ISO 27001:2022 · A.5.37 · A.5 Organisatorische Maßnahmen
Dokumentierte Betriebsabläufe
Betriebsabläufe für informationsverarbeitende Einrichtungen müssen dokumentiert und den Personen, die sie benötigen, zur Verfügung gestellt werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Betriebsabläufe für informationsverarbeitende Einrichtungen müssen dokumentiert und den Personen, die sie benötigen, zur Verfügung gestellt werden.
Warum ist das wichtig?
Dokumentierte Abläufe sichern konsistenten, fehlerarmen Betrieb und machen die Organisation unabhängig von einzelnen Köpfen. Sie sind die Basis für Stabilität und Wiederholbarkeit.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.4.1 | Betriebsdokumentation | Direkt |
| BSI | OPS.1.1.2 | Betriebsdokumentation | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 1 BSIG | Risikoanalyse & Sicherheitskonzepte | Indirekt |
| NIS2 | § 30 Abs. 2 Nr. 3 BSIG | Business Continuity | Indirekt |
Was der Auditor erwartet
- Dokumentierte Betriebs- und Administrationsabläufe
- Verfügbarkeit für die jeweils zuständigen Personen
- Aktualität und Pflege der Dokumentation
Audit-Checkliste
Dokumente
Betriebshandbücher / SOPsDokumentierte Abläufe für kritische IT-Tätigkeiten
Nachweise
AktualitätVersionierung und letzte Überprüfung der Dokumente
Definierter PflegeprozessNachweis, dass Abläufe bei Änderungen mitgepflegt werden
VertretungstestBeleg, dass eine Vertretung einen kritischen Ablauf wie den Restore ausführen kann
Interviews
IT-BetriebNutzung und Auffindbarkeit der Dokumentation
Praxis-Tipps zur Umsetzung
Kritisches zuerstMit Abläufen beginnen, deren Ausfall am meisten schmerzt (Backup, Restore, Onboarding).
Auffindbar machenDokumentation zentral und für die Zuständigen leicht zugänglich ablegen.
Aktuell haltenAbläufe bei Änderungen direkt mitpflegen, nicht erst beim Audit.
Häufige Fehler
Wissen nur im KopfKritische Abläufe sind nicht dokumentiert und hängen an einzelnen Personen.
VeraltetHandbücher beschreiben einen Zustand, der längst überholt ist.
Häufig gestellte Fragen
Welche Abläufe müssen dokumentiert werden?
Vor allem betriebskritische und sicherheitsrelevante Tätigkeiten wie Backup, Restore, Patch- und Berechtigungsprozesse.
Wie detailliert muss die Doku sein?
So, dass eine fachkundige, aber nicht eingearbeitete Person den Ablauf korrekt durchführen kann.
Wie hält man Betriebsdoku aktuell?
Indem Aktualisierung fester Bestandteil des Änderungsmanagements ist.
So hilft CompliantDesk bei A.5.37
Führen Sie Betriebshandbücher und SOPs versioniert im Dokumenten-Modul mit Freigabe, Review-Fristen und Zugriff für die zuständigen Rollen.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten