Personalgrundsatz: Informationssicherheitsanforderungen werden über den gesamten Beschäftigungs- und Beauftragungszyklus berücksichtigt – von der Auswahl und Verpflichtung über Eintritt, Rollenwechsel und laufende Qualifizierung bis zum Austritt.
Nachweisregel: Eine Einladung, ein Schulungsplan, eine versandte Information oder eine Teilnahmebestätigung belegt allein noch nicht, dass Inhalte verstanden und im Arbeitsalltag wirksam angewendet werden.
Beispieldokument: Rollen, Fristen, Schulungsintervalle, Zielgruppen und Nachweise sind Muster für die fiktive „Muster GmbH“. Sie müssen vor der Freigabe mit Personalwesen, Datenschutz, Arbeitnehmervertretung, Fachbereichen sowie Rechts-, Vertrags- und Kundenanforderungen abgestimmt werden.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-MA-03-02 |
| Dokumentenart | Verfahren für Personalsicherheit, Kompetenz, Awareness und Schulungen |
| Wiki.js-Pfad | /ISMS/03-Organisation-und-Assets/Personal-und-Schulungen |
| Verantwortlich | Personalwesen und ISMS-Beauftragte/r |
| Fachlich geprüft durch | Geschäftsführung, Führungskräfte, Datenschutz, Compliance, IT, TISAX-Koordination und Arbeitnehmervertretung, soweit vorhanden |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Prozesse, Zielgruppen und Nachweisablage nicht operationalisiert |
| Version | 0.1 |
| Stand | 23.07.2026 |
| Gültig ab | Nach Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Intern; personenbezogene Detailnachweise vertraulich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 5.3, 7.2, 7.3 und 7.4 sowie Annex A 6.1 bis 6.8 |
| VDA-ISA-Bezug | ISA 6.0.3, insbesondere Kapitel 2.1 „Personnel“ sowie alle betroffenen Kontrollfragen |
Dieses Verfahren stellt sicher, dass Personen:
Das Verfahren gilt für:
Es gilt für alle im ISMS-Scope liegenden Standorte, Prozesse, Informationen, Anwendungen, IT-/OT-Systeme und Tätigkeiten.
| Begriff | Bedeutung |
|---|---|
| Awareness | Aufmerksamkeit und sicherheitsbewusstes Verhalten im Arbeitsalltag |
| Schulung | strukturierte Vermittlung definierter Inhalte |
| Unterweisung | arbeitsplatz- oder tätigkeitsbezogene verbindliche Einweisung |
| Kompetenz | nachgewiesene Fähigkeit, Wissen und Erfahrung angemessen anzuwenden |
| Kenntnisnahme | Bestätigung, eine Information erhalten zu haben; kein automatischer Verständnisnachweis |
| Lernerfolg | nachvollziehbare Prüfung, ob wesentliche Inhalte verstanden wurden |
| Wirksamkeit | Bewertung, ob Schulung oder Awareness den beabsichtigten Sicherheitseffekt unterstützt |
| Rollenwechsel | wesentliche Änderung von Aufgabe, Bereich, Befugnis, Standort oder Systemzugriff |
| Offboarding | geregelte Aktivitäten bei Austritt oder Ende eines Auftrags |
| Sicherheitskritische Rolle | Rolle, deren Fehler oder Missbrauch wesentliche Sicherheitsauswirkungen haben kann |
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Grundsätze, Ressourcen, Zielniveau und wesentliche Programme freigeben |
| Personalwesen | Beschäftigungszyklus, Verpflichtungen, Personalprozesse und geschützte Nachweise koordinieren |
| ISMS-Beauftragte/r | Sicherheitsinhalte, Awarenessprogramm, Kennzahlen und Verbesserungen koordinieren |
| Führungskraft | Aufgaben, Schulungsbedarf, Kompetenz und tatsächliche Umsetzung im Bereich verantworten |
| Rollen-/Prozess-Owner | rollenbezogene Anforderungen, Fachinhalte und Wirksamkeitskriterien festlegen |
| IT-/OT-Verantwortliche | Zugriffe mit Eintritt, Wechsel, Schulung und Austritt abstimmen |
| Datenschutz | datenschutzbezogene Inhalte, Personalnachweise und zulässige Auswertung beraten |
| Compliance/Recht | rechtliche, vertragliche, Kunden- und Sanktionsfragen prüfen |
| TISAX-Koordination | ISA-Anforderungen, Bewertungsziele und Nachweisbedarf abgleichen |
| Arbeitnehmervertretung | Beteiligungsrechte wahrnehmen, soweit vorhanden und erforderlich |
| Schulungsverantwortliche | Inhalte, Durchführung, Teilnahmen, Lernerfolg und Aktualität dokumentieren |
| Beschäftigte und externe Personen | Anforderungen einhalten, Schulungen absolvieren, Fragen und Ereignisse melden |
Die detaillierte Rollenstruktur wird unter Rollen und Verantwortlichkeiten geführt.
| Phase | Sicherheitsaktivitäten | Ergebnis/Nachweis |
|---|---|---|
| Personalbedarf | Rolle, Aufgaben, Befugnisse und Kompetenzbedarf festlegen | Rollen-/Anforderungsprofil |
| Auswahl | zulässige Eignungs- und Hintergrundprüfungen durchführen | dokumentierte Prüfentscheidung |
| Vertrag/Beauftragung | Vertraulichkeit, Sicherheitsregeln und Folgen bei Verstößen regeln | Vertrag/Verpflichtung |
| Eintritt | Identität, Unterweisung, Assets und benötigte Zugriffe koordinieren | Onboarding-Nachweis |
| Einarbeitung | allgemeine und rollenbezogene Kompetenz vermitteln | Schulungs-/Kompetenznachweise |
| aktive Tätigkeit | Awareness, Fachschulung, Reviews und Übungen durchführen | laufende Nachweise |
| Rollenwechsel | Bedarf, Zugriffe, Aufgaben, Übergabe und Schulung neu bewerten | Wechselcheckliste |
| längere Abwesenheit | Zugriffe, Vertretung, Übergabe und Rückkehrbedarf prüfen | Abwesenheits-/Rückkehrnachweis |
| Austritt/Auftragsende | Zugriffe entziehen, Assets zurücknehmen und Wissen übergeben | Offboarding-Nachweis |
| nach Beendigung | fortgeltende Verpflichtungen und Aufbewahrung beachten | dokumentierte Abschlussinformation |
Für jede Rolle werden risikobasiert festgelegt:
Sicherheitskritische Rollen werden nicht allein aufgrund technischer Verfügbarkeit oder informeller Praxis vergeben.
Prüfungen vor Aufgabenübernahme erfolgen nur:
Mögliche Prüfgegenstände sind, soweit zulässig und erforderlich:
Ein allgemeines oder verdachtsunabhängiges Sammeln sensibler Personendaten ohne nachgewiesene Erforderlichkeit ist unzulässig.
Vor Aufgabenübernahme werden anwendbare Verpflichtungen geregelt und verständlich vermittelt.
Hierzu können gehören:
Verpflichtungen werden bei wesentlichen Änderungen der Tätigkeit oder Anforderungen überprüft und bei Bedarf erneuert.
Vor oder spätestens mit Aufnahme sicherheitsrelevanter Tätigkeiten werden:
| Prüfschritt | Verantwortlich | Ergebnis | Nachweis/Termin |
|---|---|---|---|
| Rolle und Eintrittsdatum bestätigt | Personal/Führungskraft | [Offen] |
[Referenz] |
| Identität und erforderliche Eignung geprüft | Personal | [Offen] |
[geschützter Nachweis] |
| Vertrag und Vertraulichkeit wirksam | Personal/Compliance | [Offen] |
[Referenz] |
| Grundunterweisung abgeschlossen | ISMS/Führungskraft | [Offen] |
[Schulungs-ID] |
| Rollenqualifikation bestimmt | Führungskraft/Rollen-Owner | [Offen] |
[Kompetenzprofil] |
| Zugriffe freigegeben | System-/Information Owner | [Offen] |
[Ticket] |
| Assets übergeben | IT/Facility | [Offen] |
[Asset-Referenz] |
| Meldewege verstanden | Führungskraft/ISMS | [Offen] |
[Bestätigung/Test] |
Die Checkliste ist eine Vorlage. Sie belegt keine Durchführung, solange die tatsächlichen Einträge und Referenzen fehlen.
Zugriffe werden nur bereitgestellt, wenn:
Für privilegierte, produktionskritische, sicherheitsrelevante oder besonders vertrauliche Zugriffe können vor Aktivierung zusätzliche Fachschulungen und praktische Nachweise verlangt werden.
Die technische und fachliche Berechtigungssteuerung wird in der Regelung Zugriff und Berechtigungen geführt. Der aktuelle Entwurfsstatus ist kein Nachweis einer umgesetzten oder wirksamen Berechtigungssteuerung.
Kompetenz wird aus:
abgeleitet.
Eine bloße Stellenbezeichnung oder Schulungsteilnahme genügt für eine sicherheitskritische Rolle nicht automatisch als Kompetenznachweis.
| Rolle | erforderliche Kompetenz | Nachweisart | aktueller Stand | Lücke | Maßnahme | Review |
|---|---|---|---|---|---|---|
[Rolle] |
[Anforderung] |
[Qualifikation/Test/Übung] |
Nicht bewertet | [Lücke] |
[Maßnahme] |
[Datum] |
Die Matrix enthält nur erforderliche Angaben. Sensible Qualifikations- oder Leistungsdaten werden in der geschützten Personalablage geführt.
Schulungsbedarf wird mindestens geprüft bei:
Das Programm wird risikobasiert geplant und umfasst:
| Ebene | Zielgruppe | Zweck |
|---|---|---|
| Grundunterweisung | alle Beschäftigten und relevante externe Personen | Mindestverhalten, Schutz und Meldewege |
| regelmäßige Awareness | alle betroffenen Personen | Aufmerksamkeit erhalten und aktuelle Themen vermitteln |
| rollenbezogene Schulung | Personen mit besonderen Aufgaben | erforderliche Fachkompetenz aufbauen |
| Führungskräfteschulung | Geschäftsführung und Führungskräfte | Verantwortung, Risikoentscheidungen und Vorbildrolle |
| praktische Übung | Incident-, BCM-, IT-/OT- und andere Einsatzrollen | Handlungsfähigkeit und Zusammenarbeit testen |
| anlassbezogene Information | betroffene Zielgruppen | auf Änderungen, Vorfälle oder neue Anforderungen reagieren |
Intervalle, Umfang und Form werden anhand von Risiken und Anforderungen festgelegt. Als Muster ist eine Grundunterweisung vor beziehungsweise bei Tätigkeitsbeginn und eine regelmäßige, grundsätzlich mindestens jährliche Auffrischung vorgesehen. Strengere Kunden-, Rollen- oder Risikoanforderungen gehen vor.
Die Grundunterweisung behandelt mindestens:
Inhalte werden an tatsächliche Arbeitsumgebungen, Sprachen, Zugänglichkeit und Zielgruppen angepasst.
| Zielgruppe/Rolle | mögliche Inhalte | möglicher Wirksamkeitsnachweis |
|---|---|---|
| Geschäftsführung | Leitungsverantwortung, Risiken, Ressourcen, Managementbewertung | Entscheidungsfall oder Managementreview |
| Führungskräfte | Verantwortlichkeiten, Eskalation, On-/Offboarding, Zielsteuerung | Fallübung und Bereichsreview |
| ISMS-Team | ISO 27001, Risiko, SoA, Audit, Dokumentation und TISAX | Arbeitsprobe oder Fachprüfung |
| IT-/OT-Administration | privilegierte Zugriffe, Härtung, Logging, Backup, Incident Response | praktische Aufgabe und Stichprobe |
| Entwicklung | Sicherheitsanforderungen, sichere Entwicklung, Komponenten und Tests | Review oder Sicherheitstest |
| Einkauf/Service Owner | Lieferantenrisiken, Verträge, Cloud und Exit | Vertrags-/Lieferantenstichprobe |
| Personalwesen | Verpflichtungen, Rollenwechsel, Austritt und Nachweisschutz | Prozessstichprobe |
| Incident-Team | Triage, Eindämmung, Kommunikation und Nachbereitung | Tabletop oder Einsatzübung |
| BCM-/Wiederanlaufrollen | Notbetrieb, Abhängigkeiten, RTO/RPO und Wiederanlauf | praktische Übung |
| Datenschutzrollen | Datenschutzpflichten, Vorfälle und Betroffenenrechte | Fallsimulation |
| Prototypenrollen | Zonen, Zutritt, Tarnung, Transport und Kundenanforderungen | Begehung oder Szenarioübung |
| interne Auditoren | Auditgrundsätze, Objektivität, Kriterien und Nachweise | beobachtetes Audit oder Kompetenzbewertung |
Die tatsächlichen Inhalte richten sich nach Rolle, Scope und bestätigten Anforderungen.
| Schulungs-ID | Thema | Zielgruppe | Pflicht/Anlass | Owner | geplanter Termin | Methode | Wirksamkeitskriterium | Status |
|---|---|---|---|---|---|---|---|---|
[SCH-JJJJ-NNN] |
[Thema] |
[Zielgruppe] |
[Grundlage] |
[Rolle] |
[Datum] |
[Format] |
[Kriterium] |
Entwurf |
Ein Planungsstatus ist kein Teilnahmenachweis. Termine gelten erst nach bestätigter Verantwortung, Ressourcenplanung und Kommunikation als verbindlich.
Vor einer Schulung werden geprüft:
Nach Durchführung werden tatsächliche Teilnahme, Ergebnis, Abweichungen und erforderliche Folgemaßnahmen dokumentiert.
Abhängig von Thema und Risiko kann Lernerfolg bewertet werden durch:
Ein bestandener kurzer Wissenstest belegt nicht automatisch dauerhaft sicheres Verhalten. Kritische Rollen benötigen gegebenenfalls praktische Kompetenznachweise.
Wirksamkeit wird zeitversetzt und anhand geeigneter Daten geprüft.
| Prüfaspekt | mögliche Methode | Einschränkung |
|---|---|---|
| Verständnis | Test, Rückfrage oder Fallbeispiel | misst nicht automatisch Verhalten |
| Anwendung | Arbeitsstichprobe oder Beobachtung | Scope und Auswahl dokumentieren |
| Meldefähigkeit | Übung oder simuliertes Ereignis | sichere und faire Durchführung erforderlich |
| Fehlerentwicklung | Trend geeigneter Fehler- oder Vorfalldaten | Dunkelziffer und Meldekultur berücksichtigen |
| Reaktionsfähigkeit | Tabletop oder praktische Übung | Szenario und Kriterien festlegen |
| Regelkonformität | Audit- oder Kontrollstichprobe | Einzelfund nicht durch Gesamtquote verdecken |
Ein Anstieg gemeldeter Ereignisse kann auf bessere Meldekultur statt auf schlechtere Sicherheit hinweisen und wird daher nicht isoliert negativ bewertet.
Mögliche Maßnahmen sind:
Awarenessmaßnahmen werden nicht zur Bloßstellung einzelner Personen genutzt. Ergebnisse werden verhältnismäßig, transparent und unter Beachtung von Datenschutz und Beteiligungsrechten ausgewertet.
Simulationen benötigen vorab:
Individuelle Ergebnisse werden nur genutzt, soweit dies zulässig, erforderlich und vorab geregelt ist. Eine Simulation darf keine unverhältnismäßige Überwachung oder Täuschung erzeugen.
Externe Personen erhalten vor Zugriff oder Zutritt:
Der Dienstleister bleibt für die Qualifikation seines Personals verantwortlich, soweit vertraglich vereinbart. Die Organisation prüft dennoch risikobasiert, ob die geforderten Kompetenzen und Nachweise vorliegen.
Bei Rollen-, Bereichs-, Standort- oder Aufgabenwechsel werden vor Wirksamwerden geprüft:
Nicht mehr benötigte Zugriffe werden entzogen. Neue kritische Zugriffe werden erst nach erforderlicher Freigabe und Qualifizierung aktiviert.
Bei längerer Abwesenheit werden risikobasiert geregelt:
Das Vorgehen wird mit Personalwesen, Führungskraft, IT und betroffenen Rollen abgestimmt.
Offboarding wird so rechtzeitig eingeleitet, dass Zugriffe, Assets und Verpflichtungen kontrolliert behandelt werden.
| Prüfschritt | Verantwortlich | Fälligkeit | Ergebnis/Nachweis |
|---|---|---|---|
| Austritts-/Enddatum und Art der Beendigung bestätigt | Personal/Auftraggeber | [Datum] |
[Referenz] |
| Aufgaben, Informationen und offene Vorgänge übergeben | Führungskraft | [Datum] |
[Übergabe] |
| Benutzer- und Fernzugänge entzogen | IT/System Owner | [Datum/Uhrzeit] |
[Ticket/Protokoll] |
| physische Zutrittsmittel zurückgegeben/gesperrt | Facility | [Datum/Uhrzeit] |
[Nachweis] |
| Geräte, Schlüssel, Token und Unterlagen zurückgegeben | IT/Facility | [Datum] |
[Asset-Referenz] |
| externe Freigaben und Verteiler entfernt | Fachbereich/IT | [Datum] |
[Nachweis] |
| gemeinsame Geheimnisse geändert, soweit betroffen | zuständige Owner | [Datum] |
[geschützter Nachweis] |
| fortgeltende Verpflichtungen erläutert | Personal/Compliance | [Datum] |
[Bestätigung] |
| Aufbewahrung und Löschung personenbezogener Unterlagen geprüft | Personal/Datenschutz | [Datum] |
[Entscheidung] |
| Abschluss auf Vollständigkeit geprüft | Führungskraft/Personal | [Datum] |
[Freigabe] |
Die zeitliche Priorität richtet sich nach Risiko, Art der Beendigung und Zugriffen. Bei erhöhtem Risiko können Zugriffe vor oder unmittelbar mit Bekanntgabe entzogen werden, soweit rechtlich und organisatorisch zulässig.
Nach Ende der Tätigkeit können insbesondere fortgelten:
Umfang und Dauer richten sich nach den anwendbaren gesetzlichen, vertraglichen und kundenspezifischen Anforderungen.
Mögliche Verstöße werden:
ISMS, IT oder Schulungsverantwortliche entscheiden nicht eigenständig über arbeitsrechtliche Sanktionen. Fehlende oder unklare Regeln und organisatorische Ursachen werden neben individuellem Verhalten berücksichtigt.
Ausnahmen von Verpflichtungs-, Schulungs- oder Kompetenzanforderungen:
Gesetzliche, vertragliche und Kundenanforderungen können nicht intern aufgehoben werden. Maßgeblich ist Ausnahmen und Risikoakzeptanzen.
Die folgende Zeile ist eine Ausfüllvorlage und kein Nachweis einer durchgeführten Schulung.
| Schulungs-ID | Thema/Version | Zielgruppe | Pflichtgrund | Termin | Teilnahmestatus | Lernerfolg | Wirksamkeitsstatus | Owner | Nachweis |
|---|---|---|---|---|---|---|---|---|---|
[SCH-JJJJ-NNN] |
[Thema/Version] |
[Rolle/Gruppe] |
[Anforderung] |
[Datum] |
Nicht durchgeführt | Nicht bewertet | Nicht bewertet | [Rolle] |
[geschützter Pfad] |
Personenbezogene Teilnahmen, Testergebnisse, Qualifikationen und Maßnahmen werden nicht im allgemein zugänglichen Wiki geführt. Die Wiki-Seite enthält höchstens aggregierte, freigegebene Angaben und einen Verweis auf die geschützte führende Ablage.
| Nachweis | Mindestinhalt |
|---|---|
| Rollen-/Anforderungsprofil | Aufgaben, Befugnisse, Kompetenz und Schulungsbedarf |
| Eignungsprüfung | Zweck, zulässiger Umfang, Entscheidung und geschützte Ablage |
| Verpflichtung | Version, Inhalt, betroffene Person/Rolle, Datum und Gültigkeit |
| Onboarding | tatsächlich erledigte Schritte, Rollen, Zeitpunkte und Referenzen |
| Schulungsdurchführung | Thema/Version, Zielgruppe, Termin, Methode und schulende Rolle |
| Teilnahme | tatsächliche Person/Rolle, Datum und Abschlussstatus |
| Lernerfolg | Kriterium, Ergebnis, Einschränkung und Folgebedarf |
| Wirksamkeit | Methode, Zeitraum, Daten, Ergebnis und Maßnahmen |
| Rollenwechsel | alte/neue Rolle, Zugriffsänderung, Übergabe und Schulung |
| Offboarding | zeitgerechter Entzug, Rückgabe, Übergabe und Abschlussprüfung |
| Ausnahmen | Risiko, Befugnis, Laufzeit, Bedingungen und Review |
Ein künftiger Termin, eine leere Checkliste oder ein automatisch versandtes Lernmodul ist kein Durchführungsnachweis.
Für Personal- und Schulungsdaten gelten:
Sensible Prüf-, Leistungs-, Gesundheits-, Zuverlässigkeits- oder Verhaltensdaten werden nicht in allgemein sichtbaren Wiki-Seiten veröffentlicht.
| Kennzahl | Berechnung/Quelle | Aussagegrenze |
|---|---|---|
| fristgerechte Grundunterweisungen | fristgerecht abgeschlossene / fällige Grundunterweisungen | Teilnahme belegt nicht automatisch Verständnis |
| rollenbezogene Schulungsabdeckung | qualifizierte Personen / Personen in betroffenen Rollen | Anforderungsprofile müssen aktuell sein |
| überfällige Pflichtschulungen | Anzahl nach bestätigtem Fälligkeitstermin | Termin- und Ausnahmestatus berücksichtigen |
| Lernerfolgsquote | bestandene / gültig bewertete Abschlüsse | Qualität und Schwierigkeit der Prüfung beachten |
| wirksam geprüfte Schulungen | Schulungen mit abgeschlossener Wirksamkeitsprüfung / fällige Prüfungen | Prüfmethode muss geeignet sein |
| Onboarding-Vollständigkeit | vollständig abgeschlossene / fällige Onboardings | Stichprobe auf tatsächliche Qualität nötig |
| Offboarding-Fristtreue | fristgerecht entzogene Zugänge / fällige Austritte | kritische Einzelabweichungen separat berichten |
| wiederkehrende Fehler | Trend definierter sicherheitsrelevanter Fehlhandlungen | Meldekultur und Dunkelziffer berücksichtigen |
Formeln, Scope, Zielwerte und Datenquellen werden vor einer Ampelbewertung freigegeben. Aggregierte Quoten dürfen kritische Einzelfälle nicht verdecken.
| Prüfaspekt | bestätigter Stand |
|---|---|
| freigegebenes Personal- und Schulungsverfahren | 0 nachgewiesen |
| bestätigte Zielgruppen- und Kompetenzmatrix | 0 nachgewiesen |
| freigegebener Schulungsplan | 0 nachgewiesen |
| belastbare Teilnahmequote | nicht erhoben |
| geprüfter Lernerfolg | nicht erhoben |
| nachgewiesene Wirksamkeit | nicht erhoben |
| bestätigte Onboarding-/Offboarding-Stichprobe | nicht erhoben |
| freigegebene KPI-Zielwerte | 0 nachgewiesen |
Diese Angaben beschreiben den Musterstand. Sie sind keine Aussage über ein tatsächliches Unternehmen und kein Nachweis, dass keine Schulungen stattgefunden haben.
Die Seite unterstützt insbesondere:
Für den Reiter „Informationssicherheit“ bleiben alle 46 Kontrollfragen umzusetzen und zu bewerten. Diese Personalseite deckt nur die zugeordneten Aspekte ab und ersetzt weder die vollständige VDA-ISA-Selbsteinschätzung noch praktische Nachweise.
Geprüft werden unter anderem:
Abweichungen werden unter Abweichungen und Korrekturmaßnahmen behandelt.
| Thema | Dokument |
|---|---|
| Sicherheitsrahmen | Informationssicherheitspolitik |
| Rollen und Befugnisse | Rollen und Verantwortlichkeiten |
| Ziele und Kennzahlen | Informationssicherheitsziele |
| Dokumenten- und Nachweislenkung | Dokumentenlenkung |
| Informationsschutz | Informationsklassifizierung |
| zulässige Nutzung und Rückgabe | Zulässige Nutzung von Assets |
| Risiken | Methodik der Risikobewertung |
| Anforderungen | Rechts- und Vertragskataster |
| Sicherheitsereignisse | Meldeweg für Sicherheitsvorfälle |
| TISAX-Bewertung | VDA-ISA-Selbsteinschätzung |
| Korrekturprozess | Abweichungen und Korrekturmaßnahmen |
| Vorlagen | Dokumentenvorlagen |
| Prüffrage | Status Entwurf |
|---|---|
| Sind Personalprozesse, Scope und Zielgruppen bestätigt? | Nein |
| Sind Rollen, Befugnisse und Stellvertretungen festgelegt? | Nein |
| Sind rechtliche, datenschutzrechtliche und Beteiligungsanforderungen geprüft? | Nein |
| Sind Eignungs- und Verpflichtungsregeln operationalisiert? | Nein |
| Sind Onboarding, Rollenwechsel und Offboarding mit IT/Facility verzahnt? | Nein |
| Sind Kompetenzprofile und kritische Rollen bestätigt? | Nein |
| Sind Grund- und Fachschulungen mit Intervallen freigegeben? | Nein |
| Sind Lernerfolgs- und Wirksamkeitsmethoden festgelegt? | Nein |
| Ist eine geschützte Nachweisablage eingerichtet? | Nein |
| Sind externe Personen und Dienstleister einbezogen? | Nein |
| Sind Kennzahlen, Zielwerte und Berichtsturnus freigegeben? | Nein |
| Liegen fachliche Prüfung und Geschäftsführungsfreigabe vor? | Nein |
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 23.07.2026 | Musterverfahren für Personalsicherheit, Kompetenz, Awareness und Schulungen erstellt | ISMS-Beauftragte/r / Personalwesen | Ausstehend | – |
Für dieses Beispiel wird der dokumentierte Arbeitsstand ISA 6.0.3 verwendet. Vor der Freigabe sind die tatsächlich anzuwendende ISA-Version, der ISMS- und Assessment-Scope sowie alle Beschäftigungs-, Datenschutz-, Beteiligungs-, Kunden- und Vertragsanforderungen zu bestätigen.