25. Juni 2026
Lesezeit: 5 Minuten

Vom Compliance-Albtraum zur echten Resilienz: Der pragmatische ISMS-Workflow nach ISO/IEC 27001:2022

Die Anforderungen an deine Informationssicherheit wachsen dir über den Kopf. Regulatorische Daumenschrauben wie die DSGVO, NIS-2 oder DORA treiben IT-Verantwortlichen und der Geschäftsführung regelmäßig den Schweiß auf die Stirn. Doch anstatt echte Sicherheit zu schaffen, verstricken sich viele Unternehmen in einem bürokratischen Albtraum.

Der Schmerz in deiner Praxis: Das Informationssicherheits-Managementsystem (ISMS) verkommt oft zum reinen „Papiertiger“. Risikobewertungen basieren auf subjektivem Bauchgefühl, dokumentiert in unübersichtlichen Excel-Wüsten. Maßnahmen werden isoliert von der IT-Abteilung umgesetzt, ohne dass das Management die geschäftskritischen Risiken überhaupt versteht. Wenn der Auditor vor der Tür steht – oder noch schlimmer: ein Verschlüsselungstrojaner zuschlägt – bricht Panik aus. Das Fehlen eines roten Fadens führt zu massiver Ressourcenverschwendung, Haftungsrisiken für die Chefs und einer brandgefährlichen Scheinsicherheit.

Die Lösung für diesen Schmerz liegt nicht im nächsten, teuren Security-Tool, sondern in einem gnadenlos strukturierten Prozess. Der bewährte ISMS Kontext-Risiko-Workflow (Plan-Do-Check-Act) schlägt die Brücke zwischen der abstrakten Norm (ISO/IEC 27001:2022) und deiner gelebten Unternehmensrealität.

So verwandelst du dein ISMS von einer lästigen Pflicht in ein robustes Steuerungsinstrument.

ISO/IEC 27001:2022 · Informationssicherheits-Managementsystem

ISMS Kontext-Risiko-Workflow

Kontext → Risikobeurteilung → Erklärung zur Anwendbarkeit → Maßnahmen → Nachweis → Verbesserung

Organisation: [Organisation] Dok-Nr.: [Dok.-Nr.] Version: [Version] Stand: [Stand]
PLANKap. 4–6 · Kontext, Risikobeurteilung, SoA
DOKap. 8 · Controls umsetzen
CHECKKap. 9 · Nachweis & Bewertung
ACTKap. 10 · Verbesserung (KVP)
SchrittProzessschrittKerninhalteErgebnis / Output
Plan · Kontext, Planung & Risikobeurteilung · ISO 27001 Kap. 4–6
1Plan ISO 27001 · Kap. 4.1 / 4.2Kontext der Organisation erfassenKontext der Organisation · [Dok.-Nr.]
  • Interne/externe Themen (PESTLE) → speist S1
  • Stakeholder & IS-Anforderungen → speist S2
  • Rechtskataster [einschlägige Rechtsvorgaben, z. B. DSGVO/BDSG, DORA, GwG, MaRisk]
 Bedrohungsszenarien, Schutzbedarfsstufen, ISMS-Scope
2Plan ISO 27001 · Kap. 4.3 / 5.2ISMS-Scope & Schutzziele festlegenInformationssicherheitsleitlinie · [Dok.-Nr.]
  • Anwendungsbereich: Standorte, Prozesse, IKT-Systeme, Cloud, Auslagerungen
  • Klassifizierung: Stufe 0 (öffentlich) / 1 (intern) / 2 (vertraulich)
  • Schutzziele C-I-A als Bewertungsmaßstab
 Festgelegter Scope & Bewertungsmaßstab
Risk Assessment — 6-Schritte-Verfahren (S1–S6) · ISO 27005:2022 / BSI · Bericht [Dok.-Nr.] + Tool [Dok.-Nr.]
S1 Strukturanalyse Informationsverbund: Informationen, Prozesse, Drittanbieter, IKT-Assets, Netz, Gebäude Vollständige Asset-Liste
S2 Schutzbedarfsfeststellung C-I-A je Zielobjekt nach Höchstkritikalitätsprinzip; Vererbungsregel auf nachgelagerte Assets Schutzbedarfskatalog
S3 Modellierung Informationsverbund BSI-Bausteine den Zielobjekten zuordnen; Netzplan (Segmentierung, DMZ, Cloud) Prüfgrundlage für S4
S4 Risikoanalyse 47 BSI-Bedrohungen · Wahrscheinlichkeit × Schadensausmaß → Risiko-ID IR-001 …; Wirksamkeitsprüfung (SM 1–SM n) Bewertete Brutto-/Nettorisiken
S5 Gesamtrisiko & Lückenanalyse Gesamtrisiko je Schutzziel (C-I-A) und Schicht (L1–L7); Lücken → Handlungsbedarf Priorisierte Risikoliste
S6 Maßnahmenplan Umsetzungsstand je Maßnahme mit Annex-A-Zuordnung; Verantwortliche, Termine, Ressourcen Umsetzungsplan → Kontrollplan
4Plan ISO 27001 · Kap. 6.1.3Risikobehandlung — Statement of ApplicabilitySoA · [Dok.-Nr.]
  • Für jeden der 93 Controls: Applicable / Not Applicable (begründet durch S5)
  • Behandlungsoption: Modify / Accept / Avoid / Transfer
  • Nicht anwendbare Controls: [organisationsspezifisch festlegen & begründen]
 Vollständige, RA-begründete Anwendbarkeitserklärung
Do · Controls umsetzen · ISO 27001 Kap. 8 / Annex A
5Do Annex A · Kap. 8Controls operationalisieren (A.5–A.8)Prozess- & Verfahrenshandbuch · [Dok.-Nr.]
  • A.5 Organisatorisch (37): Policies, Rollen, Lieferanten, IAM, Incident
  • A.6 Personenbezogen (8): Screening, Awareness, Remote-Arbeit
  • A.7 Physisch (14): Zutritt, Sicherheitszonen, Medien
  • A.8 Technologisch (34): Endpunkte, Netz, Krypto, Logging, Patch
 Umgesetzte Controls (93)
Check · Nachweis & Managementbewertung · ISO 27001 Kap. 9
6Check ISO 27001 · Kap. 9.1Kontrollen nachweisen — CISO-KontrollplanCISO-Kontrollplan · [Dok.-Nr.]
  • Monatlich: SIEM-Review, Patches, MFA-Rate, Incident-Triage
  • Quartalsweise: Pentest, Third-Party-Risk, PAM-Rezertifizierung
  • Halbjährlich: BCM-Test, DLP-Review, Cloud Security Posture
  • Jährlich: Management-Review, Awareness, SoD, IRP-Simulation
 Maßnahmen-IDs (SM 1–SM n) im Kontrollplan
7Check ISO 27001 · Kap. 9.3Managementbewertung durchführenManagementbericht · [Dok.-Nr.]
  • KPI-/KRI-Bericht: Vorfälle, Patchquote, Schulungsquote, Restrisiken
  • Audit-Ergebnisse & offene Maßnahmen (CAPA [Dok.-Nr.] / Audit Action Plan [Dok.-Nr.])
  • Ressourcen, Budget, Risikoakzeptanzkriterien
 Steuerungsentscheidungen des Managements
Act · Kontinuierliche Verbesserung · ISO 27001 Kap. 10
8Act ISO 27001 · Kap. 10KVP — Erkenntnisse zurück in den KontextProzesslandkarte ISMS · [Dok.-Nr.] + Kontext · [Dok.-Nr.]
  • Neue Bedrohungen / Rechtsänderungen → Update Kontext → neue Strukturanalyse (S1)
  • Geänderte Risikobewertung → Update Risk Assessment (Bericht + Tool) + SoA
 PDCA-Kreis geschlossen — Neustart bei Schritt 1
Plan · Kap. 4–6 Do · Kap. 8 Check · Kap. 9 Act · Kap. 10 Kritische Lücke / Handlungsbedarf
Ausfüllhinweis: Platzhalter [Organisation], [Dok.-Nr.], [Version], [Stand], [einschlägige Rechtsvorgaben] vor Veröffentlichung ersetzen. Control-Anzahlen (93; A.5 = 37, A.6 = 8, A.7 = 14, A.8 = 34) und die 47 BSI-Bedrohungselemente sind normativ bzw. methodisch fixiert; organisationsspezifische Mengen (Sicherheitsmaßnahmen SM 1–SM n, Kontrollplan-Aufgaben, nicht anwendbare Controls) sind anzupassen.
ISMS Kontext-Risiko-Workflow · ISO/IEC 27001:2022 · Master (neutral) · S+P Compliance · Vertraulich – Intern

PLAN: Vom Chaos zur Struktur (Kapitel 4–6)

Der größte Fehler beim Aufbau eines ISMS? Das blinde Einführen von IT-Sicherheitsmaßnahmen, ohne den eigenen Geschäftskontext zu verstehen. Wer nicht weiß, was er eigentlich schützen muss, schützt am Ende gar nichts.

Schritt 1: Den Kontext deiner Organisation erfassen

Sicherheit operiert nicht im luftleeren Raum. Im ersten Schritt musst du interne und externe Einflussfaktoren (z. B. mittels PESTLE-Analyse) sowie die Anforderungen deiner Stakeholder erfassen.

  • Dein Pain-Point: Du übersiehst kritische rechtliche Vorgaben, bis empfindliche Bußgelder drohen.

  • Die Lösung: Der Aufbau eines zentralen Rechtskatasters (z. B. mit DSGVO, DORA, GwG, MaRisk) und die Definition klarer Bedrohungsszenarien. Das füttert direkt deine spätere Risikobewertung.

Schritt 2: ISMS-Scope & Schutzziele festlegen

Du kannst nicht das gesamte Universum auf einmal absichern. Deine Informationssicherheitsleitlinie definiert den Anwendungsbereich glasklar: Welche Standorte, Prozesse, IKT-Systeme und Cloud-Auslagerungen gehören zwingend dazu?

  • Dein Pain-Point: Ein unscharfer Scope führt zu uferlosen IT-Projekten, die niemals fertig werden.

  • Die Lösung: Eine harte Klassifizierung deiner Daten (z. B. Stufe 0 öffentlich, 1 intern, 2 vertraulich) und die Definition der klassischen Schutzziele C-I-A (Confidentiality/Vertraulichkeit, Integrity/Integrität, Availability/Verfügbarkeit) als dein unverrückbarer Bewertungsmaßstab.

Schritt 3: Risk Assessment – Das 6-Schritte-Verfahren

Hier entscheidet sich, ob dein ISMS in der Realität standhält. Wir nutzen hierfür eine methodisch saubere Kombination aus der ISO 27005:2022 und bewährten BSI-Standards.

  1. Strukturanalyse (S1): Erstelle eine lückenlose Asset-Liste deines Informationsverbunds (Prozesse, Drittanbieter, IKT-Systeme, Netze, Gebäude).

  2. Schutzbedarfsfeststellung (S2): Bewerte die Assets nach C-I-A unter Anwendung des Höchstkritikalitätsprinzips und der Vererbungsregel auf nachgelagerte Systeme.

  3. Modellierung (S3): Ordne den Zielobjekten die passenden BSI-Bausteine zu und modelliere den Netzplan (Segmentierung, DMZ, Cloud).

  4. Risikoanalyse (S4): Schluss mit Bauchgefühl. Konfrontiere deine Assets mit den 47 BSI-Bedrohungen. Aus Wahrscheinlichkeit × Schadensausmaß berechnest du die echten Brutto- und Nettorisiken.

  5. Gesamtrisiko & Lückenanalyse (S5): Aggriere die Risiken je Schutzziel. Wo klaffen die kritischen Lücken? Hier entsteht deine priorisierte Handlungsliste.

  6. Maßnahmenplan (S6): Wer macht was bis wann? Die Ableitung konkreter, mit Ressourcen hinterlegter Aufgaben zur Risikominimierung.

Schritt 4: Die Erklärung zur Anwendbarkeit (SoA)

Das Statement of Applicability (SoA) ist das absolute Herzstück deines Audits.

  • Dein Pain-Point: Ihr setzt im Team Maßnahmen um, könnt dem Auditor aber nicht logisch begründen, warum genau diese nötig sind.

  • Die Lösung: Jeder der 93 Controls der ISO 27001 wird systematisch abgeprüft. Basierend auf deiner Risikoanalyse entscheidest du: Modify (Behandeln), Accept (Akzeptieren), Avoid (Vermeiden) oder Transfer (Risiko übertragen). Nicht anwendbare Controls streichst du nicht einfach, sondern begründest dies absolut wasserdicht.

PDCA-Regelkreis im ISMS

DO: Die PS auf die Straße bringen (Kapitel 8)

Ein Plan ist nur so gut wie seine Umsetzung. Im DO-Schritt wird das Papier zur Realität.

Schritt 5: Controls operationalisieren (Annex A)

In diesem Schritt überführst du die 93 Sicherheitsmaßnahmen in die DNA deines Unternehmens, dokumentiert in klaren Prozess- und Verfahrenshandbüchern. Die ISO 27001:2022 hilft dir durch ihre Struktur, das Silodenken zwischen IT, HR und Haustechnik aufzubrechen:

  • A.5 Organisatorisch (37 Controls): Dein Fundament. Von verbindlichen Policies über das Berechtigungsmanagement (IAM) bis zur Überwachung von Dienstleistern.

  • A.6 Personenbezogen (8 Controls): Der Faktor Mensch als Risiko und Firewall zugleich. Hier regelst du Background-Checks (Screening), Awareness-Schulungen und sicheres Remote-Arbeiten.

  • A.7 Physisch (14 Controls): Sicherheit zum Anfassen. Zutrittskontrollen, Definition von Sicherheitszonen und der sichere Umgang mit Datenträgern.

  • A.8 Technologisch (34 Controls): Die technische Härtung deiner Infrastruktur. Endpoint-Security, Krypto-Konzepte, lückenloses Logging und ein konsequentes Patch-Management.

CHECK: Den Blindflug beenden (Kapitel 9)

Viele Unternehmen glauben, sie seien sicher, weil sie vor einem Jahr eine Firewall gekauft und ein Konzept geschrieben haben. Doch IT-Sicherheit verfällt exponentiell.

Schritt 6: Kontrollen nachweisen – Der CISO-Kontrollplan

Es reicht nicht, Maßnahmen zu definieren; du musst ihre Wirksamkeit permanent, unerbittlich und nachweisbar prüfen.

  • Dein Pain-Point: Bei einem Vorfall stellt sich heraus, dass die Backups seit Monaten fehlschlagen oder die Multi-Faktor-Authentifizierung (MFA) klammheimlich für wichtige Admin-Zugänge deaktiviert wurde.

  • Die Lösung: Ein starrer, rhythmisierter Kontrollplan für dich als CISO.

    • Monatlich: SIEM-Review, Patch-Quoten prüfen, Incident-Triage analysieren.

    • Quartalsweise: Pentests anstoßen, Third-Party-Risks bewerten, PAM-Rezertifizierungen durchführen.

    • Halbjährlich: BCM-Tests (Notfallpläne) durchspielen, Cloud Security Posture überprüfen.

    • Jährlich: Große Simulation des Incident Response Plans (IRP), SoD-Prüfungen (Funktionstrennung).

Schritt 7: Managementbewertung durchführen

Informationssicherheit ist unbestreitbar Chefsache. Dein Managementbericht übersetzt die technischen Kennzahlen des Kontrollplans in eine Sprache, die die Geschäftsführung versteht: Echte Vorfälle, Patchquoten, offene Audit-Maßnahmen (CAPA) und verbleibende Restrisiken.

  • Das Ziel: Das Management erhält eine fundierte Entscheidungsgrundlage, um Budgets freizugeben, Ressourcen umzuschichten oder kritische Restrisiken formell zu akzeptieren.

DORA und NIS 2 Seminare

ACT: Der Kreislauf der Resilienz (Kapitel 10)

Stillstand ist in der Informationssicherheit der direkte Weg in den Abgrund. Die Bedrohungslage von heute ist morgen schon veraltet.

Schritt 8: KVP – Erkenntnisse zurück in den Kontext

Der PDCA-Zyklus schließt sich hier. Wenn deine Managementbewertung oder die Ergebnisse des Kontrollplans Schwächen aufdecken (oder sich externe Vorgaben ändern), beginnt der Prozess von vorn:

  • Neue Ransomware-Taktiken der Angreifer oder Gesetzesänderungen erfordern ein Update deines Kontexts.

  • Das triggert eine Aktualisierung deiner Strukturanalyse (S1).

  • Deine Risikobewertung wird angepasst, was wiederum direkten Einfluss auf dein SoA und die technischen Controls hat.

Der pragmatische ISMS-Workflow nach ISO/IEC 27001:2022

Dein ISMS als echter Wettbewerbsvorteil

Der Schmerz in der Informationssicherheit entsteht immer durch Komplexität und Intransparenz. Der hier vorgestellte 8-Schritte-Workflow löst diesen Knoten. Er nimmt dir das diffuse Gefühl der Unsicherheit und ersetzt es durch eine messbare, steuerbare und auditierbare Prozesskette.

Wenn du diesen Kreislauf von Kontext → Risikobeurteilung → Erklärung zur Anwendbarkeit → Maßnahmen → Nachweis → Verbesserung diszipliniert lebst, bestehst du nicht nur jedes Audit spielend. Du schützt die Existenz deines Unternehmens und verwandelst lästige Compliance-Vorgaben in einen handfesten Wettbewerbsvorteil.

Quick-Check: ISO/IEC 27001:2022 – Dein ISMS-Status

Check Zentrale Kontrollfrage zum ISMS-Workflow
Kontext & Scope definiert? (Kap. 4)
Hast du alle relevanten Rechtsvorgaben (NIS-2, DORA, DSGVO) und den Scope (IKT, Cloud, Standorte) klar dokumentiert?
6-Schritte Risikoanalyse etabliert? (Kap. 6.1)
Bewertest du deine Assets systematisch nach C-I-A und konkreten Bedrohungsszenarien statt nach Bauchgefühl?
Erklärung zur Anwendbarkeit (SoA) belastbar? (Kap. 6.1.3)
Ist für jedes der 93 Controls nachvollziehbar aus der Risikoanalyse begründet, warum es angewendet (oder weggelassen) wird?
Annex A operationalisiert? (Kap. 8)
Sind die organisatorischen, personellen, physischen und technologischen Maßnahmen in gelebte Prozesse überführt?
CISO-Kontrollplan aktiv? (Kap. 9.1)
Prüfst du die Wirksamkeit der Controls rhythmisch nachweisbar (z. B. monatlich Patchquoten, quartalsweise Pentests)?
Managementbewertung messbar? (Kap. 9.3)
Erhält die Geschäftsführung klare KPIs/KRIs, um fundiert über Budgets, Ressourcen und Restrisiken zu entscheiden?
PDCA-Zyklus geschlossen? (Kap. 10)
Führen veränderte Bedrohungslagen oder externe Vorgaben automatisch zu einem Update deines Kontexts und der Risikobewertung?

🚦 Dein ISMS Umsetzungs-Status

AKTION NOTWENDIG
Hohes Risiko – Ein methodisches, nachvollziehbares ISMS fehlt.
IN ARBEIT
Teilweise implementiert – Der PDCA-Zyklus hat noch lücken, Audit-Risiko besteht.
AUDITSICHER
ISO 27001 konform – ISMS und Risikomanagement sind voll in die Praxis integriert.

Fit für die Prüfung: Kostenfreies Whitepaper anfordern

DORA und NIS-2 sind in Kraft – jetzt rücken die Kontrollen durch Aufsicht und Wirtschaftsprüfer in den Fokus. Hol dir kompaktes Praxiswissen direkt auf deinen Schreibtisch. Fordere unser exklusives Whitepaper an und stelle sicher, dass deine IKT- und Compliance-Prozesse jeder Prüfung standhalten.

Jetzt Whitepaper anfordern ➜
DORA & NIS-2 Seminare 2026: IKT-Risikomanagement & Cyber-Compliance

DORA & NIS-2 Hub: IKT-Risikomanagement, Cyber-Compliance & Notfallplanung

Mach dein Unternehmen widerstandsfähig gegen Cyber-Risiken und erfülle die neuesten regulatorischen Anforderungen. Dieser Hub zeigt dir unsere zertifizierten Seminare und Lehrgänge zur erfolgreichen Umsetzung von DORA, NIS-2 und Datenschutz.

Seminare, Schulungen & Lehrgänge (mit Zertifikat)

DORA & NIS-2 Seminare – Übersicht ➜

Alle Schulungen und Lehrgänge zu Cyber-Sicherheit, IKT-Risikomanagement und Notfallplanung im zentralen Überblick.

Zur Seminar-Übersicht

DORA Compliance Expert ➜

Baue IKT-Resilienz auf, erfülle die Anforderungen des DORA Acts und integriere Drittdienstleister sicher.

Zum Seminar

NIS-2 für Führungskräfte ➜

Kompaktes Wissen für Geschäftsführer und Vorstände zur persönlichen Haftung und strategischen Umsetzung der NIS-2-Richtlinie.

Zum Seminar

Info-Sicherheitsbeauftragter (CISO) ➜

Übernehme Schlüsselaufgaben im ISMS. Souveräner Umgang mit ISO 27001, BSI, DORA und NIS-2 Vorgaben.

Zum Lehrgang

ISMS Kontext-Risiko-Workflow ➜

Der 8-Schritte-Workflow: Verwandle dein ISMS vom Papiertiger in ein auditsicheres Steuerungsinstrument nach ISO 27001.

Zum Leitfaden

Annex A: Alle 93 Controls ➜

Die 93 Sicherheitsmaßnahmen der ISO 27001:2022 im Praxis-Check. So baust du ein wasserdichtes Statement of Applicability (SoA) auf.

Zur Übersicht

AI Compliance Officer ➜

Manage KI-Risiken und setze den EU AI Act praxisnah um – mit klaren Policies, Governance-Strukturen und Tools.

Zum Lehrgang

Resilience Officer ➜

Stärkung der organisatorischen Widerstandskraft durch Business Continuity Management (BCM) und Notfallplanung.

Zum Lehrgang

Pflichten im Datenschutz ➜

Sichere Compliance an der entscheidenden Schnittstelle von DSGVO, Informationssicherheit, DORA und NIS-2.

Zum Seminar

Quellen & regulatorische Grundlagen

  • International Organization for Standardization (ISO): ISO/IEC 27001:2022 – Informationssicherheits-Managementsysteme – Anforderungen
    Zur offiziellen ISO-Seite
  • International Organization for Standardization (ISO): ISO/IEC 27005:2022 – Leitfaden zum Management von Informationssicherheitsrisiken
    Zur offiziellen Norm
  • Bundesamt für Sicherheit in der Informationstechnik (BSI): IT-Grundschutz-Kompendium – Übersicht der Elementaren Gefährdungen
    Zum BSI IT-Grundschutz
  • Regulatorische Rahmenbedingungen: Umsetzung von DORA (Verordnung EU 2022/2554) und NIS-2-Richtlinie (EU 2022/2555)
    (Treiber für die verpflichtende Implementierung robuster Risikomanagement- und ISMS-Prozesse)

Praxis-Hinweis: Die aktuelle ISO/IEC 27001:2022 verlangt eine stringente Verzahnung der 93 neu strukturierten Controls (Annex A) mit deiner operativen Risikobeurteilung. Ein reines „Abhaken“ von Maßnahmen ohne nachweisbaren Kontext-Bezug reicht für erfolgreiche Audits und rechtliche Compliance heute nicht mehr aus.

FAQ – Umsetzung des ISMS nach ISO/IEC 27001:2022

Die Frist für den Wechsel von der alten Version (2013) auf die neue ISO/IEC 27001:2022 endete am 31. Oktober 2025. Seit diesem Stichtag verlieren alte Zertifikate ihre Gültigkeit. Du musst dein ISMS – insbesondere die auf 93 Controls verdichteten Maßnahmen aus dem neuen Annex A – rechtzeitig umstellen.

Nein, die ISO 27001 schreibt keine spezifische Methode vor. Das 6-Schritte-Verfahren (in Anlehnung an BSI und ISO 27005) hat sich in der Praxis jedoch extrem bewährt, weil es messbare, nachvollziehbare Ergebnisse liefert. So machst du Schluss mit reinen „Bauchgefühl“-Bewertungen und bestehst jedes Audit.

Die Erklärung zur Anwendbarkeit (SoA) ist das absolute Herzstück deines Audits. Hier dokumentierst du für jedes der 93 Controls aus dem Annex A der Norm, ob es für dein Unternehmen anwendbar ist oder nicht. Die Begründung dafür liefert 1:1 deine vorangegangene Risikoanalyse.

Ja, aber nur, wenn du belastbar nachweisen kannst, dass das entsprechende Risiko in deinem Geschäftskontext nicht existiert oder anderweitig abgedeckt ist (z. B. wenn physische Sicherheitsmaßnahmen nachweislich durch euren Cloud-Provider übernommen werden). Du musst diesen Ausschluss lückenlos im SoA begründen.

Das Management braucht keine technischen Logfiles, sondern aggregierte Entscheidungsgrundlagen (KPIs): Anzahl kritischer Vorfälle, Fortschritt offener Audit-Maßnahmen (CAPA), notwendige Budgets/Ressourcen und vor allem die identifizierten Restrisiken, die von der Geschäftsführung formell und nachvollziehbar akzeptiert werden müssen.

Achim Schulz – Referent
Ihr Referent

Achim Schulz

Geschäftsführer der S+P Unternehmerforum & der S+P Compliance · Mitglied des S+P Referententeams

Achim Schulz ist erfahrener Experte für Informationssicherheit und berät Unternehmen strategisch wie operativ beim Aufbau resilienter Sicherheitsarchitekturen. Als Spezialist für integrierte Managementsysteme begleitet er Organisationen durch den gesamten Prozess der ISO/IEC 27001:2022-Zertifizierung. Sein Fokus liegt darauf, regulatorische Anforderungen aus BSI, DORA oder DSGVO von bürokratischem Ballast zu befreien und in pragmatische, wertschöpfende Unternehmensprozesse zu übersetzen.

Er gehört zum S+P Referententeam – einem Kreis erfahrener Praktiker für Compliance, Geldwäscheprävention, Risikomanagement und Informationssicherheit. Je nach Thema und Termin referieren die jeweils passenden Spezialisten.

LinkedIn-Profil →  ·  Das Referententeam →
Im Seminar und Lehrgang enthalten – S+P Tool Box: Vorlagen & Checklisten für das Informationssicherheitsmanagement (ISO/IEC 27001, BSI, DORA, DSGVO), laufend gepflegt durch die S+P Fachredaktion – Aktualisierung zu jedem Seminartermin.

Seminare & Lehrgänge

Widerruf erklären

Plattform & Methodik

Über S+P

ISO9001
ecovadis

Service & Kontakt

Board & Management

Compliance & Aufsicht

Führung & Leadership

Finance & Performance

S&P Unternehmerforum GmbH 809 Bewertungen auf ProvenExpert.com