¶ ISO 27001 Kapitel 6 – Planung
Muster-Wiki / Entwurf: Zusammenfassung in eigenen Worten; maßgeblich bleibt die lizenzierte Norm.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokument-ID | ISMS-ISO-06 |
| Wiki.js-Pfad | /ISMS/10-ISO-27001-2022/06-Planung |
| Version / Stand | 1.0 / 09.08.2026 |
| Status / Freigabe | Entwurf / Ausstehend |
| Verantwortlich | ISMS-Beauftragte/r und Risikoverantwortliche |
¶ Zweck des Kapitels
Kapitel 6 übersetzt Kontext und Anforderungen in ein steuerbares Risikomodell, konkrete Behandlungsentscheidungen und messbare Informationssicherheitsziele. Bewertungsmaßstäbe müssen vor der Bewertung festgelegt werden, damit Ergebnisse nachvollziehbar und wiederholbar sind.
¶ Unterkapitel
| Abschnitt | Inhalt | Zentrales Ergebnis |
|---|---|---|
| 6.1.1 Allgemeines | Risiken und Chancen des Managementsystems bestimmen und Maßnahmen planen | Plan zur Vermeidung unerwünschter Wirkungen und Förderung von Verbesserungen |
| 6.1.2 Risikobewertung | Kriterien, Identifikation, Analyse, Bewertung und Verantwortlichkeit festlegen | freigegebene Methodik und priorisiertes Risikoregister |
| 6.1.3 Risikobehandlung | Behandlungsoptionen und notwendige Maßnahmen bestimmen, mit Annex A vergleichen und Restrisiko akzeptieren | Risikobehandlungsplan und Statement of Applicability |
| 6.2 Sicherheitsziele | Ziele auf Funktionen und Ebenen herunterbrechen sowie Messung, Ressourcen und Termine bestimmen | Zielregister mit Kennzahlen und Verantwortlichen |
| 6.3 Änderungen planen | Änderungen am ISMS kontrolliert vorbereiten und Auswirkungen berücksichtigen | dokumentierter Änderungsauftrag mit Prüf- und Freigabepunkten |
¶ Entscheidungslogik
Ein Risiko wird nicht allein durch eine Zahl gesteuert. Zu dokumentieren sind mindestens Risikoquelle, betroffenes Asset oder Prozess, mögliches Ereignis, Auswirkung, bestehende Maßnahmen, Eintrittswahrscheinlichkeit, Schadensausmaß, Risikoeigentümer und Entscheidung. Behandlung kann durch Vermeidung, Veränderung, Übertragung oder bewusste Akzeptanz erfolgen. Die Akzeptanz muss innerhalb festgelegter Befugnisse liegen.
¶ Typische Nachweise
- Methodik Risikobewertung
- Risikoregister
- Risikobehandlungsplan
- Statement of Applicability
- Ausnahmen und Risikoakzeptanzen
- Informationssicherheitsziele
¶ Qualitätskontrollen
- Bewertungskriterien sind vor der Einzelbewertung freigegeben.
- Risiken besitzen Eigentümer, Termin und nachvollziehbare Begründungen.
- Behandlung, SoA und Maßnahmenregister widersprechen sich nicht.
- Restrisiken werden erst nach Prüfung der geplanten Maßnahmen akzeptiert.
- Ziele enthalten Ausgangswert, Zielwert, Messmethode, Termin und Eskalationsregel.
¶ Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 1.0 | 09.08.2026 | Arbeitsseite zu Kapitel 6 erstellt | Ausstehend |