A.5 Organisatorische Maßnahmen
Kennzeichnung von Informationen
Ein angemessener Satz von Verfahren zur Kennzeichnung von Informationen muss entsprechend dem Klassifizierungsschema der Organisation entwickelt und umgesetzt werden.
Was fordert dieses Control?
Ein angemessener Satz von Verfahren zur Kennzeichnung von Informationen muss entsprechend dem Klassifizierungsschema der Organisation entwickelt und umgesetzt werden.
Warum ist das wichtig?
Kennzeichnung macht die Schutzstufe sichtbar und steuert den richtigen Umgang. Ohne Labels wissen Mitarbeiter und Systeme nicht, wie sensibel eine Information ist.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| TISAX | 1.4.2 | Direkt |
| BSI | CON.2 | Indirekt |
Was der Auditor erwartet
- 1Verfahren zur Kennzeichnung je Klassifizierungsstufe
- 2Sichtbare Labels in Dokumenten und Systemen
- 3Umgang mit Kennzeichnung beim Informationstransfer
Audit-Checkliste
Dokumente
Kennzeichnungsverfahren
Wie Informationen je Stufe markiert werden
Nachweise
Gekennzeichnete Dokumente
Beispiele mit korrekter Klassifizierungskennzeichnung
Technisch
Labeling-Tool
Automatische Kennzeichnung, z.B. über M365 Sensitivity Labels
Praxis-Tipps zur Umsetzung
Automatisieren
Sensitivity Labels in M365 erleichtern konsistente Kennzeichnung.
Einheitlich gestalten
Klare, wiedererkennbare Labels in Kopf-/Fußzeilen und Metadaten.
Transfer mitdenken
Kennzeichnung muss auch bei Versand und Konvertierung erhalten bleiben.
Häufige Fehler
Klassifiziert, aber nicht gekennzeichnet
Die Stufe ist bekannt, aber nirgends sichtbar.
Uneinheitlich
Jeder kennzeichnet anders, Labels sind nicht wiedererkennbar.
Häufig gestellte Fragen
Müssen alle Dokumente sichtbar gelabelt werden?
Schützenswerte ja. Für nicht klassifizierte Inhalte kann eine Standardregel genügen.
Wie kennzeichnet man E-Mails?
Über Betreff-Tags, Footer-Hinweise oder automatische Sensitivity Labels.
Was passiert bei Weitergabe?
Die Kennzeichnung muss erhalten bleiben und beim Transfer berücksichtigt werden (siehe A.5.14).
So hilft CompliantDesk bei A.5.13
Dokumente im DMS tragen ihre Klassifizierung sichtbar, und über die M365-Integration lassen sich Sensitivity Labels nachweisen.