Die Einführung eines Informationssicherheits-Managementsystems (ISMS) erfordert, dass zahlreiche Dokumentationen und Nachweise als sogenannte “dokumentierte Informationen” vom CISO bzw. Informationssicherheitsverantwortlichen erstellt, gepflegt und veröffentlicht werden. Speziell bei der Einführung eines neuen ISMS nach ISO 27001:2022 oder nach VDA ISA für eine TISAX® Zertifizierung suchen neue CISOs nach einer Liste der erforderlichen ISMS Dokumente.
In diesem Betrag teilen wir die SEC4YOU Liste der dokumentierten Informationen für ein ISMS nach ISO 27001:2022, das auch die Basis für TISAX®, DORA, NIS2 und andere Branchenstandards bilden kann. Die Dokumentenliste ist bei zahlreichen ISO 27001:2013 und 27001:2022 sowie TISAX® Zertifizierungen nach VDA ISA 5 und VDA ISA 6 erprobt und bei allen unseren Kunden im Einsatz.
Rund 40 ISMS Dokumente für eine ISO 27001 Zertifizierung
Je nach Größe der Unternehmen kann die Liste erweitert oder vereinfacht werden, indem zusätzliche Richtlinien erstellt oder Dokumente zusammengefasst werden.
Wo soll man die Dokumente verwalten und speichern?
Die Dokumentationen können im einfachsten Fall mit Word und Excel erstellt werden, jedoch ist eine strenge Dokumentenlenkung mit Version, Datum, Änderungshistorie, Dokumenteneigner und Freigabeperson erforderlich. Microsoft Teams Teams mit aktiver Versionierung eignen sich sehr gut für die Ablage der Bearbeitungsdokumente, hingegen ist für die Veröffentlichung der freigegeben Dokumente eine PDF Version empfohlen.
Atlassian Kunden können anstelle von Microsoft Word und Excel die Dokumente und Tabellen diese direkt in Confluence erstellen und die entsprechenden Aufgaben für die Umsetzung in Jira planen. In dieser Konstellation lassen sich die verschiedenen Versionen von Confluence-Dokumenten für die Versionierung im ISMS verwenden, während ein Confluence-Workflow für den Freigabeprozess im ISMS eingesetzt werden kann.
Vergessen Sie nicht die Veröffentlichung aller relevanter ISMS Dokumente an die jeweilige Zielgruppe. Vertrauliche Dokumente wie das Risiko-Assessment verbleiben im Zugriff nur durch den CISO und die Geschäftsleitung.
