ISO 27001:2022 · A.5.13 · A.5 Organisatorische Maßnahmen
Kennzeichnung von Informationen
Ein angemessener Satz von Verfahren zur Kennzeichnung von Informationen muss entsprechend dem Klassifizierungsschema der Organisation entwickelt und umgesetzt werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Ein angemessener Satz von Verfahren zur Kennzeichnung von Informationen muss entsprechend dem Klassifizierungsschema der Organisation entwickelt und umgesetzt werden.
Warum ist das wichtig?
Kennzeichnung macht die Schutzstufe sichtbar und steuert den richtigen Umgang. Ohne Labels wissen Mitarbeiter und Systeme nicht, wie sensibel eine Information ist.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.4.2 | Kennzeichnung | Direkt |
| BSI | CON.2 | Kennzeichnung | Indirekt |
| NIS2 | § 30 Abs. 2 Nr. 1 BSIG | Risikoanalyse & Sicherheitskonzepte | Indirekt |
Was der Auditor erwartet
- Verfahren zur Kennzeichnung je Klassifizierungsstufe
- Sichtbare Labels in Dokumenten und Systemen
- Umgang mit Kennzeichnung beim Informationstransfer
Audit-Checkliste
Dokumente
KennzeichnungsverfahrenWie Informationen je Stufe markiert werden
Nachweise
Gekennzeichnete DokumenteBeispiele mit korrekter Klassifizierungskennzeichnung
Gelabelte VorlagenDokumentvorlagen mit Kennzeichnung in Kopf-/Fußzeile und Mail-Betreff-Präfixen
Label-KonfigurationKonfigurierte Sensitivity Labels, etwa in Microsoft Purview
Technisch
Labeling-ToolAutomatische Kennzeichnung, z.B. über M365 Sensitivity Labels
Praxis-Tipps zur Umsetzung
AutomatisierenSensitivity Labels in M365 erleichtern konsistente Kennzeichnung.
Einheitlich gestaltenKlare, wiedererkennbare Labels in Kopf-/Fußzeilen und Metadaten.
Transfer mitdenkenKennzeichnung muss auch bei Versand und Konvertierung erhalten bleiben.
Ausnahmen festlegenDort, wo Kennzeichnung unpraktikabel ist, bewusste Ausnahmen definieren statt sie zu unterlassen.
Häufige Fehler
Klassifiziert, aber nicht gekennzeichnetDie Stufe ist bekannt, aber nirgends sichtbar.
UneinheitlichJeder kennzeichnet anders, Labels sind nicht wiedererkennbar.
Häufig gestellte Fragen
Müssen alle Dokumente sichtbar gelabelt werden?
Schützenswerte ja. Für nicht klassifizierte Inhalte kann eine Standardregel genügen.
Wie kennzeichnet man E-Mails?
Über Betreff-Tags, Footer-Hinweise oder automatische Sensitivity Labels.
Was passiert bei Weitergabe?
Die Kennzeichnung muss erhalten bleiben und beim Transfer berücksichtigt werden (siehe A.5.14).
So hilft CompliantDesk bei A.5.13
Dokumente im DMS tragen ihre Klassifizierung sichtbar, und über die M365-Integration lassen sich Sensitivity Labels nachweisen.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten