ISO 27001:2022 · A.8.32 · A.8 Technologische Maßnahmen
Änderungsmanagement
Änderungen an informationsverarbeitenden Einrichtungen und Informationssystemen müssen einem Änderungsmanagementverfahren unterliegen.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Änderungen an informationsverarbeitenden Einrichtungen und Informationssystemen müssen einem Änderungsmanagementverfahren unterliegen.
Warum ist das wichtig?
Unkontrollierte Änderungen sind eine häufige Ursache für Ausfälle und Sicherheitslücken. Geregeltes Change-Management sichert Stabilität und Nachvollziehbarkeit.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Änderungsmanagement | Direkt |
| TISAX | 5.2.5 | Änderungsmanagement | Direkt |
| BSI | OPS.1.1.3 | Patch- und Änderungsmanagement | Direkt |
Was der Auditor erwartet
- Dokumentiertes Änderungsverfahren mit Freigaben
- Risikobewertung und Rückfallplan für Änderungen
- Nachvollziehbarkeit durchgeführter Änderungen
Audit-Checkliste
Dokumente
Change-Management-ProzessBeantragung, Bewertung, Freigabe und Dokumentation
Nachweise
Change-RecordsDokumentierte Änderungen mit Freigabe und Ergebnis
Notfall-Change-NachdokumentationNachträglich dokumentierte und bewertete Eilentscheidungen
Sicherheits-Change-NachweisBeleg, dass Firewall- und andere Sicherheitsänderungen über den Prozess liefen
Interviews
IT-BetriebUmgang mit Standard-, Normal- und Notfalländerungen
Praxis-Tipps zur Umsetzung
RisikobewertungÄnderungen vor der Umsetzung auf Auswirkungen und Risiken prüfen.
RückfallplanFür jede wesentliche Änderung einen Rollback-Plan bereithalten.
Notfalländerungen regelnAuch schnelle Changes nachträglich dokumentieren und bewerten.
Übers TicketsystemDen Change-Prozess schlank im Ticketsystem abbilden statt über Formularbürokratie.
Häufige Fehler
Ungeplante ChangesÄnderungen werden ohne Bewertung und Freigabe durchgeführt.
Kein RollbackBei Problemen gibt es keinen Weg zurück zum Vorzustand.
Häufig gestellte Fragen
Gilt Change-Management auch für kleine Änderungen?
Standardänderungen können vereinfacht behandelt werden, sollten aber dennoch nachvollziehbar sein.
Was gehört in einen Change-Record?
Beschreibung, Risikobewertung, Freigabe, Umsetzungszeitpunkt, Rückfallplan und Ergebnis.
Wie geht man mit Notfalländerungen um?
Sie werden schnell umgesetzt, aber zeitnah nachträglich dokumentiert und bewertet.
So hilft CompliantDesk bei A.8.32
Dokumentieren Sie Änderungen als nachvollziehbare Maßnahmen mit Freigabe und Verknüpfung zu betroffenen Assets und Kontrollen.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten