ISO 27001:2022 · A.5.31 · A.5 Organisatorische Maßnahmen

Rechtliche, gesetzliche, regulatorische und vertragliche Anforderungen

Rechtliche, gesetzliche, regulatorische und vertragliche Anforderungen an die Informationssicherheit sowie die Vorgehensweise zu deren Erfüllung müssen identifiziert, dokumentiert und aktuell gehalten werden.

ISO 27001NIS2DSGVOTISAXBSI

Was fordert dieses Control?

Rechtliche, gesetzliche, regulatorische und vertragliche Anforderungen an die Informationssicherheit sowie die Vorgehensweise zu deren Erfüllung müssen identifiziert, dokumentiert und aktuell gehalten werden.

Warum ist das wichtig?

Compliance-Verstöße führen zu Bußgeldern und Haftung. Ein gepflegtes Register relevanter Anforderungen ist die Basis, um Pflichten überhaupt erfüllen zu können.

Bezug zu anderen Normen

Norm	Stelle	Thema	Bezug
NIS2	§ 30 BSIG	Gesetzliche Anforderungen	Direkt
DSGVO	Art. 5/24	Rechenschaftspflicht	Direkt
TISAX	1.5.1	Compliance	Direkt
BSI	ORP.5	Compliance Management	Direkt

Was der Auditor erwartet

Register relevanter rechtlicher und vertraglicher Anforderungen
Zuordnung zu Maßnahmen und Verantwortlichen
Aktualisierung bei Änderungen der Rechtslage

Audit-Checkliste

Dokumente

Compliance-/AnforderungsregisterRelevante Gesetze, Normen und Verträge mit Bezug zur Sicherheit

Nachweise

AktualisierungsnachweisPflege des Registers bei Rechtsänderungen

Gepflegtes RechtskatasterListe aus Anforderung, Quelle, Bereich, Verantwortlichem und Pflegedatum

Zuordnung Anforderung zu MaßnahmeVerknüpfung jeder Anforderung mit dem erfüllenden Control

Praxis-Tipps zur Umsetzung

Register führenAlle relevanten Anforderungen zentral mit Quelle und Verantwortlichem erfassen.

Auf Updates achtenRechtliche Änderungen systematisch beobachten und einarbeiten.

Auf Maßnahmen mappenJede Anforderung mit der erfüllenden Maßnahme verknüpfen.

Häufige Fehler

Kein RegisterAnforderungen sind nicht systematisch erfasst, Lücken bleiben unerkannt.

VeraltetNeue gesetzliche Pflichten werden nicht nachgepflegt.

Kundenverträge übersehenSicherheitszusagen in Kundenverträgen werden nicht ins Kataster aufgenommen.

Häufig gestellte Fragen

Welche Anforderungen gehören ins Register?

Etwa DSGVO, NIS2, branchenspezifische Gesetze, Normen und vertragliche Sicherheitszusagen.

Wie hält man das Register aktuell?

Über regelmäßige rechtliche Beobachtung, etwa mithilfe eines Regulatory-Radars.

Wer ist verantwortlich?

Meist der ISB in Abstimmung mit Recht und Datenschutz, mit klaren Zuständigkeiten je Anforderung.

So hilft CompliantDesk bei A.5.31

Das Radar-Modul beobachtet regulatorische Updates, die Sie als Anforderungen mit Maßnahmen und Verantwortlichen im ISMS verknüpfen.

Demo buchen Kostenloser NIS2-Check

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten