ISO-27001-Checkliste

Eine ISO-27001-Checkliste ist ein strukturiertes Werkzeug, das Ihnen hilft zu beurteilen, ob Ihre Organisation für die Zertifizierung bereit ist, und zu erkennen, wo Ihr Informationssicherheits-Managementsystem (ISMS) noch weitere Arbeit erfordert. Diese Checkliste folgt der Klauselstruktur von ISO 27001:2013 – der internationalen Norm für Informationssicherheitsmanagement – und ermöglicht es Ihnen, Ihr ISMS Abschnitt für Abschnitt zu bewerten. Sie ist kein Ersatz für die Norm selbst, sondern eine praktische Möglichkeit, ihre Anforderungen durchzuarbeiten und den Zustand jeder einzelnen festzuhalten.

Wie diese Checkliste hilft

Die Checkliste unterstützt eine Bereitschaftsüberprüfung: Sie bewerten den Vorbereitungsstand der Organisation, entdecken Lücken in ihren Prozessen und prüfen das ISMS anhand der Anforderungen der Norm. Jeder Punkt verlangt von Ihnen festzustellen, ob die Anforderung vollständig umgesetzt, teilweise umgesetzt oder für Ihre Organisation nicht zutreffend ist. Die manuellen Prüfpunkte führen in dieser Reihenfolge hindurch, beginnend mit dem Kontext der Organisation, wobei behandelt wird, was die Norm zu Anwendungsbereich, interessierten Parteien und dem ISMS selbst festlegt, und weitergehend über Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung.

Die Klauseln der Reihe nach durcharbeiten

Die Checkliste deckt die Hauptklauseln der Norm ab, jede in ihrem eigenen Abschnitt. Sie überprüfen, dass **Führungskräfte** eine Informationssicherheitspolitik festgelegt und Verantwortlichkeiten zugewiesen haben, dass die **Planung** Risikobewertung und -behandlung hervorbringt, dass **Unterstützung und Betrieb** die notwendigen Ressourcen und Kompetenzen bereitstellen und dass **Leistungsbewertung und Verbesserung** den Kreis schließen. Diese Struktur macht den Fortschritt leicht nachverfolgbar und ermöglicht es Ihnen, Ressourcen auf die schwächsten Bereiche zu konzentrieren. Normklauseln wie 4.1 (die Organisation und ihr Kontext) und 4.2 (die Bedürfnisse und Erwartungen interessierter Parteien) bilden den Ausgangspunkt, weil alles Folgende von ihnen abhängt.

Nachweise und Antworten festhalten

Für jede Anforderung halten Sie ein Ergebnis fest: **Abgeschlossen**, **Weitere Arbeit nötig** oder **N/A**. Im Abschnitt **Audit** notieren Sie, wann die Bewertung durchgeführt wurde, wer sie vorbereitet hat und welcher Standort abgedeckt wurde. Bei wiederholten Überprüfungen lässt sich dadurch leicht erkennen, welche Lücken geschlossen wurden und welche noch offen sind.

Die Aufzeichnung aktuell halten

ISO 27001 gilt für jede Organisation, die ein Informationssicherheits-Managementsystem festlegen, einführen, aufrechterhalten und kontinuierlich verbessern möchte. Betrachten Sie diese Checkliste als wiederkehrendes Werkzeug und nicht als einmalige Übung: Führen Sie sie vor und nach jedem Verbesserungszyklus durch und erneut vor jedem Überwachungs- oder Rezertifizierungsaudit. Da die Antworten festgehalten werden, entsteht ein Bild davon, wie Ihr ISMS mit der Zeit reift.

Häufig gestellte Fragen

Die Checkliste gliedert sich in zwei Teile. Der Abschnitt **Audit** erfasst die praktischen Kopfdaten der Überprüfung: wann sie durchgeführt wurde, wer sie vorbereitet hat und wo sie stattfand. Die übrigen Abschnitte führen dann der Reihe nach durch die Managementsystem-Klauseln – Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung – und schließen mit einem Schritt **Completion** ab. Die Abschnitte nacheinander durchzuarbeiten spiegelt die Struktur der Norm wider, sodass Sie jede Anforderung bewerten, bevor Sie zur nächsten übergehen.

Jede Anforderung trägt dieselbe Antwortskala, sodass der Prüfer für jeden Punkt eines von drei Ergebnissen festhält: **Abgeschlossen**, **Weitere Arbeit nötig** oder **N/A** (nicht zutreffend). Das Festhalten von Nachweisen und das Notieren, wer die Bewertung durchgeführt hat, im Abschnitt **Audit** macht die ausgefüllte Checkliste als Aufzeichnung nutzbar.

Verwenden Sie diese Checkliste vor einem ISO-27001-Zertifizierungsaudit, um festzustellen, wie vorbereitet die Organisation ist. Sie ist ein internes Bereitschaftswerkzeug: Sie macht Lücken im Prozess sichtbar und gibt Ihnen eine klauselweise Sicht auf das Informationssicherheits-Managementsystem. Sobald Lücken identifiziert sind, hilft Ihnen dieselbe Checkliste zu bestätigen, dass die entsprechende Arbeit abgeschlossen wurde.

Die Checkliste folgt der Klauselstruktur von ISO 27001:2013: Kontext der Organisation (Klausel 4), Führung (Klausel 5), Planung (Klausel 6), Unterstützung (Klausel 7), Betrieb (Klausel 8), Leistungsbewertung (Klausel 9) und Verbesserung (Klausel 10). Sie deckt außerdem die Anforderungen an Audit (Klausel 9) und Managementbewertung ab. Sie sollte neben der Norm selbst und nicht an ihrer Stelle verwendet werden.

Jedes Mal. Ein ISMS ist ein lebendiges System, daher ist die Checkliste als wiederkehrende Selbstbewertung am nützlichsten und nicht als einmalige Übung. Durch die Wiederholung können Sie bestätigen, dass zuvor identifizierte Lücken geschlossen wurden und dass das Managementsystem weiterhin die Anforderungen erfüllt.

Verfasst von

Marion Heinz

Editor

Content writer with a background in Information Management, translating complex industrial and digital transformation topics into clear, actionable insights. Keen on international collaboration and multilingual exchange.

LinkedIn-Profil ansehen