¶ ISMS-Startseite
Status des Beispiel-Wikis: Die vorhandenen Seiten sind Musterentwürfe für die fiktive „Muster GmbH“. Im aktuellen Dokumentenbestand ist keine formale Freigabe nachgewiesen. Inhalte, Rollen, Termine, Bewertungen und Nachweise müssen vor der betrieblichen Nutzung organisationsbezogen geprüft werden.
Verbindlichkeitsregel: Nur fachlich geprüfte, formal freigegebene, gültige und eindeutig versionierte Dokumente sind verbindlich. Ein Wiki.js-Seitenstatus oder eine technische Veröffentlichung ersetzt keinen Freigabenachweis.
TISAX-Regel: Alle 46 Kontrollfragen des ISA-Reiters „Informationssicherheit“ werden umgesetzt und bewertet. Es gibt keine individuelle Auswahl „anwendbar/nicht anwendbar“ wie in der ISO-Statement-of-Applicability.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-WIKI-START |
| Dokumentenart | Start- und Navigationsseite |
| Wiki.js-Pfad | /ISMS/00-Start-und-Navigation/ISMS-Startseite |
| Verantwortlich | ISMS-Beauftragte/r |
| Fachlich geprüft durch | Dokumenten-Owner, Qualitätsmanagement, TISAX-Koordination und Wiki.js-Administration |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Wiki-Inhalte und Freigabeworkflow nicht operationalisiert |
| Version | 3.0 |
| Stand | 10.08.2026 |
| Gültig ab | Nach Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Intern |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 4 bis 10 und Annex A |
| VDA-ISA-Bezug | ISA 6.0.3; Navigation zu den betroffenen Kontrollfragen und Nachweisen |
Übersicht zu ISMS-Startseite: Orientierung, Schnellzugriff sowie Status und Nachweise. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ Zur Entstehung dieses Wikis
Dieses Muster-Wiki ist in einer besonderen persönlichen Phase entstanden. Nach einem Hüftbruch war ich rund ein Vierteljahr auf Krücken angewiesen. Die dadurch verfügbare Zeit habe ich genutzt, die Texte, Strukturen, Verknüpfungen und technischen Bausteine für das Wiki systematisch in Markdown auszuarbeiten. Die vorbereiteten Seiten werden nun Schritt für Schritt in Wiki.js hochgeladen, geprüft und miteinander verknüpft.
Die im Wiki eingesetzten Vektorgrafiken liegen im skalierbaren SVG-Format vor und wurden mit Adobe Illustrator bearbeitet. Sie sind für eine responsive Darstellung vorgesehen und können über die jeweilige Bildverknüpfung separat vergrößert geöffnet werden.
¶ Individuell anpassbares Managementsystem-Wiki
Dieses Wiki für ISO/IEC 27001 und TISAX® ist ein Muster-Wiki. Inhalte, Aufbau und Dokumentation werden an die Größe, Branche, Organisation und individuellen Anforderungen des jeweiligen Unternehmens angepasst.
Das Wiki kann um weitere Managementsystemnormen wie ISO 9001 oder ISO 14001 sowie um branchenspezifische Regelwerke wie IATF 16949 für die Automobilindustrie ergänzt werden.
Neukunden, die wir bei der Einführung von ISO/IEC 27001 und/oder TISAX® unterstützen, bieten wir optional an, ihre Managementsystem-Dokumentation in einem unternehmenseigenen Wiki aufzubauen und zu pflegen.
E-Learning für Kunden: Über das QM-4U-Portal können freigeschaltete Kunden praxisnahe Online-Kurse zu Awareness, Informationssicherheit, Datenschutz, Cybersecurity, KI und Managementsystemen nutzen. Das Angebot wird sukzessive weiter ausgebaut.
Zur Notfallvorsorge werden Richtlinien, Verfahrensanweisungen, Formulare und weitere relevante Nachweise zusätzlich außerhalb des Wikis in einer geeigneten digitalen Ablagestruktur vorgehalten. Für ein TISAX®-Assessment werden die erforderlichen Dokumente und Nachweise außerdem in einer abgestimmten Ordnerstruktur bereitgestellt.
Sie möchten ISO/IEC 27001 oder TISAX® in Ihrem Unternehmen einführen?
¶ 1. Willkommen im ISMS-Wiki
Dieses Wiki ist die zentrale Informations- und Navigationsstelle für das Informationssicherheitsmanagementsystem (ISMS). Es verbindet:
- ISO/IEC 27001 und das Statement of Applicability,
- die VDA-ISA-Selbsteinschätzung und TISAX-Vorbereitung,
- interne Leitlinien, Richtlinien und Verfahren,
- Register, Pläne, Berichte und Vorlagen,
- Verweise auf geschützte Umsetzungs- und Wirksamkeitsnachweise.
Ein Thema soll möglichst nur an einer führenden Stelle verbindlich geregelt werden. Andere Seiten verweisen auf diese Stelle, statt widersprüchliche Kopien zu erzeugen.
¶ 2. Schnellzugriff
| Gesucht | Direkter Einstieg |
|---|---|
| passende Seiten nach Regelwerk, Rolle oder Thema | Compliance-Navigator |
| Fachbegriffe aus ISMS, DSGVO, NIS2 und TISAX verständlich nachschlagen | Compliance-Glossar |
| meine Aufgaben und passenden Seiten nach Rolle | Rollenbasierter Einstieg |
| Managementlage, Handlungsbedarf und führende Quellen | Management-Cockpit |
| ISMS-Scope und Standorte | Geltungsbereich und Standorte |
| Dokumente richtig lesen | Lesehilfe und Dokumentenstatus |
| Leitungsaussage | Informationssicherheitsleitlinie |
| verbindlicher Sicherheitsrahmen | Informationssicherheitspolitik |
| Risiken bewerten | Methodik der Risikobewertung |
| aktueller Risikoarbeitsstand | Risikoregister |
| ISO-Maßnahmenauswahl | Statement of Applicability |
| ISO-/TISAX-Zuordnung | ISO-TISAX-Mapping |
| ISO-27001-Kapitel 4 bis 10 und Annex A | ISO/IEC 27001:2022 – Kapitelübersicht |
| Sicherheitsereignis melden | Meldeweg für Sicherheitsvorfälle |
| mögliche Melde- und Eskalationswege parallel prüfen | Vorfall-Entscheidungsassistent |
| RPO und RTO verstehen und Zielwerte prüfen | RPO und RTO verständlich erklärt |
| Tests und Übungen praxisnah planen | Tests und Übungen |
| erwartete Nachweise, Schutzbedarf und führende Seiten finden | Nachweis-Explorer |
| konkrete Nachweisbedarfe, Referenzen und Prüfstatus steuern | Nachweisregister |
| Maßnahmen aus Risiken, Audits und Anforderungen zusammenhängend steuern | Maßnahmen- und Umsetzungsregister |
| Kundenkurse und E-Learning-Angebot | E-Learning-Portal QM-4U |
| TISAX-Selbsteinschätzung | VDA-ISA-Selbsteinschätzung |
| Audit und Verbesserungen | Auditprogramm |
| neue Wiki-Seite erstellen | Dokumentenvorlagen |
¶ 3. Aktuell bestätigter Entwurfsstatus
| Themenfeld | Dokumentierter Stand | Bedeutung |
|---|---|---|
| Dokumentenfreigaben | keine formale Freigabe im Musterbestand nachgewiesen | alle Inhalte vor Nutzung prüfen und freigeben |
| ISMS-Geltungsbereich | Entwurf mit fiktiven Organisations- und Standortangaben | tatsächlichen Scope und Ausschlüsse bestätigen |
| Informationssicherheitsziele | 0 freigegebene Ziele und 0 freigegebene KPI-Auswertungen nachgewiesen | Zielsteuerung noch nicht operationalisiert |
| Risikomanagement | Methodik und Beispielregister vorhanden; reale Erstbewertung nicht freigegeben | tatsächliche Risiken und Owner ermitteln |
| Statement of Applicability | 93 von 93 Anwendbarkeitsentscheidungen offen; 0 wirksam nachgewiesen | SoA noch nicht freigabefähig |
| TISAX-Informationssicherheit | 0 von 46 Kontrollfragen bewertet | vollständige Selbsteinschätzung ausstehend |
| Auditprogramm | Entwurf; keine Durchführung durch diese Seite belegt | Auditplanung freigeben und Audits nachweisen |
| Managementbewertung | Entwurf; noch nicht durchgeführt | Eingaben vervollständigen und Bewertung durchführen |
| Vorfallmeldeweg | Entwurf; tatsächliche Meldekanäle nicht freigegeben | erreichbare Kanäle und Vertretungen festlegen |
| BCM und Wiederanlauf | Entwürfe; BIA, Zielwerte und Tests nicht freigegeben | Kritikalität, RTO/RPO und Tests bestätigen |
Diese Übersicht zeigt den dokumentierten Arbeitsstand, nicht die tatsächliche Sicherheitsleistung eines Unternehmens. Fehlende Nachweise werden nicht als positives Ergebnis interpretiert.
¶ 4. Sicherheitsereignisse melden
Verdachtsfälle und Sicherheitsereignisse sind unverzüglich über den Meldeweg für Sicherheitsvorfälle zu melden.
Wichtig: Die dort enthaltenen Meldekanäle sind im Musterstand noch nicht organisationsbezogen freigegeben. Vor dem betrieblichen Einsatz müssen erreichbare Kontakte, Vertretungen und Eskalationen eingetragen, getestet und kommuniziert werden.
Bei akuter Gefahr:
- Menschen schützen und keine Eigengefährdung eingehen.
- Schaden nur begrenzen, soweit dies sicher und im eigenen Aufgabenbereich möglich ist.
- Keine Protokolle, Nachrichten oder sonstigen möglichen Beweismittel eigenmächtig löschen.
- Die tatsächlich freigegebenen internen Notfall-, IT- oder Sicherheitskontakte informieren.
- Weitere Anweisungen der zuständigen Incident- oder Notfallrollen befolgen.
Die weitere Behandlung ist unter Incident Response geregelt.
¶ 5. Start und Navigation
| Seite | Zweck | Status |
|---|---|---|
| ISMS-Startseite | zentraler Einstieg und Statusübersicht | Entwurf |
| Compliance-Navigator | interaktive Auswahl nach Regelwerk, Rolle, Thema und Suchbegriff | Entwurf |
| Compliance-Glossar | 95 verständliche Fachbegriffe, A–Z-Einstieg, Suche, Regelwerksfilter und wichtige Abgrenzungen | Entwurf |
| Rollenbasierter Einstieg | rollenspezifische Aufgaben, Anlässe und Direktlinks | Entwurf |
| Management-Cockpit | verdichtete Managementsicht auf Entscheidungen, Risiken, Maßnahmen, Ziele, TISAX, Audits und Nachweise | Entwurf |
| Geltungsbereich und Standorte | organisatorische, räumliche, technische und prozessuale Grenzen | Entwurf |
| Lesehilfe und Dokumentenstatus | Dokumentenarten, Status, Versionen und Nutzung | Entwurf |
| ISO-TISAX-Mapping | Zuordnung von Anforderungen, Dokumenten und Nachweisen | Entwurf |
| ISO/IEC 27001:2022 – Kapitelübersicht | Kapitel 4 bis 10, Unterkapitel, Annex A und Verknüpfung mit acht fachlichen Unterseiten | Entwurf |
¶ 6. Führung und Steuerung
| Seite | Zweck | Status |
|---|---|---|
| Informationssicherheitsleitlinie | Verpflichtung und strategischer Rahmen der Geschäftsführung | Entwurf |
| Informationssicherheitspolitik | organisationsweit geltende Sicherheitsgrundsätze | Entwurf |
| Kontext und interessierte Parteien | interne/externe Themen und Anforderungen | Entwurf |
| Rollen und Verantwortlichkeiten | Rollen, Befugnisse, Stellvertretungen und Funktionstrennung | Entwurf |
| Informationssicherheitsziele | Ziel- und Kennzahlensteuerung | Entwurf |
| Dokumentenlenkung | Erstellung, Prüfung, Freigabe, Versionierung und Archivierung | Entwurf |
¶ 7. Risiken und Compliance
| Seite | Zweck | Status |
|---|---|---|
| Methodik der Risikobewertung | Kriterien und Ablauf der Risikobewertung | Entwurf |
| Risikoregister | Risiken, Bewertungen, Owner und Maßnahmenbezüge | Entwurf mit Beispieldaten |
| Risikobehandlungsplan | Maßnahmen, Ressourcen, Termine und Wirksamkeit | Entwurf mit Beispieldaten |
| Statement of Applicability | Anwendbarkeit und Umsetzung der 93 Annex-A-Maßnahmen | Entwurf |
| Rechts- und Vertragskataster | Rechts-, Vertrags-, Kunden- und sonstige Anforderungen | Entwurf |
| Ausnahmen und Risikoakzeptanzen | befristete Ausnahmen und formale Restrisikoentscheidungen | Entwurf |
¶ 8. Organisation und Assets
| Seite | Zweck | Status |
|---|---|---|
| Prozesslandkarte | Führungs-, Kern- und Unterstützungsprozesse | Entwurf mit Beispielprozessen |
| Asset-Inventar | Informationen, Systeme, Dienste und Owner | Entwurf mit Beispieldaten |
| Zulässige Nutzung von Assets | Nutzungsregeln für Informationen, Geräte, Software, Konten, Netze, Cloud-Dienste und Rückgabe | Entwurf; Bestand, private Nutzung, Durchsetzung und Wirksamkeit nicht bestätigt |
| Standorte und Sicherheitsbereiche | Standort-, Gebäude- und Zonenregister mit Scope-, Risiko- und Nachweisbezug | Entwurf; reale Standorte, Zonen und Umsetzung nicht bestätigt |
| Informationsklassifizierung | Schutzklassen und Handhabungsregeln | Entwurf |
| Personal und Schulungen | Beschäftigungszyklus, Kompetenz, Awareness und Schulungsnachweise | Entwurf |
| E-Learning-Portal QM-4U | kundenbezogene Online-Kurse, Lernpfad, Nachweise und Wirksamkeit | Entwurf; Portal aktiv und Angebot im sukzessiven Ausbau |
| Lieferanten und Dienstleister | Kritikalität, Due Diligence, Verträge, Überwachung und Exit | Entwurf |
¶ 9. Sicherheitsregelungen
| Seite | Zweck | Status |
|---|---|---|
| Physische Sicherheit | Sicherheitszonen, Zutritt, Besucher, Betriebsmittel und Umweltgefahren | Entwurf; Standorte und Umsetzung nicht bestätigt |
| Zugriff und Berechtigungen | Identitäten, MFA, privilegierte Rechte, Fernzugriffe und Reviews | Entwurf; Kontenbestand und Umsetzung nicht bestätigt |
| Kryptografie und Schlüssel | Kryptografische Baseline, Schlüssel, Zertifikate, KMS/HSM und Rotation | Entwurf; Kryptobestand und Umsetzung nicht bestätigt |
| Informationsübertragung | zugelassene Kanäle, Empfängerprüfung, Verschlüsselung, Freigaben, Nachweise und Fehlübertragungen | Entwurf; Kanalbestand, Konfiguration und Wirksamkeit nicht bestätigt |
| Informationssicherheit im Projektmanagement | Sicherheitsrelevanz, Anforderungen, Risiken, Security Gates, Betriebsübergabe und Projektabschluss | Entwurf; Projektportfolio, Gate-Prozess und Wirksamkeit nicht bestätigt |
| IT-Betrieb und Änderungen | Betriebsverfahren, Konfiguration, Kapazität, Changes, Tests und Rückfall | Entwurf; Betriebs- und Changenachweise nicht bestätigt |
| Bedrohungsinformationen | Quellen, Triage, Bedrohungslage, Assetabgleich, Indicators, TTPs und Maßnahmen | Entwurf; Quellen, Betrieb und Wirksamkeit nicht bestätigt |
| Schwachstellen- und Patchmanagement | Quellen, Erkennung, Priorisierung, Patchsteuerung, Ausnahmen und Wirksamkeitsprüfung | Entwurf; Scanabdeckung, Patchfristen und Wirksamkeit nicht bestätigt |
| Netzwerke und Kommunikation | Architektur, Zonen, Segmentierung, Firewalls, Netzwerkdienste, Fernzugriff, Monitoring und Wiederanlauf | Entwurf; Netzbestand, Regeln, Konfiguration und Wirksamkeit nicht bestätigt |
| Protokollierung und Überwachung | Logquellen, Zeit, Integrität, SIEM, Use Cases, Alarmierung, Triage und Wirksamkeitsprüfung | Entwurf; Quellenabdeckung, Aufbewahrung, Alarmwege und Wirksamkeit nicht bestätigt |
| Datensicherung und Wiederherstellung | Sicherungsumfang, Schutz, Trennung, Restore-Tests sowie RTO-/RPO-Abgleich | Entwurf; Sicherungsabdeckung, Trennung und Restore-Wirksamkeit nicht bestätigt |
| Sichere Entwicklung | Sicherheitsanforderungen, Architektur, Code, Komponenten, Build, Tests, Release und Wartung | Entwurf; Entwicklungsbestand, Security Gates und Wirksamkeit nicht bestätigt |
| Mobile Arbeit und Cloud | Mobile Arbeitsorte, Geräte, Fernzugriffe, Cloud-Freigabe, Shared Responsibility, Notbetrieb und Exit | Entwurf; Gerätebestand, Cloud-Portfolio, Konfiguration und Wirksamkeit nicht bestätigt |
¶ 10. Vorfälle und Notfallmanagement
| Seite | Zweck | Status |
|---|---|---|
| Vorfall-Entscheidungsassistent | parallele Erstbewertung für ISMS, DSGVO, NIS2 sowie Kunden-, TISAX- und Vertragspflichten | Entwurf |
| Meldeweg für Sicherheitsvorfälle | Erkennen, Melden und Eskalieren | Entwurf; Kontakte nicht freigegeben |
| Kontakt- und Eskalationslisten | Kontaktrollen, Stellvertretungen, Bereitschaften, externe Stellen und Ausfallkanäle | Entwurf; Realdaten und Tests fehlen |
| Incident Response | Triage, Eindämmung, Wiederherstellung und Nachbereitung | Entwurf |
| Notfallvorsorge und BCM | BIA, Notbetrieb, Krisensteuerung und Übungen | Entwurf |
| BCM-Szenarien und Notfallpläne – Musterbeispiele | Fiktive Szenarien für Personal, Gebäude, Dienstleister und IT mit Dummy-Assets, Zielzeiten, Notbetrieb und Maßnahmenplan | Entwurf; ausschließlich fiktive Demonstrationsdaten |
| Wiederanlaufplanung | Serviceabhängigkeiten, RTO/RPO und Wiederanlauf | Entwurf |
| RPO und RTO verständlich erklärt | Unterschiede, Zeitstrahl, Zielwertableitung, Rechenbeispiele und Nachweise | Entwurf |
| Tests und Übungen | Testleiter, Praxisszenarien, Jahresprogramm, sichere Durchführung, Auswertung und Retest | Entwurf |
Die Durchführung, Bewertung und Nachverfolgung praktischer Tests wird auf der Nachweisseite Vorfall- und Notfallübungen gesteuert.
¶ 11. TISAX
| Seite | Zweck | Status |
|---|---|---|
| TISAX-Geltungsbereich | Assessment Scope, einbezogene Standorte, Leistungen, Abgrenzungen und ENX-Registrierungsdaten | Entwurf; reale Scope-Daten, Participant ID und Scope ID offen |
| TISAX-Bewertungsziele | Auswahl und Begründung der Bewertungsziele, Schutzobjekte, Schutzbedarf und Assessment-Level-Zuordnung | Entwurf; Kundenanforderungen und ENX-Registrierung noch zu bestätigen |
| TISAX Assessment Level 1, 2 und 3 | Prüftiefe, Remote-Ablauf bei AL2, Vor-Ort-Verifizierung bei AL3 und Abgrenzung zum Prototypenschutz | Entwurf; ENX-Teilnehmerhandbuch Version 2.8 ausgewertet |
| TISAX-Anforderungsstufen und Schutzbedarf | Lesehilfe zu MUSS, SOLLTE sowie Zusatzanforderungen bei hohem und sehr hohem Schutzbedarf | Entwurf; Auswertung der deutschen ISA 6.0.2 |
| VDA-ISA-Selbsteinschätzung | vollständige Bewertung aller Kontrollfragen und Nachweise | Entwurf; 0 von 46 Informationssicherheitsfragen bewertet |
| Maßnahmenplan und Reifegrad | Reifegradlücken, Maßnahmen, Owner und Wirksamkeit | Entwurf |
| Assessment-Vorbereitung | Scope, ISA, Nachweise, Prüfdienstleister, Dry Run und Managementfreigabe zusammenführen | Entwurf; keine reale Assessmentbereitschaft bestätigt |
| Prototypenschutz | Bewertungsziele, Projekte, Teile, Fahrzeuge, Transporte, Veranstaltungen und Nachweise | Entwurf; Bewertungsziele und Umsetzung offen |
| Datenschutz im TISAX-Kontext | Datenschutz-Bewertungsziel, Rollen, Verarbeitungen und Nachweise | Entwurf; Bewertungsziel offen |
Die Seiten zu TISAX-Geltungsbereich, Bewertungszielen und Assessment-Vorbereitung müssen mit realen Organisations-, Standort-, Kunden-, Registrierungs- und Nachweisdaten vervollständigt, geprüft und freigegeben werden.
Die offizielle ISA-Arbeitsmappe bleibt für Fragenumfang, Bewertung und Ergebnisberechnung maßgeblich.
¶ 12. Nachweise
Der Bereich /ISMS/07-Nachweise/ ist verbindlich für Nachweisübersichten und kontrollierte Verweise vorgesehen. Der Nachweis-Explorer führt zu 15 erwarteten Nachweisgruppen, Schutzklassen und führenden Wiki-Seiten. Das Nachweisregister steuert die konkreten Muster-Nachweisbedarfe, Referenzen und Prüfstatus. Die Schulungs- und Awarenessnachweise trennen Bedarf, Durchführung, Teilnahme, Lernerfolg, Kompetenz und Wirksamkeit. Die Berechtigungsreviews führen Scope, Grundgesamtheit, Soll-Ist-Abgleich, Entscheidung, technische Korrektur und Nachkontrolle zusammen. Die Backup-, Restore- und Wiederanlauftests verbinden Wiederherstellung, technische und fachliche Abnahme sowie RTO-/RPO-Auswertung. Die Patch- und Schwachstellennachweise verbinden Asset-Scope, Befund, Priorisierung, Behandlung, Rollout und technische Verifikation. Die Lieferantenbewertungen führen Bestand, Kritikalität, Due Diligence, Vertrag, laufende Überwachung und Exit zusammen. Die Vorfall- und Notfallübungen trennen Übungsplanung, Durchführung, Bewertung, Maßnahmen und Retest. Die Wirksamkeitsmessungen verbinden Messauftrag, Wirkungskette, Baseline, Kriterien, Datenqualität, Bewertung und Wiederholungsprüfung. Keine dieser Seiten bestätigt das Vorhandensein, die Prüfung oder die Wirksamkeit eines realen Nachweises.
Damit sind alle in diesem Strukturstand vorgesehenen eigenständigen Nachweisseiten angelegt. Ihre fachliche Ausarbeitung, reale Befüllung, Prüfung und Freigabe bleiben organisationsbezogen erforderlich.
Besonders schutzbedürftige, technische oder personenbezogene Nachweise werden nicht ungeprüft im allgemein zugänglichen Wiki abgelegt. Die Wiki-Seite kann auf eine geeignete geschützte Ablage verweisen.
¶ 13. Audit und Verbesserung
| Seite | Zweck | Status |
|---|---|---|
| Auditprogramm | Auditumfang, Planung, Rollen und Berichte | Entwurf |
| Interne Audits | Auditauftrag, Durchführung, Bericht und Follow-up | Entwurf; keine Durchführung nachgewiesen |
| Abweichungen und Korrekturmaßnahmen | Feststellungen, Ursachen, Maßnahmen und Wirksamkeit | Entwurf |
| Maßnahmen- und Umsetzungsregister | zentrale Sicht auf Maßnahmenquellen, Prioritäten, Owner, Termine, Nachweise und Wirksamkeit | Entwurf mit 13 nicht freigegebenen Mustermaßnahmen |
| Kennzahlen und Zielerreichung | Soll-Ist-Vergleich, Datenqualität, Trends und Zielabweichungen | Entwurf |
| Managementbewertung | Leitungsbewertung und Managemententscheidungen | Entwurf; nicht durchgeführt |
| Kontinuierliche Verbesserung | Verbesserungsportfolio, PDCA, Wirksamkeit und Lessons Learned | Entwurf |
¶ 14. Vorlagen und Archiv
| Seite | Zweck | Status |
|---|---|---|
| Dokumentenvorlagen | kopierbare Markdown-Vorlagen und Qualitätsregeln | Entwurf |
| Dokumentenservice und Downloads | Beschreibung kundenindividueller Dokumentenpakete und geschützter Bereitstellung | Entwurf; keine frei zugänglichen editierbaren Vorlagen |
Noch als eigenständige Seiten oder Bereiche einzurichten:
- Checklisten und Formulare,
- zentrale Änderungshistorie,
- gesperrte und archivierte Dokumente,
- Aufbewahrungs- und Löschübersicht.
¶ 15. Dokumentenstatus verstehen
| Status | Verbindlichkeit | Nutzung |
|---|---|---|
| Entwurf | nicht verbindlich | bearbeiten und fachlich abstimmen |
| In Prüfung | nicht verbindlich | prüfen; nicht als gültige Regel ausgeben |
| Freigegeben | nach Gültigkeitsbeginn verbindlich | gültige Fassung anwenden |
| Überarbeitung erforderlich | eingeschränkt verlässlich | Owner informieren und Risiken bewerten |
| Gesperrt | nicht anwenden | Ersatz oder Eskalation beachten |
| Archiviert | nicht mehr verbindlich | nur als historischer Nachweis verwenden |
Weitere Erläuterungen stehen unter Lesehilfe und Dokumentenstatus.
¶ 16. Dokumente finden
Geeignete Suchbegriffe sind:
- Dokumenten-ID, beispielsweise
ISMS-MA-02-01, - Seitentitel oder Prozessname,
- verantwortliche Rolle,
- ISO-Kapitel oder Annex-A-Control,
- ISA-Kontrollfrage,
- Risiko-, Maßnahmen-, Audit- oder Nachweis-ID,
- Status oder Reviewtermin.
Bei ähnlich benannten Seiten ist der unter „Wiki.js-Pfad“ angegebene führende Pfad maßgeblich.
¶ 17. Pflege und Änderungsmeldung
Erkannte Fehler, Widersprüche, unklare Anforderungen, nicht erreichbare Links oder veraltete Inhalte werden an den dokumentierten Owner beziehungsweise das ISMS gemeldet.
Dabei werden mindestens angegeben:
- betroffene Seite und Abschnitt,
- beobachtetes Problem,
- mögliche Auswirkung oder Dringlichkeit,
- vorhandener Nachweis oder Screenshot,
- meldende Rolle und Datum.
Kritische Sicherheitslücken werden zusätzlich über den freigegebenen Vorfallmeldeweg behandelt.
¶ 18. Schutz und Berechtigungen
| Inhaltsart | typische Berechtigung |
|---|---|
| freigegebene allgemeine Regelungen | für betroffene Personen lesbar |
| Entwürfe und Prüfkommentare | Dokumenten-Owner, Prüfende und ISMS |
| Risikoregister und SoA-Arbeitsstand | benannte Fach-, Risiko- und ISMS-Rollen |
| Vorfall-, Schwachstellen- und Netzdetails | streng begrenzter Need-to-know-Kreis |
| personenbezogene Nachweise | zweckgebundene berechtigte Rollen |
| TISAX-Assessmentunterlagen | TISAX-Team und freigegebene Prüfrollen |
| Wiki.js-Administration | technische Verwaltung; keine automatische fachliche Freigabe |
Berechtigungen werden regelmäßig sowie bei Rollenwechsel, Austritt, Scope- und Systemänderung überprüft.
¶ 19. Priorisierte nächste Schritte
- reale Unternehmens-, Standort- und Scopeangaben erfassen.
- Dokumenten-Owner, Prüfende, Freigabestellen und Stellvertretungen benennen.
- Dokumentenregister, Freigabeworkflow und geschützte Nachweisablagen einrichten.
- Leitlinie, Politik und zentrale Verfahren fachlich prüfen.
- reale Asset-, Prozess-, Rechts-, Vertrags- und Kundenanforderungen erfassen.
- tatsächliche Risikobewertung durchführen und Risikobehandlung freigeben.
- alle 93 SoA-Anwendbarkeitsentscheidungen treffen und begründen.
- alle 46 TISAX-Informationssicherheitsfragen umsetzen und bewerten.
- fehlende Sicherheitsregelungen risikobasiert erstellen und praktisch umsetzen.
- tatsächliche Melde-, Notfall- und Wiederanlaufwege einrichten und testen.
- Auditprogramm durchführen und Abweichungen wirksam behandeln.
- Managementbewertung mit belastbaren Eingaben durchführen.
- formale Freigaben, Kommunikation und erforderliche Schulungen nachweisen.
¶ 20. Qualitätssicherung vor Freigabe
| Prüffrage | Status Entwurf |
|---|---|
| Sind alle Navigationslinks vorhanden und erreichbar? | Im lokalen Markdown geprüft; Wiki.js-Prüfung ausstehend |
| Sind geplante Seiten klar von vorhandenen Seiten getrennt? | Ja |
| Sind Statusangaben mit den Zielseiten abgeglichen? | Vorläufig ja; vor Freigabe erneut prüfen |
| Sind keine unbestätigten Termine oder positiven Kennzahlen dargestellt? | Ja |
| Sind tatsächliche Meldekanäle und Vertretungen eingetragen und getestet? | Nein |
| Sind Wiki.js-Rollen und Zugriffsrechte eingerichtet? | Nein |
| Ist der Dokumenten- und Freigabeworkflow operationalisiert? | Nein |
| Ist die verwendete ISA-Version bestätigt? | Nein |
| Liegen fachliche Prüfung und Geschäftsführungsfreigabe vor? | Nein |
¶ 21. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 3.0 | 10.08.2026 | Fiktive Beispielseite für BCM-Szenarien und Notfallpläne in die Navigation aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 2.9 | 09.08.2026 | Praxisleitfaden für Tests und Übungen in Schnellzugriff und Notfallmanagement aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 2.8 | 09.08.2026 | Wissens- und Entscheidungshilfe zu RPO und RTO in Schnellzugriff und Notfallmanagement aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 2.7 | 09.08.2026 | ISO/IEC-27001-Kapitelübersicht mit Unterseiten für Kapitel 4 bis 10 und Annex A aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 2.6 | 09.08.2026 | Zentrales Compliance-Glossar für ISMS, DSGVO, NIS2 und TISAX in Schnellzugriff und Startnavigation aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 2.5 | 08.08.2026 | Wirksamkeitsmessungen als vorhandene Nachweisseite aufgenommen und letzten Planungsvermerk entfernt | ISMS-Beauftragte/r | Ausstehend | – |
| 2.4 | 08.08.2026 | Vorfall- und Notfallübungen als vorhandene Nachweisseite aufgenommen und Planungsvermerke entfernt | ISMS-Beauftragte/r | Ausstehend | – |
| 2.3 | 08.08.2026 | Lieferantenbewertungen als vorhandene Nachweisseite aufgenommen und Planungsvermerk entfernt | ISMS-Beauftragte/r | Ausstehend | – |
| 2.2 | 08.08.2026 | Entstehungshinweis zur Markdown-Ausarbeitung während der Genesungszeit, schrittweisen Wiki.js-Übernahme und Bearbeitung der SVG-Vektorgrafiken mit Adobe Illustrator ergänzt | ISMS-Beauftragte/r | Ausstehend | – |
| 2.1 | 08.08.2026 | Patch- und Schwachstellennachweise als vorhandene Nachweisseite aufgenommen und Planungsvermerk entfernt | ISMS-Beauftragte/r | Ausstehend | – |
| 2.0 | 08.08.2026 | Backup-, Restore- und Wiederanlauftests als vorhandene Nachweisseite aufgenommen und Planungsvermerk entfernt | ISMS-Beauftragte/r | Ausstehend | – |
| 1.9 | 08.08.2026 | Berechtigungsreviews als vorhandene Nachweisseite aufgenommen und Planungsvermerk entfernt | ISMS-Beauftragte/r | Ausstehend | – |
| 1.8 | 08.08.2026 | Schulungs- und Awarenessnachweise als vorhandene Nachweisseite aufgenommen und Planungsvermerk entfernt | ISMS-Beauftragte/r | Ausstehend | – |
| 1.7 | 08.08.2026 | Assessment-Vorbereitung als vorhandene TISAX-Steuerungsseite aufgenommen und Planungsvermerk entfernt | ISMS-Beauftragte/r | Ausstehend | – |
| 1.6 | 08.08.2026 | TISAX-Geltungsbereich, Bewertungsziele und Dokumentenservice als vorhandene Seiten in die Bereichsübersichten aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 1.5 | 07.08.2026 | TISAX Assessment Level 1, 2 und 3 einschließlich Remote-Ablauf und Abgrenzung zum Prototypenschutz aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 1.4 | 07.08.2026 | Kundenbezogenes E-Learning-Portal QM-4U in Informationsbereich, Schnellzugriff und Organisationsübersicht aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 1.3 | 07.08.2026 | TISAX-Anforderungsstufen und Schutzbedarf in die TISAX-Übersicht aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 1.2 | 07.08.2026 | Zentrales Maßnahmen- und Umsetzungsregister in Schnellzugriff und Audit-/Verbesserungsbereich aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 1.1 | 07.08.2026 | Führendes Nachweisregister in Schnellzugriff und Nachweisbereich aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 1.0 | 07.08.2026 | Nachweis-Explorer in Schnellzugriff und Nachweisbereich aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 0.9 | 07.08.2026 | Vorfall-Entscheidungsassistent in Schnellzugriff und Vorfallmanagement aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 0.8 | 07.08.2026 | Kundeninformation zum individuell anpassbaren Muster-Wiki mit SMCT-Logo und Kontaktmöglichkeit ergänzt | ISMS-Beauftragte/r | Ausstehend | – |
| 0.7 | 07.08.2026 | Management-Cockpit in Schnellzugriff und Bereich Start und Navigation aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 0.6 | 07.08.2026 | Rollenbasierten Einstieg in Schnellzugriff und Bereich Start und Navigation aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 0.5 | 06.08.2026 | Compliance-Navigator in Schnellzugriff und Bereich Start und Navigation aufgenommen | ISMS-Beauftragte/r | Ausstehend | – |
| 0.4 | 06.08.2026 | SVG-Titelgrafik ergänzt, Bildpfad auf /public-bilder vereinheitlicht und responsive Darstellung umgesetzt; keine Änderung der fachlichen Regelung | ISMS-Beauftragte/r | Ausstehend | – |
| 0.3 | 06.08.2026 | Bereich 07 verbindlich als Nachweisbereich festgelegt und geplante Nachweisseiten abgegrenzt | ISMS-Beauftragte/r | Ausstehend | – |
| 0.2 | 23.07.2026 | Navigation, belastbare Statusübersicht, Bereichsstruktur und nächste Schritte ergänzt | ISMS-Beauftragte/r | Ausstehend | – |
| 0.1 | 23.07.2026 | erste Musterstartseite erstellt | ISMS-Beauftragte/r | Ausstehend | – |
¶ 22. Offizielle Quellen
Für dieses Beispiel wird der dokumentierte Arbeitsstand ISA 6.0.3 verwendet. Vor der betrieblichen Nutzung sind die tatsächlich anzuwendende ISA-Version, der ISMS- und TISAX-Scope, die Bewertungsziele, Rollen, Kontaktdaten und Freigaben zu bestätigen.