ISO 27001:2022 Anhang A 5.31 – Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen

Was ist der Zweck von ISO 27001:2022 Anhang A 5.31?

Gesetze, Vorschriften und vertragliche Verpflichtungen machen einen erheblichen Teil der Arbeit einer Organisation aus Verantwortlichkeiten im Bereich Informationssicherheit.

Organisationen sollten sich jederzeit ihrer Verantwortung bewusst sein und bereit sein, diese zu ändern Informationssicherheit Maßnahmen, um ihrer Rolle als zuverlässiger Datenverarbeiter gerecht zu werden.

Bemerkenswert ist, dass Anhang A 5.31 keine expliziten gesetzlichen, behördlichen oder vertraglichen Verpflichtungen auflistet, die Organisationen einhalten oder einhalten müssen. Ebenso sieht es keine Methode zur Vertragsgestaltung vor. Vielmehr geht es darum, was Organisationen aus Sicht der Informationssicherheit unter Berücksichtigung ihrer individuellen Anforderungen beachten müssen.

Allgemeine Leitlinien zu ISO 27001:2022 Anhang A 5.31

Organisationen müssen ihre gesetzlichen, satzungsmäßigen, behördlichen und vertraglichen Verpflichtungen berücksichtigen, wenn:

• Ausarbeitung oder Änderung ihrer Informationssicherheitsverfahren und internen Richtlinien.
• Entwerfen, ändern und führen Sie Informationssicherheitskontrollen aus.
• Bei der Beurteilung ihrer umfassenderen Datensicherheitsanforderungen, sowohl für organisatorische als auch für Drittparteien (z. B. Lieferanten), müssen Organisationen ihre Informationssicherheit kategorisieren.
• Durchführung von Risikobewertungen im Zusammenhang mit Datensicherheitsaktivitäten, wie z. B. internen Rollen und der Organisationsstruktur.
• Bestimmung der Art der Lieferantenbeziehung sowie ihrer vertraglichen Verpflichtungen in der gesamten Lieferkette.

Legislative und regulatorische Leitlinien

Organisationen sollten interne Verfahren und Rollen klar umreißen und dokumentieren, damit sie:

• Identifizieren, analysieren und verstehen Sie ihre rechtlichen und regulatorischen Anforderungen an die Informationssicherheit, einschließlich einer konsistenten Bewertung von Gesetzen und Vorschriften.
• Stellen Sie sicher, dass sie alle gesetzlichen und behördlichen Anforderungen in jedem Land, in dem sie tätig sind, sowie alle Produkte und Dienstleistungen von außerhalb des Landes einhalten.

Kryptografische Anleitung

Kryptographie ist eine Technik zum Schutz von Informationen und Kommunikation durch deren Verschlüsselung. Es bietet eine Möglichkeit, Informationen zu sichern und eine sichere Kommunikation zwischen zwei Parteien zu ermöglichen.

Der Einsatz von Verschlüsselung und Kryptographie erfordert die Einhaltung vorgegebener gesetzlicher Vorschriften und umfangreicher fachrelevanter Regulierungshinweise.

Vor diesem Hintergrund sollte man sich der folgenden Richtlinien bewusst sein:

• Import-/Exportgesetze bezüglich kryptografischer Hardware oder Software, die eine dedizierte kryptografische Funktion ausführt oder ausführen kann.
• Gesetzgebung zur Einschränkung kryptografischer Funktionen.
• Behörden in jedem Land oder jeder Region sind dazu befugt Zugriff anfordern und erzwingen auf verschlüsselte Informationen.
• Die Genauigkeit und Zuverlässigkeit von drei grundlegenden digitalen Komponenten verschlüsselter Daten:
• Dichtungen.
• Zertifikate.
• Unterschriften

Vertragliche Beratung

Organisationen müssen ihre Verantwortung für die Informationssicherheit berücksichtigen, wenn sie rechtsverbindliche Verträge mit Kunden, Anbietern oder Verkäufern (z. B. Versicherungspolicen und Verträge) erstellen oder genehmigen.

Weitere Unterstützung zu Lieferantenverträgen finden Sie in Anhang A 5.20 in ISO 27001:2022.

Begleitende Anhang-A-Kontrollen

• ISO 27001:2022 Anhang A 5.20

Änderungen und Unterschiede zu ISO 27001:2013

ISO 27001:2022 Anhang A 5.31 ersetzt in der überarbeiteten Norm zwei Kontrollen aus ISO 27001:2013, diese sind:

1. 18.1.1 – Identifizierung der geltenden Gesetze und vertraglichen Anforderungen
2. 18.1.5 – Regulierung kryptografischer Kontrollen

Während ISO 27001:2013 Anhang A 18.1.1 bietet abgesehen von der Anforderung nur wenige Leitlinien Damit „Manager“ alle für ihr Unternehmen geltenden Gesetze ermitteln können, geht es in Anhang A 27001 von ISO 2022:5.31 um die Einhaltung gesetzlicher, behördlicher und kryptografischer Standards Vorschriften.

ISO 27001:2022 Anhang A 5.31 folgt den gleichen Grundsätzen wie ISO 27001:2013 Anhang A 18.1.5 und enthält die gleichen zugrunde liegenden Leitlinien, geht jedoch noch einen Schritt weiter und verlangt von Organisationen, über Hardware und Software nachzudenken, die kryptografische Funktionen ausführen kann.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.

Wie ISMS.online hilft

Unsere Schritt-für-Schritt-Checkliste macht es Implementierung der ISO 27001:2022 Einfacher. Es reicht von der Definition des Umfangs Ihres ISMS bis hin zur Implementierung der Risikoidentifizierung und -kontrolle.

Kontaktieren Sie uns jetzt, um eine Vorführung zu vereinbaren.