7.3: Das Bewusstsein für das Qualitätsmanagement wird vermittelt | Dokumentation angelegt |
|
Kapitel 7.4: Kommunikation erfolgt planvoll und strukturiert | Dokumentation angelegt |
|
Kapitel 7.5: Anforderungen an die dokumentierte Information werden erfüllt | Dokumentation angelegt |
|
Kapitel 8.1: Anforderungen an die betriebliche Planung und Steuerung sind erfüllt | Dokumentation angelegt |
|
Kapitel 8.2: Die Anforderungen an Produkte und Dienstleistungen sind erfüllt | Dokumentation angelegt |
|
Kapitel 8.3: Anforderungen an die Entwicklung erfüllt | Dokumentation angelegt |
|
Kapitel 8.4: Anforderungen an die Steuerung von externen Prozessen, Produkten und Dienstleistungen erfüllt | Dokumentation angelegt |
|
Kapitel 8.5: Die Anforderungen an Produktion und Dienstleistungserbringung sind erfüllt | Dokumentation angelegt |
|
Kapitel 8.6: Die Anforderungen an die Freigabe von Produkten und Dienstleistungen sind erfüllt | Dokumentation angelegt |
|
Kapitel 8.7: Die Anforderungen an den Umgang mit Mängeln und Abweichungen sind erfüllt | Dokumentation angelegt |
|
Kapitel 9.1: Die Anforderungen an die Leistungsmessung sind erfüllt | Dokumentation angelegt |
|
Kapitel 9.2: Die Anforderungen an interne Audits sind erfüllt | Dokumentation angelegt |
|
Kapitel 9.3: Die Anforderungen an die Managementbewertung sind erfüllt | Dokumentation angelegt |
|
Kapitel 10.1: Die Anforderungen an die Verbesserung sind erfüllt | Dokumentation angelegt |
|
Kapitel 10.2: Die Anforderungen an den Umgang mit Mängeln und Abweichungen sind erfüllt | Dokumentation angelegt |
|
Kapitel 10.3: Die Anforderungen an die fortlaufende Verbesserung sind erfüllt | Dokumentation angelegt |
Bewertungen / Internes Audit
Im Rahmen der Errichtung unseres Informationssicherheitsmanagementsystems haben wir ein Systemaudit durchgeführt, um die Konformität mit den Normkapiteln der ISO 27001 zu überprüfen. Dabei sind wir Schritt für Schritt die Anforderungen der Norm durchgegangen und haben sie mit der Umsetzung in unserem Unternehmen abgeglichen. Das Vorgehen stützt sich dabei auf die hier aufgeführten Methoden.
- Dokumentation überprüft: Wir haben überprüft, ob die erforderliche Dokumentation vollständig ist und alle relevanten Sicherheitsaspekte berücksichtigt wurden.
- Umfassende Analyse: Wir haben eine umfassende Bewertung der dokumentierten Informationssicherheitsmaßnahmen sowie deren praktische Umsetzung vorgenommen.
- Befragung durchgeführt: Wir haben relevante Personen interviewt, um Erkenntnisse über die Anwendung der Sicherheitsrichtlinien und deren Wirksamkeit zu gewinnen.
- Erfolgskontrolle: Wir haben geprüft, ob die eingeleiteten Maßnahmen zur Verbesserung der Informationssicherheit erfolgreich umgesetzt wurden.
Das Ergebnis dieser umfassenden Überprüfung ist in diesem ersten Auditbericht festgehalten, der sowohl die Stärken als auch die Verbesserungspotenziale unseres Informationssicherheitsmanagementsystems dokumentiert.
|
Kapitel 4.1: Für die Informationssicherheit relevante interne und externe Themen sind angelegt | Dokumentation angelegt |
|
Kapitel 4.2: Erfordernisse und Erwartungen interessierter Parteien sind definiert | Dokumentation angelegt |
|
Kapitel 4.3: Anwendungsbereich des Informationssicherheitsmanagements ist festgelegt | Dokumentation angelegt |
|
Kapitel 4.4: Das Informationssicherheitsmanagement ist entsprechend der Norm eingerichtet | Dokumentation angelegt |
|
Kapitel 5.1: Führungsgrundsätze unterstützen das Informationssicherheitsmanagement | Dokumentation angelegt |
|
Kapitel 5.2: Die Informationssicherheitspolitik ist angelegt und für unsere Ziele relevant | Dokumentation angelegt |
|
Kapitel 5.3: Rollen und Befugnisse in Bezug auf Informationssicherheit sind korrekt definiert | Dokumentation angelegt |
|
Kapitel 6.1: Risiken und Chancen sowie Maßnahmen sind bestimmt | Dokumentation angelegt |
|
Kapitel 6.2: Informationssicherheitsziele sind definiert, messbar und relevant | Dokumentation angelegt |
|
Kapitel 7.1: Ressourcen für Informationssicherheit sind bereitgestellt | Dokumentation angelegt |
|
Kapitel 7.2: Ausreichende Kompetenzen für Informationssicherheit sind vorhanden | Dokumentation angelegt |
|
Kapitel 7.3: Das Bewusstsein für das Informationssicherheitsmanagement ist vorhanden | Dokumentation angelegt |
|
Kapitel 7.4: Kommunikation erfolgt planvoll und strukturiert | Dokumentation angelegt |
|
Kapitel 7.5: Anforderungen an die dokumentierte Information werden erfüllt | Dokumentation angelegt |
|
Kapitel 8.1: Anforderungen an die betriebliche Planung und Steuerung sind erfüllt | Dokumentation angelegt |
|
Kapitel 8.2: Die Anforderungen an die Beurteilung von Risiken der Informationssicherheit sind erfüllt | Dokumentation angelegt |
|
Kapitel 8.3: Die Anforderungen an die Behandlung von Risiken der Informationssicherheit sind erfüllt | Dokumentation angelegt |
|
Kapitel 9.1: Die Anforderungen an die Leistungsmessung sind erfüllt | Dokumentation angelegt |
|
Kapitel 9.2: Die Anforderungen an interne Audits sind erfüllt | Dokumentation angelegt |
|
Kapitel 9.3: Die Anforderungen an die Managementbewertung sind erfüllt | Dokumentation angelegt |
|
Kapitel 10.1: Die Anforderungen an den Umgang mit Mängeln und Abweichungen sind erfüllt | Dokumentation angelegt |
|
Kapitel 10.2: Die Anforderungen an die kontinuierliche Verbesserung sind erfüllt | Dokumentation angelegt |
Bewertungen / Managementbericht
Diese erste Managementbewertung zeigt auf, wie das Qualitätsmanagementsystem aus Sicht der Unternehmensführung aktuell implementiert ist und welcher Verbesserungsbedarf erkannt wurde. Wir sind dazu Schritt für Schritt die Anforderungen aus Kapitel 9.3 der ISO 9001:2015 durchgegangen und haben die dort aufgeführten Punkte überprüft.
Die Kategorisierung zeigt auf, wie die Schlüsse gezogen wurden.
- Dokumentation überprüft: Wir haben sichergestellt, dass alle relevanten Dokumente vollständig und aktuell sind.
- Umfassende Analyse: Wir haben eine detaillierte Bewertung der Umsetzung der Anforderungen vorgenommen.
- Befragung durchgeführt: Wir haben relevante Personen befragt, um Erkenntnisse über die praktische Anwendung der Normvorgaben zu gewinnen.
- Erfolgskontrolle: Wir haben geprüft, ob die eingeleiteten Maßnahmen effektiv umgesetzt wurden und die gewünschten Ergebnisse erzielt haben.
Die Ergebnisse dieser Managementbewertung dokumentieren sowohl die Stärken als auch die identifizierten Verbesserungspotenziale unseres Qualitätsmanagementsystems und dienen als Grundlage für zukünftige Maßnahmen.
|
1. Status von Maßnahmen aus früheren Managementbewertungen | Dokumentation angelegt |
|
2. Veränderungen in unserem Geschäftsumfeld (interne und externe Themen) | Dokumentation angelegt |
|
3. Kundenzufriedenheit / Rückmeldung von Interessengruppen | Dokumentation angelegt |
|
4. Wir evaluieren, ob wir unsere Ziele erreicht haben | Dokumentation angelegt |
|
5. Leistungen unserer Prozesse / Konformität unser Angebote | Dokumentation angelegt |
|
6. Status von Mängeln und Korrekturmaßnahmen | Dokumentation angelegt |
|
7. Ergebnisse von Überwachungen und Messungen | Dokumentation angelegt |
|
8. Ergebnisse von internen Audits | Dokumentation angelegt |
|
9. Leistungen externer Anbieter | Dokumentation angelegt |
|
10. Einsatz unserer materiellen und personellen Ressourcen | Dokumentation angelegt |
|
11. Maßnahmen zum Umgang mit Risiken und Chancen | Dokumentation angelegt |
|
12. Status von Verbesserungsmaßnahmen | Dokumentation angelegt |
Bewertungen / Managementbericht
Wir haben eine erste Managementbewertung durchgeführt. Dabei sind wir Schritt für Schritt die Anforderungen von Kapitel 9.3 der ISO 27001 durchgegangen und haben die dort aufgeführten Punkte überprüft. Diese erste Managementbewertung zeigt auf, wie unser Informationssicherheitsmanagementsystem aktuell implementiert ist und welcher Verbesserungsbedarf erkannt wurde. Die Kategorisierung gibt Aufschluss darüber, wie die Schlüsse gezogen wurden.
- Umfassende Analyse: Wir haben eine detaillierte Bewertung der Umsetzung der Sicherheitsanforderungen vorgenommen, insbesondere hinsichtlich der identifizierten Informationssicherheitsrisiken und deren Steuerung.
- Erfolgskontrolle: Wir haben geprüft, ob die eingeleiteten Maßnahmen zur Verbesserung der Informationssicherheit effektiv umgesetzt wurden und die gewünschten Ergebnisse erzielt haben.
Die Ergebnisse dieser Managementbewertung dokumentieren sowohl die Stärken als auch die identifizierten Verbesserungspotenziale unseres Informationssicherheitsmanagementsystems und dienen als Grundlage für zukünftige Maßnahmen zur kontinuierlichen Verbesserung der Informationssicherheit.
|
1. Status von Maßnahmen aus früheren Managementbewertungen | Dokumentation angelegt |
|
2. Veränderungen von internen und externen Themen des Informationssicherheitsmanagements | Dokumentation angelegt |
|
3. Abweichungen, Fehler und Mängel (sog. Nonkonformitäten) | Dokumentation angelegt |
|
4. Ergebnisse unserer Leistungsmessung | Dokumentation angelegt |
|
5. Ergebnisse interner Audits | Dokumentation angelegt |
|
6. Erfüllung unserer Informationssicherheitsziele | Dokumentation angelegt |
|
7. Rückmeldungen von Interessengruppen | Dokumentation angelegt |
|
8. Veränderungen bei Informationssicherheitsrisiken | Dokumentation angelegt |
|
9. Möglichkeiten der Verbesserung | Dokumentation angelegt |
7. Grundsatzerklärung
Die ISO-Normen fordern, dass Sie sich als selbstständig tätige Person oder als Unternehmensleitung auf die Grundsätze Ihres Managementsystems verpflichten. Dazu gehören auch Ihre Beschäftigten. Wenn Sie möchten, können Sie zusätzlich Netzwerkpartner oder freie Mitarbeitende einladen, sich ebenfalls zu den Grundsätzen zu verpflichten.
Teilen auf X
