ISO 27001:2022 · A.5.2 · A.5 Organisatorische Maßnahmen
Informationssicherheitsrollen und -verantwortlichkeiten
Rollen und Verantwortlichkeiten für die Informationssicherheit müssen entsprechend den Anforderungen der Organisation definiert und zugewiesen werden.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Rollen und Verantwortlichkeiten für die Informationssicherheit müssen entsprechend den Anforderungen der Organisation definiert und zugewiesen werden.
Warum ist das wichtig?
Nur wenn klar ist, wer wofür verantwortlich ist, werden Sicherheitsaufgaben verlässlich wahrgenommen. Unklare Zuständigkeiten sind eine der häufigsten Audit-Lücken.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 38 BSIG | Verantwortung der Leitung | Direkt |
| TISAX | 1.2.1 | Verantwortlichkeiten | Direkt |
| BSI | ISMS.1.A2 | Sicherheitsbeauftragter | Direkt |
Was der Auditor erwartet
- Dokumentierte Rollen mit klaren Verantwortlichkeiten
- Benannte Verantwortliche (z.B. ISB) mit Mandat
- Nachvollziehbare Zuweisung an konkrete Personen
Audit-Checkliste
Dokumente
Rollen- und VerantwortungsmatrixWelche Rolle welche Sicherheitsaufgaben trägt
Nachweise
Benennungsnachweis ISBFormale Ernennung mit Mandat und Ressourcen
Organigramm mit VertretungRollenzuschnitt und geregelte Vertretung der Kernrollen
Ausgefüllte RACI-MatrixZuordnung konkreter Sicherheitsaufgaben zu Personen
Interviews
RolleninhaberKennen sie ihre Sicherheitsverantwortung
Praxis-Tipps zur Umsetzung
RACI nutzenEine RACI-Matrix macht Verantwortung, Mitwirkung und Information eindeutig.
Mandat gebenDer ISB braucht Befugnisse und Ressourcen, nicht nur einen Titel.
Auf Personen herunterbrechenRollen konkreten Personen zuordnen, nicht nur abstrakt beschreiben.
Häufige Fehler
ISB ohne MandatEin Beauftragter ist benannt, hat aber weder Befugnisse noch Zeit.
Nur Rollen, keine PersonenVerantwortlichkeiten bleiben abstrakt und werden nicht zugewiesen.
Gebündelte Rollen ohne AusgleichRollen werden im kleinen Team zusammengelegt, ohne den Interessenkonflikt zu dokumentieren und zu kompensieren.
Häufig gestellte Fragen
Brauchen wir einen hauptamtlichen ISB?
Nicht zwingend, die Rolle kann je nach Größe in Teilzeit oder extern besetzt werden, braucht aber ein echtes Mandat.
Darf der IT-Leiter auch ISB sein?
Möglich, aber wegen Interessenkonflikten kritisch. Eine gewisse Unabhängigkeit ist vorzuziehen.
Wie dokumentiert man Rollen am besten?
Über eine Rollenmatrix oder ein Rollenregister mit Zuordnung zu konkreten Personen.
So hilft CompliantDesk bei A.5.2
Hinterlegen Sie ISMS-Rollen mit Verantwortlichkeiten und Inhabern und verknüpfen Sie sie mit Aufgaben, Kontrollen und Reviews.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten