ENTWURF
ÖVE/ÖNORM
EN ISO/IEC 27001 Ausgabe: 2016-11-15
Informationstechnik ― Sicherheitsverfahren ― Informationssicherheits-Managementsysteme ― Anforderungen (ISO/IEC 27001:2013) Information technology ― Security techniques ― Information security management systems ― Requirements (ISO/IEC 27001:2013) Technologies de l'information ― Techniques de sécurité ― Systèmes de management de la sécurité de l'information ― Exigences (ISO/IEC 27001:2013)
Hinweis: Aufgrund von Stellungnahmen kann die endgültige Fassung dieser ÖNORM vom vorliegenden Entwurf abweichen. Stellungnahmen (schriftlich) bis 2016-12-31 an Austrian Standards Institute. Medieninhaber und Hersteller OVE Österreichischer Verband für Elektrotechnik Austrian Standards Institute
AS+ Shop 19.02.2017
Copyright © OVE/Austrian Standards Institute 2016 Alle Rechte vorbehalten! Nachdruck oder Vervielfältigung, Aufnahme auf oder in sonstige Medien oder Datenträger nur mit Zustimmung gestattet! Verkauf von in- und ausländischen Normen und technischen Regelwerken durch Austrian Standards Institute Heinestraße 38, 1020 Wien E-Mail:
[email protected] Internet: www.austrian-standards.at Webshop: www.austrian-standards.at/webshop Tel.: +43 1 213 00-300 Fax: +43 1 213 00-818 Alle Regelwerke für die Elektrotechnik auch erhältlich bei OVE Österreichischer Verband für Elektrotechnik Eschenbachgasse 9, 1010 Wien E-Mail:
[email protected] Internet: www.ove.at Webshop: www.ove.at/webshop Tel.: +43 1 587 63 73 Fax: +43 1 586 63 73-99
ICS Ident (IDT) mit Ident (IDT) mit
03.100.01; 35.040 ISO/IEC 27001:2013-10 (Übersetzung) prEN ISO/IEC 27001:2016-10
Ersatz für
ÖNORM ISO/IEC 27013:2013-05
zuständig
Komitee 001 Informationsverarbeitung
ENTWURF ÖVE/ÖNORM EN ISO/IEC 27001:2016-11
Erläuterungen zum Entwurf Der vorliegende Internationale Normentwurf wurde als Entwurf zu einer Europäischen Norm EN ISO/IEC 27001 den CEN/CENELEC-Mitgliedern zur Abstimmung vorgelegt. Im Falle eines positiven Abstimmungsergebnisses im Sinne der CEN/CENELEC-Regeln wird dieser Entwurf zu einer EN führen. Wie alle Mitgliedsorganisationen des CEN/CENELEC ist das Austrian Standards Institute grundsätzlich verpflichtet, Europäische Normen in das nationale Normenwerk zu übernehmen und entgegenstehende Normen zurückzuziehen. Das Austrian Standards Institute legt hiermit diesen Entwurf eines europäischen Normungsdokumentes der Öffentlichkeit zur Information und Stellungnahme als ÖVE/ÖNORM-Entwurf vor.
Stellungnahmen zu diesem Entwurf Hier einige praktische Hinweise, die Ihnen und dem zuständigen Komitee die Behandlung von Stellungnahmen und Änderungsvorschlägen erleichtern: Vorlage
Verwenden Sie für Ihre Stellungnahmen/Änderungsvorschläge bitte das entsprechende Formular im Internet. Download unter http://www.austrian-standards.at/Stellungnahme/ oder verwenden Sie das Normen-Entwurf-Portal unter http://www.austrian-standards.at/Normen-Entwurf-Portal/
Gliederung
Kommentare zu einzelnen Abschnitten oder Punkten des Entwurfs bitte in getrennten Zeilen anführen. Dies erleichtert die Zuordnung der eingelangten Stellungnahmen zu den einzelnen Abschnitten.
Sprache
Fachliche Stellungnahmen zu Europäischen Normen fassen Sie bitte möglichst in englischer Sprache ab. Englisch ist in den meisten europäischen Normungsgremien die gemeinsame Arbeitssprache. Redaktionelle bzw. sprachliche Änderungs-/Verbesserungsvorschläge zu deutschsprachigen Fassungen Europäischer Normen bitte (selbstverständlich) in deutscher Sprache.
AS+ Shop 19.02.2017
Schrift/Formatierung
2
Verwenden Sie bitte die Schriftart „Arial“ mit 9 pt Schriftgrad. Formate bitte nicht ändern.
Zusendung
Die Stellungnahme senden Sie bitte per E-Mail an den zuständigen KomiteeManager (
[email protected])
Patentrechtliche Aspekte
Empfänger dieses ÖNORM-Entwurfes werden gebeten, mit ihren Kommentaren jegliche relevante Patentrechte, die Sie kennen, mitzuteilen und unterstützende Dokumentationen zur Verfügung zu stellen.
EUROPÄISCHE NORM EUROPEAN STANDARD
ENTWURF prEN ISO/IEC 27001
NORME EUROPÉENNE Oktober 2016 ICS 03.100.01; 35.040
Deutsche Fassung
Informationstechnik - Sicherheitsverfahren Informationssicherheits-Managementsysteme Anforderungen (ISO/IEC 27001:2013) Information technology - Security techniques Information security management systems Requirements (ISO/IEC 27001:2013)
Technologies de l'information - Techniques de sécurité Systèmes de management de la sécurité de l'information - Exigences (ISO/IEC 27001:2013)
Dieser Europäische Norm-Entwurf wird den CEN-Mitgliedern zur Umfrage vorgelegt. Er wurde vom Technischen Komitee CEN/SS F12 erstellt. Wenn aus diesem Norm-Entwurf eine Europäische Norm wird, sind die CEN-Mitglieder gehalten, die CEN-Geschäftsordnung zu erfüllen, in der die Bedingungen festgelegt sind, unter denen dieser Europäischen Norm ohne jede Änderung der Status einer nationalen Norm zu geben ist. Dieser Europäische Norm-Entwurf wurde vom CEN in drei offiziellen Fassungen (Deutsch, Englisch, Französisch) erstellt. Eine Fassung in einer anderen Sprache, die von einem CEN-Mitglied in eigener Verantwortung durch Übersetzung in seine Landessprache gemacht und dem Management-Zentrum des CEN-CENELEC mitgeteilt worden ist, hat den gleichen Status wie die offiziellen Fassungen. CEN-Mitglieder sind die nationalen Normungsinstitute von Belgien, Bulgarien, Dänemark, Deutschland, der ehemaligen jugoslawischen Republik Mazedonien, Estland, Finnland, Frankreich, Griechenland, Irland, Island, Italien, Kroatien, Lettland, Litauen, Luxemburg, Malta, den Niederlanden, Norwegen, Österreich, Polen, Portugal, Rumänien, Schweden, der Schweiz, der Slowakei, Slowenien, Spanien, der Tschechischen Republik, der Türkei, Ungarn, dem Vereinigten Königreich und Zypern. Die Empfänger dieses Norm-Entwurfs werden gebeten, mit ihren Kommentaren jegliche relevante Patentrechte, die sie kennen, mitzuteilen und unterstützende Dokumentationen zur Verfügung zu stellen.
AS+ Shop 19.02.2017
Warnvermerk : Dieses Schriftstück hat noch nicht den Status einer Europäischen Norm. Es wird zur Prüfung und Stellungnahme vorgelegt. Es kann sich noch ohne Ankündigung ändern und darf nicht als Europäischen Norm in Bezug genommen werden.
EUROPÄISCHES KOMITEE FÜR NORMUNG EUROPEAN COMMITTEE FOR STANDARDIZATION COMITÉ EUROPÉEN DE NORMALISATION
CEN-CENELEC Management-Zentrum: Avenue Marnix 17, B-1000 Brüssel © 2016 CEN
Alle Rechte der Verwertung, gleich in welcher Form und in welchem Verfahren, sind weltweit den nationalen Mitgliedern von CEN vorbehalten.
Ref. Nr. prEN ISO/IEC 27001:2016 D
prEN ISO/IEC 27001:2016 (D)
ÖVE/ÖNORM ENTWURF
Inhalt Seite
Vorwort ...................................................................................................................................................................................... 4 0..............................................................................................................................................................ǤǤǤǤǤǤǤǤǤǤǤǤǤǤǤǤ
Allgemeines ............................................................................................................................................................... 6
0.2
Kompatibilität mit anderen Normen für Managementsysteme ............................................................. 6
1
Anwendungsbereich ............................................................................................................................................... 7
2
Normative Verweisungen ..................................................................................................................................... 7
3
Begriffe ........................................................................................................................................................................ 7
4 4.1 4.2 4.3 4.4
Kontext der Organisation ..................................................................................................................................... 7 Verstehen der Organisation und ihres Kontextes ....................................................................................... 7 Verstehen der Erfordernisse und Erwartungen interessierter Parteien ........................................... 7 Festlegen des Anwendungsbereichs des Informationssicherheitsmanagementsystems............. 8 Informationssicherheitsmanagementsystem ............................................................................................... 8
5 5.1 5.2 5.3
Führung ....................................................................................................................................................................... 8 Führung und Verpflichtung.................................................................................................................................. 8 Politik ........................................................................................................................................................................... 9 Rollen, Verantwortlichkeiten und Befugnisse in der Organisation ...................................................... 9
6 6.1 6.1.1 6.1.2 6.1.3 6.2
Planung........................................................................................................................................................................ 9 Maßnahmen zum Umgang mit Risiken und Chancen ................................................................................. 9 Allgemeines ............................................................................................................................................................... 9 Informationssicherheitsrisikobeurteilung .................................................................................................. 10 Informationssicherheitsrisikobehandlung.................................................................................................. 11 Informationssicherheitsziele und Planung zu deren Erreichung........................................................ 11
7 7.1 7.2 7.3 7.4 7.5 7.5.1 7.5.2 7.5.3
Unterstützung ......................................................................................................................................................... 12 Ressourcen ............................................................................................................................................................... 12 Kompetenz ............................................................................................................................................................... 12 Bewusstsein ............................................................................................................................................................. 12 Kommunikation ..................................................................................................................................................... 13 Dokumentierte Information .............................................................................................................................. 13 Allgemeines ............................................................................................................................................................. 13 Erstellen und Aktualisieren ............................................................................................................................... 13 Lenkung dokumentierter Information .......................................................................................................... 13
8 8.1 8.2 8.3
Betrieb ....................................................................................................................................................................... 14 Betriebliche Planung und Steuerung ............................................................................................................. 14 Informationssicherheitsrisikobeurteilung .................................................................................................. 14 Informationssicherheitsrisikobehandlung.................................................................................................. 14
9 9.1 9.2 9.3
Bewertung der Leistung ...................................................................................................................................... 15 Überwachung, Messung, Analyse und Bewertung ..................................................................................... 15 Internes Audit ......................................................................................................................................................... 15 Managementbewertung ...................................................................................................................................... 16
AS+ Shop 19.02.2017
0.1
ʹ
ÖVE/ÖNORM ENTWURF 10 10.1 10.2
prEN ISO/IEC 27001:2016 (D)
Verbesserung........................................................................................................................................................... 16 Nichtkonformität und Korrekturmaßnahmen ........................................................................................... 16 Fortlaufende Verbesserung ............................................................................................................................... 17
Anhang A (normativ) Referenzmaßnahmenziele und -maßnahmen ...............................................................18
AS+ Shop 19.02.2017
Literaturhinweise ................................................................................................................................................................. 34
͵
prEN ISO/IEC 27001:2016 (D)
ÖVE/ÖNORM ENTWURF
Europäisches Vorwort Der Text von ISO/IEC 27001:2013 wurde vom Technischen Komitee ISO/IEC JTC/TC XX „Titel“ der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) erarbeitet und als prEN ISO/IEC 27001:2016 durch den Technischen Lenkungsausschuss (BT) des CEN übernommen. Dieses Dokument ist derzeit zur CEN-Umfrage vorgelegt.
Anerkennungsnotiz
AS+ Shop 19.02.2017
Der Text von ISO/IEC 27001:2013 wurde vom CEN als prEN ISO/IEC 27001:2016 ohne irgendeine Abänderung genehmigt.
Ͷ
ÖVE/ÖNORM ENTWURF
prEN ISO/IEC 27001:2016 (D)
Vorwort ISO (die Internationale Organisation für Normung) ist eine weltweite Föderation von Nationalen Normungsorganisationen (ISO Mitglieder). Die Erstellung von Internationalen Normen wird normalerweise von ISO Technischen Komitees durchgeführt. Jede Mitgliedsorganisation, das Interesse an einem Thema hat, für welches ein Technisches Komitee gegründet wurde, hat das Recht in diesem Komitee vertreten zu sein. Internationale Organisationen, staatlich und nicht-staatlich, in Liaison, nehmen ebenfalls an der Erarbeitung teil. ISO arbeitet eng mit der Internationalen Elektrotechnischen Kommission (IEC) bei allen elektrotechnischen Themen zusammen. Internationale Normen werden in Übereinstimmung mit den Regeln nach ISO/IEC Direktive, Teil 2 erarbeitet.
Die Hauptaufgabe von Technischen Komitees ist es Internationale Normen zu erarbeiten. Internationale NormEntwürfe, die von Technischen Komitees verabschiedet wurden, werden den Mitgliedsorganisationen zur Abstimmung zur Verfügung gestellt. Für die Veröffentlichung als Internationale Norm werden mindestens 75 % Zustimmung der Mitgliedsorganisationen benötigt. Es wird auf die Möglichkeit hingewiesen, dass einige Elemente dieses Dokuments Patentrechte berühren können. ISO ist nicht dafür verantwortlich, einige oder alle diesbezüglichen Patentrechte zu identifizieren. ISO/IEC 27001:2013 wurde vom Technischen Komitee ISO/IEC/JTC 1 „Information technology“, Unterkomitee SC 27 „Security Techniques“, erarbeitet.
AS+ Shop 19.02.2017
Diese zweite Ausgabe ersetzt die erste Ausgabe (ISO/IEC 27001:2005), die technisch überarbeitet wurde.
ͷ
prEN ISO/IEC 27001:2016 (D)
ÖVE/ÖNORM ENTWURF
0 Einleitung 0.1 Allgemeines Diese Internationale Norm wurde erarbeitet, um Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicherheitsmanagementsystems (ISMS) festzulegen. Die Einführung eines Informationssicherheitsmanagementsystems stellt für eine Organisation eine strategische Entscheidung dar. Erstellung und Umsetzung eines Informationssicherheitsmanagementsystems innerhalb einer Organisation richten sich nach deren Bedürfnissen und Zielen, den Sicherheitsanforderungen, den organisatorischen Abläufen sowie nach Größe und Struktur der Organisation. Es ist davon auszugehen, dass sich alle diese Einflussgrößen im Laufe der Zeit ändern.
Das Informationssicherheitsmanagementsystem wahrt die Vertraulichkeit, Integrität und Verfügbarkeit von Information unter Anwendung eines Risikomanagementprozesses und verleiht interessierten Parteien das Vertrauen in eine angemessene Steuerung von Risiken. Es ist wichtig, dass das Informationssicherheitsmanagementsystem als Teil der Abläufe der Organisation in deren übergreifende Steuerungsstruktur integriert ist und die Informationssicherheit bereits bei der Konzeption von Prozessen, Informationssystemen und Maßnahmen berücksichtigt wird. Es wird erwartet, dass die Umsetzung eines Informationssicherheitsmanagementsystems entsprechend den Bedürfnissen der Organisation skaliert wird. Diese Internationale Norm kann von internen und externen Parteien dazu eingesetzt werden, die Fähigkeit einer Organisation zur Einhaltung ihrer eigenen Informationssicherheitsanforderungen zu beurteilen.
Die Reihenfolge, in der die Anforderungen in dieser Internationalen Norm aufgeführt sind, spiegelt nicht deren Bedeutung wider noch die Abfolge, in der sie umzusetzen sind. Die Einträge sind lediglich zu Referenzierungszwecken nummeriert.
ISO/IEC 27000 liefert einen Überblick und die Begrifflichkeiten von Informationssicherheitsmanagementsystemen und verweist auf die Informationssicherheitsmanagementsystem-Normenfamilie (einschließlich ISO/IEC 27003 [2], ISO/IEC 27004 [3] und ISO/IEC 27005 [4]), einschließlich deren Begriffe.
0.2 Kompatibilität mit anderen Normen für Managementsysteme
Diese Internationale Norm wendet die Grundstrukturen, den einheitlichen Basistext, die gemeinsamen Benennungen und die Basisdefinitionen für den Gebrauch in Managementsystemnormen an, die jeweils im Anhang SL der ISO/IEC-Direktiven, Teil 1, „Consolidated ISO Supplement“ festgelegt sind, und stellt so die Übereinstimmung mit anderen Managementsystemnormen her, die ebenfalls den Anhang SL anwenden.
AS+ Shop 19.02.2017
Die in Anhang SL festgelegte allgemeine Herangehensweise nützt jenen Organisationen, die sich für den Betrieb eines einzigen Managementsystems entscheiden, um die Anforderungen von zwei oder mehr Normen für Managementsysteme zu erfüllen.
6
ÖVE/ÖNORM ENTWURF
1
prEN ISO/IEC 27001:2016 (D)
Anwendungsbereich
Diese Internationale Norm legt die Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicherheitsmanagementsystems im Kontext der Organisation fest. Darüber hinaus beinhaltet diese Internationale Norm Anforderungen für die Beurteilung und Behandlung von Informationssicherheitsrisiken entsprechend den individuellen Bedürfnissen der Organisation. Die in dieser Internationalen Norm festgelegten Anforderungen sind allgemein gehalten und sollen auf alle Organisationen, ungeachtet ihrer Art und Größe, anwendbar sein. Wenn eine Organisation Konformität mit dieser Internationalen Norm für sich beansprucht, darf sie keine der Anforderungen in den Abschnitten 4 bis 10 ausschließen.
2
Normative Verweisungen
Die folgenden Dokumente, die in diesem Dokument teilweise oder als Ganzes zitiert werden, sind für die Anwendung des Dokuments erforderlich. Bei datierten Verweisungen gilt nur die in Bezug genommene Ausgabe. Bei undatierten Verweisungen gilt die letzte Ausgabe des in Bezug genommenen Dokuments (einschließlich aller Änderungen). ISO/IEC 27000, Information technology — Security Techniques — Information security management systems — Overview and vocabulary
3
Begriffe
Für die Anwendung dieses Dokuments gelten die in ISO/IEC 27000 angegebenen Begriffe.
4
Kontext der Organisation
4.1 Verstehen der Organisation und ihres Kontextes Die Organisation muss externe und interne Themen bestimmen, die für ihren Zweck relevant sind und sich auf ihre Fähigkeit auswirken, die beabsichtigten Ergebnisse ihres Informationssicherheitsmanagementsystems zu erreichen. ANMERKUNG Die Bestimmung dieser Themen bezieht sich auf die Festlegung des externen und internen Kontexts des Unternehmens, wie in ISO 31000:2009 [5], 5.3, beschrieben.
4.2 Verstehen der Erfordernisse und Erwartungen interessierter Parteien Die Organisation muss: a)
die interessierten Parteien, die für ihr Informationssicherheitsmanagementsystem relevant sind; und
b) die Anforderungen dieser interessierten Parteien mit Bezug zur Informationssicherheit
bestimmen.
AS+ Shop 19.02.2017
ANMERKUNG Die Anforderungen interessierter Parteien können gesetzliche und regulatorische Vorgaben sowie vertragliche Verpflichtungen beinhalten.
7
