ISO 27001:2022 · A.5.6 · A.5 Organisatorische Maßnahmen
Kontakt mit speziellen Interessengruppen
Die Organisation muss geeignete Kontakte zu speziellen Interessengruppen, Sicherheitsforen und Fachverbänden einrichten und aufrechterhalten.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Die Organisation muss geeignete Kontakte zu speziellen Interessengruppen, Sicherheitsforen und Fachverbänden einrichten und aufrechterhalten.
Warum ist das wichtig?
Der Austausch mit Fachcommunities liefert frühzeitig Informationen über neue Bedrohungen, Schwachstellen und Best Practices und stärkt die eigene Abwehr.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.5.2 | Kontakt zu Interessengruppen | Direkt |
| BSI | DER.1 | Detektion | Indirekt |
| NIS2 | § 30 Abs. 2 Nr. 1 BSIG | Risikoanalyse & Sicherheitskonzepte | Indirekt |
Was der Auditor erwartet
- Mitgliedschaften oder Kontakte zu relevanten Fachgruppen
- Nutzung der Informationen für die eigene Sicherheit
- Bezug von Warnungen und Threat-Informationen
Audit-Checkliste
Dokumente
Übersicht relevanter QuellenForen, CERTs, Verbände und Warndienste
Nachweise
Bezug von WarnmeldungenAbonnierte CERT-/Hersteller-Feeds und deren Auswertung
Liste der Mitgliedschaften und AbosFachgremien, Allianz für Cyber-Sicherheit und relevante Advisory-Kanäle
Weitergeleitete WarnungenBeispiele intern verteilter Hinweise mit Reaktion
Praxis-Tipps zur Umsetzung
CERT-Feeds nutzenWarnungen von CERT-Bund und Herstellern abonnieren und auswerten.
Branchennetzwerke nutzenVerbände und Allianzen für branchenspezifische Bedrohungen einbinden.
Mit Threat Intelligence koppelnErkenntnisse direkt in A.5.7 einfließen lassen.
Zuständigkeit festlegenEine Person benennen, die Meldungen sichtet und intern weitergibt.
Häufige Fehler
Isoliert agierenKeine externen Quellen, Bedrohungen werden zu spät erkannt.
Abonniert, aber ungenutztFeeds laufen ins Leere, niemand wertet sie aus.
Häufig gestellte Fragen
Welche Quellen sind sinnvoll?
CERT-Bund, herstellereigene Security-Advisories, Branchenverbände und einschlägige Sicherheitsforen.
Ist eine Mitgliedschaft Pflicht?
Nein, entscheidend ist der nachweisbare Zugang zu relevanten Sicherheitsinformationen.
Wie unterscheidet sich das von A.5.5?
A.5.5 betrifft Behörden, A.5.6 fachliche Gruppen und Communities zum Informationsaustausch.
So hilft CompliantDesk bei A.5.6
Das Radar-Modul bündelt regulatorische Updates und Bedrohungsinformationen, sodass relevante Hinweise direkt im ISMS landen.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten