Öffentliche SoA
Statement of Applicability · ISO/IEC 27001 · Annex A
| ID | Anforderungen | Anwendbarkeit | Begründung der Anwendbarkeit | Umsetzungsstatus |
|---|---|---|---|---|
| 5.1 | Informationssicherheits-Richtlinien | Ja | Verbindliche Sicherheitsvorgaben geben unseren Mitarbeitenden und Dienstleistern Orientierung. | teilweise umgesetzt |
| 5.2 | Rollen und Verantwortlichkeiten | Ja | Sicherheitsaufgaben für Unternehmen, Plattform und KI-Agenten brauchen klare Verantwortliche. | umgesetzt |
| 5.3 | Funktionstrennung | Ja | Die Verteilung kritischer Aufgaben begrenzt Fehler und Interessenkonflikte. | teilweise umgesetzt |
| 5.4 | Verantwortlichkeiten des Managements | Ja | Die Leitung verantwortet Informationssicherheit und ihre Verankerung im Unternehmen. | umgesetzt |
| 5.5 | Kontakt mit Behörden | Ja | Sicherheitsvorfälle und behördliche Anliegen erfordern erreichbare zuständige Stellen. | teilweise umgesetzt |
| 5.6 | Kontakt mit Interessengruppen | Ja | Fachlicher Austausch unterstützt den Umgang mit Sicherheitsfragen unserer Leistungen. | nicht umgesetzt |
| 5.7 | Bedrohungsanalyse (Threat Intelligence) | Ja | Aktuelle Bedrohungsinformationen helfen, Risiken für unsere Dienste frühzeitig zu erkennen. | teilweise umgesetzt |
| 5.8 | Sicherheit im Projektmanagement | Ja | Unsere Entwicklungs- und Einführungsprojekte können neue Sicherheitsrisiken schaffen. | umgesetzt |
| 5.9 | Inventar der Assets | Ja | Informationen, Geräte, Dienste und Agenten müssen ihren Verantwortlichen zugeordnet sein. | umgesetzt |
| 5.10 | Zulässige Nutzung von Assets | Ja | Die Nutzung geschäftlicher Informationen und Arbeitsmittel braucht klare Grenzen. | teilweise umgesetzt |
| 5.11 | Rückgabe von Assets | Ja | Bei Austritt oder Aufgabenwechsel müssen überlassene Arbeitsmittel und Informationen zurückgegeben werden. | nicht umgesetzt |
| 5.12 | Klassifizierung von Information | Ja | Kunden- und Unternehmensinformationen haben unterschiedlichen Schutzbedarf. | umgesetzt |
| 5.13 | Kennzeichnung von Information | Ja | Eine erkennbare Einstufung unterstützt den richtigen Umgang mit Informationen. | umgesetzt |
| 5.14 | Informationsübertragung | Ja | Informationen werden zwischen Mitarbeitenden, Kunden und Dienstleistern ausgetauscht. | umgesetzt |
| 5.15 | Zugriffssteuerung (Regelwerk) | Ja | Der Zugang zu Informationen und Systemen muss auf berechtigte Personen und Dienste begrenzt sein. | teilweise umgesetzt |
| 5.16 | Identitätsmanagement | Ja | Personen, technische Dienste und Agenten benötigen eindeutig zugeordnete Identitäten. | teilweise umgesetzt |
| 5.17 | Authentisierungsinformationen | Ja | Passwörter, Schlüssel und Tokens ermöglichen den Zugang zu unseren Systemen. | teilweise umgesetzt |
| 5.18 | Zugriffsrechte (Lifecycle) | Ja | Berechtigungen müssen zu Aufgaben passen und bei Änderungen angepasst werden. | teilweise umgesetzt |
| 5.19 | Sicherheit in Lieferantenbeziehungen | Ja | Die Sicherheit unserer Leistungen hängt auch von eingesetzten Dienstleistern ab. | umgesetzt |
| 5.20 | Sicherheit in Lieferantenverträgen | Ja | Sicherheitsaufgaben und Zusagen zwischen uns und unseren Lieferanten brauchen verbindliche Vereinbarungen. | teilweise umgesetzt |
| 5.21 | IKT-Lieferkette | Ja | Unsere Dienste nutzen technische Produkte und Leistungen mit weiteren Anbieterabhängigkeiten. | teilweise umgesetzt |
| 5.22 | Überwachung, Review und Änderungsmanagement von Lieferantenleistungen | Ja | Änderungen und Sicherheitsleistungen von Dienstleistern können unsere Kundenleistungen beeinflussen. | teilweise umgesetzt |
| 5.23 | Sicherheit bei Cloud-Nutzung | Ja | Cloud-Dienste sind Bestandteil unserer internen IT und unserer Kundenleistungen. | umgesetzt |
| 5.24 | Incident-Management: Planung | Ja | Eine vorbereitete Vorfallsbearbeitung begrenzt Auswirkungen auf Kunden und Betrieb. | teilweise umgesetzt |
| 5.25 | Bewertung von Sicherheitsereignissen | Ja | Sicherheitsereignisse müssen eingeordnet werden, um angemessen reagieren zu können. | umgesetzt |
| 5.26 | Reaktion auf Incidents | Ja | Sicherheitsvorfälle erfordern koordinierte Maßnahmen zum Schutz von Informationen und Diensten. | umgesetzt |
| 5.27 | Lernen aus Incidents | Ja | Erkenntnisse aus Vorfällen helfen, Wiederholungen und vergleichbare Schäden zu vermeiden. | umgesetzt |
| 5.28 | Sammlung von Beweismitteln | Ja | Die Aufklärung von Vorfällen erfordert nachvollziehbare und geschützte Informationen zum Ablauf. | umgesetzt |
| 5.29 | Sicherheit bei Störungen (BC) | Ja | Auch bei Betriebsstörungen müssen Kunden- und Unternehmensinformationen geschützt bleiben. | teilweise umgesetzt |
| 5.30 | IKT-Bereitschaft für Kontinuität | Ja | Unsere Geschäftsprozesse und Kundenleistungen sind auf verfügbare IT angewiesen. | teilweise umgesetzt |
| 5.31 | Rechtliche und vertragliche Anforderungen | Ja | Unsere Informationsverarbeitung unterliegt gesetzlichen, regulatorischen und vertraglichen Anforderungen. | teilweise umgesetzt |
| 5.32 | Geistiges Eigentum | Ja | Wir entwickeln eigene Software und nutzen fremde Software sowie andere geschützte Inhalte. | teilweise umgesetzt |
| 5.33 | Schutz von Aufzeichnungen | Ja | Geschäftliche und sicherheitsrelevante Aufzeichnungen müssen erhalten und vor Manipulation geschützt werden. | teilweise umgesetzt |
| 5.34 | Datenschutz und PII | Ja | Wir verarbeiten personenbezogene Daten von Mitarbeitenden, Kunden und weiteren Beteiligten. | nicht umgesetzt |
| 5.35 | Unabhängige Überprüfung | Ja | Eine unabhängige Sicht unterstützt die Bewertung unseres ISMS und seiner Sicherheitsmaßnahmen. | teilweise umgesetzt |
| 5.36 | Einhaltung von Richtlinien | Ja | Die Einhaltung unserer Sicherheitsvorgaben muss im laufenden Betrieb verfolgt werden. | umgesetzt |
| 5.37 | Dokumentierte Betriebsabläufe | Ja | Wiederkehrende Betriebsaufgaben müssen nachvollziehbar und verlässlich ausführbar sein. | umgesetzt |
| 6.1 | Überprüfung vor Einstellung (Screening) | Ja | Personen mit Zugang zu Kundeninformationen und Systemen übernehmen sicherheitsrelevante Aufgaben. | nicht umgesetzt |
| 6.2 | Beschäftigungsbedingungen | Ja | Sicherheitspflichten müssen für die jeweils eingesetzten Personen verbindlich geregelt sein. | nicht umgesetzt |
| 6.3 | Awareness und Schulung | Ja | Mitarbeitende brauchen Wissen über Sicherheitsrisiken und ihre eigenen Aufgaben. | teilweise umgesetzt |
| 6.4 | Maßregelungsprozess | Ja | Verstöße gegen Sicherheitsvorgaben erfordern einen angemessenen und nachvollziehbaren Umgang. | nicht umgesetzt |
| 6.5 | Pflichten nach Beendigung oder Änderung der Beschäftigung | Ja | Sicherheitspflichten und Zugänge ändern sich bei Aufgabenwechsel oder Beendigung der Zusammenarbeit. | nicht umgesetzt |
| 6.6 | Vertraulichkeitsvereinbarungen (NDA) | Ja | Die Zusammenarbeit kann Zugang zu vertraulichen Kunden- und Unternehmensinformationen erfordern. | nicht umgesetzt |
| 6.7 | Remote-Arbeit | Ja | Unsere Mitarbeitenden arbeiten mobil; ein eigenes Büro besteht nicht. | teilweise umgesetzt |
| 6.8 | Meldung von Sicherheitsereignissen | Ja | Frühzeitige Meldungen ermöglichen eine schnelle Einordnung und Behandlung von Sicherheitsereignissen. | umgesetzt |
| 7.1 | Sicherheitsbereiche (Perimeter) | Ja | Schutzgrenzen sind für die genutzte RZ-Infrastruktur und den Umgang mit Informationen an mobilen Arbeitsorten relevant. | teilweise umgesetzt |
| 7.2 | Physischer Zutritt | Ja | Unberechtigter physischer Zugang muss an mobilen Arbeitsorten und bei RZ-Dienstleistern begrenzt werden. | teilweise umgesetzt |
| 7.3 | Absicherung von Büros und Räumen | Ja | Auch ohne eigenes Büro sind genutzte Arbeitsräume und Einrichtungen der RZ-Dienstleister zu schützen. | nicht umgesetzt |
| 7.4 | Physische Sicherheitsüberwachung | Ja | Die Überwachung der genutzten Rechenzentrumsbereiche betrifft den Verantwortungsanteil der RZ-Dienstleister. | teilweise umgesetzt |
| 7.5 | Schutz vor physischen Bedrohungen | Ja | Mobile Geräte und genutzte RZ-Infrastruktur sind physischen und umweltbedingten Gefahren ausgesetzt. | teilweise umgesetzt |
| 7.6 | Arbeiten in Sicherheitsbereichen | Ja | Arbeiten in Sicherheitsbereichen betreffen die genutzten RZ-Dienstleister; eigene Sicherheitsbereiche bestehen nicht. | teilweise umgesetzt |
| 7.7 | Aufgeräumte Umgebung (Clear Desk/Screen) | Ja | Beim mobilen Arbeiten dürfen Unterlagen und Bildschirminhalte für Dritte nicht ungeschützt zugänglich sein. | nicht umgesetzt |
| 7.8 | Platzierung und Schutz von Geräten | Ja | Mobil genutzte Geräte benötigen Schutz vor Einsicht, Zugriff, Verlust und Beschädigung. | nicht umgesetzt |
| 7.9 | Assets außerhalb der Betriebsstätte | Ja | Geschäftliche Geräte und Informationen werden überwiegend außerhalb eigener Räumlichkeiten genutzt. | nicht umgesetzt |
| 7.10 | Speichermedien | Ja | Speichermedien enthalten geschäftliche Informationen und müssen über ihren Lebenszyklus geschützt werden. | umgesetzt |
| 7.11 | Versorgungseinrichtungen | Ja | Die Versorgung der genutzten RZ-Infrastruktur ist für die Verfügbarkeit unserer Dienste erforderlich. | teilweise umgesetzt |
| 7.12 | Verkabelungssicherheit | Ja | Die Verkabelung der genutzten RZ-Infrastruktur muss gegen Beschädigung und unbefugte Eingriffe geschützt sein. | teilweise umgesetzt |
| 7.13 | Gerätewartung | Ja | Endgeräte und genutzte Infrastruktur müssen sicher und funktionsfähig gehalten werden. | nicht umgesetzt |
| 7.14 | Sichere Entsorgung / Wiederverwendung | Ja | Geräte und Datenträger dürfen bei Weitergabe oder Entsorgung keine schutzbedürftigen Informationen offenlegen. | umgesetzt |
| 8.1 | Endgeräte der Benutzer | Ja | Mobile Endgeräte ermöglichen den Zugriff auf Kundeninformationen und Unternehmenssysteme. | nicht umgesetzt |
| 8.2 | Privilegierte Zugriffsrechte | Ja | Administrative Zugänge erlauben weitreichende Änderungen an unseren Systemen und Daten. | teilweise umgesetzt |
| 8.3 | Informationszugriffsbeschränkung | Ja | Informationen dürfen nur entsprechend dem jeweiligen Aufgaben- und Kenntnisbedarf zugänglich sein. | teilweise umgesetzt |
| 8.4 | Zugriff auf Quellcode | Ja | Unser Quellcode ist ein geschäftlicher Wert und beeinflusst die Sicherheit unserer Produkte. | umgesetzt |
| 8.5 | Sichere Authentisierung | Ja | Zugriffe auf interne Systeme und Kundenleistungen müssen zuverlässig authentisiert werden. | teilweise umgesetzt |
| 8.6 | Kapazitätssteuerung | Ja | Ausreichende Kapazität ist für einen verlässlichen Plattform- und Anwendungsbetrieb erforderlich. | umgesetzt |
| 8.7 | Schutz vor Schadsoftware | Ja | Schadsoftware kann mobile Endgeräte, Plattformen und verarbeitete Informationen beeinträchtigen. | teilweise umgesetzt |
| 8.8 | Handhabung technischer Schwachstellen | Ja | Schwachstellen eingesetzter Software und Systeme können unsere Leistungen gefährden. | umgesetzt |
| 8.9 | Konfigurationsmanagement | Ja | Sichere und nachvollziehbare Konfigurationen sind für Plattform, Dienste und Endgeräte erforderlich. | teilweise umgesetzt |
| 8.10 | Löschung von Information | Ja | Nicht mehr benötigte Informationen müssen entsprechend ihren Aufbewahrungspflichten gelöscht werden. | teilweise umgesetzt |
| 8.11 | Datenmaskierung | Ja | Sensible Inhalte können in Protokollen, Tests und Ausgaben erscheinen und benötigen angemessene Maskierung. | teilweise umgesetzt |
| 8.12 | Verhinderung von Datenabfluss (DLP) | Ja | Datenzugriffe und Weitergaben durch Personen, Anwendungen und Agenten bergen das Risiko unbefugter Offenlegung. | nicht umgesetzt |
| 8.13 | Informationssicherung (Backup) | Ja | Kunden- und Unternehmensinformationen müssen bei Verlust oder Beschädigung wiederherstellbar sein. | teilweise umgesetzt |
| 8.14 | Redundanz von Verarbeitungseinrichtungen | Ja | Ausfälle einzelner Komponenten sollen die Verfügbarkeit unserer Leistungen nicht unnötig beeinträchtigen. | umgesetzt |
| 8.15 | Protokollierung | Ja | Relevante Systemaktivitäten müssen für Betrieb und Vorfallsaufklärung nachvollziehbar sein. | teilweise umgesetzt |
| 8.16 | Überwachungstätigkeiten | Ja | Auffällige Aktivitäten und Betriebsprobleme müssen rechtzeitig erkannt werden. | teilweise umgesetzt |
| 8.17 | Uhrensynchronisation | Ja | Vergleichbare Zeitangaben sind für Protokollauswertung und koordinierte Systemabläufe erforderlich. | teilweise umgesetzt |
| 8.18 | Privilegierte Dienstprogramme | Ja | Privilegierte Hilfsprogramme können Schutzmechanismen umgehen und weitreichende Änderungen vornehmen. | teilweise umgesetzt |
| 8.19 | Software-Installation auf Systemen | Ja | Installierte Software beeinflusst Sicherheit und Stabilität unserer betriebenen Systeme. | umgesetzt |
| 8.20 | Netzwerksicherheit | Ja | Unsere mobilen Arbeitsplätze und Cloud-Leistungen sind auf geschützte Netzwerkverbindungen angewiesen. | umgesetzt |
| 8.21 | Sicherheit von Netzdiensten | Ja | Netzwerkdienste tragen die Kommunikation und Erreichbarkeit unserer Systeme. | teilweise umgesetzt |
| 8.22 | Netztrennung (Segregation) | Ja | Kundenumgebungen und interne Dienste benötigen angemessene Trennung ihrer Kommunikationswege. | teilweise umgesetzt |
| 8.23 | Webfilter | Ja | Webzugriffe können mobile Endgeräte und Anwendungen gefährlichen Inhalten aussetzen. | teilweise umgesetzt |
| 8.24 | Einsatz von Kryptografie | Ja | Verschlüsselung und weitere kryptografische Verfahren schützen Informationen und Zugänge. | teilweise umgesetzt |
| 8.25 | Sicherer Entwicklungszyklus | Ja | Wir entwickeln Software, deren Sicherheit über den gesamten Lebenszyklus berücksichtigt werden muss. | umgesetzt |
| 8.26 | Sicherheitsanforderungen an Anwendungen | Ja | Unsere Anwendungen müssen den Sicherheitsbedarf ihrer Daten, Nutzer und Einsatzbereiche berücksichtigen. | teilweise umgesetzt |
| 8.27 | Sichere Architektur-Grundsätze | Ja | Architekturentscheidungen prägen die Sicherheit unserer Plattform und Kundenlösungen. | umgesetzt |
| 8.28 | Sichere Programmierung | Ja | Programmierfehler können Sicherheitslücken in unseren eigenen Anwendungen verursachen. | umgesetzt |
| 8.29 | Sicherheitstests in Entwicklung und Abnahme | Ja | Entwickelte und geänderte Software muss vor ihrem Einsatz auf relevante Sicherheitsprobleme geprüft werden. | umgesetzt |
| 8.30 | Ausgegliederte Entwicklung | Ja | Externe Entwicklungsbeiträge müssen in unsere Sicherheitsanforderungen und Abnahme eingebunden sein. | nicht umgesetzt |
| 8.31 | Trennung von Entwicklung, Test, Produktion | Ja | Entwicklung und Tests dürfen produktive Dienste und Kundendaten nicht unkontrolliert beeinflussen. | umgesetzt |
| 8.32 | Änderungssteuerung (Change Management) | Ja | Änderungen an Systemen und Anwendungen können neue Sicherheits- und Betriebsrisiken schaffen. | umgesetzt |
| 8.33 | Testinformation | Ja | Testdaten müssen ihren Zweck erfüllen, ohne schutzbedürftige Informationen offenzulegen. | teilweise umgesetzt |
| 8.34 | Schutz von Systemen während Audits | Ja | Audit- und Sicherheitstests dürfen produktive Systeme und verarbeitete Informationen nicht gefährden. | umgesetzt |