Compliance Glossar

Administrative Kontrollen charakterisieren die menschlichen Sicherheitsfaktoren auf allen Mitarbeiterebenen eines Unternehmens und legen fest, welche Benutzer auf welche Ressourcen und Informationen zugreifen dürfen. Dies geschieht beispielsweise durch: – Schulungen und Sensibilisierungsprogramme für Mitarbeiter – Vorbereitung von Unternehmen auf Katastrophen und Bereitstellung von Notfallplänen – Trennungsstrategien…

Die fortgeschrittene elektronische Signatur ist eine digitale Signatur, die den Unterzeichner anhand eines fortgeschrittenen Zertifikats eindeutig identifiziert. Die Signaturschlüssel werden vom Unterzeichner (der allein im Besitz des Signaturschlüssels ist) mit hoher Sicherheit verwendet. Eine elektronische Signatur gilt gemäß eIDAS als fortgeschritten, wenn sie mehrere Kriterien erfüllt…

Ein Vermögenswert kann immateriell (z. B. Menschen, Daten, Software, Informationen, Fähigkeiten, Funktionen, Marken, Dienstleistungen, Urheberrechte, Bilder, Patente, geistiges Eigentum oder Reputation) oder materiell (z. B. ein physischer Gegenstand wie Hardware, eine Computerplattform, Firmware, ein Netzwerkgerät oder andere Technologiekomponenten) sein. Der Wert eines Vermögenswerts wird von den Beteiligten im Falle eines Ereignisses wie … festgelegt.

Ein IT-Team pflegt ein Anlagenverzeichnis, um sicherzustellen, dass es einem Unternehmen die benötigten IT-Ressourcen kosteneffektiv und effizient bereitstellt. Die im Verzeichnis gespeicherten Anlagendaten umfassen Standort, Benutzer, Leistung, Wartung und Support, Dokumentation, Lizenzen, Lebenszyklusphase, Compliance, Kosten und vieles mehr. IT-Anlagen können beispielsweise Hardware wie Server umfassen.

Die Geschäftskontinuitätsplanung (Business Continuity Planning, BCP) umfasst die Entwicklung präventiver und Wiederherstellungssysteme, um potenziellen Cyberbedrohungen für ein Unternehmen entgegenzuwirken oder die Prozesskontinuität im Falle eines Cyberangriffs sicherzustellen. Ein weiteres Ziel der BCP ist die Gewährleistung der Betriebskontinuität sowohl vor als auch während der Durchführung der Notfallwiederherstellung. Die Planung betrifft das Personal…

Als klassifizierte nationale Sicherheitsinformationen, auch als klassifizierte Informationen bezeichnet, gelten Informationen, für die eine Vorgängerverordnung den Schutz vor unbefugter Offenlegung vorschreibt oder die gemäß EO 12958 in der Fassung von EO 13292 geregelt wurden und die in Dokumentenform als klassifiziert gekennzeichnet sind.

Cybersicherheitskontrollen sind speziell entwickelte Mechanismen, die dazu dienen, Cyberangriffe und Bedrohungen für Daten zu verhindern, zu erkennen und zu reduzieren. Dazu gehören Intrusion-Prevention-Systeme und DDoS-Abwehrmaßnahmen.

Das grundlegende Ziel der Zugriffskontrolle in der CIA-Triade ist die Wahrung und Sicherung der Vertraulichkeit, Integrität und Zugänglichkeit von Systemen, Informationen und Ressourcen.

Korrekturmaßnahmen sind methodische Schritte, die von einer Organisation unternommen werden, um Lücken zu schließen, Fehler zu beheben oder andere Probleme zu lösen, die im Rahmen des Sicherheitsprogramms des Unternehmens festgestellt wurden und deren zugrunde liegende oder Hauptursache ebenfalls identifiziert wurde.

Korrekturmaßnahmen greifen, nachdem ein Problem oder Vorfall im Bereich der Informationssicherheit festgestellt wurde. Diese Maßnahmen dienen dazu, Verbesserungen vorzunehmen, Fehler zu beheben und Korrekturmaßnahmen zu steuern.

Ein Krisenmanagement-Team ist eine Gruppe von Cybersicherheitsexperten, die für die Identifizierung und Bewältigung von Krisen innerhalb eines Unternehmens verantwortlich ist. Zu ihren Aufgaben gehören die Analyse des aktuellen Geschehens, die Beschreibung potenzieller Risiken und die Minimierung der Folgen.

Ein Krisenmanagementteam ist eine Gruppe von Cybersicherheitsexperten, die für die Identifizierung und Bewältigung von Krisen innerhalb eines Unternehmens verantwortlich ist. Zu ihren Aufgaben gehören die Analyse des aktuellen Geschehens, die Identifizierung potenzieller Risiken und die Minimierung der Folgen. 

Kritische Infrastruktur bezeichnet die physischen Anlagen und IT-Systeme, die für das Unternehmen so wichtig sind, dass ihre Zerstörung oder Funktionsunfähigkeit schwerwiegende Auswirkungen auf die wirtschaftliche oder physische Sicherheit oder die öffentliche Gesundheit und Sicherheit hätte.

Sämtliches Material, einschließlich Geräte, Dokumente oder Ausrüstungen, die kryptografische Informationen enthalten und für die Authentifizierung, Verschlüsselung oder Entschlüsselung von Telekommunikationsdaten unerlässlich sind.

Kryptografische Verfahren dienen dazu, die Vertraulichkeit und Integrität von Daten auch gegenüber Angreifern zu gewährleisten. Je nach Sicherheitsanforderungen und Bedrohungslage können verschiedene kryptografische Methoden, wie beispielsweise Public-Key- und symmetrische Kryptografie, während der Datenübertragung und -speicherung eingesetzt werden.

 Sämtliches Material, einschließlich Geräte, Dokumente oder Ausrüstungen, die kryptografische Informationen enthalten und für die Authentifizierung, Verschlüsselung oder Entschlüsselung von Telekommunikationsdaten unerlässlich sind.

Die Datenklassifizierung ist eine Methode zur Kategorisierung und Definition von Dateien und anderen kritischen Geschäftsinformationen anhand ihrer Informationssensibilität. Sie wird hauptsächlich in großen Unternehmen eingesetzt, um Sicherheitssysteme zu entwickeln, die strengen Sicherheitsrichtlinien entsprechen, ist aber auch in kleineren Umgebungen effektiv.

Datenwiederherstellung ist die Methode zur Wiederherstellung von Daten, die verloren gegangen, beschädigt, versehentlich gelöscht oder unzugänglich geworden sind. In der Unternehmens-IT bezieht sich Datenwiederherstellung typischerweise auf die Wiederherstellung von Daten auf einem Desktop-PC, Server, Laptop oder externen Speichersystem aus einem vorhandenen Backup.

Die Datenwiederherstellung ist der Prozess, bei dem gesicherte Daten von einem Sekundärspeicher wiederhergestellt und an einem neuen oder ursprünglichen Speicherort gespeichert werden. Eine Wiederherstellung wird durchgeführt, um Daten an einen neuen Speicherort zu verschieben oder um gestohlene, verlorene oder beschädigte Daten in ihren ursprünglichen Zustand zurückzuversetzen.

Detektive Kontrollmechanismen sind die Hauptbestandteile eines Cybersicherheitsprogramms, da sie Einblick in Sicherheitslücken, schädliche Aktivitäten und Angriffe auf die IT-Umgebung eines Unternehmens ermöglichen. Zu diesen Kontrollmechanismen gehören die kontinuierliche Überwachung, die Protokollierung von Ereignissen und die Alarmierung, die ein effektives IT-Management unterstützen.

Abschreckende Kontrollmaßnahmen sind administrative Mechanismen (wie Richtlinien, Standards, Verfahren, Gesetze, Leitlinien und Vorschriften), die dazu dienen, die Umsetzung von Sicherheitsmaßnahmen innerhalb eines Unternehmens zu steuern.

Ein digitales Zertifikat ist eine elektronische Datei, die mit einem kryptografischen Schlüsselpaar verknüpft ist, um die Identität einer Person, Website, eines Geräts, einer Organisation, eines Benutzers oder eines Servers zu authentifizieren. Es wird auch als Identitätszertifikat oder Public-Key-Zertifikat bezeichnet.

Eine digitale Signatur ist ein mathematisches Verfahren, das die Authentizität und Integrität von Software, Nachrichten oder digitalen Dokumenten sicherstellt. Sie ist das digitale Äquivalent eines Stempels oder einer handschriftlichen Unterschrift, bietet aber ein deutlich höheres Maß an Sicherheit.

Kritische Ereignisse wie Cyberangriffe, Naturkatastrophen (Erdbeben, Überschwemmungen usw.) oder Hardwareausfälle wie Router- oder Serverausfälle, die die Aktivitäten eines Unternehmens beeinträchtigen.

Nach Ereignissen wie Cyberangriffen, Naturkatastrophen oder Betriebsunterbrechungen dient die Notfallwiederherstellung (Disaster Recovery, DR) einem Unternehmen dazu, den Zugriff auf und die Kontrolle über seine IT-Infrastruktur wiederzuerlangen. Verschiedene DR-Methoden werden im Rahmen eines Notfallwiederherstellungsplans implementiert. DR ist ein entscheidender Aspekt der Geschäftskontinuität.

„Elektronischer Datensatz“ bezeichnet Aufzeichnungen, Daten oder generierte Daten, Audio- oder visuelle Daten, die in elektronischer Form oder computergenerierter Mikrofiche oder Mikrofilm gespeichert, empfangen oder weitergegeben werden.

Eine elektronische Signatur, auch E-Signatur genannt, bestätigt, dass die Person, die behauptet, eine Nachricht erstellt zu haben, diese auch tatsächlich verfasst hat. Eine Signatur kann als zusätzliche Authentifizierungs- und Sicherheitsebene definiert werden, als eine Art schematisches Skript, das mit einer Person verknüpft ist.

Eine Sicherheitslückenanalyse ist eine gründliche Untersuchung der Sicherheitsvorkehrungen eines Unternehmens gegen verschiedene Formen von Cyberangriffen. Ihr Ziel ist es, die Lücken zwischen dem aktuellen und dem angestrebten Sicherheitszustand unter Berücksichtigung branchenspezifischer Standards zu identifizieren.

Ein digitales Zertifikat ist ein elektronisches „Passwort“, das es einer Person oder Organisation ermöglicht, Daten sicher über das Internet mithilfe der Public-Key-Infrastruktur (PKI) auszutauschen. Digitale Zertifikate werden auch Identitätszertifikate oder Public-Key-Zertifikate genannt.

Inhouse-Recovery bedeutet die Wiederherstellung eines dedizierten physischen Servers oder eines internen Servers während der Datenreplikation oder im Katastrophenfall.

Zugriffsrechte sind die Berechtigungen, die ein einzelner Benutzer oder eine Anwendung in einer Organisation besitzt, um auf eine Computerdatei zuzugreifen, Einstellungen oder Konfigurationen zu ändern oder Anwendungen hinzuzufügen oder zu entfernen. Der IT-Administrator einer Organisation kann Berechtigungen für Dateien, Ordner, Server oder bestimmte Anwendungen auf dem Computer konfigurieren.

Ein Informationsgut ist ein Datensatz, der als eine Einheit definiert und verwaltet wird, sodass er verstanden, geschützt, geteilt und effektiv genutzt werden kann und einen überschaubaren und erkennbaren Wert, Inhalt, Risiko und Lebenszyklus aufweist.

Information Asset Management, auch bekannt als IAM, bezeichnet die Informationsbestände einer Organisation (einschließlich ihrer Metadaten und Daten), die einen Schwerpunkt der EIM-Programme und der Informationsgovernance innerhalb einer Organisation bilden.

Die CIA-Triade ist ein anerkanntes Modell, mit dem Unternehmen ihre Sicherheitskapazitäten und Risiken im Falle eines Cyberangriffs bewerten. Vertraulichkeit bezeichnet Regeln zur Beschränkung des Informationszugriffs, Integrität die Gewährleistung der Richtigkeit und Vertrauenswürdigkeit der Informationen und Verfügbarkeit die Garantie für einen zuverlässigen Zugriff darauf.

Ein Informationssicherheitsmanagementsystem (ISMS) ist ein Satz von Verfahren und Richtlinien zur systematischen Verwaltung sensibler Unternehmensinformationen. Ziel eines ISMS ist es, Risiken zu erkennen und zu minimieren sowie die Geschäftskontinuität durch proaktive Maßnahmen gegen die Auswirkungen von Sicherheitsverletzungen zu gewährleisten.

ISO 27001-Sensibilisierung bezeichnet das Wissen und Verständnis der Mitarbeiter Ihres Unternehmens hinsichtlich der Einhaltung der ISO 27001-Vorschriften und ihrer Bestandteile. Sie trägt dazu bei, Ihre Mitarbeiter über Risiken, Bedrohungen, Vorfälle und Datenschutzverletzungen aufzuklären und ihnen den Umgang mit sensiblen Daten, Software und Assets zu vermitteln. Darüber hinaus unterstützt sie sie dabei, in Fällen von Datenschutzverletzungen effizient zu handeln und die Folgen zu minimieren.

Die Geschäftskontinuitätsplanung (Business Continuity Planning, BCP) nach ISO 27001 ist Teil des übergeordneten Ziels der ISO 27001, nämlich die Bereitstellung eines robusten und zuverlässigen Rahmens für die Informationssicherheit Ihres Unternehmens. Sie beschreibt den strukturierten Ansatz, um die Fähigkeit eines Unternehmens zu gewährleisten, seine Geschäftstätigkeit während und nach Sicherheitsvorfällen effizient fortzuführen. Die wichtigsten Schritte dabei sind…

ISO 27001 Datenvernichtung ist ein integraler Bestandteil des Gesamtkonzepts für das Datenmanagement bei der Entsorgung sensibler und personenbezogener Daten Ihres Unternehmens. Die Norm legt fest, dass die erfassten Daten gelöscht werden müssen, sobald sie ihren Zweck nicht mehr erfüllen, und dass sie nicht wiederhergestellt werden dürfen. Im Folgenden erfahren Sie mehr…

Die ISO 27001 ist in 14 Domänen unterteilt. Diese Unterteilung ermöglicht einen strukturierteren Ansatz für ein ganzheitliches Rahmenwerk, wobei jede Domäne einen wesentlichen Teil der Ziele abdeckt. Die Domänen der ISO 27001 sind: Diese Domänen gewährleisten Personal, Daten, Kontrollen und Systeme…

ISO 27001-KPIs messen die Effizienz und Effektivität Ihres ISMS. Mithilfe dieser Kennzahlen lässt sich die Effektivität Ihrer Maßnahmen zur Reaktion auf Sicherheitsvorfälle, der Zugriffskontrolle und anderer Prozesse bewerten. Die Kennzahlen zeigen auf, welche Bereiche ein akzeptables Effizienzniveau erreichen sollten. Zu den KPIs gehören unter anderem: Weitere…

Der Risikobehandlungsplan nach ISO 27001 ist Bestandteil des gesamten ISO-27001-Rahmenwerks und befasst sich mit der Behandlung und Umsetzung von Maßnahmen Ihres Unternehmens im Hinblick auf identifizierte Sicherheitsrisiken. Dieser Risikobehandlungsplan ist für Ihr Unternehmen von entscheidender Bedeutung, da er Ihnen ermöglicht, Strategien zur Minderung potenzieller Risiken zu entwickeln und Ausfallzeiten, finanzielle Verluste usw. zu reduzieren.

ISO 27001-Schulungen zur Sensibilisierung für IT-Sicherheit sind entscheidend für das Erreichen der Sicherheitsziele gemäß ISO 27001. Laut Rahmenwerk sollten alle Mitarbeiter eines Unternehmens, ob Auftragnehmer oder Freiberufler, Schulungen zur Sensibilisierung für IT-Sicherheit sowie regelmäßige Aktualisierungen zu den Unternehmensrichtlinien und -verfahren erhalten. Die Schulungen hängen jedoch auch von der jeweiligen Funktion ab. Üblicherweise werden Schulungen zur Sensibilisierung für IT-Sicherheit angeboten für…

Die Sicherheitskennzahlen nach ISO 27001 sind entscheidende Indikatoren, die Aufschluss über die Leistung und den Fortschritt Ihres Unternehmens im Hinblick auf die Einhaltung der ISMS-Standards geben. Mithilfe dieser Kennzahlen kann Ihr Unternehmen den Erfolg täglich messen und die Einhaltung gesetzlicher Vorschriften einfach umsetzen. Wichtige Aspekte der Sicherheitskennzahlen nach ISO 27001: Diese Kennzahlen unterstützen Ihr Unternehmen bei der Entscheidungsfindung…

Ein ISO-Audit durch Dritte ist eine Prüfung durch eine unabhängige Stelle, die bewertet, wie Ihr Unternehmen die empfohlenen Maßnahmen anwendet und umsetzt. Geprüft werden dabei die Implementierung von Sicherheitsmaßnahmen in Ihrem Unternehmen sowie deren Effektivität und Effizienz. Audits durch Dritte bestätigen die Einhaltung der Standards eines global anerkannten Rahmenwerks durch Ihr Unternehmen. Sie bieten…

Ein Lead-Auditor verfügt über die notwendigen Fachkenntnisse und Fähigkeiten, um ein Audit eines Informationssicherheits-Managementsystems (ISMS) durchzuführen, indem er allgemein anerkannte Auditverfahren, -prinzipien und -techniken anwendet.

Unter einem Gerichtsverfahren versteht man jede förmliche Mitteilung oder Verfügung eines Gerichts, mit der es die Zuständigkeit über eine Person oder Organisation durch Vorladung, Mandat, Vorladung oder Haftbefehl erlangt. 

Logische Zugriffskontrollen sind automatisierte Systeme, die den Zugriff einer Person auf eine oder mehrere Ressourcen wie Workstations, Anwendungen, Netzwerke oder Datenbanken regeln. Ein logisches Zugriffskontrollsystem erfordert die Authentifizierung der Identität einer Person mithilfe eines Mechanismus wie Biometrie, PIN-Code oder anderer Token. Unterschiedliche Zugriffsrechte können vergeben werden…

Managementkontrollen sind Maßnahmen, die zur Steuerung der Entwicklung, Wartung und Nutzung des Systems ergriffen werden. Dazu gehören Verfahren, systemspezifische Richtlinien und Verhaltensregeln, individuelle Verantwortlichkeiten, individuelle Rollen und Zuständigkeiten sowie Entscheidungen zur Personensicherheit.

Obligatorische Verfahren erläutern die Regeln dafür, wie Mitarbeiter, Partner, Berater, Vorstandsmitglieder und andere Endgerätebenutzer auf Online-Internet- und Anwendungsressourcen zugreifen, Daten über Netzwerke austauschen und auf andere Weise verantwortungsvolle Sicherheitsmaßnahmen ergreifen.

Sicherheitspersonal ist physisch anwesend, um Objekte, Personen, Vermögenswerte usw. vor der Bedrohung durch Eindringen, Diebstahl, Übergriffe oder Sachbeschädigung zu schützen.

Vorkommnisse, bei denen ein Mitarbeiter oder eine andere Vertrauensperson zufällig auf Informationen zugreift und dadurch kein Schaden entsteht, können als nicht informationsbezogene Ereignisse betrachtet werden.

Im Kontext von ISO 27001 ist die Nichtabstreitbarkeit eine der fünf Säulen der Informationssicherheit. Sie bezeichnet die Unmöglichkeit, die Gültigkeit von Informationen zu leugnen, und liefert den Nachweis für deren Herkunft und Integrität. Die Nichtabstreitbarkeit wird durch digitale Signaturen und/oder Verschlüsselung gewährleistet.

Ein Unternehmen läuft Gefahr, gegen die Vorschriften zu verstoßen, wenn es die Anforderungen der ISO 27001 nicht erfüllt, d. h. wenn in der Ereignisdokumentation ein Prozess angegeben ist, den die Organisation nicht befolgt; oder wenn eine Organisation vertragliche Verpflichtungen im Umgang mit Dritten nicht erfüllt.

Organisatorische und technische Sicherheitsmaßnahmen umfassen Maßnahmen, die darauf abzielen, personenbezogene Daten vor versehentlichem Verlust, Veränderung, unrechtmäßiger Zerstörung, unbefugtem Zugriff oder Offenlegung zu schützen, insbesondere wenn die Verarbeitung Daten über ein Netzwerk, während der Übertragung und vor allen anderen unrechtmäßigen Formen der Verarbeitung betrifft.

Organisatorische Kontrollen reduzieren oder mindern das Risiko für die Vermögenswerte der Organisation, einschließlich Personal, Eigentum und Daten, und umfassen jede Art von Richtlinie, Technik, Verfahren, Methode, Lösung, Maßnahme, Plan oder Vorrichtung, die dazu beitragen soll, dieses Ziel zu erreichen.

Der Plan-Do-Check-Act (PDCA/PDSA)-Zyklus ist ein einfacher und effektiver Ansatz mit einer kontinuierlichen Schleife aus Planen, Durchführen, Überprüfen (oder Studieren) und Handeln. Er wird im Allgemeinen verwendet, um Verbesserungsmaßnahmen in kleinerem Maßstab zu testen, bevor Verfahren und Arbeitspraktiken skaliert werden.

Ein System zur Ablage personenbezogener Daten ist jede strukturierte Sammlung personenbezogener Informationen, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob sie dezentral, zentralisiert oder funktional oder geografisch verteilt ist.

Jede juristische Person, die mit „sensiblen personenbezogenen Daten“ oder ähnlichen Informationen umgeht, diese besitzt oder verarbeitet, sollte Standardverfahren und -praktiken für die Sicherheit dieser Daten einhalten.

In der Praxis müssen Organisationen: – den Zweck der Erhebung personenbezogener Daten und deren Absicht klar definieren; – ihre Zwecke durch Einhaltung der Dokumentationspflichten spezifizieren; – Transparenzpflichten erfüllen und die betroffenen Personen über die Zwecke der Erhebung personenbezogener Daten informieren; und – sicherstellen, dass, wenn sie planen, personenbezogene Daten offenzulegen oder zu verwenden…

Die qualitative Risikoanalyse dient der Identifizierung von Risiken und der Analyse ihrer Auswirkungen auf ein Projekt. Projektmanager können Risiken nach Eintrittswahrscheinlichkeit und Auswirkung priorisieren, die Hauptrisikobereiche ermitteln und das Verständnis der Projektrisiken verbessern.

