ISO 27001:2022 · A.8.24 · A.8 Technologische Maßnahmen
Einsatz von Kryptografie
Regeln für den wirksamen Einsatz von Kryptografie, einschließlich des Managements kryptografischer Schlüssel, müssen festgelegt und umgesetzt werden.
ISO 27001NIS2TISAXDSGVOBSI
Was fordert dieses Control?
Regeln für den wirksamen Einsatz von Kryptografie, einschließlich des Managements kryptografischer Schlüssel, müssen festgelegt und umgesetzt werden.
Warum ist das wichtig?
Verschlüsselung schützt Daten bei Speicherung und Übertragung. Entscheidend ist dabei ein sauberes Schlüsselmanagement, sonst ist auch starke Krypto wirkungslos.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Kryptografie | Direkt |
| TISAX | 5.2.4 | Kryptografie | Direkt |
| DSGVO | Art. 32 | Verschlüsselung | Direkt |
| BSI | CON.1 | Kryptokonzept | Direkt |
Was der Auditor erwartet
- Kryptografie-Richtlinie mit Verfahren und Stärken
- Schlüsselmanagement über den Lebenszyklus
- Verschlüsselung sensibler Daten at rest und in transit
Audit-Checkliste
Dokumente
Kryptografie-RichtlinieZugelassene Verfahren, Schlüssellängen und Einsatzregeln
Nachweise
SchlüsselmanagementErzeugung, Aufbewahrung, Rotation und Vernichtung von Schlüsseln
Zertifikatsinventar mit MonitoringÜbersicht mit Ablaufdaten und Erneuerungs-Alarmen
VerschlüsselungsnachweiseBelege je Datenkategorie für Übertragung und Ruhezustand
Technisch
VerschlüsselungTLS für Übertragung, Verschlüsselung sensibler Daten at rest
Praxis-Tipps zur Umsetzung
Standards nutzenAuf etablierte, aktuelle Verfahren setzen, keine Eigenentwicklungen.
Schlüssel schützenSchlüsselmanagement (Aufbewahrung, Rotation) klar regeln, idealerweise mit HSM/Key-Vault.
At rest und in transitSowohl gespeicherte als auch übertragene sensible Daten verschlüsseln.
Häufige Fehler
Schlüssel ungeschütztKrypto ist stark, aber die Schlüssel liegen unsicher herum.
Veraltete VerfahrenSchwache Algorithmen oder kurze Schlüssel werden weiter genutzt.
Recovery-Key nur auf dem GerätBitLocker-Wiederherstellungsschlüssel liegen nur lokal statt zentral hinterlegt.
Häufig gestellte Fragen
Was ist beim Schlüsselmanagement wichtig?
Sichere Erzeugung, geschützte Aufbewahrung, geregelte Rotation und kontrollierte Vernichtung der Schlüssel.
Muss man alles verschlüsseln?
Risikobasiert, sensible Daten at rest und in transit jedenfalls, der Aufwand richtet sich nach dem Schutzbedarf.
Sind eigene Verschlüsselungsverfahren erlaubt?
Nein, es sollten ausschließlich anerkannte, geprüfte Standardverfahren eingesetzt werden.
So hilft CompliantDesk bei A.8.24
Hinterlegen Sie die Kryptografie-Richtlinie und das Schlüsselmanagement als Kontrolle und belegen Sie Verschlüsselung über die M365-Integration.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten