Bereiten Sie Ihr ISO-27001-Audit vor, mit Anhang A und den Nachweisen vor Augen.
Für alle, die ein ISMS einführen oder betreiben: HodeiShield bewertet die 93 Maßnahmen des Anhangs A (Ausgabe 2022), sammelt die Nachweise zu jeder einzelnen und zeigt, was vor dem Zertifizierungsaudit noch fehlt.
- Das ISMS von Hodeitek ist nach ISO/IEC 27001:2023 zertifiziert (Nr. 34/5700/26/10159); sein Geltungsbereich umfasst die Systeme, die den SaaS-Dienst HodeiShield unterstützen. Es ist keine Produktzertifizierung
- Daten in der EU (OVH, Gravelines); Cloudflare (USA) auf dem Anfragepfad
Was ISO 27001 verlangt, in Kürze
Die Norm legt die Anforderungen an ein Informationssicherheits-Managementsystem fest. Anhang A ist ein Referenzkatalog von Maßnahmen, keine Liste, die vollständig erfüllt werden müsste.
Informative Zusammenfassung, keine Beratung. Die Zertifizierung hängt von Ihrem Anwendungsbereich, Ihren Entscheidungen zu den Risiken und der Beurteilung der Zertifizierungsstelle ab.
- Kontext, Anwendungsbereich und Führung
- Die Organisation bestimmt ihren Kontext, die interessierten Parteien und den Anwendungsbereich des ISMS; die oberste Leitung legt Politik und Rollen fest (Kapitel 4 und 5).
- Risiken beurteilen und behandeln
- Risiken werden beurteilt, die Behandlung wird gewählt, die erforderlichen Maßnahmen werden mit Anhang A verglichen und jede Aufnahme oder Streichung wird in der Erklärung zur Anwendbarkeit begründet (Abschnitte 6.1.2 und 6.1.3).
- Betreiben, messen und auditieren
- Das ISMS wird mit dokumentierter Information betrieben, seine Leistung wird gemessen, und es finden interne Audits und Managementbewertungen statt (Kapitel 7 bis 9).
- Fortlaufend verbessern
- Nichtkonformitäten werden korrigiert und das System wird fortlaufend verbessert (Kapitel 10).
Die vier Themen des Anhangs A und wo HodeiShield ansetzt
Anhang A der Ausgabe 2022 fasst 93 Maßnahmen in vier Themen zusammen. Die Plattform führt alle als Checkliste, arbeitet aber nur an einem Teil davon tatsächlich.
A.5
Organisatorische (37)
Lieferanten, Vorfälle, Richtlinien und Risiken haben ein eigenes Modul; der Rest wird als Checkliste mit Ihren Nachweisen verfolgt.
TeilweiseA.6
Personenbezogene (8)
Überprüfung, Sensibilisierung und Vertraulichkeitsvereinbarungen finden außerhalb der Plattform statt. Sie können den Status erfassen und den Nachweis hochladen.
Nicht abgedecktA.7
Physische (14)
Sicherheit von Räumen und Geräten liegt außerhalb der Plattform. Sie können den Status erfassen und den Nachweis hochladen.
Nicht abgedecktA.8
Technologische (34)
Tägliche CVEs und Warnungen je Komponente aus dem SBOM; der Endpoint-Agent liefert Prüfungen als Nachweis.
Teilweise
Von jeder ISO-27001-Anforderung zu einer Fähigkeit von HodeiShield
Mit Zyklusphase und Abdeckung. Nur, was die Plattform trägt.
Direkt: Die Plattform erledigt es. Teilweise: Sie liefert Nachweise oder einen Teil, den Rest übernehmen Sie. Nicht abgedeckt: liegt außerhalb von HodeiShield.
- Pflicht:
Kontext der Organisation, interessierte Parteien und Anwendungsbereich des ISMS
Kap. 4
Was HodeiShield leistet:Außerhalb von HodeiShield. Anwendungsbereich und interessierte Parteien festzulegen ist Aufgabe der Leitung.