Die quantitative Risikoanalyse liefert numerische Risikocharakterisierungen und stützt sich primär auf bewährte Methoden, Techniken und Modelle aus den verschiedenen Disziplinen, die vom USACE eingesetzt werden. Sie umfasst daher fundierte wirtschaftliche, ingenieurtechnische und umweltbezogene Analysen.

Das Recovery Time Objective (RTO) ist die Zeitspanne während oder nach einer Katastrophe, die vergehen kann, ohne dass ein Unternehmen seine Prozesse oder Dienstleistungen auf ein akzeptables Niveau wiederherstellt, bevor es unerträgliche Folgen im Zusammenhang mit der Störung erleidet.

Während der zwei bis drei Monate, in denen Ihr Unternehmen sein Qualitätssystem aufbaut, sollten Sie sich auf der Website des ANSI-ASQ National Accreditation Board (ANAB) nach einer ISO-Zertifizierungsstelle umsehen, um die für Sie passende auszuwählen. Zertifizierungsstellen müssen die Anforderungen der ISO-Akkreditierungsstellen erfüllen.

Die Fähigkeit eines Systems oder einer Komponente, unter genau festgelegten Bedingungen über einen bestimmten Zeitraum zu funktionieren.

Das Restrisiko ist das Risiko, dem ein Unternehmen ausgesetzt ist, nachdem Sicherheitsmaßnahmen implementiert wurden.

Cyberresilienz ist die Fähigkeit eines Unternehmens, durch die Vorbereitung auf, die Abwehr von und die Erholung von Cyberbedrohungen sowie die Anpassung an bekannte und unbekannte Krisen, Widrigkeiten, Bedrohungen und Herausforderungen eine Beschleunigung des Geschäfts (Unternehmensresilienz) zu ermöglichen.

Eine Authentifizierungsklasse, ein Authentifizierungstyp oder eine Authentifizierungsinstanz birgt ein erhöhtes Risiko der falschen Akzeptanz und unterliegt daher zusätzlichen Anforderungen.

Ein Recovery Point Objective (RPO) ist der maximale Daten- oder Zeitverlust, den ein Unternehmen hinnehmen kann, bevor Schaden oder Risiko für sein Geschäft oder seine Kunden entsteht. Er dient als Richtwert für die Notfallwiederherstellungsplanung und die Datensicherung. RPOs stellen einen früheren Zeitpunkt wieder her, an dem die Daten in einem nutzbaren Format vorlagen.

Besondere Kategorien von Daten sind klassifizierte, sensible Daten, die zusätzliche Sicherheitsmaßnahmen zum Schutz und eine ausdrückliche Einwilligung zur Verarbeitung erfordern. Diese Datenkategorie ist in der DSGVO klar definiert und es sind Maßnahmen zu ihrem Schutz festgelegt.

Zweck dieses Dokuments ist es, die Mitarbeiter zu verpflichten, alle vom Unternehmen in seinem Informationssicherheitsmanagementsystem vorgeschriebenen Dokumente anzugeben.

Eine Anwendbarkeitserklärung ist ein Dokument, das für die ISO 27001-Zertifizierung benötigt wird. In diesem Dokument werden die in Anhang A aufgeführten Kontrollen erklärt, die Ihr Unternehmen zur Minderung von Informationssicherheitsrisiken als notwendig erachtet hat, einschließlich der in Anhang A aufgeführten Kontrollen, die ausgeschlossen wurden.

Hauptzweck der Überwachungsbesuche ist es, dass die Zertifizierungsstelle feststellt, ob Ihr Managementsystem im täglichen Betrieb tatsächlich funktioniert. Dabei werden Aspekte untersucht, die im Rahmen des Zertifizierungsaudits nicht geprüft werden konnten: beispielsweise, ob alle Vorfälle erfasst und alle Korrektur- und Vorbeugungsmaßnahmen ordnungsgemäß dokumentiert wurden.