Im ISMS-Assistenten überführen Sie unter Ziele & Planung die Kontrollentscheidungen aus der Anwendbarkeitserklärung in einen Risikobehandlungsplan, legen messbare Informationssicherheitsziele fest und arbeiten anschließend im Kapitel Implementierung die Durchführungskriterien jeder geplanten Kontrolle ab. Auf der ersten Seite setzen Sie für jede anwendbare Kontrolle einen Umsetzungsstatus mit verantwortlicher Person und Zieldatum, auf der zweiten definieren Sie Ziele auf Programm-, Risiko- und Kontrollebene, und im Folgekapitel zerlegen Sie die geplanten Kontrollen in zuweisbare Aufgaben.
Risikobehandlungsplan aufstellen
Kapitel „Ziele & Planung“ öffnen
Öffnen Sie den ISMS-Assistenten und wechseln Sie in das Kapitel Ziele & Planung. Die Einführungsseite zeigt zwei Themenkarten: Risikobehandlungsplan und Informationssicherheitsziele. Beginnen Sie mit dem Behandlungsplan.
Umsetzungsstatus je Kontrolle setzen
Die Seite Risikobehandlungsplan listet jede anwendbare Kontrolle aus der Anwendbarkeitserklärung, gruppiert nach den Themen organisatorisch, personell, physisch und technologisch. Setzen Sie im Feld Status je Kontrolle einen der vier Werte: Umgesetzt, Geplant, Zurückgestellt oder Nicht begonnen. Beginnen Sie mit den bereits operativen Kontrollen und setzen Sie diese auf Umgesetzt, damit die Zusammenfassungs-Kacheln oben eine realistische Ausgangslage zeigen.
Verantwortliche, Termine und Begründungen ergänzen
Bei Geplant erscheinen die Felder Verantwortlich und Zieldatum. Füllen Sie beide sofort aus, damit eine geplante Kontrolle eindeutig von einer zurückgestellten unterscheidbar bleibt. Bei Zurückgestellt erscheint ein Begründungsfeld; tragen Sie dort den Grund ein, etwa eine ausstehende Budgetfreigabe oder eine Abhängigkeit von einem anderen Projekt. Über die Risiko-Kontext-Zeile einer Kontrolle klappen Sie die zugeordneten Szenarien mit ihren Vorher/Nachher-Risikoniveaus auf und schätzen so die Dringlichkeit ein.
Genehmigung der Risikoeigner einholen
Im Abschnitt Genehmigung der Risikoeigner halten Sie fest, dass die risikoverantwortlichen Personen den Behandlungsplan genehmigt und die verbleibenden Risiken über Alle Residualrisiken akzeptieren angenommen haben. ISO 27001 verlangt diese Zustimmung ausdrücklich (Abschnitt 6.1.3 f). Speichern Sie über Speichern & Weiter.
Ergebnis: Jede anwendbare Kontrolle trägt einen Umsetzungsstatus, geplante Kontrollen haben eine verantwortliche Person und ein Zieldatum, zurückgestellte eine Begründung, und die Genehmigung der Risikoeigner ist dokumentiert.
Sicherheitsziele festlegen
Ziele auf drei Ebenen anlegen
Die Seite Informationssicherheitsziele ist in drei Reiter gegliedert: Programmziele (strategische ISMS-Reife), Risikoziele (Wirksamkeit der Risikobehandlung) und Kontrollziele (operativ an einzelne Kontrollen gebunden). Cenedril schlägt zu jedem Reiter Ziele vor, geordnet in fünf Vorlagen-Gruppen: ISMS-Reife, Kontroll-KPIs, Schutzbedarf zentraler Assets, Stakeholder-Anforderungen und die Messgrößen der ISO/IEC 27004. Übernehmen Sie passende Vorlagen oder legen Sie über Ziel hinzufügen ein eigenes Ziel an.
Jedes Ziel messbar machen
Tragen Sie für jedes Ziel ein, was getan wird, wer verantwortlich ist, das Zieldatum und wie die Ergebnisse bewertet werden. Wählen Sie unter Messungsart zwischen Binär (ja/nein), KPI (messbarer Zielwert) und Periodische Überprüfung. Bei einem KPI ergänzen Sie Zielwert und Einheit sowie die Ampel-Schwellen für Grün und Gelb; der Balken unter den Feldern zeigt die Zonen visuell.
Ziele speichern und ins Kapitel Implementierung wechseln
Über Als Entwurf speichern sichern Sie Zwischenstände, über Speichern & Weiter schließen Sie das Kapitel Ziele & Planung ab. Der Assistent führt anschließend in das Kapitel Implementierung.
Ergebnis: Das ISMS ist messbar. Jedes Ziel hält fest, was getan wird, wer verantwortlich ist, bis wann, welche Datenquelle die Messung speist und wo die Ampel-Schwellen liegen.
Kontrollen umsetzen
Geplante Kontrollen in Arbeitspakete aufschlüsseln
Im Kapitel Implementierung öffnen Sie die Seite Risikokontrollmaßnahmen umsetzen. Sie zeigt jede im Behandlungsplan als geplant markierte Kontrolle, gruppiert nach Thema. Jede Kontrolle klappt zu Gruppen von Durchführungskriterien aus ISO 27002 auf, wobei jede Gruppe ein logisches Arbeitspaket bildet. Beginnen Sie mit den Kontrollen, deren Zieldatum am nächsten liegt; es steht im Header jeder Kontrollkarte.
Kriterien abhaken und Aufgaben erstellen
Haken Sie die einzelnen Kriterien einer Gruppe ab, während Sie sie bearbeiten, und erstellen Sie über Aufgabe für diese Gruppe erstellen je Arbeitspaket eine Aufgabe im Cenedril-Aufgabensystem. Der kleine Pfeil neben einem Kriterium klappt die Umsetzungsdetails auf: Anleitung, Teilaufgaben, RACI und geschätzten Aufwand. Ein Cenedril-Badge an einem Kriterium weist darauf hin, dass dieses über ein bestehendes Artefakt der Plattform umgesetzt wird, etwa eine Richtlinie, ein Register oder die Management-Review-Durchführung. Prüfen Sie das verknüpfte Artefakt, bevor Sie eine neue Aufgabe erstellen.
Ergebnis: Jede geplante Kontrolle ist in Arbeitspakete aufgeschlüsselt, die Kriterien sind abgehakt, und die Aufgaben für die operative Arbeit liegen im System. Das nächste Kapitel, Leistungsbewertung, misst, ob die Umsetzung die gesetzten Ziele erreicht.