ISO 27001:2022 · A.5.36 · A.5 Organisatorische Maßnahmen
Einhaltung von Richtlinien, Regeln und Standards
Die Einhaltung der Informationssicherheitsrichtlinie, themenspezifischer Richtlinien, Regeln und Standards der Organisation muss regelmäßig überprüft werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Die Einhaltung der Informationssicherheitsrichtlinie, themenspezifischer Richtlinien, Regeln und Standards der Organisation muss regelmäßig überprüft werden.
Warum ist das wichtig?
Richtlinien wirken nur, wenn ihre Einhaltung kontrolliert wird. Regelmäßige Compliance-Checks decken Abweichungen auf, bevor sie zu Vorfällen werden.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.2.3 | Compliance-Prüfung | Direkt |
| BSI | ISMS.1.A11 | Überprüfung der Umsetzung | Direkt |
| NIS2 | § 30 Abs. 2 BSIG | Wirksamkeit | Indirekt |
Was der Auditor erwartet
- Regelmäßige Prüfung der Richtlinienkonformität
- Dokumentierte Abweichungen und Korrekturmaßnahmen
- Verantwortliche für die Compliance-Prüfung
Audit-Checkliste
Dokumente
Compliance-PrüfplanWelche Richtlinien wann und durch wen geprüft werden
Nachweise
PrüfergebnisseFeststellungen zur Einhaltung und Folgemaßnahmen
Dokumentierte AbweichungenFestgestellte Verstöße mit zugeordneten Korrekturmaßnahmen
PrüfplanWelche Richtlinien wann und durch wen geprüft werden
Interviews
FührungskräfteWie sie die Einhaltung in ihrem Bereich sicherstellen
Praxis-Tipps zur Umsetzung
Verantwortung verteilenFührungskräfte prüfen die Einhaltung in ihrem Bereich, nicht nur der ISB zentral.
Technisch unterstützenWo möglich, Konformität automatisiert messen (z.B. Konfigurations-Checks).
Abweichungen nachhaltenFestgestellte Verstöße als Maßnahmen mit Frist führen.
Unrealistische Regeln anpassenBei wiederkehrenden Abweichungen die Ursache prüfen und die Richtlinie anpassen statt sie dauerhaft zu ignorieren.
Häufige Fehler
Nie geprüftRichtlinien existieren, ihre Einhaltung wird aber nie kontrolliert.
Ohne KonsequenzAbweichungen werden festgestellt, aber nicht behoben.
Häufig gestellte Fragen
Wie unterscheidet sich A.5.36 von A.5.35?
A.5.35 ist die unabhängige Gesamtüberprüfung des ISMS, A.5.36 die gezielte Kontrolle der Einhaltung konkreter Richtlinien und Regeln.
Wer prüft die Einhaltung?
Meist die jeweiligen Führungskräfte für ihren Bereich, koordiniert durch den ISB.
Wie oft sollte geprüft werden?
Regelmäßig und risikobasiert, kritische Bereiche häufiger.
So hilft CompliantDesk bei A.5.36
Verknüpfen Sie Richtlinien mit Kontrollen und Reviews, sodass die regelmäßige Prüfung der Einhaltung samt Ergebnissen dokumentiert ist.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten