Grundregel: Informationen dürfen nur für einen bestätigten Zweck, an eindeutig berechtigte Empfänger und über einen für Schutzklasse und Risiko freigegebenen Übertragungsweg weitergegeben werden.
Kein Umsetzungsnachweis: Diese Seite beschreibt das Sollverfahren der „Muster GmbH“. Sie belegt weder, dass die genannten Kanäle technisch eingerichtet oder sicher konfiguriert sind, noch dass Übertragungen protokolliert, geprüft oder wirksam vor Fehlversand und Datenabfluss geschützt werden.
TISAX-Hinweis: Im Reiter „Informationssicherheit“ der ISA-Selbsteinschätzung sind alle 46 Fragen umzusetzen und zu bewerten. Einzelne Fragen werden nicht wie Controls in einer ISO-27001-SoA als „nicht anwendbar“ ausgeschlossen.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-MA-04-10 |
| Dokumentenart | Richtlinie und Verfahren zur Informationsübertragung |
| Wiki.js-Pfad | /ISMS/04-Sicherheitsregelungen/Informationsuebertragung |
| Verantwortlich | ISMS-Verantwortliche/r und IT-Leitung |
| Fachlich geprüft durch | Information Owner, Datenschutz, Recht/Compliance, IT, Einkauf und TISAX-Koordination |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Kanalbestand, technische Konfiguration, Freigaben und Wirksamkeit nicht bestätigt |
| Version | 0.1 |
| Stand | 23.07.2026 |
| Nächste Prüfung | Mindestens jährlich sowie bei neuen Kanälen, Vorfällen, Vertragsänderungen oder wesentlichen technischen Änderungen |
| Schutzklasse | Intern |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Annex A 5.12 bis 5.14, 5.19 bis 5.23, 6.3, 7.10, 8.12, 8.15 und 8.24 |
| VDA-ISA-Bezug | ISA 6.0.3, Informationssicherheit – alle 46 Fragen; insbesondere Asset Management, Lieferantenbeziehungen, Kryptografie und Betriebssicherheit |
Diese Regelung legt fest:
Ziel ist, Vertraulichkeit, Integrität, Authentizität und – soweit erforderlich – Verfügbarkeit und Nachweisbarkeit während der Übertragung zu schützen.
Die Regelung gilt innerhalb des festgelegten ISMS-Geltungsbereichs für:
Erfasst werden insbesondere:
Diese Seite steuert die konkrete Übertragung. Sie ersetzt nicht:
Bei Abweichungen gilt die strengste bestätigte Rechts-, Vertrags-, Kunden- oder interne Schutzanforderung.
| Begriff | Bedeutung |
|---|---|
| Übertragung | Weitergabe oder Bereitstellung von Informationen zwischen Personen, Organisationen, Standorten, Geräten oder Systemen |
| Kanal | technischer, physischer oder mündlicher Übertragungsweg |
| Sender | Person, Rolle oder System, das eine Übertragung auslöst |
| Empfänger | eindeutig bestimmte und berechtigte Person, Rolle, Organisation oder Systeminstanz |
| Information Owner | fachlich verantwortliche Rolle für Schutzklasse, Empfängerkreis und zulässige Nutzung |
| Kanal-Owner | Rolle, die Eignung, Konfiguration, Betrieb und Review eines Übertragungswegs verantwortet |
| Externe Übertragung | Übertragung außerhalb der kontrollierten Organisationseinheit oder an Dritte |
| Freigabelink | adressierte oder öffentlich erreichbare Referenz auf gespeicherte Informationen |
| Massendaten | Datenmenge, deren Umfang oder Kombination das Risiko gegenüber Einzeldaten wesentlich erhöht |
| Fehlübertragung | Versand, Freigabe oder Bereitstellung an falsche, zu viele oder nicht mehr berechtigte Empfänger |
| Datenabfluss | unzulässige oder unbeabsichtigte Offenlegung oder Ausleitung von Informationen |
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Regelung, wesentliche Risiken, Ressourcen und Ausnahmen mit hoher Tragweite freigeben |
| ISMS-Verantwortung | Verfahren koordinieren, Kontrollplan führen, Abweichungen und Kennzahlen überwachen |
| Information Owner | Zweck, Empfänger, Umfang, Schutzklasse, Freigabe- und Nachweisanforderungen festlegen |
| Sender | Prüfschritte ausführen, richtigen Kanal nutzen, Empfänger kontrollieren und Nachweise erzeugen |
| Kanal-/System Owner | Kanal bewerten, sicher konfigurieren, freigeben, überwachen und außer Betrieb nehmen |
| IT-Betrieb | technische Schutzmaßnahmen, Protokollierung, Sperrung, Widerruf und Wiederherstellung betreiben |
| Datenschutz | Datenschutzanforderungen, Datenminimierung, Empfänger und gegebenenfalls Drittlandbezug prüfen |
| Recht/Compliance | Vertrags-, Geheimhaltungs-, Export-, Aufbewahrungs- und Beweisanforderungen prüfen |
| Einkauf/Lieferantenmanagement | Übertragungsanforderungen vertraglich auf Dienstleister und Unterauftragnehmer übertragen |
| TISAX-/Kundenkoordination | Kunden-, Prototypen- und Assessmentanforderungen abstimmen |
| Empfangende | Informationen zweckgebunden nutzen, schützen und Fehlzustellungen unverzüglich melden |
Die konkrete Rollenbesetzung wird in Rollen und Verantwortlichkeiten bestätigt.
Bedarf
-> Zweck und Information bestimmen
-> Klasse, Menge und Anforderungen prüfen
-> Empfänger und Berechtigung verifizieren
-> zugelassenen Kanal und Schutzmaßnahmen wählen
-> erforderliche Freigabe einholen
-> übertragen und Ergebnis kontrollieren
-> Empfang, Protokoll und gegebenenfalls Löschung nachweisen
-> wiederkehrende Übertragung regelmäßig überprüfen
Jeder Schritt kann eine Übertragung stoppen. Eine fachliche Freigabe hebt technische, rechtliche oder vertragliche Ausschlussgründe nicht auf.
Wesentliche, externe, automatisierte, wiederkehrende oder besonders schutzbedürftige Übertragungen werden als Informationsfluss dokumentiert.
| Feld | Inhalt |
|---|---|
| Übertragungs-/Flow-ID | eindeutige Referenz |
| Quelle | Organisationseinheit, Person, System oder Standort |
| Empfänger | Person, Organisation, System und gegebenenfalls Land |
| Information | Inhalt, Kategorie, Menge und Format |
| Schutzklasse/Zusatzkennzeichen | Öffentlich, Intern, Vertraulich, Streng vertraulich; z. B. Personenbezug oder Prototyp |
| Zweck/Rechtsgrund | bestätigter Geschäfts-, Rechts-, Vertrags- oder Projektzweck |
| Kanal | freigegebener Übertragungsweg und Kanal-ID |
| Schutzmaßnahmen | Zugriff, Verschlüsselung, Freigabe, Ablauf, Protokollierung |
| Owner | Information Owner, Prozess- und Kanal-Owner |
| Häufigkeit | einmalig, ereignisbezogen, periodisch oder kontinuierlich |
| Nachweis | Freigabe, Protokoll, Empfang, Abgleich oder Löschung |
| Review | Datum, Auslöser und Ergebnis |
| Status | geplant, freigegeben, aktiv, gesperrt oder beendet |
Die Informationsflüsse werden mit Prozesslandkarte, Asset-Inventar und Lieferantenregister abgestimmt.
Ein Kanal darf erst genutzt werden, wenn seine tatsächliche Eignung geprüft und dokumentiert wurde.
| Prüffeld | Mindestinhalt |
|---|---|
| Kanal-ID und Bezeichnung | eindeutiger Dienst, Produkt, Prozess oder physischer Weg |
| Betreiber und Verantwortliche | interner Owner, Anbieter und Supportweg |
| zulässige Nutzer/Empfänger | Rollen, externe Gruppen, Mandanten und Länder |
| zulässige Informationsklassen | je Klasse und Zusatzkennzeichen |
| Authentisierung/Zugriff | Konten, MFA, Empfängerbindung und Rollen |
| Transport-/Inhaltsverschlüsselung | eingesetztes Verfahren und technische Referenz |
| Freigabelinks | Ablauf, Kennwort, Download, Weitergabe und Widerruf |
| Protokollierung | Ereignisse, Aufbewahrung, Zugriff und Auswertung |
| Datenschutz/Vertrag | Auftragsverarbeitung, Unterauftragnehmer, Speicherorte und Löschung |
| Ausfallszenario | Ersatzweg, Notbetrieb und Wiederanlauf |
| technische Tests | Konfiguration, Fehlversand, Sperre, Widerruf und Wiederherstellung |
| Status | Entwurf, freigegeben, eingeschränkt, gesperrt oder außer Betrieb |
| Freigabe/Review | Entscheider, Datum, Bedingungen und nächster Review |
Eine bloße Beschaffung, Lizenz oder technische Verfügbarkeit bedeutet keine Freigabe.
Vor der Übertragung beantwortet der Sender mindestens:
| Prüffrage | Erwartung |
|---|---|
| Ist der Zweck bestätigt? | Übertragung ist für Aufgabe, Vertrag oder Prozess erforderlich |
| Ist der Inhalt erforderlich? | Datenminimierung; unnötige Dateien, Spalten und Anhänge entfernt |
| Ist die Schutzklasse bekannt? | Kennzeichnung und Zusatzanforderungen geprüft |
| Ist der Empfänger eindeutig? | Name, Organisation, Adresse, Konto oder Systeminstanz verifiziert |
| Ist der Empfänger berechtigt? | Need-to-know, Vertrag, NDA und aktuelle Rolle bestätigt |
| Ist der Kanal zugelassen? | Klasse, Empfängerart, Region und Datenart abgedeckt |
| Sind Schutzmaßnahmen aktiv? | Zugriff, Verschlüsselung, Ablauf und Weitergabesperre geprüft |
| Ist eine Freigabe erforderlich? | Owner, Datenschutz, Recht, Kunde oder Vier-Augen-Prüfung einbezogen |
| Ist der Inhalt technisch sicher? | Malware, Archivinhalt, Metadaten und Dateiformat geprüft |
| Ist Nachweis erforderlich? | Protokoll, Empfangsbestätigung, Prüfsumme oder Übergabeprotokoll vorgesehen |
| Ist Löschung/Widerruf geregelt? | Ablauf, Rückgabe, Linkwiderruf und Empfängerlöschung festgelegt |
Bei negativer oder ungeklärter Antwort wird nicht übertragen, bis die Anforderung geklärt ist.
| Klasse | Grundregel für Übertragung |
|---|---|
| Öffentlich | nur nach dokumentierter Veröffentlichungsfreigabe; Integrität und Rechte weiterhin prüfen |
| Intern | nur an betriebliche oder vertraglich berechtigte Empfänger über freigegebene Kanäle |
| Vertraulich | namentlich oder rollenbezogen beschränkte Empfänger, geeignete Verschlüsselung, kontrollierte Freigabe und Nachweis nach Risiko |
| Streng vertraulich | kleinster Empfängerkreis, ausdrückliche Owner-Freigabe, starke Zugriffskontrolle, angemessene Verschlüsselung, befristete Bereitstellung und erhöhte Nachweisführung |
Die konkrete Kanalmatrix wird nach Bestandsaufnahme freigegeben. Bis dahin dürfen aus dieser Mustertabelle keine technischen Freigaben abgeleitet werden.
Vor dem Absenden oder Freigeben wird geprüft:
An, CC, BCC, „Allen antworten“ und weitergeleitete Gesprächsverläufe,Für streng vertrauliche Informationen, Massendaten oder ungewöhnliche externe Ziele wird eine vom ersten Prüfer unabhängige Kontrolle vorgesehen. Die verbindlichen Schwellenwerte sind vor Freigabe dieser Richtlinie festzulegen.
Auch interne Übertragungen benötigen Zweck, Berechtigung und geeigneten Kanal.
Vor externer Übertragung werden zusätzlich geprüft:
Neue Empfänger oder neue Übertragungsarten werden nicht allein aufgrund einer E-Mail-Anforderung freigegeben.
Für E-Mail gelten mindestens folgende Regeln:
Technische E-Mail-Schutzmaßnahmen und ihre Wirksamkeit sind im Kanalkatalog nachzuweisen.
Bei Dateiübertragungsdiensten werden mindestens vorgesehen:
„Jeder mit dem Link“-Freigaben sind für Informationen ab Intern grundsätzlich nicht zulässig. Abweichungen bedürfen einer dokumentierten, risikobasierten Freigabe.
Bei Kollaborationsplattformen gilt:
Ein Link ist keine Schutzmaßnahme, wenn er ohne angemessene Identitätsprüfung weitergegeben werden kann.
System-zu-System-Übertragungen benötigen:
Produktivdaten werden nicht ohne Bewertung in Test- oder Entwicklungsumgebungen übertragen.
Vor und während Besprechungen werden berücksichtigt:
Physische Übertragungen werden nach Risiko geschützt durch:
Übertragungen auf Wechselmedien sind nur zulässig, wenn:
Nicht bekannte, private oder gefundene Datenträger werden nicht angeschlossen.
Bei Übertragungen aus mobilen oder externen Arbeitsumgebungen gelten zusätzlich:
Einzelheiten regelt Mobile Arbeit und Cloud.
| Informationsart | zusätzliche Prüfung |
|---|---|
| personenbezogene Daten | Zweck, Rechtsgrundlage, Empfänger, Minimierung, Löschung und gegebenenfalls Drittlandtransfer |
| besondere Kategorien personenbezogener Daten | erhöhtes Risiko, enger Empfängerkreis und zusätzliche Schutzmaßnahmen |
| Kundeninformationen | Vertrag, NDA, Kundenklassifizierung, zulässige Systeme und Weitergabeverbot |
| Prototypeninformationen | Projektfreigabe, Sichtschutz, Empfängerliste, Foto-/Aufzeichnungsregeln und Transport |
| Export- oder sanktionsrelevante Informationen | Güter-/Technologiebezug, Empfänger, Land, Genehmigung und Endverwendung |
| Schlüssel, Secrets und Zugangsdaten | getrennter Übertragungsweg, minimale Sichtbarkeit, Rotation und Kompromittierungsverfahren |
| Sicherheits- und Vorfallsdaten | Need-to-know, Quellenschutz, Integrität und kontrollierte Weitergabe |
| Massendaten | Aggregationsrisiko, Vier-Augen-Prüfung, technische Kontrollen und Empfangsabgleich |
Die Tabelle ist ein Prüfauslöser und keine Bestätigung der rechtlichen Zulässigkeit.
Die Auswahl konkreter Algorithmen, Protokolle, Schlüssellängen und Zertifikate erfolgt nach Kryptografie und Schlüssel und aktueller technischer Bewertung.
Mindestens wird geprüft:
Eine angezeigte Schlossfunktion oder Transportverschlüsselung allein bestätigt nicht, dass Empfänger, Endgerät, Plattform und gespeicherte Kopien ausreichend geschützt sind.
Kennwörter, Entschlüsselungscodes oder Schlüssel:
Abhängig vom Risiko werden eingesetzt:
Eine automatische Zustellbestätigung beweist nicht zwingend, dass die richtige berechtigte Person den korrekten Inhalt erhalten und vollständig verarbeitet hat.
Organisatorische und technische Kontrollen können umfassen:
DLP- oder vergleichbare Funktionen werden erst als umgesetzt bewertet, wenn Abdeckung, Regeln, Ausnahmen, Datenschutz, Fehlalarme, Umgehungsmöglichkeiten, Betrieb und Wirksamkeit nachgewiesen sind.
Vor Übertragung werden nach Risiko geprüft:
Eine bloße Dateiendung gilt nicht als verlässliche Format- oder Inhaltsprüfung.
Vor betroffenen Übertragungen werden die Einträge im Rechts- und Vertragskataster berücksichtigt.
Zu prüfen sind insbesondere:
Die tatsächliche Zulässigkeit wird anhand des konkreten Empfängers, Landes, Inhalts und Vertrags geprüft; diese Musterrichtlinie ersetzt keine Einzelfallbewertung.
Vereinbarungen über Informationsübertragung legen, soweit relevant, fest:
Abweichende Verfahren des Dritten werden vor Nutzung bewertet und freigegeben.
Wiederkehrende Flows werden mindestens bei Einrichtung, Änderung und periodischem Review geprüft auf:
Ein einmal freigegebener Flow bleibt nicht unbegrenzt freigegeben.
Ein Ersatzweg darf nur genutzt werden, wenn:
Der Ersatzweg wird nicht ohne reguläre Freigabe zum Dauerverfahren.
Bei Abbruch, Fehler oder unklarer Zustellung:
Bei Fehlversand, falschem Link, falscher Berechtigung oder ungewollter Offenlegung:
Eine Rückrufschaltfläche oder Löschbestätigung allein beweist nicht, dass keine Kenntnisnahme oder Kopie erfolgt ist.
Je nach Risiko enthält der Nachweis:
| Feld | Beispielinhalt |
|---|---|
| Referenz | Übertragungs-, Prozess-, Ticket- oder Projekt-ID |
| Zeitpunkt | Versand, Freigabe, Zugriff, Empfang und Widerruf |
| Beteiligte | Sender, Empfänger, prüfende und freigebende Rolle |
| Information | Beschreibung, Schutzklasse, Menge und Version |
| Zweck | Geschäftsvorgang, Vertrag oder Rechtsanforderung |
| Kanal | Kanal-ID, Zielsystem und gegebenenfalls Transportdienstleister |
| Schutz | Verschlüsselung, Empfängerbindung, Ablauf, Prüfsumme oder Verpackung |
| Ergebnis | erfolgreich, teilweise, abgebrochen, widerrufen oder fehlgeleitet |
| Empfang | Bestätigung, Download, fachlicher Abgleich oder Übergabe |
| Abschluss | Löschung, Rückgabe, Linkwiderruf oder Aufbewahrungsreferenz |
Protokolle werden vor unberechtigter Einsicht und Veränderung geschützt. Sie dürfen nicht unnötig vollständige Inhaltskopien oder Geheimnisse enthalten.
Vor Einführung oder wesentlicher Änderung werden durchgeführt:
Bei Außerbetriebnahme werden Daten, Links, Konten, Schlüssel, Schnittstellen, Verträge und Nachweise kontrolliert übertragen, archiviert, widerrufen oder gelöscht.
Ausnahmen werden nach Ausnahmen und Risikoakzeptanzen behandelt und enthalten mindestens:
Eine Ausnahme darf keine zwingende gesetzliche, behördliche oder eindeutig entgegenstehende vertragliche Anforderung außer Kraft setzen.
Die Regelung unterstützt insbesondere:
| Referenz | Zusammenhang |
|---|---|
| RIS-2026-005 | Fehlversand oder falsche Freigabe vertraulicher Kunden- oder Personaldaten |
| M-005 | Schutz externer Übertragungen und sensibler Freigaben stärken |
| AP-04 | sichere Übertragung, Freigabe, Verschlüsselung und Verlustbehandlung |
Die in Risikoregister und Risikobehandlungsplan geführte Maßnahme M-005 bleibt offen, bis Prozess, Technik und Wirksamkeit nachgewiesen sind. Dieses Dokument allein schließt die Maßnahme nicht.
| Kontrolle | mögliche Stichprobe/Nachweis | Frequenz |
|---|---|---|
| Kanalkatalog | Freigabe, Owner, Klassen, Länder, Schutz und Review vollständig | mindestens jährlich und bei Änderung |
| externe Freigaben | Empfängerbindung, Ablauf, Rechte und Widerruf prüfen | risikobasiert, mindestens stichprobenartig |
| Warnungen, Verschlüsselung, Weiterleitung und Fehlversandprozess testen | risikobasiert | |
| automatisierte Flows | Authentisierung, Verschlüsselung, Abgleich, Fehler und Protokolle prüfen | mindestens jährlich und bei Änderung |
| Wechselmedien | Bestand, Verschlüsselung, Übergabe und Löschung prüfen | mindestens jährlich |
| physischer Versand | Verpackung, Sendungsverfolgung, Empfang und Verlustweg prüfen | stichprobenartig |
| Fehlversand | Widerruf, Meldung, Bewertung und Korrekturmaßnahme nachvollziehen | je Ereignis |
| DLP/Freigabeschutz | Abdeckung, Testfälle, Alarme, Fehlalarme und Umgehung bewerten | nach Einführung und regelmäßig |
| Berechtigungsende | Links, Gäste, Konten und Flows bei Offboarding/Projektende prüfen | je Ereignis und stichprobenartig |
Prüfergebnisse werden mit Abweichung, Ursache, Maßnahme, Verantwortlichen und Termin dokumentiert.
| Kennzahl | Definition | Zielwert im Entwurf |
|---|---|---|
| freigegebene Kanäle mit aktuellem Review | aktuelle Kanäle / genutzte Kanäle | Zielwert festzulegen |
| dokumentierte wesentliche Informationsflüsse | dokumentierte / identifizierte wesentliche Flows | Zielwert festzulegen |
| externe Freigaben mit Ablaufdatum | Freigaben mit Ablauf / geprüfte externe Freigaben | Zielwert festzulegen |
| fristgerecht widerrufene Berechtigungen | fristgerecht widerrufen / fällige Widerrufe | Zielwert festzulegen |
| Fehlübertragungen | bestätigte Ereignisse nach Klasse und Ursache | Trend und Schwelle festzulegen |
| rechtzeitig gemeldete Fehlübertragungen | innerhalb Meldefrist / bestätigte Ereignisse | Meldefrist und Zielwert festzulegen |
| wirksam abgeschlossene M-005-Prüfungen | bestandene Prüfschritte / geplante Prüfschritte | 100 % vor Maßnahmenabschluss |
Fehlende Vorfallmeldungen werden nicht automatisch als Fehlerfreiheit interpretiert. Zielwerte, Datenquellen und Owner sind vor Freigabe verbindlich festzulegen.
Betroffene Personen werden rollenbezogen geschult zu:
Personen mit System-, Freigabe- oder Administrationsrollen erhalten vertiefte Schulungen und praktische Tests.
| ISO/IEC-27001:2022-Control | Beitrag dieser Seite |
|---|---|
| A.5.12 Klassifizierung von Informationen | Auswahl der Schutzmaßnahmen nach Klasse |
| A.5.13 Kennzeichnung von Informationen | Erhalt und Prüfung der Kennzeichnung |
| A.5.14 Informationsübertragung | Regeln, Verfahren, Vereinbarungen und Schutz für alle Übertragungsarten |
| A.5.19 bis A.5.23 Lieferanten und Cloud | externe Empfänger, Verträge, Dienste, Änderungen und Exit |
| A.6.3 Sensibilisierung | Schulung zu Fehlversand und sicherer Übertragung |
| A.7.10 Speichermedien | Übergabe und Schutz physischer Medien |
| A.8.12 Verhinderung von Datenabfluss | organisatorische und technische Prävention, Erkennung und Reaktion |
| A.8.15 Protokollierung | risikobasierte Übertragungs- und Zugriffsprotokolle |
| A.8.24 Kryptografie | Verschlüsselung, Integrität, Authentizität und Schlüsselübergabe |
Die verbindliche Anwendbarkeit und der Umsetzungsstatus werden ausschließlich im Statement of Applicability geführt. Ein Verweis auf diese Seite ist kein Nachweis für Implementierung oder Wirksamkeit.
Diese Regelung liefert mögliche Nachweise für mehrere Fragen der Informationssicherheit, insbesondere zu:
Verbindliche Regeln:
Die Bewertung erfolgt in VDA-ISA-Selbsteinschätzung und Maßnahmenplan und Reifegrad.
| Prüfaspekt | Status am 23.07.2026 |
|---|---|
| Sollregelung erstellt | Ja, als Entwurf |
| vollständiger Kanalbestand | Nicht nachgewiesen |
| freigegebene Kanalmatrix | Nicht nachgewiesen |
| Informationsflussregister | Nicht nachgewiesen |
| technische Konfigurationen | Nicht geprüft |
| Verträge und Länderbezüge | Nicht vollständig geprüft |
| DLP-/Fehlversandschutz | Nicht nachgewiesen |
| Protokollierung und Aufbewahrung | Nicht nachgewiesen |
| praktische Wirksamkeitstests | Nicht durchgeführt/nicht belegt |
| M-005 abgeschlossen | Nein, offen |
| fachliche Prüfung | Ausstehend |
| Geschäftsführungsfreigabe | Ausstehend |
| 46 ISA-Informationssicherheitsfragen bewertet | Nein; 0 von 46 |
| Prüffrage | Status Entwurf |
|---|---|
| Ist die Richtlinie widerspruchsfrei zur Informationsklassifizierung? | Inhaltlich abgestimmt; fachlich noch zu prüfen |
| Sind alle Kanäle und Informationsflüsse vollständig? | Nein |
| Sind Kanalzulassungen technisch und vertraglich nachgewiesen? | Nein |
| Sind Empfängerprüfung und Vier-Augen-Schwellen verbindlich? | Nein |
| Sind Verschlüsselungsanforderungen technisch konkretisiert? | Verweis vorhanden; reale Umsetzung offen |
| Sind Widerruf, Löschung und Empfang praktisch getestet? | Nein |
| Sind Datenschutz-, Kunden-, Prototypen- und Exportvorgaben bestätigt? | Nicht vollständig |
| Sind Nachweise und Kennzahlen operationalisiert? | Nein |
| Ist M-005 wirksam abgeschlossen? | Nein |
| Sind alle 46 ISA-Informationssicherheitsfragen bewertet? | Nein; 0 von 46 |
| Liegen fachliche Prüfung und Geschäftsführungsfreigabe vor? | Nein |
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 23.07.2026 | Regelung für digitale, physische, mündliche und automatisierte Informationsübertragungen angelegt | ISMS / IT | Ausstehend | – |
| Funktion | Name | Entscheidung | Datum |
|---|---|---|---|
| ISMS-Verantwortung | – | Fachliche Prüfung ausstehend | – |
| IT-Leitung | – | Technische Prüfung ausstehend | – |
| Datenschutz / Recht / Compliance | – | Anforderungsprüfung ausstehend | – |
| Geschäftsführung | – | Freigabe ausstehend | – |
Normtexte, VDA-ISA, Rechtsquellen, Kundenverträge und aktuelle technische Empfehlungen sind in ihrer jeweils gültigen Fassung separat zu prüfen. Diese Seite gibt keine Norm, Rechtsquelle oder vertragliche Vorgabe vollständig wieder.