1. Risiken identifizieren und bewerten 

Für die ISO 27001 ist das Asset Management ein zentrales Element: Unternehmen müssen wissen, welche Assets sie besitzen, wo sie sich befinden, welchen Schutzbedarf sie haben und welche Risiken mit ihnen verbunden sind. 

Unsere Tools bilden diese Anforderungen vollständig ab, indem alle relevanten Informationswerte von Servern, Anwendungen und Daten über Standorte und Prozesse bis hin zu Verantwortlichkeiten zentral erfasst und miteinander verknüpft werden. Darauf aufbauend kann die Risikoanalyse umgesetzt werden. 

Bedrohungen, Schwachstellen und Auswirkungen werden direkt auf die jeweiligen Assets angewendet, wodurch die Risikobewertung nicht abstrakt, sondern konkret auf Basis der tatsächlichen Systemlandschaft erfolgt. 

Vorteile:

• ISO-konformes Asset Management: Alle Informationswerte werden vollständig, strukturiert und mit Verantwortlichkeiten erfasst
• Risikobewertung: Bedrohungen, Schwachstellen und Auswirkungen lassen sich direkt an Assets, Prozessen oder Informationsklassen bewerten.
• Anhang-A-Kontrollen zuweisbar: Maßnahmen (Controls) aus Anhang A können sofort den betroffenen Assets und Risiken zugeordnet werden.
• Schutzbedarfsfeststellung integriert: Kritikalität, Vertraulichkeit, Integrität und Verfügbarkeit sind zentral abbildbar und fließen in die Risikoanalyse ein. 

Anforderungen können für verschiedene Assets und Asset-Gruppen festgelegt werden. 

2. Maßnahmen planen, umsetzen und nachweisen

Die ISO 27001 verlangt, dass identifizierte Risiken durch geeignete Maßnahmen behandelt werden. Als Grundlage hierfür dienen Maßnahmen aus dem Anhang A, die je nach Risiko ausgewählt oder durch eigene Maßnahmen ergänzt werden können. 

Mit unseren Tools bilden Sie diesen Prozess vollständig ab: Maßnahmen werden strukturiert erfasst, den relevanten Risiken und Assets zugeordnet und revisionssicher dokumentiert. Dadurch wird jederzeit nachvollziehbar, welche Controls umgesetzt, geprüft oder noch offen sind. 

Vorteile:

• Abdeckung aller Annex-A-Kontrollen: Maßnahmen lassen sich direkt nach ISO 27001:2022 strukturieren und zuweisen.
• Revisionssichere Dokumentation: Jede Änderung wird historisiert – ideal für interne und externe Audits.
• Zuständigkeiten & Deadlines: Jeder Control erhält Verantwortliche, Fälligkeitsdaten und Status.
• Wirksamkeitsprüfung integriert: PDCA-Zyklus mit regelmäßiger Überprüfung und Nachweisführung.
• Direkte Verknüpfung zu Assets & Risiken: Maßnahmen greifen nicht abstrakt – sie hängen am tatsächlichen System oder Prozess.  

Umsetzungsstand ihres ISO-27001-Maßnahmenkatalogs inkl. Nachweispflichten  

3. Richtlinien und Verfahren auditfest verwalten

Die ISO 27001 verlangt eine strukturierte, nachvollziehbare und versionskontrollierte Dokumentation aller sicherheitsrelevanten Informationen von Richtlinien und Leitlinien über Verfahren bis hin zu Protokollen und Nachweisen. 
Mit unseren Tools lassen sich diese Dokumente zentral verwalten, eindeutig Verantwortlichen zuordnen, versionieren und direkt mit Assets, Risiken und Maßnahmen verknüpfen. Dadurch entsteht eine konsistente und auditfähige Dokumentationsbasis, die den Anforderungen von ISO 27001 vollständig entspricht. 

Vorteile:

• Zentrale Ablage aller ISMS-Dokumente: Policies, Leitlinien, Verfahren, Protokolle und Arbeitsanweisungen an einem Ort.
• Versionierung & Historisierung: Änderungen werden revisionssicher gespeichert  inklusive Verantwortlichen und Zeitstempeln.
• Nachweisführung für Audits: Prozesse, Entscheidungen und Maßnahmen lassen sich vollständig nachvollziehen.
• Verknüpfung mit Assets, Risiken und Controls: Dokumente sind nicht isoliert, sondern im Kontext der tatsächlichen IT- und Prozesslandschaft. 

Umsetzungsstand ihres ISO-27001-Maßnahmenkatalogs inkl. Nachweispflichten  

1. Import bestehender Assets 

In vielen Unternehmen liegen Daten zu Systemen, Anwendungen, Standorten, Verträgen oder Verantwortlichkeiten bereits vor. Sie existieren jedoch oft verteilt über Excel-Listen, interne Ablagen, Monitoring-Informationen oder frühere Inventarisierungen. Statt diese Informationen erneut manuell zu erfassen, können bestehende Strukturen übernommen und in eine zentrale Informationssicherheitsarchitektur integriert werden. 

Der Import ermöglicht eine geordnete Zusammenführung aller relevanten Assets – von technischen Komponenten über Cloud-Dienste und Prozessdaten bis hin zu Rollen und Zuständigkeiten. Im Zuge des Imports werden die Daten klassifiziert, Verantwortlichkeiten zugewiesen und Abhängigkeiten sichtbar gemacht. 

Auf dieser Basis lassen sich Schutzbedarfe bestimmen, Risiken bewerten und geeignete Maßnahmen nach ISO 27001 zuordnen. 

Vorteile: 

• Kein Neuanfang: vorhandene Informationen werden übernommen statt neu erfasst
• Transparenz: Assets, Verantwortlichkeiten und Abhängigkeiten werden klar sichtbar
• Struktur: Klassifizierung, Schutzbedarf und Risiko lassen sich unmittelbar zuordnen
• Nachvollziehbarkeit: Änderungen werden versioniert und auditfähig dokumentiert
• Zukunftssicherheit: Wiederholbare Importe vermeiden Datensilos und Doppelpflege 
  
  Bild zeigt: Import Ihrer bestehenden Assets aus Excel oder anderen Drittanbietertools 

3.  Sicherheitsvorfallmanagement 

Vorgänge und zugehörige Assets verknüpfen  

IT-Serviceprozesse effizient und transparent steuern. Mit der Integration von Ticket-Systemen in i-doit bündeln Sie alle Vorgänge an einem Ort. Von Störungsmeldungen über Change Requests bis hin zu Serviceanfragen. Durch die Verknüpfung mit Ihren Assets, Verträgen und Verantwortlichkeiten entsteht eine zentrale Informationsbasis für den gesamten IT-Betrieb. 

Tickets werden nachvollziehbar dokumentiert, automatisch klassifiziert und können anhand definierter Workflows priorisiert, delegiert und abgeschlossen werden. So entsteht ein reibungsloser Ablauf zwischen Technik, Organisation und Support. 

Vorteile: 

• Einheitliche Steuerung aller IT-Vorgänge
• Klare Zuständigkeiten und schnellere Reaktionszeiten
• Lückenlose Nachvollziehbarkeit von Änderungen und Maßnahmen
• Direkte Verbindung zu CMDB-Objekten und Dokumentation
• Grundlage für Kennzahlen, Auswertungen und Prozessoptimierungen  

Bild zeigt: Sicherheitsvorfälle können zentral erfasst und in die Risikobewertung einfließen 

4.  Lieferantenmanagement 

Externe Dienstleister, Hosting-Anbieter, Wartungspartner oder Cloud-Services sind oft direkt in kritische Geschäftsprozesse eingebunden. Ein strukturiertes Lieferantenmanagement ermöglicht es, deren Leistungen, Risiken, Verträge und Abhängigkeiten zentral abzubilden. Verantwortlichkeiten, Servicelevels, Sicherheitsanforderungen und Auswirkungen auf Informationswerte werden nachvollziehbar dokumentiert und mit den betroffenen Prozessen und Maßnahmen verknüpft. 

So behalten Unternehmen die Kontrolle darüber, welche Lieferanten auf welchen Informationswert zugreifen, welche Anforderungen gelten und ob vereinbarte Schutzmaßnahmen eingehalten werden

Vorteile: 

• Transparenz über alle sicherheitsrelevanten Lieferanten und Dienstleister
• Nachvollziehbare Zuordnung zu Assets, Prozessen, Standorten und Risiken
• Klare Verantwortlichkeiten, Zuständigkeiten und Servicelevels
• Vertragliche Sicherheitsanforderungen und Compliance-Vorgaben zentral dokumentierbar
• Nachweisbereit für Audits, Zertifizierungen und regulatorische Prüfungen  

Bild zeigt: Der Status von Systemen, Geräten und anderen Assets ist direkt in der IT-Dokumentation ersichtlich.  

5. Steuerung & Verteilung von Aufgaben und Zugriffen

Ein funktionierendes ISMS benötigt klare Zuständigkeiten. Wer Maßnahmen bewertet, wer Risiken freigibt, wer Richtlinien ändern darf oder wer nur lesen darf – all das entscheidet über Sicherheit, Effizienz und Auditfähigkeit. 

Durch fein granulierte Rollen- und Berechtigungskonzepte werden Verantwortlichkeiten eindeutig zugewiesen: Teams, Abteilungen und Personen erhalten genau den Zugriff, den sie für ihre Aufgaben benötigen. Sensible Informationen bleiben geschützt, operative Prozesse bleiben transparent und Nachweise werden nicht verwässert. 

Vorteile: 

• Klare Verantwortlichkeiten: Rollen und Aufgaben sind eindeutig zugeordnet – keine Grauzonen oder Doppelzuständigkeiten.
• Fein granulierte Zugriffssteuerung: Berechtigungen für Objekte, Kategorien und Prozesse lassen sich exakt definieren.
• Schutz sensibler Informationen: Kritische Daten sind nur für autorisierte Nutzer sichtbar und bearbeitbar.
• Auditfähigkeit durch Nachvollziehbarkeit: Jede Aktion lässt sich zeitlich, organisatorisch und personell zurückverfolgen.
• Reduzierte Fehler und Missverständnisse: Teams arbeiten nur mit den Informationen, die sie wirklich benötigen. 

Bild zeigt:  Auditprüfung mit direkten Verknüpfungen zu Normanforderungen, Maßnahmen und Evidenzen – vollständig nachvollziehbar und auditfähig.