PhaseAußerhalb des ZyklusUmfangNicht abgedeckt - Pflicht:
Informationssicherheitsrisiken beurteilen
6.1.2
Was HodeiShield leistet:Risikoregister mit 5×5-Matrix für inhärentes und Restrisiko sowie festgelegter Risikobereitschaft. Für Lieferanten: FAIR-ALE in Euro mit simuliertem Unsicherheitsband (nicht kalibriert). Kriterien und Methodik der Beurteilung legen Sie fest.
Docs · Risiko-Engine (öffnet sich in einem neuen Tab)PhasePREDICTUmfangTeilweise - Pflicht:
Risiken behandeln und die Erklärung zur Anwendbarkeit erstellen
6.1.3
Was HodeiShield leistet:Jedes Risiko trägt seine Behandlung und Notizen. Eine Maßnahme des Anhangs A lässt sich als „nicht anwendbar“ markieren, mit dem Grund in den Notizen, und zählt dann nicht mehr in die Bewertung. HodeiShield erzeugt die Erklärung zur Anwendbarkeit nicht als Dokument.
Docs · Compliance (öffnet sich in einem neuen Tab)PhaseAußerhalb des ZyklusUmfangTeilweise - Pflicht:
Maßnahmen des Anhangs A umsetzen und verfolgen
Anhang A (93)
Was HodeiShield leistet:Checkliste der 93 Maßnahmen der Ausgabe 2022: Status, Verantwortlicher, Frist, Notizen und Nachweise je Maßnahme. Die Bewertung ist der Anteil umgesetzter an den anwendbaren Maßnahmen.
Demo · ISO-27001-AnsichtPhaseSENSEUmfangDirekt - Pflicht:
Richtlinien und dokumentierte Information
A.5.1; 7.5
Was HodeiShield leistet:Nachweise mit Verantwortlichem, Gültigkeitsdatum und Status, die Sie hochladen oder verlinken; abgelaufene zählen nicht mehr. Eine Richtlinienbibliothek mit Versionen und Protokoll jeder Änderung. Der Inhalt der Richtlinien ist Ihre Sache.
Docs · Compliance (öffnet sich in einem neuen Tab)PhaseSENSEUmfangTeilweise - Pflicht:
Sicherheit in Lieferantenbeziehungen und in der IKT-Lieferkette
A.5.19 bis A.5.22
Was HodeiShield leistet:Fragebögen per Token mit Erinnerungen, periodischer externer Scan, tägliche CVEs und SBOMs der Lieferanten. Vertragsklauseln und Leistungsüberwachung liegen bei Ihnen.
Docs · Risiko-Engine (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangTeilweise - Pflicht:
Umgang mit Informationssicherheitsvorfällen
A.5.24 bis A.5.28
Was HodeiShield leistet:Ein einziges Vorfallsregister; jeder Vorfall wird einmal klassifiziert und mit Nachweisen versehen. Reaktionsverfahren und gewonnene Erkenntnisse dokumentieren Sie selbst.
Demo · VorfallsregisterPhaseAußerhalb des ZyklusUmfangTeilweise - Pflicht:
Umgang mit technischen Schwachstellen
A.8.8
Was HodeiShield leistet:Tägliche CVE-Synchronisierung und Warnungen je Komponente auf den SBOMs, die Sie einlesen. Der Endpoint-Agent berichtet je Zyklus, seine Prüfungen fließen nicht in die Compliance-Bewertung ein.
Docs · SBOM-, CVE- und Warnkette (öffnet sich in einem neuen Tab)PhaseSENSEUmfangTeilweise - Pflicht:
Überwachung, Messung und Nachweis für Auditor oder Kunden
9.1
Was HodeiShield leistet:Lage je Rahmenwerk und ATTEST-Bescheinigung mit dem ISO-27001-Band, mit ML-DSA-65 signiert und offline prüfbar. Sie belegt Integrität, Herkunft und Zeitpunkt, nicht den Wahrheitsgehalt.
Docs · ATTEST-Verifizierer (öffnet sich in einem neuen Tab)PhaseATTESTUmfangTeilweise - Pflicht:
Internes Audit und Managementbewertung
9.2 und 9.3
Was HodeiShield leistet:Außerhalb von HodeiShield. Bewertung und Nachweise können als Eingang dienen, durchführen und dokumentieren müssen Sie beides selbst.
PhaseAußerhalb des ZyklusUmfangNicht abgedeckt
Was HodeiShield bei ISO 27001 nicht leistet
Was außerhalb bleibt, gesagt vor der Demo.
Zertifiziert Ihre Organisation nicht
Die Zertifizierung nach ISO/IEC 27001 erteilt eine akkreditierte Stelle nach einem Audit. HodeiShield misst Ihre Lage anhand der von Ihnen gelieferten Nachweise und ersetzt dieses Audit nicht. Das zertifizierte ISMS von Hodeitek SL ist das des Unternehmens und überträgt sich nicht auf Ihre Organisation.
Erzeugt keine Erklärung zur Anwendbarkeit
Sie können eine Maßnahme als nicht anwendbar markieren und den Grund vermerken, aber die Plattform erstellt dieses Dokument nicht und entscheidet auch nicht, welche Maßnahmen für Sie gelten.
Bildet die Managementsystem-Kapitel nicht ab
Der Katalog ist der des Anhangs A. Kontext, Ziele, Kompetenz, internes Audit und Managementbewertung haben kein eigenes Modul; Risikoregister und Nachweise können sie speisen.
Nachweise sammeln sich nicht von selbst
Sie werden von Hand hochgeladen oder verlinkt. Cloud-Kollektoren sind geplant und existieren heute nicht, und der Endpoint-Agent berichtet je Zyklus, nicht in Echtzeit.
Fragen zu ISO 27001
Antworten mit dem genauen Umfang.
Zertifiziert HodeiShield mich nach ISO 27001?
Nein. Die Zertifizierung erteilt eine akkreditierte Stelle nach der Prüfung Ihres Managementsystems. HodeiShield misst Ihre Lage anhand Ihrer Nachweise und zeigt, was fehlt; ob Sie für das Audit bereit sind, hängt von Ihren Nachweisen und Entscheidungen ab.
Wie wird Anhang A bewertet?
Jede der 93 Maßnahmen hat einen Status, den Sie selbst setzen. Die Bewertung ist der Prozentsatz der umgesetzten an den anwendbaren Maßnahmen. Eine nicht beurteilte Maßnahme hebt die Bewertung nicht an: Nur „nicht anwendbar“ scheidet aus der Berechnung aus. Es ist eine Selbstbewertung, kein Audit.
Erzeugt es die Erklärung zur Anwendbarkeit?
Nein. Sie können Maßnahmen als nicht anwendbar markieren und den Grund vermerken, aber die Erklärung zur Anwendbarkeit als Dokument, mit der Begründung jeder Aufnahme und Streichung, verfassen Sie selbst.
Gilt derselbe Nachweis auch für ENS oder NIS2?
Das Crosswalk verknüpft die ISO-27001-Maßnahmen mit ihren Entsprechungen in ENS, NIS2, SOC 2, ISO 42001 und NIST CSF 2.0, damit Sie dasselbe nicht zweimal belegen. Eine Entsprechung gibt Orientierung, ersetzt aber nicht die Beurteilung des Auditors der jeweiligen Norm.
Mit welcher Ausgabe der Norm arbeitet es?
Mit ISO/IEC 27001:2022. Der Katalog enthält die 93 Maßnahmen ihres Anhangs A: A.5.1 bis A.5.37, A.6.1 bis A.6.8, A.7.1 bis A.7.14 und A.8.1 bis A.8.34.
Verwandte Lösungen
Brauchen Sie Hilfe, die Lücken zu schließen?
HodeiShield zeigt Ihnen, wo sie liegen. Wenn Sie ein Team brauchen, das sie schließt, bietet Hodeitek Beratung zu Governance, Risiko und Compliance.
Sind Sie MSSP? Partnerprogramm
Gehen Sie Anhang A mit Ihren Nachweisen durch
In der Demo markieren wir die Maßnahmen, die für Sie gelten, und sehen, welche Nachweise Sie schon haben, welche ablaufen und was vor dem Audit fehlt.
Unverbindlich. Beispieldaten.