CloudSignLab
AnmeldenKostenlos starten

Kostenlose Vorlagen

ISO 27001 Anhang A Checkliste

Entscheiden Sie für jeden der 93 Codes aus Anhang A, ob er für Sie gilt und warum, und ob er umgesetzt ist: die Grundlage Ihrer Erklärung zur Anwendbarkeit.

Für Excel herunterladen (CSV)

So nutzen Sie die Vorlage

  1. 1Laden Sie die Datei für Excel herunter oder drucken Sie sie.
  2. 2Füllen Sie die leeren Spalten mit Ihrem Team oder Ihren Lieferanten aus.
  3. 3Legen Sie Verantwortliche und Termine fest und prüfen Sie in einigen Monaten erneut.

Inhalt: 93 Punkte

  1. A.5.1Organisatorisch

    Informationssicherheitsrichtlinie; Richtlinien werden regelmäßig überprüft; Mitarbeitende bestätigen Kenntnis der Richtlinien; Methode für Risikomanagement; Risiken werden regelmäßig überprüft; Risikobehandlung wird genehmigt

  2. A.5.2Organisatorisch

    Sicherheitsverantwortung ist zugewiesen

  3. A.5.3Organisatorisch

    Unvereinbare Aufgaben sind getrennt; Sicherheitsrollen haben Vertretungen

  4. A.5.4Organisatorisch

    Leitungsorgan genehmigt und überwacht Sicherheit

  5. A.5.5Organisatorisch

    Kontakte zu Behörden sind bekannt

  6. A.5.6Organisatorisch

    Kontakte zu Sicherheitsgruppen

  7. A.5.7Organisatorisch

    Bedrohungsinformationen werden gesammelt; Risikoregister wird geführt; Sicherheitswarnungen von Herstellern werden beachtet

  8. A.5.8Organisatorisch

    Sicherheit in Projekten; Risikobewertung vor Änderungen

  9. A.5.9Organisatorisch

    Risiken sind mit Assets verknüpft; Inventar der IT-Assets; Jedes Asset hat eine verantwortliche Person

  10. A.5.10Organisatorisch

    Regeln zur zulässigen Nutzung

  11. A.5.11Organisatorisch

    Rückgabe von Assets beim Austritt

  12. A.5.12Organisatorisch

    Informationen sind klassifiziert

  13. A.5.13Organisatorisch

    Informationen sind gekennzeichnet

  14. A.5.14Organisatorisch

    Regeln für die Übermittlung von Informationen

  15. A.5.15Organisatorisch

    Richtlinie zur Zugriffskontrolle

  16. A.5.16Organisatorisch

    Persönliche Konten, keine gemeinsamen Logins

  17. A.5.17Organisatorisch

    Passwortregeln; Standardpasswörter werden geändert; Geheimnisse werden sicher gespeichert

  18. A.5.18Organisatorisch

    Zugriffe werden genehmigt; Zugriffe werden regelmäßig überprüft; Zugriff für Lieferanten und Gäste

  19. A.5.19Organisatorisch

    Lieferantenrisiken im Risikoregister; Sicherheitsrichtlinie für Lieferanten; Lieferantenverzeichnis; Lieferantenzugriffe werden kontrolliert

  20. A.5.20Organisatorisch

    Sicherheit in Lieferantenverträgen; Ausstieg aus Lieferantenbeziehungen ist geplant

  21. A.5.21Organisatorisch

    Unterauftragnehmer sind bekannt; IKT-Produkte werden auf Schwachstellen geprüft

  22. A.5.22Organisatorisch

    Lieferanten werden bewertet; Lieferantenleistungen werden überwacht; Lieferanten melden Ihnen Sicherheitsvorfälle

  23. A.5.23Organisatorisch

    Cloud-Dienste sind erfasst; Cloud-Dienste werden sicher ausgewählt

  24. A.5.24Organisatorisch

    Plan zur Reaktion auf Sicherheitsvorfälle; Reaktion auf Vorfälle wird geübt

  25. A.5.25Organisatorisch

    Warnmeldungen werden bewertet; Sicherheitsvorfälle werden eingestuft

  26. A.5.26Organisatorisch

    Sicherheitsvorfälle werden erfasst; NIS2-Meldefristen sind bekannt; Betroffene Kunden werden informiert; Externe Unterstützung ist vereinbart; Datenschutzverletzungen werden gemeldet

  27. A.5.27Organisatorisch

    Aus Vorfällen wird gelernt

  28. A.5.28Organisatorisch

    Beweise werden gesichert

  29. A.5.29Organisatorisch

    Szenarien für schwere Störungen; Krisenstab; Sicherheit während Störungen; Notfallkommunikation

  30. A.5.30Organisatorisch

    Notfallplan (Business-Continuity-Plan); Business-Impact-Analyse; Notfallplan wird getestet; IT-Notfallwiederherstellung; Ausfall von Lieferanten ist berücksichtigt; Pläne werden nach Änderungen aktualisiert

  31. A.5.31Organisatorisch

    Gesetzliche und vertragliche Anforderungen sind bekannt

  32. A.5.32Organisatorisch

    Lizenzen und geistiges Eigentum

  33. A.5.33Organisatorisch

    Aufzeichnungen sind geschützt

  34. A.5.34Organisatorisch

    Schutz personenbezogener Daten

  35. A.5.35Organisatorisch

    Unabhängige Überprüfung der Sicherheit; Interne Audits; Bewertung der Wirksamkeit durch die Geschäftsleitung

  36. A.5.36Organisatorisch

    Einhaltung der Sicherheitsregeln wird geprüft; Risikomaßnahmen werden verfolgt; Wirksamkeit der Maßnahmen wird gemessen; Korrekturmaßnahmen werden verfolgt

  37. A.5.37Organisatorisch

    Dokumentierte Betriebsabläufe

  38. A.6.1Personen

    Hintergrundüberprüfungen

  39. A.6.2Personen

    Sicherheit in den Arbeitsbedingungen

  40. A.6.3Personen

    Geschäftsleitung ist in Cybersicherheit geschult; Sicherheitssensibilisierung für alle Mitarbeitenden; Sensibilisierung für Phishing; Schulung für IT- und Sicherheitsrollen; Grundregeln der Cyberhygiene; Wirksamkeit der Schulungen wird geprüft; Neue Sicherheitsthemen werden kommuniziert; Schulungsnachweise werden aufbewahrt

  41. A.6.4Personen

    Disziplinarverfahren

  42. A.6.5Personen

    Zugriffe werden beim Austritt entzogen; Zugriffe werden bei Rollenwechsel überprüft

  43. A.6.6Personen

    Vertraulichkeitsvereinbarungen

  44. A.6.7Personen

    Regeln für mobiles Arbeiten

  45. A.6.8Personen

    Mitarbeitende melden Sicherheitsereignisse; Ereignisse werden rasch gemeldet

  46. A.7.1Physisch

    Zutritt zu Büros ist kontrolliert

  47. A.7.2Physisch

    Zutritt zu Büros ist kontrolliert; Serverräume sind verschlossen

  48. A.7.3Physisch

    Besucher werden beaufsichtigt

  49. A.7.4Physisch

    Physischer Zutritt wird überwacht

  50. A.7.5Physisch

    Schutz vor Feuer und Wasser

  51. A.7.6Physisch

    Regeln für die Arbeit in Räumen, die Schutz brauchen, zum Beispiel keine Besucher ohne Begleitung und keine Fotos.

  52. A.7.7Physisch

    Aufgeräumter Schreibtisch und gesperrter Bildschirm

  53. A.7.8Physisch

    Geräte sind sicher aufgestellt

  54. A.7.9Physisch

    Geräte außerhalb des Büros

  55. A.7.10Physisch

    Wechseldatenträger

  56. A.7.11Physisch

    Stromversorgung ist abgesichert

  57. A.7.12Physisch

    Strom- und Netzwerkkabel sind gegen Beschädigung, Störung und Abhören geschützt.

  58. A.7.13Physisch

    Geräte werden gewartet

  59. A.7.14Physisch

    Sichere Entsorgung

  60. A.8.1Technologisch

    Geräte werden zentral verwaltet; Verlorene Geräte können gesperrt oder gelöscht werden; Private Geräte für die Arbeit; Bildschirme sperren automatisch

  61. A.8.2Technologisch

    Administratorkonten sind getrennt und begrenzt; Notfallzugang

  62. A.8.3Technologisch

    Datenzugriff ist rollenbasiert eingeschränkt

  63. A.8.4Technologisch

    Zugriff auf Quellcode; Quellcode ist geschützt

  64. A.8.5Technologisch

    Multi-Faktor-Authentifizierung für Fernzugriff; Multi-Faktor-Authentifizierung für Administratoren; Anmeldeversuche sind begrenzt; Single Sign-on, wo möglich; Phishing-resistente Anmeldung für kritische Zugänge

  65. A.8.6Technologisch

    Kapazität wird überwacht

  66. A.8.7Technologisch

    Schutz vor Schadsoftware auf allen Geräten; E-Mails werden gefiltert; Makros und Skripte sind eingeschränkt

  67. A.8.8Technologisch

    Sicherheitsupdates werden rasch installiert; Nicht mehr unterstützte Systeme werden ersetzt; Schwachstellenscans; Schwachstellen werden nach Priorität behoben; Meldung von Schwachstellen; Aus dem Internet erreichbare Systeme haben Vorrang

  68. A.8.9Technologisch

    Standards für sichere Konfiguration; Konfigurationen sind dokumentiert

  69. A.8.10Technologisch

    Löschen nicht mehr benötigter Informationen

  70. A.8.11Technologisch

    Personenbezogene oder vertrauliche Daten werden verborgen oder ersetzt, wo der volle Wert nicht nötig ist, zum Beispiel in Tests.

  71. A.8.12Technologisch

    Datenabfluss wird verhindert

  72. A.8.13Technologisch

    Regelmäßige Datensicherungen; Sicherungen werden getrennt aufbewahrt; Wiederherstellungen werden getestet; Sicherung von Cloud-Diensten; Fehlgeschlagene Sicherungen werden bemerkt; Wiederherstellungsziele sind festgelegt; Zugriff auf Sicherungen ist beschränkt

  73. A.8.14Technologisch

    Redundanz für kritische Systeme

  74. A.8.15Technologisch

    Wichtige Ereignisse werden protokolliert; Protokolle werden aufbewahrt und geschützt; Administratortätigkeiten werden protokolliert

  75. A.8.16Technologisch

    Verdächtige Aktivitäten werden erkannt; Überwachung außerhalb der Bürozeiten; Überwachung umfasst Cloud-Dienste

  76. A.8.17Technologisch

    Uhren sind synchronisiert; Zeitstempel in Protokollen sind verlässlich

  77. A.8.18Technologisch

    Administrationswerkzeuge sind geschützt

  78. A.8.19Technologisch

    Softwareinstallation wird kontrolliert

  79. A.8.20Technologisch

    Firewall schützt das Netzwerk; Sicherer Fernzugriff; Firewall-Regeln werden überprüft; Erreichbare Dienste sind bekannt; E-Mail ist vor Spoofing geschützt

  80. A.8.21Technologisch

    WLAN ist abgesichert; Netzwerkdienste sind abgesichert

  81. A.8.22Technologisch

    Netze sind getrennt; Administrationsnetze sind getrennt

  82. A.8.23Technologisch

    Schädliche Websites werden blockiert

  83. A.8.24Technologisch

    Verschlüsselungsregeln; Laptops und Telefone sind verschlüsselt; Übertragene Daten sind verschlüsselt; Sicherungen sind verschlüsselt; Schlüssel werden verwaltet; Zertifikate werden überwacht; Datenbanken mit sensiblen Daten sind verschlüsselt; Veraltete Verschlüsselung wird ersetzt

  84. A.8.25Technologisch

    Regeln für sichere Entwicklung

  85. A.8.26Technologisch

    Sicherheitsanforderungen sind festgelegt; Sicherheit bei der IKT-Beschaffung

  86. A.8.27Technologisch

    Prinzipien sicherer Architektur

  87. A.8.28Technologisch

    Code wird geprüft; Fremdkomponenten werden geprüft

  88. A.8.29Technologisch

    Sicherheitstests vor der Veröffentlichung; Penetrationstests

  89. A.8.30Technologisch

    Ausgelagerte Entwicklung wird gesteuert

  90. A.8.31Technologisch

    Test und Produktion sind getrennt

  91. A.8.32Technologisch

    Änderungen werden gesteuert

  92. A.8.33Technologisch

    Testdaten sind geschützt

  93. A.8.34Technologisch

    Tests und Audits stören den Betrieb nicht

Anhang A wird nur mit seinen Codes genannt, weil die ISO-Texte urheberrechtlich geschützt sind: Halten Sie die Norm für den offiziellen Wortlaut bereit. Die Beschreibungen sind die Kontrollen der CloudSignLab-Bibliothek, die den jeweiligen Code abdecken.

Mit CloudSignLab erledigen

Führen Sie Ihre Erklärung zur Anwendbarkeit in CloudSignLab: Reifegrad je Thema aus Ihren Kontrollen, Begründungen, Nachweise und eine druckbare SoA.

Kostenlos starten

Neue Vorlagen und NIS2-Neuigkeiten erhalten

Freiwillig: Wir schreiben Ihnen, wenn wir eine neue Vorlage oder einen Leitfaden veröffentlichen. Sie bestätigen zuerst per E-Mail und können sich jederzeit abmelden.