- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 5.5 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 6.1.3 .
Ihr Leitfaden zu ISO 27001 Anhang A 5.5: Effektive Kontaktaufnahme mit Regierungsbehörden
ISO 27001:2022 Kontrollanhang A 5.5 legt fest, dass eine Organisation einen Prozess zur Kontaktaufnahme mit den zuständigen Behörden gemäß ihren gesetzlichen, behördlichen und vertraglichen Verpflichtungen aufrechterhalten sollte.
Sie müssen den entsprechenden Kontakt zu den Behörden pflegen. Beachten Sie bei der Anpassung dieser Anhang-A-Kontrolle Ihre rechtlichen Pflichten bei der Kontaktaufnahme mit Behörden wie der Polizei, dem Information Commissioner's Office oder anderen Regulierungsbehörden Datenschutz.
Überlegen Sie, wer unter welchen Umständen Kontakt aufnimmt und welche Art von Informationen weitergegeben werden.
Wie funktioniert ISO 27001:2022 Anhang A 5.5?
Kontrolle 5.5 in Anhang A sorgt für die Informationssicherheit von Informationen Der reibungslose Ablauf zwischen der Organisation und den zuständigen Behörden in Bezug auf rechtliche, regulatorische und aufsichtsrechtliche Angelegenheiten. Es muss ein geeignetes Forum eingerichtet werden, um den Dialog und die Zusammenarbeit zwischen dem Unternehmen und den zuständigen Regulierungs-, Aufsichts- und Justizbehörden zu erleichtern.
Es beschreibt die Anforderungen, den Zweck und die Implementierungsanweisungen für die sofortige Identifizierung und Meldung von Informationssicherheitsereignissen. Außerdem wird beschrieben, an wen man sich im Falle eines Vorfalls wenden kann.
In Anhang A, Kontrolle 5.5, geben Sie an, wer kontaktiert werden muss, beispielsweise Strafverfolgungsbehörden, Regulierungsbehörden und Aufsichtsbehörden. Sie müssen diese Stakeholder identifizieren, bevor es zu einem Vorfall kommt.
Zu sich mit der Informationssicherheit befassen Bei Problemen sollte die Organisation eine informelle Kommunikation mit den zuständigen Behörden aufbauen und aufrechterhalten, einschließlich:
- Die Organisation kommuniziert regelmäßig mit den zuständigen Behörden über aktuelle Bedrohungen und Schwachstellen.
- Produkt-, Service- oder Systemschwachstellen sollten den zuständigen Behörden gemeldet werden.
- Informationen zu Bedrohungen und Schwachstellen von den zuständigen Behörden.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Erste Schritte und Erfüllung der Anforderungen von Anhang A 5.5
Informationssicherheitsrisiken werden durch Annex A-Kontrolle 5.5 verwaltet, die die Beziehung der Organisation zu Strafverfolgungsbehörden festlegt.
Kontrolle 5.5 von Anhang A verlangt, dass, wenn ein Informationssicherheit Wenn ein Vorfall entdeckt wird, sollte die Organisation festlegen, wann und von wem die Behörden (z. B. Strafverfolgungsbehörden, Regulierungsbehörden und Aufsichtsbehörden) benachrichtigt werden sollen und wie festgestellte Vorfälle so schnell wie möglich gemeldet werden sollen.
Neben dem Verständnis der aktuellen und zukünftigen Erwartungen der Behörden (z. B. geltende Vorschriften zur Informationssicherheit) ist es auch wichtig, sich mit ihnen auszutauschen.
Um diese Anforderung zu erfüllen, muss die Organisation über eine kohärente Strategie für ihre Beziehungen zu Strafverfolgungsbehörden verfügen.
Die Organisation kann auch davon profitieren, den Kontakt zu Regulierungsbehörden aufrechtzuerhalten, um bevorstehende Änderungen relevanter Gesetze oder Vorschriften vorherzusehen und sich darauf vorzubereiten.
Was sind die Änderungen und Unterschiede zur ISO 27001:2013?
Der Kontakt mit Behörden ist keine neu hinzugefügte Kontrolle in ISO 27001:2022. Es war bereits in der ISO 27001:2013 enthalten unter Kontrollnummer 6.1.3. Daher wurde die Kontrollnummer in Anhang A aktualisiert.
Neben der Änderung der Kontrollnummer wurde auch die Phraseologie geändert. In Anhang A Kontrolle 5.5 heißt es: „Die Organisation sollte Kontakt zu den zuständigen Behörden herstellen und aufrechterhalten.“ In Anhang A Kontrolle 6.1.3 heißt es: „Angemessene Kontakte zu den zuständigen Behörden sollten gepflegt werden.“ Sein Zweck besteht darin, diese Steuerung benutzerfreundlicher zu gestalten, indem die Phraseologie überarbeitet wird.
In der Version 2022 wurde ein Kontrollzweck eingeführt. Es war in der Version 2013 nicht enthalten.
Obwohl es subtile Unterschiede zwischen den beiden Anhang-A-Steuerungen gibt, bleibt ihr Wesen gleich.
In ISO 27001:2022 Anhang A Kontrolle 5.5: Kontakte mit Behörden sollten auch genutzt werden, um die aktuellen und kommenden Erwartungen dieser Behörden (z. B. geltende Vorschriften zur Informationssicherheit) zu verstehen. Dies fehlt in ISO 27001:2013.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wem gehört Anhang A 5.5?
Informationssicherheitsmanager sind typischerweise für diese Rolle verantwortlich.
Andere Personen können diese Funktion ausführen, solange sie dem Informationssicherheitsmanager zur Aufsicht Bericht erstatten. Dadurch wird sichergestellt, dass eine konsistente Botschaft kommuniziert wird und die Behörden konsistente Informationen erhalten.
Wie wirkt sich das auf Sie aus?
In den meisten Zertifizierungszyklen gibt es eine Übergangsfrist von zwei bis drei Jahren, wenn ein überarbeiteter Standard veröffentlicht wird.
Sie müssen sicherstellen, dass Ihre Sicherheitsmaßnahmen auf dem neuesten Stand sind, wenn Sie planen, eine bereitzustellen ISMS (und möglicherweise sogar eine ISMS-Zertifizierung erhalten).
Folgende Aktivitäten werden unter anderem durchgeführt:
- Es ist wichtig, den neuesten Standard zu erwerben.
- Analysieren Sie die Kontrolllücken sowie die Risiken.
- Identifizieren und ändern Sie relevante Anhang-A-Kontrollen in Ihren ISMS-Richtlinien, -Standards und anderen Dokumentationen.
- Die Erklärung zur Anwendbarkeit sollten bei Bedarf aktualisiert werden.
- Ihr interne Anhörung Das Programm sollte überarbeitet werden, um die von Ihnen ausgewählten verbesserten Anhang-A-Kontrollen widerzuspiegeln.
Weitere Informationen darüber, wie sich diese Änderungen auf Ihr Unternehmen auswirken werden, finden Sie in unserem Leitfaden zur ISO 27001:2022.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Wie ISMS.online hilft
Die Nachverfolgung Ihrer Informationssicherheitskontrollen ist einer der anspruchsvollsten Aspekte bei der Implementierung einer ISO 27001-konformes ISMS.
Mit unserer cloudbasierten Plattform können Sie Ihren ISMS-Prozess mithilfe eines robusten Rahmens von Informationssicherheitskontrollen auf die Einhaltung der ISO 27k-Anforderungen überprüfen. Mit der richtigen Zeit und den richtigen Ressourcen kann ISMS.online helfen Ihnen, die Zertifizierung schnell und effizient zu erreichen.
Neben Richtlinien für Annex A 5.5 umfasst ISMS.online auch Tools für das Informationssicherheitsmanagement.
Zusätzlich zu den Modi DPIA und andere damit verbundene Bewertungen personenbezogener DatenB. Legitimate Interest Assessments (LIAs), bietet ISMS.online einfache, praktische Frameworks und Vorlagen für Informationssicherheit im Projektmanagement.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
