ISO 27001:2022 · A.5.4 · A.5 Organisatorische Maßnahmen
Verantwortlichkeiten der Leitung
Die Leitung muss von allen Beschäftigten verlangen, Informationssicherheit gemäß den festgelegten Richtlinien und Verfahren der Organisation umzusetzen.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Die Leitung muss von allen Beschäftigten verlangen, Informationssicherheit gemäß den festgelegten Richtlinien und Verfahren der Organisation umzusetzen.
Warum ist das wichtig?
Sicherheit lebt von der Vorbildfunktion und Einforderung durch das Management. Ohne aktive Leitung verpufft jedes Regelwerk.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 38 BSIG | Pflichten der Leitungsorgane | Direkt |
| TISAX | 1.1.1 | Verantwortung der Leitung | Direkt |
| BSI | ISMS.1.A1 | Übernahme der Verantwortung | Direkt |
Was der Auditor erwartet
- Sichtbares Commitment der Leitung zur Informationssicherheit
- Einforderung der Regelkonformität von allen Beschäftigten
- Bereitstellung notwendiger Ressourcen
Audit-Checkliste
Dokumente
Management-CommitmentDokumentierte Verpflichtung der Leitung (z.B. in der Richtlinie)
Nachweise
Management-Review-ProtokolleAktive Befassung der Leitung mit dem ISMS
Onboarding-Unterlagen mit SicherheitsteilVerankerung der Sicherheitserwartungen für neue Beschäftigte
Kommunizierte GF-ErwartungenIntranet-Statement oder Rundschreiben der Leitung zur Informationssicherheit
Interviews
GeschäftsführungWie Sicherheit eingefordert und unterstützt wird
Praxis-Tipps zur Umsetzung
Vorbild seinDie Leitung sollte Regeln sichtbar selbst befolgen, das prägt die Kultur.
Ressourcen sichernBudget und Zeit für Sicherheit aktiv bereitstellen.
Regelmäßig befassenSicherheit fest in Management-Reviews verankern.
Häufige Fehler
Delegieren und vergessenLeitung schiebt Sicherheit komplett an die IT ab.
Kein VorbildManagement fordert Regeln, hält sich selbst aber nicht daran.
Häufig gestellte Fragen
Worin unterscheidet sich A.5.4 von A.5.1?
A.5.1 ist die Richtlinie selbst, A.5.4 verlangt, dass die Leitung deren Einhaltung aktiv von allen einfordert.
Wie weist man Leitungs-Commitment nach?
Über Freigaben, Management-Reviews, Ressourcenzuteilung und dokumentierte Beschlüsse.
Gilt das auch unter NIS2?
Ja. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen; bei schuldhafter Pflichtverletzung haftet sie der Einrichtung gegenüber (§ 38 Abs. 2 BSIG).
So hilft CompliantDesk bei A.5.4
Das Board-Report- und Management-Review-Modul macht das Engagement der Leitung sichtbar und dokumentiert Beschlüsse revisionssicher.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten