ISO 27001 Abschnitt 7: Fünf Unterstützungsbereiche, die Auditoren prüfen

Abschnitt 7 verlangt fünf Unterstützungselemente: Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Informationen. Auditoren prüfen, ob Sie zunächst die Anforderungen definiert haben – beispielsweise was Kompetenz für eine bestimmte Rolle bedeutet – bevor passende Nachweise erstellt wurden. Ihre unmittelbaren nächsten Schritte sind eine Kompetenzmatrix, eine Nachweisübersicht und ein einheitliches gesteuertes Dokumentenregister.

Kurzfassung:

• Legen Sie fest, welche Kompetenz jede Sicherheitsrolle erfordert, bevor Sie Zertifikate sammeln – dokumentieren Sie dann Aufgabennachweise, Bewertungsdaten, Prüfende und ob die Schulung die Leistung verbessert hat.
• Verknüpfen Sie Ressourcengenehmigungen mit den Maßnahmen der Anwendbarkeitserklärung sowie genehmigten Budget- oder Personalentscheidungen, damit Auditoren jede erforderliche Fähigkeit bis zur Finanzierung zurückverfolgen können.
• Richtlinienbestätigungen müssen die datierte Version benennen; Interviews und Notfallübungen überprüfen, ob Mitarbeitende, Auftragnehmer und Zeitarbeitskräfte ihre Pflichten verstehen.
• Führen Sie ein einziges gesteuertes Dokumentenregister mit einem namentlich genannten Verantwortlichen, Genehmigungshistorie, einer einzigen aktuellen Version, Zugriffsregeln und Aufbewahrungsfristen; passen Sie den Detailgrad an die Komplexität Ihrer Organisation an.
• Legen Sie für jede Kommunikation Zielgruppe, Zeitpunkt, Methode und Auslöser fest und protokollieren Sie Nachrichten gegen den Plan; ein nicht nachverfolgter Plan wird wie kein Plan behandelt.

Inhaltsverzeichnis

• 7.1 Ressourcen: Umfang, Verantwortlichkeiten und Auditnachweise
• 7.2 Kompetenz: Rollenkompetenz aufbauen und nachweisen
• 7.3 Bewusstsein: Nachweisen, dass Personen das ISMS verstehen – nicht nur erhalten haben
• 7.4 Kommunikation: Ein einfacher, auditierbarer Kommunikationsplan
• 7.5 Dokumentierte Informationen: Praktische Maßnahmen zur Erstellung, Aktualisierung und Lenkung
• Was Auditoren suchen und wie Sie ein Selbstaudit durchführen, bevor sie eintreffen
• Wo Teams Abschnitt 7 tatsächlich falsch machen
• Den Aufwand für Abschnitt 7 mit dem ISMS Calculator ermitteln
• FAQ
• Quellen

7.1 Ressourcen: Umfang, Verantwortlichkeiten und Auditnachweise

Ressourcen im Sinne von Abschnitt 7 umfassen mehr als Personalstellen. Dazu gehören Personen, Zeit, Infrastruktur, Budget und externe Dienstleistungen wie Penetrationstests oder Rechtsberatung. Ein Auditor möchte nachvollziehen können, dass eine befugte Person entschieden hat, diese Ressourcen seien für das ISMS angemessen – nicht nur, dass sie irgendwo in der Organisation vorhanden sind.

Die oberste Leitung trägt diese Verantwortung, und die Norm erwartet sichtbare Nachweise dafür. Eine unterzeichnete Budgetgenehmigung, die einem konkreten ISMS-Ziel zugeordnet ist, genügt. Ebenso ein Vorstandsprotokoll, das auf eine Personalentscheidung für die Sicherheitsfunktion verweist. Vage Aussagen über „ausreichende Ressourcen" ohne nachvollziehbare Entscheidungskette befriedigen einen Auditor selten, wenn dieser die Rückverfolgbarkeit zwischen Absicht und Maßnahme prüft.

Halten Sie folgende Unterlagen zur Einsicht bereit:

• Ein Ressourcenregister, das Rollen, Werkzeuge und Budgetpositionen den ISMS-Zielen zuordnet.
• Genehmigte Budgetdokumente mit Genehmigungsdaten und Genehmigenden.
• Zeitallokationsnachweise für Rollen mit anteiligen Sicherheitsaufgaben.
• Lieferanten- oder Auftragnehmerverträge für ausgelagerte Sicherheitsfunktionen.

Verknüpfen Sie Ressourcenentscheidungen mit Ihrer Anwendbarkeitserklärung. Wenn eine Maßnahme in der Anwendbarkeitserklärung ein bestimmtes Werkzeug oder eine bestimmte Fähigkeit erfordert, sollte Ihr Ressourcenregister zeigen, wie diese Anforderung finanziert oder personell besetzt wurde. Dieser Zusammenhang ist häufig das Erste, was ein Auditor nachverfolgt – ein fehlender Bezug führt zu einem Befund, selbst wenn die Ressource selbst vorhanden ist.

Praxistipp: Halten Sie Ressourcengenehmigungen in demselben Register, das Sie für Ziele verwenden, damit ein Auditor Finanzierung und Zweck in einem einzigen Dokument nachvollziehen kann, anstatt in dreien.

7.2 Kompetenz: Rollenkompetenz aufbauen und nachweisen

Die Norm legt vier geordnete Schritte fest: Bestimmen Sie die für Rollen, die die Sicherheitsleistung beeinflussen, erforderliche Kompetenz; stellen Sie sicher, dass die Personen diese Kompetenz durch Ausbildung, Schulung oder Erfahrung besitzen; ergreifen Sie Maßnahmen zum Schließen von Lücken; und bewahren Sie dokumentierte Nachweise für all das auf. Das Überspringen des ersten Schritts ist der häufigste Grund, warum Kompetenznachweise im Audit abgelehnt werden – denn ein Zertifikat bedeutet nichts, wenn niemand festgelegt hat, welche Kompetenz die Rolle tatsächlich erfordert.

Eine Kompetenzmatrix ist der verlässlichste Weg, diesen Abschnitt zu erfüllen. Erstellen Sie sie mit folgenden Feldern:

• Rolle oder Stellenbezeichnung.
• Aufgaben, die die Informationssicherheitsleistung beeinflussen.
• Erforderliche Kompetenz für diese Aufgaben, konkret statt allgemein formuliert.
• Vorliegende Nachweise, z. B. Zertifikat, Schulungsnachweis oder dokumentierte Erfahrung.
• Datum der letzten Bewertung und wer sie durchgeführt hat.

Gemäß Praktiker-Analysen von Abschnitt-7-Audits lehnen Auditoren Kompetenznachweise häufig ab, wenn Zertifikate ohne eine dahinterstehende definierte Kompetenzanforderung vorgelegt werden, und empfehlen eine Kompetenzmatrix als praxistaugliche Lösung. AuditBadgers Analyse häufiger Abschnitt-7-Befunde behandelt diese Lücke als das mit Abstand häufigste Fehlermuster des Abschnitts.

Die Bewertung, ob eine Schulung tatsächlich wirksam war, ist wichtiger als die Schulung selbst. Tests nach der Schulung, beobachtete Aufgabenerfüllung und Peer-Reviews gelten alle als Wirksamkeitsnachweise und stärken eine Kompetenzakte weit mehr als eine bloße Anwesenheitsliste. Für interne Auditoren und technisches Personal sollten Lebensläufe, frühere Beurteilungsunterlagen und Unabhängigkeitserklärungen dort aufbewahrt werden, wo die Rolle eine Aufgabentrennung erfordert. Unser praxisorientierter Leitfaden zu Auditnachweisen behandelt zulässige Formate für diese Unterlagen ausführlicher.

Praxistipp: Fehlt einer Rolle ein formales Zertifikat, dokumentieren Sie stattdessen die Jahre relevanter Erfahrung bezogen auf die spezifische Aufgabenliste. Eine schriftliche Beurteilung durch eine Führungskraft, die den Rollenaufgaben zugeordnet ist, hat oft mehr Gewicht als ein generischer Kursabschluss.

7.3 Bewusstsein: Nachweisen, dass Personen das ISMS verstehen – nicht nur erhalten haben

Bewusstsein ist nicht dasselbe wie Verteilung. Das Versenden einer Richtlinie per E-Mail und das Protokollieren des Versands belegt die Zustellung, nicht das Verständnis. Abschnitt 7.3 fragt, ob Personen die Sicherheitsrichtlinie erfassen, wie ihre Rolle zum ISMS beiträgt und was bei Nichteinhaltung der Anforderungen passiert – Auditoren testen dies häufig direkt durch Mitarbeiterbefragungen, nicht nur durch Prüfung von Unterlagen.

Ein funktionsfähiges Bewusstseinsprogramm umfasst:

1. Onboarding-Sitzungen, die Richtlinie, Rollenbeitrag und Konsequenzen bei Nichtkonformität abdecken.
2. Unterzeichnete Bestätigungen, die an eine bestimmte, datierte Version der Richtlinie geknüpft sind.
3. Regelmäßige Auffrischungen in einem festen Rhythmus statt anlassbezogen.
4. Übungen zur Meldung von Sicherheitsvorfällen, die prüfen, ob Mitarbeitende wissen, was zu tun ist – nicht nur, was ihnen gesagt wurde.
5. Abdeckung von Auftragnehmern und Zeitarbeitskräften, die häufig ausgeschlossen und dann im Audit beanstandet werden.

Im Audit kommt es auf den Bezug zwischen einem Nachweis und einer bestimmten Version eines Dokuments an. Ein Bestätigungsprotokoll, das nicht zeigen kann, welche Richtlinienversion ein Mitarbeitender unterzeichnet hat, ist ein schwacher Nachweis. Auffrischungspläne und Übungsberichte schließen diese Lücke, indem sie belegen, dass das Programm kontinuierlich läuft und nicht nur einmalig bei der Einstellung.

Praxistipp: Üben Sie vor dem Auditfenster ein kurzes Interview mit einer Handvoll Mitarbeitender und bitten Sie sie, die Sicherheitsverantwortlichkeiten ihrer Rolle mit eigenen Worten zu erklären. Können sie es nicht, wird das Bestätigungsprotokoll Sie nicht retten.

7.4 Kommunikation: Ein einfacher, auditierbarer Kommunikationsplan

Abschnitt 7.4 verlangt einen Plan, keine Philosophie. Die Norm erwartet, dass Sie festlegen, was, wann, mit wem und wie kommuniziert wird – eine einseitige Tabelle reicht dafür meist aus. Häufige Auslöser, für die eine Planung sinnvoll ist, sind Sicherheitsvorfälle, Richtlinienänderungen, planmäßige Managementberichte und Mitteilungen an Lieferanten, deren Leistungen in den ISMS-Anwendungsbereich fallen.

Ein Kommunikationsplan, der einen Auditor überzeugt, enthält typischerweise:

• Eine Liste von Kommunikationstypen, den vorgesehenen Empfängern zugeordnet.
• Definierte Zeitvorgaben, z. B. „innerhalb von 24 Stunden" für Vorfallsmeldungen oder „vierteljährlich" für Management-Review-Zusammenfassungen.
• Den verwendeten Kanal – E-Mail, Ticketsystem oder geplante Besprechung.
• Ein Protokoll tatsächlich versendeter Kommunikation, das auf den auslösenden Planpunkt verweist.

Die Nachweise müssen hier nicht aufwändig sein. Besprechungsprotokolle, die auf einen bestimmten Planpunkt verweisen, ein Verteilerprotokoll, das belegt, dass eine Richtlinienaktualisierung die vorgesehene Zielgruppe erreicht hat, und eine Beispielnachricht zu einer Vorfallsmeldung – all das ist ausreichend, sofern es auf den Plan zurückführt. Ein Plan ohne entsprechendes Protokoll wird genauso behandelt wie kein Plan.

7.5 Dokumentierte Informationen: Praktische Maßnahmen zur Erstellung, Aktualisierung und Lenkung

Abschnitt 7.5 ist der Bereich, in dem sich die meisten Dokumentenlenkungsschulden ansammeln, und er ist auch der Unterabschnitt, dem Auditoren die meiste Prüfzeit widmen. Die Norm verlangt die Lenkung von Identifizierung, Format, Prüfung und Genehmigung, Versionskontrolle, Zugang, Aufbewahrung und Verfügbarkeit sowie Aufbewahrungsfristen und Vernichtung – einschließlich Dokumenten externer Herkunft, sofern Ihr ISMS von ihnen abhängt.

Maßnahmen zur Dokumentenlenkung sollten Identifizierung, Prüfung und Genehmigung, Versionskontrolle, Aufbewahrung und Verfügbarkeit, Verteilung und Zugang sowie Aufbewahrungsfristen und Vernichtung umfassen – inklusive Dokumenten externer Herkunft, soweit erforderlich. Dies ist direkt in den Anforderungen der Norm in 7.5.2 und 7.5.3 festgehalten.

Die Maßnahmen, die dies in der Praxis handhabbar machen:

• Ein namentlich genannter Dokumentenverantwortlicher für jedes gesteuerte Dokument – keine Abteilung.
• Identifikationsmetadaten: Titel, Datum, Version und Autor auf jedem Dokument.
• Ein definierter Prüf- und Genehmigungsschritt, bevor ein Dokument in Kraft tritt.
• Versionskontrolle, die verhindert, dass zwei „aktuelle" Exemplare gleichzeitig existieren.
• Zugangskontrolle entsprechend der Sensitivität, mit Protokollen, wo der Zugang auditierbar sein muss.
• Aufbewahrungsfristen und Vernichtungsregeln, die je Dokumenttyp festgelegt – nicht angenommen – werden.

Eine einzige Quelle der Wahrheit mit Versionshistorie, einem expliziten Verantwortlichkeitsfeld und einem Überprüfungsdatumsfeld löst das Versionsdriftproblem, an dem die meisten Organisationen im Audit scheitern. Für außer Betrieb genommene Hardware können Sie konforme Geräteentsorgungsdienste nutzen, um zertifizierte Nachweise der sicheren Vernichtung zu erhalten – so empfiehlt es AuditBadgers Praxisleitfaden zur Dokumentenlenkung in Abschnitt 7. Die Norm selbst stellt fest, dass der Umfang dokumentierter Informationen der Größe und Komplexität Ihrer Organisation angemessen sein sollte – ein Fünf-Personen-Team benötigt nicht dieselbe Dokumentenarchitektur wie ein 500-Personen-Unternehmen.

Das häufigste Versagensmuster ist Drift: Eine Richtlinie wird lokal aktualisiert, informell geteilt und gelangt nie wieder in das gesteuerte Register, sodass mehrere Versionen im Umlauf sind, ohne einen klaren Verantwortlichen. Unser ausführlicher Leitfaden zur Dokumentenlenkung nach Abschnitt 7.5 erklärt, wie Sie ein Register aufbauen, das dies vermeidet. Auditoren erwarten in der Regel ein Dokumentenregister, eine Genehmigungskette für jedes gesteuerte Dokument, Zugriffsprotokolle wo relevant sowie einen Aufbewahrungsplan, der angibt, wie lange jeder Dokumenttyp aufbewahrt und wie er vernichtet wird.

Praxistipp: Erstellen Sie Ihr Dokumentenregister, bevor Sie Ihre Richtlinien erstellen. Die nachträgliche Einführung von Verantwortlichkeiten und Versionskontrolle in bestehende Dokumente dauert weit länger, als von Anfang an mit der richtigen Struktur zu beginnen.

Was Auditoren suchen und wie Sie ein Selbstaudit durchführen, bevor sie eintreffen

Auditoren, die Abschnitt 7 prüfen, folgen einem gleichbleibenden Muster: Sie befragen stichprobenartig einige Mitarbeitende, prüfen, ob Kompetenzanforderungen auf konkrete Nachweise zurückführbar sind, und gleichen Aufgaben mit den vorgelegten Unterlagen ab. Die am häufigsten abgelehnten Nachweistypen haben eine gemeinsame Ursache: ein Zertifikat ohne dahinterstehende definierte Kompetenzanforderung oder eine per E-Mail versendete Richtlinie ohne Bestätigung, die nach Version abrufbar ist.

Gehen Sie Folgendes durch, bevor ein Auditfenster beginnt:

1. Wählen Sie drei Rollen zufällig aus und bestätigen Sie, dass deren Kompetenzanforderungen schriftlich festgehalten – nicht angenommen – sind.
2. Prüfen Sie, ob jedes Bestätigungsprotokoll an eine bestimmte, datierte Richtlinienversion geknüpft ist.
3. Verfolgen Sie eine Ressourcenentscheidung von der Anwendbarkeitserklärung bis zu einer genehmigten Budgetposition nach.
4. Bestätigen Sie, dass kein Dokument im Dokumentenregister ohne einen namentlich genannten Verantwortlichen existiert.
5. Bitten Sie zwei oder drei Mitarbeitende, ihre Sicherheitsverantwortlichkeiten ohne Vorgabe zu erläutern.

Das Üben von Interviews mit Mitarbeitenden und das eigenständige Durchgehen des eigenen Registers, bevor der Auditor dies tut, deckt die meisten dieser Lücken frühzeitig auf – und kostet nichts außer einem Nachmittag.

Wo Teams Abschnitt 7 tatsächlich falsch machen

Die meisten Teams behandeln Abschnitt 7 als reine Dokumentationsübung und beginnen damit, Zertifikate, Bestätigungsformulare und Richtlinien-PDFs zu sammeln, bevor jemand festgelegt hat, wie Kompetenz oder Bewusstsein für eine bestimmte Rolle aussehen soll. Diese Reihenfolge ist falsch – und das ist der Grund, warum so viele Audits Befunde zu Nachweisen ergeben, die technisch vorhanden sind, aber die eigentliche Frage des Auditors nicht beantworten.

Definieren Sie zuerst die Anforderung. Was bedeutet „kompetent" für diese spezifische Rolle, in dieser spezifischen Aufgabenliste? Erst dann ist es sinnvoll, nach Nachweisen zu suchen, die sie erfüllen. Dieselbe Logik gilt für die Dokumentation: verhältnismäßig und zentralisiert schlägt umfangreich und verstreut jedes Mal – und ein fünfseitiges Register, das alle tatsächlich aktuell halten, übertrifft ein fünfzigseitiges, das seit sechs Monaten veraltet ist.

Zertifikate allein schließen die Lücke für technische oder auditnahe Rollen selten. Eine kurze schriftliche Bewertung, eine Beurteilung durch eine Führungskraft anhand der Aufgabenliste oder dokumentierte Jahre praktischer Erfahrung belegen Kompetenz häufig überzeugender als ein Kursabschlussnachweis – und Auditoren sehen das meist ebenso.

— Martin

Den Aufwand für Abschnitt 7 mit dem ISMS Calculator ermitteln

Herauszufinden, wie viel Zeit und Budget Abschnitt 7 tatsächlich erfordert, ist ein eigenständiges Planungsproblem – getrennt vom Verständnis des Abschnitts selbst. Wir haben den ISMS Calculator entwickelt, um diese Frage direkt zu beantworten: Unser Echtzeitrechner liefert eine maßgeschneiderte Kosten- und Aufwandsschätzung basierend auf Ihrer Unternehmensgröße, Branche und aktuellen Sicherheitsreife – verglichen mit Modellreferenzwerten, damit Sie wissen, ob Ihr Plan realistisch ist, bevor Sie sich festlegen.

Unser Toolkit enthält eine Reifebewertung über ISO-Domänen hinweg, die nützlich ist, um genau zu erkennen, wo Ihre Abschnitt-7-Lücken in Bezug auf Ressourcen, Kompetenz oder Dokumentation liegen – bevor Sie einen Maßnahmenplan erstellen. Für einen schnellen ersten Überblick führen Sie unseren kostenlosen 2-Minuten-Bereitschaftscheck durch, um Bereiche mit dünner Abschnitt-7-Nachweislage zu identifizieren und eine priorisierte Liste zu erhalten, was zuerst behoben werden sollte. Für einen tiefergehenden Durchgang führt unser ISO 27001 Readiness Assessment ausführlicher durch die Nachweiszusammenstellung. In jedem Fall erhalten Sie einen klareren Blick darauf, was Abschnitt 7 in Zeit und Budget kosten wird – kein Rätselraten.

FAQ

Können Sie ISO 27001 einfach erklären?

ISO 27001 ist eine internationale Norm, die Anforderungen für den Aufbau und Betrieb eines ISMS festlegt – von der Führungsverpflichtung über die Risikobehandlung bis hin zu Unterstützungsfunktionen wie Abschnitt 7. Sie gibt Organisationen einen strukturierten Weg, Informationen zu schützen und diesen Schutz gegenüber Kunden, Aufsichtsbehörden und Auditoren nachzuweisen.

Ist ISO 27001 veraltet?

Nein. Die aktuell veröffentlichte Ausgabe ist ISO/IEC 27001:2022, die als gültige Norm für Zertifizierungen weiterhin aktiv ist.

Welche Abschnitte der ISO 27001 sind verpflichtend?

Die Abschnitte 4 bis 10 sind für jede Organisation verpflichtend, die Konformität beansprucht – sie umfassen Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Abschnitt 7, der Unterstützungsabschnitt, steht in der Mitte dieser Abfolge und bildet die Grundlage für die Nachweise, die zur Erfüllung mehrerer anderer Abschnitte benötigt werden.

Was ist Abschnitt 7.1 in ISO 9001?

Diese Frage taucht häufig auf, weil ISO 27001 eine ähnliche übergeordnete Struktur wie andere Normen teilt – die beiden Normen sind jedoch unterschiedlich. Abschnitt 7.1 der ISO 27001 behandelt Ressourcen speziell für ein ISMS, während andere Normen Ressourcen für ein Qualitätsmanagementsystem behandeln können. Trotz ähnlicher Nummerierung sollten diese nicht als austauschbar betrachtet werden.

Was ist ISO 27001 Abschnitt 7 Unterstützung?

Abschnitt 7 ist der Unterstützungsabschnitt der ISO/IEC 27001 und behandelt Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Informationen. Er verpflichtet Organisationen dazu, zu definieren, was jedes dieser Elemente in ihrem Kontext bedeutet, und anschließend Nachweise zu erstellen, die diesen Definitionen entsprechen – genau das, was Auditoren bei Zertifizierungs- und Überwachungsaudits prüfen.

Quellen

• Archive
• ISO/IEC 27001:2022 – Informationssicherheits-Managementsystem
• ISO 27001 Clause 7: Support — Competence, Awareness, and Documented Information (AuditBadger)

Empfohlen

• 3 auditfähige Ergebnisse für ISO 27001 Abschnitt 4 (ISMS-Teams)
• Auditvorbereitung ISO 27001 Abschnitt 6 für ISMS-Teams: Ergebnisse Nachweisen zuordnen
• ISO 27001 Zertifizierungscheckliste: 80 Schritte zur Zertifizierung
• ISO 27001 Abschnitt 7.5 auditfertig machen: Register und Nachweispaket