ISO 27001:2022 · A.5.3 · A.5 Organisatorische Maßnahmen
Aufgabentrennung
Einander widersprechende Aufgaben und Verantwortungsbereiche müssen getrennt werden, um das Risiko von Betrug, Fehlern und Umgehung von Sicherheitsmaßnahmen zu reduzieren.
ISO 27001TISAXBSIDORANIS2
Was fordert dieses Control?
Einander widersprechende Aufgaben und Verantwortungsbereiche müssen getrennt werden, um das Risiko von Betrug, Fehlern und Umgehung von Sicherheitsmaßnahmen zu reduzieren.
Warum ist das wichtig?
Funktionstrennung verhindert, dass eine Person kritische Prozesse allein und unkontrolliert durchführt. Sie ist eine zentrale Maßnahme gegen Insider-Missbrauch.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.2.2 | Funktionstrennung | Direkt |
| BSI | ORP.1.A2 | Funktionstrennung | Direkt |
| DORA | Art. 5 | Governance | Indirekt |
| NIS2 | § 30 Abs. 2 Nr. 9 BSIG | Zugriffskontrolle & Assets | Direkt |
Was der Auditor erwartet
- Identifizierte, kritische Funktionskonflikte
- Trennung oder kompensierende Kontrollen
- Vier-Augen-Prinzip bei kritischen Vorgängen
Audit-Checkliste
Dokumente
SoD-Konzept / RegelwerkWelche Aufgaben nicht in einer Hand liegen dürfen
Nachweise
BerechtigungsanalyseNachweis, dass konfligierende Rechte getrennt sind
Freigabe-Workflow-KonfigurationErzwungene Vier-Augen-Schritte, etwa Merge-Request- oder Genehmigungspflicht
Dokumentierte kompensierende KontrollenProtokollierung und nachgelagerte Prüfung, wo Trennung personell nicht möglich ist
Technisch
Rollen-/RechtevergabeTrennung in den produktiven Systemen
Praxis-Tipps zur Umsetzung
Kritische Konflikte zuerstAuf Vergabe und Genehmigung von Rechten, Zahlungen und Admin-Rechte fokussieren.
Kompensieren bei kleinen TeamsWo Trennung unmöglich ist, durch Protokollierung und Reviews ausgleichen.
Vier-Augen verankernKritische Aktionen technisch oder organisatorisch doppelt absichern.
Häufige Fehler
Admin macht allesEine Person vergibt, genehmigt und kontrolliert Rechte zugleich.
Kein Ausgleich im kleinen TeamTrennung wird als unmöglich abgetan, ohne kompensierende Kontrollen.
Häufig gestellte Fragen
Wie geht Funktionstrennung im kleinen Team?
Über kompensierende Kontrollen wie Protokollierung, regelmäßige Reviews und das Vier-Augen-Prinzip an kritischen Stellen.
Welche Konflikte sind besonders kritisch?
Beantragung und Genehmigung von Berechtigungen, Entwicklung und Produktivsetzung sowie Zahlungsfreigaben.
Muss SoD technisch erzwungen werden?
Idealerweise ja, wo nicht möglich genügen dokumentierte organisatorische Kontrollen.
So hilft CompliantDesk bei A.5.3
CompliantDesk setzt Vier-Augen- und Funktionstrennungsregeln im ISMS technisch um, etwa bei der Freigabe von Risiken, DSFA und Richtlinien.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten