A.5 Organisatorische Maßnahmen
Verantwortlichkeiten der Leitung
Die Leitung muss von allen Beschäftigten verlangen, Informationssicherheit gemäß den festgelegten Richtlinien und Verfahren der Organisation umzusetzen.
Was fordert dieses Control?
Die Leitung muss von allen Beschäftigten verlangen, Informationssicherheit gemäß den festgelegten Richtlinien und Verfahren der Organisation umzusetzen.
Warum ist das wichtig?
Sicherheit lebt von der Vorbildfunktion und Einforderung durch das Management. Ohne aktive Leitung verpufft jedes Regelwerk.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| NIS2 | Art. 20 | Direkt |
| TISAX | 1.1.1 | Direkt |
| BSI | ISMS.1.A1 | Direkt |
Was der Auditor erwartet
- 1Sichtbares Commitment der Leitung zur Informationssicherheit
- 2Einforderung der Regelkonformität von allen Beschäftigten
- 3Bereitstellung notwendiger Ressourcen
Audit-Checkliste
Dokumente
Management-Commitment
Dokumentierte Verpflichtung der Leitung (z.B. in der Richtlinie)
Nachweise
Management-Review-Protokolle
Aktive Befassung der Leitung mit dem ISMS
Interviews
Geschäftsführung
Wie Sicherheit eingefordert und unterstützt wird
Praxis-Tipps zur Umsetzung
Vorbild sein
Die Leitung sollte Regeln sichtbar selbst befolgen, das prägt die Kultur.
Ressourcen sichern
Budget und Zeit für Sicherheit aktiv bereitstellen.
Regelmäßig befassen
Sicherheit fest in Management-Reviews verankern.
Häufige Fehler
Delegieren und vergessen
Leitung schiebt Sicherheit komplett an die IT ab.
Kein Vorbild
Management fordert Regeln, hält sich selbst aber nicht daran.
Häufig gestellte Fragen
Worin unterscheidet sich A.5.4 von A.5.1?
A.5.1 ist die Richtlinie selbst, A.5.4 verlangt, dass die Leitung deren Einhaltung aktiv von allen einfordert.
Wie weist man Leitungs-Commitment nach?
Über Freigaben, Management-Reviews, Ressourcenzuteilung und dokumentierte Beschlüsse.
Gilt das auch unter NIS2?
Ja, NIS2 macht die Leitungsorgane sogar persönlich für das Risikomanagement verantwortlich.
So hilft CompliantDesk bei A.5.4
Das Board-Report- und Management-Review-Modul macht das Engagement der Leitung sichtbar und dokumentiert Beschlüsse revisionssicher.