ISO 27001:2022 · A.5.8 · A.5 Organisatorische Maßnahmen
Informationssicherheit im Projektmanagement
Informationssicherheit muss in das Projektmanagement integriert werden, unabhängig von der Art des Projekts.
ISO 27001TISAXBSIAI ActNIS2
Was fordert dieses Control?
Informationssicherheit muss in das Projektmanagement integriert werden, unabhängig von der Art des Projekts.
Warum ist das wichtig?
Sicherheit, die erst nachträglich aufgesetzt wird, ist teuer und lückenhaft. Frühe Integration in Projekte (Security by Design) verhindert spätere Schwachstellen.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.4.1 | Sicherheit in Projekten | Direkt |
| BSI | CON.1 | Geregelte Einführung | Indirekt |
| AI Act | Art. 9 | Risikomanagementsystem | Indirekt |
| NIS2 | § 30 Abs. 2 Nr. 5 BSIG | Sicherheit bei Entwicklung/Beschaffung | Direkt |
Was der Auditor erwartet
- Sicherheitsanforderungen als fester Bestandteil von Projekten
- Risikobewertung in Projektphasen
- Berücksichtigung unabhängig von Projektart (IT und Nicht-IT)
Audit-Checkliste
Dokumente
Projektmanagement-VorgabenVerankerung von Sicherheitsanforderungen und Gates
Nachweise
ProjektunterlagenSicherheitsbewertung in konkreten Projekten
Ausgefüllte Security-ChecklistenInitiierungs-Checkliste zu Daten, Systemen, Externen und DSFA-Bedarf
AbnahmeprotokolleSicherheitskriterien als erfüllte Abnahmebedingungen
Interviews
ProjektleiterWie Sicherheit in Projekten berücksichtigt wird
Praxis-Tipps zur Umsetzung
Security-Gates einbauenSicherheitsprüfungen als feste Meilensteine im Projektablauf verankern.
Früh bewertenRisiken bereits in der Initiierungsphase betrachten, nicht erst beim Go-live.
Auch Nicht-IT-ProjekteDas Control gilt für alle Projektarten, nicht nur Softwareprojekte.
Häufige Fehler
Sicherheit am EndeErst kurz vor Produktivsetzung wird über Sicherheit nachgedacht.
Nur IT-ProjekteOrganisatorische Projekte werden nicht betrachtet.
Häufig gestellte Fragen
Gilt das nur für IT-Projekte?
Nein, ausdrücklich für alle Projektarten, auch organisatorische und bauliche Vorhaben.
Wie integriert man Sicherheit in Projekte?
Über feste Sicherheitsanforderungen, Risikobewertungen und Freigabe-Gates in den Projektphasen.
Was bedeutet Security by Design hier?
Sicherheit von Beginn an mitzudenken statt sie nachträglich aufzusetzen.
So hilft CompliantDesk bei A.5.8
Verknüpfen Sie Projekte mit Risiken, Maßnahmen und Kontrollen, sodass Sicherheitsanforderungen über den Projektverlauf nachweisbar bleiben.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten