ISO 27001:2022 · A.5.10 · A.5 Organisatorische Maßnahmen
Zulässige Nutzung von Werten
Regeln für die zulässige Nutzung sowie Verfahren für den Umgang mit Informationen und anderen Werten müssen festgelegt, dokumentiert und umgesetzt werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Regeln für die zulässige Nutzung sowie Verfahren für den Umgang mit Informationen und anderen Werten müssen festgelegt, dokumentiert und umgesetzt werden.
Warum ist das wichtig?
Klare Nutzungsregeln verhindern Missbrauch und Fehlgebrauch von Systemen und Daten. Sie geben Mitarbeitern Orientierung, was erlaubt ist und was nicht.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.4.1 | Nutzung von Werten | Direkt |
| BSI | ORP.1.A1 | Regelungen zur Nutzung | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 7 BSIG | Cyberhygiene & Schulung | Direkt |
Was der Auditor erwartet
- Nutzungsrichtlinie (Acceptable Use Policy)
- Handhabungsregeln je Klassifizierungsstufe
- Bekanntmachung und Bestätigung durch Mitarbeiter
Audit-Checkliste
Dokumente
Acceptable Use PolicyErlaubte und unzulässige Nutzung von IT und Daten
Nachweise
Bestätigungen der MitarbeiterNachweis, dass die Regeln akzeptiert wurden
Erneute Bestätigung bei ÄnderungAcknowledgment-Nachweise nach jeder relevanten Aktualisierung der Regeln
Vertragliche VerankerungVerweis in Arbeitsverträgen oder Betriebsvereinbarung
Interviews
MitarbeiterKenntnis der Nutzungsregeln
Praxis-Tipps zur Umsetzung
Konkret werdenPrivate Nutzung, Cloud-Dienste und Datenweitergabe klar regeln.
An Klassifizierung koppelnHandhabungsregeln je Schutzstufe definieren.
Bestätigen lassenRegeln nachweisbar durch alle Nutzer akzeptieren lassen.
Häufige Fehler
Zu allgemeinFloskeln statt konkreter, prüfbarer Nutzungsregeln.
Nicht bestätigtNiemand hat die Nutzungsregeln nachweislich akzeptiert.
Häufig gestellte Fragen
Darf private Internetnutzung erlaubt sein?
Ja, sofern klar geregelt. Wichtig ist eine eindeutige, kommunizierte Vorgabe.
Wie hängt das mit der Klassifizierung zusammen?
Die Handhabungsregeln richten sich nach der Schutzstufe der jeweiligen Information.
Reicht eine Erwähnung im Arbeitsvertrag?
Der Vertrag kann verweisen, die konkreten Regeln gehören in eine eigene, bestätigte Richtlinie.
So hilft CompliantDesk bei A.5.10
Hinterlegen Sie die Acceptable Use Policy als Richtlinie und lassen Sie sie von allen Mitarbeitern per Magic-Link bestätigen.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten