ISO 27001 Vorlagen: welche ISMS-Dokumente das NIS2-Paket abdeckt und welche nicht

Vorweg: kein ISO-27001-Komplettpaket

Das NIS2-Paket folgt der Gliederung des § 30 Abs. 2 BSIG: zehn Maßnahmenbereiche, dazu Meldeprozess, Geschäftsleitung, Registrierung und Betroffenheitsprüfung. Es enthält weder den Normtext noch eine Erklärung zur Anwendbarkeit, und es ordnet die Maßnahmen nicht den Kontrollen aus Anhang A der Norm zu.

Warum es für ein ISMS trotzdem eine Grundlage sein kann: Nach § 30 Abs. 2 BSIG sollen die Maßnahmen einschlägige europäische und internationale Normen berücksichtigen, und die Norm verlangt Bausteine, die auch für die Konzepte und die Wirksamkeitsprüfung nach § 30 Abs. 2 Nr. 1 und Nr. 6 BSIG ein naheliegender Weg sind: eine Leitlinie, eine Methode für die Risikobeurteilung, ein Register mit Behandlungsplan, interne Prüfungen und Berichte an die Leitung. Diese Bausteine enthält das Paket als ausformulierte Vorlagen.

Abgleich: Pflichtdokumente der Kapitel 4 bis 10

Die Tabelle nennt die Stellen der ISO/IEC 27001:2022 in den Kapiteln 4 bis 10, an denen die Norm dokumentierte Information verlangt, in eigenen Worten, und daneben die Vorlage, die dafür eine Grundlage bietet. Wo keine Vorlage steht, ist nichts enthalten. Den Abgleich mit Ihrem Normtext ersetzt sie nicht.

Lesart: Eine Vorlage in der Tabelle ist eine Grundlage, keine Bestätigung, dass die Anforderung der Norm erfüllt ist. Ob sie es ist, hängt davon ab, wie Sie die Vorlage anpassen und anwenden, und wird im Audit geprüft.

Ein Beispiel aus der Risikomethodik

Wie weit die Vorlagen ausformuliert sind, zeigt die Behandlung von Risiken in NIS-VF-02 Methodik der Risikoanalyse:

Für jedes Risiko der Stufen mittel, hoch und sehr hoch wird eine der vier Behandlungsoptionen gewählt und im NIS-RG-03 Risikoregister eingetragen.

Das NIS-RG-03 Risikoregister führt dazu je Risiko Eintrittswahrscheinlichkeit, Auswirkung, Risikowert, Behandlung, Verantwortliche, Termin und Restrisiko, und im zweiten Blatt die Maßnahmen mit Status und Nachweis. Die Spalte "Bereich nach § 30 Abs. 2 BSIG" ordnet jedes Risiko einem Bereich des Gesetzes zu; eine Spalte für die Kontrolle aus Anhang A fügen Sie bei Bedarf hinzu.

Themen aus Anhang A

Die Richtlinien und Verfahren des Pakets behandeln Themen, zu denen auch Anhang A der Norm Maßnahmen nennt: Zugriffskontrolle, Lieferantenbeziehungen, Umgang mit Sicherheitsvorfällen, Informationssicherheit bei Störungen und Notfällen, Datensicherung, Kryptografie, Personalsicherheit, Schwachstellen und Patches, Sicherheit bei Beschaffung und Entwicklung, Inventar der Systeme.

Eine Zuordnung Kontrolle für Kontrolle enthält das Paket nicht, und es gibt Themen ohne eigene Richtlinie, etwa den physischen Schutz von Gebäuden und Räumen; einzelne Regeln dazu, etwa zu Besuchern, stehen in anderen Richtlinien. Für die Erklärung zur Anwendbarkeit müssen Sie jede Kontrolle aus Anhang A selbst bewerten und begründen.

Vorlagen und Zertifizierung

Eine Zertifizierung nach ISO/IEC 27001 setzt ein ISMS voraus, das betrieben wird: Risiken werden beurteilt und behandelt, interne Audits und Managementbewertungen finden statt, Abweichungen werden korrigiert. Erst dann prüft eine Zertifizierungsstelle. Vorlagen verkürzen den Weg zu den Dokumenten, sie ersetzen weder den Betrieb noch das Audit.

Für Unternehmen, die zuerst die Pflichten des BSI-Gesetzes erfüllen müssen und später eine Zertifizierung anstreben, ist die Reihenfolge NIS2 vor ISO oft praktisch: Die Dokumente für das Gesetz entstehen zuerst, Erklärung zur Anwendbarkeit und Zuordnung zu Anhang A kommen danach dazu.

Die Vorlagen dazu

Das NIS2-Paket enthält 25 Dokumente in Word und Excel für 1.490 € netto, gegliedert nach den zehn Bereichen des § 30 Abs. 2 BSIG, dazu Meldeprozess, Geschäftsleitung, Registrierung und Betroffenheitsprüfung. Für ein ISMS liefert es Leitlinie, Risikomethodik, Risikoregister mit Behandlungsplan, Wirksamkeitsprüfung mit internem Auditplan und den Bericht an die Geschäftsleitung. Die Vorlagen müssen an Ihr Unternehmen angepasst werden und sind keine Rechtsberatung.