ISO 27001:2022 · A.5.25 · A.5 Organisatorische Maßnahmen
Beurteilung und Entscheidung über Ereignisse
Die Organisation muss Informationssicherheitsereignisse beurteilen und entscheiden, ob sie als Informationssicherheitsvorfälle einzustufen sind.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Die Organisation muss Informationssicherheitsereignisse beurteilen und entscheiden, ob sie als Informationssicherheitsvorfälle einzustufen sind.
Warum ist das wichtig?
Nicht jedes Ereignis ist ein Vorfall. Eine klare Bewertung verhindert sowohl Überreaktion als auch das Übersehen echter Vorfälle und priorisiert die Reaktion.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 32 BSIG | Bewertung von Vorfällen | Direkt |
| TISAX | 1.6.1 | Ereignisbewertung | Direkt |
| BSI | DER.2.1 | Bewertung von Vorfällen | Direkt |
Was der Auditor erwartet
- Kriterien zur Bewertung und Klassifizierung von Ereignissen
- Definierte Schweregrade und Priorisierung
- Nachvollziehbare Entscheidungen Ereignis vs. Vorfall
Audit-Checkliste
Dokumente
Klassifizierungsschema für EreignisseKriterien und Schweregrade
Nachweise
Bewertete EreignisseDokumentierte Einstufung als Ereignis oder Vorfall
Triage-EntscheidungenIm Ticket-/Vorfallsystem festgehaltene Bewertung inklusive der Einstufung als kein Vorfall
Bewertungsmatrix im IR-PlanAngewandte Kriterien zu betroffenen Systemen, Nutzern und personenbezogenen Daten
Praxis-Tipps zur Umsetzung
Schweregrade definierenKlare Stufen mit Beispielen erleichtern eine schnelle, konsistente Einstufung.
Verantwortliche benennenFestlegen, wer über die Einstufung entscheidet.
Entscheidung dokumentierenAuch die Einstufung als unkritisch nachvollziehbar festhalten.
Häufige Fehler
Alles ist kritischFehlende Abstufung führt zu Alarmmüdigkeit.
Keine DokumentationBewertungen werden getroffen, aber nicht festgehalten.
Häufig gestellte Fragen
Wann wird ein Ereignis zum Vorfall?
Wenn es die Vertraulichkeit, Integrität oder Verfügbarkeit tatsächlich gefährdet oder beeinträchtigt, gemäß den definierten Kriterien.
Wer entscheidet über die Einstufung?
Eine vorab benannte Rolle, etwa der ISB oder das Incident-Team, anhand des Klassifizierungsschemas.
Müssen auch unkritische Ereignisse erfasst werden?
Ja, auch sie liefern wertvolle Hinweise und die Entscheidung sollte dokumentiert sein.
So hilft CompliantDesk bei A.5.25
Eingehende Ereignisse werden im Vorfall-Modul klassifiziert und priorisiert, die Einstufungsentscheidung wird revisionssicher protokolliert.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten