¶ ISO 27001 Kapitel 8 – Betrieb
Muster-Wiki / Entwurf: Zusammenfassung in eigenen Worten; maßgeblich bleibt die lizenzierte Norm.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokument-ID | ISMS-ISO-08 |
| Wiki.js-Pfad | /ISMS/10-ISO-27001-2022/08-Betrieb |
| Version / Stand | 1.0 / 09.08.2026 |
| Status / Freigabe | Entwurf / Ausstehend |
| Verantwortlich | Prozess-, Risiko- und Maßnahmenverantwortliche |
¶ Zweck des Kapitels
Kapitel 8 überführt die Planung in den kontrollierten Betrieb. Prozesse müssen nach festgelegten Kriterien durchgeführt, Änderungen beherrscht und ausgelagerte Leistungen gesteuert werden. Risikobewertungen und Behandlungspläne sind nicht einmalige Projektunterlagen, sondern werden bei geplanten Intervallen und wesentlichen Änderungen aktualisiert.
¶ Unterkapitel
| Abschnitt | Operativer Auftrag | Nachweisbeispiele |
|---|---|---|
| 8.1 Betriebliche Planung und Steuerung | Kriterien festlegen, Prozesse steuern, Änderungen kontrollieren und ausgelagerte Prozesse beherrschen | Tickets, Freigaben, Betriebsprotokolle, Lieferantenkontrollen, Change-Nachweise |
| 8.2 Risikobewertung | Bewertungen planmäßig und bei wesentlichen Veränderungen durchführen | aktualisierte Bewertungen, Änderungsanlass, Version und Freigabe |
| 8.3 Risikobehandlung | Behandlungsplan umsetzen und Ergebnisse dokumentieren | Maßnahmenstatus, Abnahme, Wirksamkeitsprüfung und Restrisikoentscheidung |
¶ Ereignisse für eine Neubewertung
- neue oder wesentlich geänderte Geschäftsprozesse und Systeme,
- neue Standorte, Cloud-Dienste oder kritische Lieferanten,
- Sicherheitsvorfälle, Schwachstellen oder relevante Bedrohungsinformationen,
- wesentliche rechtliche oder vertragliche Änderungen,
- veränderte Schutzbedarfe, Datenflüsse oder Abhängigkeiten,
- Feststellungen aus Audits, Tests oder Managementbewertungen.
¶ Typische Nachweise
- IT-Betrieb und Änderungen
- Lieferanten und Dienstleister
- Risikoregister
- Risikobehandlungsplan
- Maßnahmen- und Umsetzungsregister
¶ Qualitätskontrollen
- Für operative Kontrollen sind Soll, Verantwortliche, Frequenz und Nachweis festgelegt.
- Änderungen werden vor Umsetzung auf Sicherheitsauswirkungen geprüft.
- Überfällige oder unwirksame Maßnahmen werden eskaliert.
- Der Umsetzungsabschluss beruht auf geprüften Ergebnissen, nicht nur auf einer Statusmeldung.
- Restrisiken werden nach der Umsetzung neu bewertet und formal behandelt.
¶ Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 1.0 | 09.08.2026 | Arbeitsseite zu Kapitel 8 erstellt | Ausstehend |