Die Anleitungen sind eigene Arbeitshilfen. Die Beispiele sind fiktiv und beschreiben kein Kundenprojekt. Sie sind keine vorgeschriebenen Vorlagen der ISO 27001. Passen Sie die Schritte an Ihr Unternehmen an.
Eine Regel und ihre Durchführung sind zwei verschiedene Dinge
Eine Richtlinie beschreibt, wie etwas geschehen soll. Eine Aufzeichnung hält fest, was tatsächlich geschehen ist. Mehr dazu erklärt der Begriff dokumentierte Information.
Die folgenden Beispiele sind Vorschläge für Ihre Ablage. Sie sind keine vollständige Liste erforderlicher Auditnachweise. Welche Aufzeichnungen Sie brauchen, hängt von Ihren Abläufen und Anforderungen ab.
Beispiel 1: Ein Zugang wird freigegeben
Fiktiver Fall: Eine neue beschäftigte Person benötigt Leserechte für einen Projektordner.
Halten Sie in Ihrem vorhandenen Vorgang fest:
- Für wen und für welche Aufgabe wurde der Zugang beantragt?
- Welche Berechtigung hat die zuständige Person genehmigt?
- Wer hat sie eingerichtet und wann?
- Wurde die eingerichtete Berechtigung mit der Freigabe abgeglichen?
- Wann wird sie überprüft oder wieder entzogen?
Möglicher Nachweis: Der Antrag, die Freigabe und der Abschlussvermerk im selben Vorgang. Eine allgemeine Berechtigungsrichtlinie allein zeigt noch nicht, ob dieser einzelne Zugang richtig eingerichtet wurde.
Die fachliche Grundlage ist das Verwalten und Überprüfen von Berechtigungen im NIST Cybersecurity Framework 2.0, PR.AA-05. Die genannten Felder sind unser Vorschlag für die praktische Aufzeichnung.
Beispiel 2: Eine Sicherung wird wiederhergestellt
Fiktiver Fall: Die IT stellt ausgewählte Dateien aus einer Sicherung in einer getrennten Testumgebung wieder her.
Schreiben Sie auf, welche Sicherung verwendet wurde, welche Dateien zum Test gehörten und wer den Test durchgeführt hat. Halten Sie fest, ob sich die Dateien öffnen und fachlich verwenden ließen. Bei einem Fehler ergänzen Sie die zuständige Person, die geplante Behebung und das Ergebnis des Wiederholungstests.
Möglicher Nachweis: Ein Wiederherstellungsprotokoll mit Datum und Ergebnis. Ein erfolgreicher Sicherungslauf belegt etwas anderes als ein erfolgreicher Wiederherstellungstest. Der Test einzelner Dateien belegt wiederum keine vollständige Wiederanlauffähigkeit aller Systeme.
Das NIST Cybersecurity Framework 2.0, PR.DS-11 behandelt das Erstellen, Schützen, Pflegen und Testen von Sicherungen. Unser Beispiel zeigt eine mögliche Aufzeichnung dazu.
Beispiel 3: Eine Schulung wird durchgeführt
Fiktiver Fall: Beschäftigte üben, eine verdächtige Nachricht über den internen Meldeweg zu melden.
Notieren Sie Thema, Datum, angesprochene Personengruppe und Teilnahme. Beschreiben Sie die Übung und halten Sie offene Fragen fest. Vereinbaren Sie, wer die Fragen beantwortet oder den Meldeweg verbessert.
Möglicher Nachweis: Die Schulungsunterlage mit Teilnahmenachweis und kurzer Auswertung. Anwesenheit allein zeigt noch nicht, ob jemand den Meldeweg anwenden kann. Eine Übung liefert einen zusätzlichen Anhaltspunkt.
Das NIST Cybersecurity Framework 2.0, PR.AT-01 und PR.AT-02 beschreibt Sicherheitswissen und aufgabenbezogene Fähigkeiten als Ziele von Schulungen. Die konkrete Übung ist ein Vorschlag dieser Seite.
Machen Sie die Ablage im Alltag nutzbar
Unsere Arbeitsempfehlung: Verwenden Sie möglichst den Vorgang, in dem die Arbeit bereits erledigt wird. Vergeben Sie eine eindeutige Bezeichnung und benennen Sie die verantwortliche Person. Beschränken Sie den Zugriff auf die benötigten Personen. Halten Sie Aufbewahrung und Löschung passend zu den geltenden Anforderungen fest.
Sammeln Sie keine Passwörter oder vollständigen vertraulichen Inhalte als Beleg. Für eine Zugangsfreigabe genügt beispielsweise die Beschreibung der genehmigten Berechtigung.
Ihr nächster Schritt: Wählen Sie einen abgeschlossenen Vorgang. Kann eine unbeteiligte, berechtigte Person daraus erkennen, was entschieden, durchgeführt und geprüft wurde? Ergänzen Sie fehlende Informationen nachvollziehbar. Stellen Sie nachträgliche Ergänzungen nicht als damalige Aufzeichnungen dar.
Quellen und Einordnung
Das National Institute of Standards and Technology, kurz NIST, ist eine US-amerikanische Behörde. Das NIST Cybersecurity Framework 2.0 wurde am 26. Februar 2024 veröffentlicht und am 6. September 2026 abgerufen. Die oben genannten Kennungen ordnen die fachlichen Grundlagen den drei Beispielen zu.
Die Vorgänge, Dokumentationsfelder und Prüffragen sind eigene Arbeitshilfen. Sie geben keinen Normtext wieder und versprechen keine Anerkennung in einem konkreten Audit. Die Fälle sind fiktiv und haben kein tatsächliches Ereignisdatum.