ISO 27001:2022 · A.5.12 · A.5 Organisatorische Maßnahmen
Klassifizierung von Informationen
Informationen müssen entsprechend den Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit sowie den relevanten Interessen klassifiziert werden.
ISO 27001TISAXBSIDSGVONIS2
Was fordert dieses Control?
Informationen müssen entsprechend den Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit sowie den relevanten Interessen klassifiziert werden.
Warum ist das wichtig?
Klassifizierung steuert, wie stark eine Information geschützt werden muss. Ohne sie wird entweder über- oder unterschützt, beides ist ineffizient und riskant.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.4.2 | Klassifizierung | Direkt |
| BSI | CON.2 | Datenschutz / Klassifizierung | Direkt |
| DSGVO | Art. 32 | Schutzniveau | Indirekt |
| NIS2 | § 30 Abs. 2 Nr. 1 BSIG | Risikoanalyse & Sicherheitskonzepte | Indirekt |
Was der Auditor erwartet
- Definiertes Klassifizierungsschema
- Angewandte Klassifizierung auf reale Informationen
- Bezug zu Schutzmaßnahmen je Stufe
Audit-Checkliste
Dokumente
KlassifizierungsschemaStufen mit Kriterien für Vertraulichkeit, Integrität, Verfügbarkeit
Nachweise
Klassifizierte WerteAnwendung des Schemas im Asset-Inventar
Klassifizierte BeispieldokumenteReale Dokumente mit korrekter Einstufung
Handlungsregeln je StufeKonkrete Umgangsvorgaben, die an die jeweilige Schutzstufe geknüpft sind
Interviews
Asset OwnerWie sie Informationen einstufen
Praxis-Tipps zur Umsetzung
Wenige StufenDrei bis vier klare Stufen sind praktikabler als ein komplexes Schema.
Mit Maßnahmen verbindenJede Stufe braucht konkrete Handhabungs- und Schutzregeln.
Einfach anwendbarMitarbeiter müssen die Einstufung im Alltag ohne Aufwand vornehmen können.
Personenbezogene Daten hoch einstufenPersonenbezogene Daten mindestens als vertraulich behandeln.
Häufige Fehler
Schema ohne AnwendungStufen sind definiert, aber nichts ist klassifiziert.
Zu viele StufenEin überkomplexes Schema wird in der Praxis ignoriert.
Häufig gestellte Fragen
Wie viele Klassifizierungsstufen sind sinnvoll?
Meist drei bis vier, etwa öffentlich, intern, vertraulich und streng vertraulich.
Müssen alle Dokumente klassifiziert werden?
Zumindest die schützenswerten. Eine Standardstufe für den Rest reduziert den Aufwand.
Wer legt die Klassifizierung fest?
In der Regel der Asset Owner anhand des definierten Schemas.
So hilft CompliantDesk bei A.5.12
Assets und Informationen werden im Inventar mit Klassifizierung geführt, die unmittelbar Schutzanforderungen und Kontrollen steuert.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten