ISO 27001 Notfallmanagement: Anhang A 5.24–5.30 üben und nachweisen
Was verlangt ISO 27001 beim Incident Management und Incident Response?
ISO 27001 verlangt, dass Sie Informationssicherheitsvorfälle nach festgelegten Verfahren beurteilen, behandeln und auswerten und die Informationssicherheit auch während einer Störung aufrechterhalten. Die Details regeln die sieben Controls A.5.24 bis A.5.30 im Anhang A der ISO/IEC 27001:2022. In der Erklärung zur Anwendbarkeit begründen Sie, welche davon für Ihr ISMS gelten.
Die Norm will die Wirksamkeit belegt sehen. Ein Incident-Response-Plan, der nie geübt wurde, belegt nur, dass ein Dokument existiert. Erst eine Übung zeigt, ob Rollen, Eskalation, Meldewege und Entscheidungen unter Zeitdruck funktionieren und wo der Plan Lücken hat. Diesen Beleg erwartet ein Auditor beim ISO 27001 Incident Management.
Anhang A 5.24–5.30: Die Controls im Überblick
Die folgende Tabelle fasst jedes Control sinngemäß zusammen und zeigt, was eine Übung dafür belegen kann. Maßgeblich ist der Normtext.
| Control | Titel | Was das Control verlangt | Was eine Übung dafür belegt |
|---|---|---|---|
| A.5.24 | Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen | Prozesse, Rollen und Verantwortlichkeiten für das Incident Management festlegen, einführen und kommunizieren. | Rollen sind besetzt und bekannt. Eskalations- und Kommunikationswege funktionieren unter Zeitdruck. |
| A.5.25 | Beurteilung und Entscheidung über Informationssicherheitsereignisse | Ereignisse bewerten und entscheiden, ob sie als Informationssicherheitsvorfall eingestuft werden. | Ein unklares Ereignis wird nachvollziehbar eingestuft. Kriterien, Zeitpunkt und Entscheider stehen im Protokoll. |
| A.5.26 | Reaktion auf Informationssicherheitsvorfälle | Auf Vorfälle gemäß dokumentierten Verfahren reagieren. | Incident-Response-Plan und Playbooks werden angewendet, und Abweichungen vom Plan werden sichtbar. |
| A.5.27 | Erkenntnisse aus Informationssicherheitsvorfällen | Erkenntnisse aus Vorfällen nutzen, um die Sicherheitsmaßnahmen zu stärken und zu verbessern. | After-Action-Report und Maßnahmenplan zeigen, dass Erkenntnisse in Verbesserungen überführt werden. |
| A.5.28 | Sammeln von Beweismaterial | Verfahren zur Identifikation, Sammlung, Beschaffung und Sicherung von Beweismaterial festlegen und umsetzen. | Das Team weiß, wer Beweise sichert und wann, zum Beispiel bevor betroffene Systeme neu aufgesetzt werden. |
| A.5.29 | Informationssicherheit bei Störungen | Planen, wie die Informationssicherheit während einer Störung auf angemessenem Niveau bleibt. | Notfallentscheidungen wie Workarounds oder Notbetrieb werden auf ihre Sicherheitsfolgen geprüft und nicht ad hoc getroffen. |
| A.5.30 | IKT-Bereitschaft für Business Continuity | IKT-Bereitschaft auf Basis der Business-Continuity-Ziele planen, umsetzen, aufrechterhalten und testen. | Wiederanlaufreihenfolge, RTO-Annahmen und Abhängigkeiten sind plausibel. Die technische Umsetzung belegt ergänzend ein Funktionstest. |
Bei Übungen geht es vor allem um drei Controls. A.5.24 legt fest, wer im Vorfall was tut. Die Übung prüft, ob diese Festlegungen im Vorfall auch greifen. A.5.29 verlangt, dass die Sicherheit auch im Notbetrieb nicht ausgesetzt wird. Eine typische Übungsfrage: Öffnet der schnelle Workaround neue Risiken? A.5.30 nennt das Testen ausdrücklich und verbindet das ISMS mit dem Business Continuity Management und dem IT-Notfallplan.
Welche Übungsform belegt welches Control?
Nicht jede Übung belegt jedes Control. Diskussionsbasierte Formate prüfen Entscheidungen und Abläufe, technische Tests prüfen die Wiederherstellung. Die Einteilung folgt dem BSI-Standard 200-4:
- Tabletop-Übung (Planbesprechung bzw. diskussionsbasierte Stabsübung am Szenario): A.5.24 bis A.5.27 und A.5.29. Geprüft werden Rollen, Einstufung, Reaktion, Eskalation, Kommunikation und Lessons Learned.
- Stabsübung mit Krisenstab und Geschäftsleitung: A.5.24, A.5.26 und A.5.29. Geprüft werden Führungsfähigkeit, Lagebesprechung und Entscheidungen im Notbetrieb.
- Alarmierungsübung: A.5.24. Geprüft wird, ob die Rollen erreichbar sind und die Alarmierungskette funktioniert.
- Funktionstest (z. B. Restore- oder Wiederanlauftest): A.5.30. Geprüft wird die technische Wiederherstellung innerhalb der geplanten Zeiten.
Einen Überblick über alle Übungsarten mit Aufwand und Einsatzzweck finden Sie im Beitrag zur Notfallübung.
Wie oft muss man nach ISO 27001 üben?
ISO 27001 schreibt keine feste Übungsfrequenz vor. Sie legen die Häufigkeit risikobasiert fest und begründen sie im ISMS. Der Auditor fragt nach dieser Begründung, nicht nach einer Normzahl. Bewährt hat sich, jedes kritische Incident- und Notfallszenario mindestens einmal im Jahr zu üben.
Konkrete Orientierung liefert der BSI-Standard 200-4 (Kapitel „Üben und Testen“):
- eine Jahresübungsplanung, die mindestens zwölf Monate umfasst,
- eine Stabsübung mindestens jährlich, mit allen Stabsmitgliedern einschließlich der Stellvertretungen,
- ein Funktionstest mindestens jährlich für Prozesse und Ressourcen mit einer RTO unter 24 Stunden, mindestens alle drei Jahre bei einer RTO unter fünf Tagen,
- eine Planbesprechung zeitnah nach Erstellung eines Plans und nach wesentlichen Änderungen.
Zusätzlich sollten Sie anlassbezogen üben: nach wesentlichen Änderungen an Organisation, IT oder Dienstleistern, nach einem realen Vorfall und sobald Maßnahmen aus der letzten Übung umgesetzt sind. Die Übung dient dann als Wirksamkeitsprüfung. Wie ein Jahresübungsplan mit vier Übungen aussehen kann, zeigen wir auf der Seite für ISMS-Manager.
Die 8 Dokumente eines auditfesten Übungsnachweises
Ein Foto vom Whiteboard und eine Teilnehmerliste reichen im Audit nicht. Ein vollständiger Übungsnachweis besteht aus acht Dokumenten, die zusammen die Kette von der Planung bis zur Verbesserung belegen:
- Übungsauftrag & Ziele: wer die Übung beauftragt hat und welches Risiko bzw. welches Control sie prüft, mit Bezug zu den Informationssicherheitszielen (6.2).
- Szenario & Scope: Ausgangslage, Annahmen, einbezogene Systeme und Standorte sowie bewusst ausgeschlossene Bereiche.
- Teilnehmende & Rollen: Namen, Funktionen und Übungsrollen, einschließlich Moderation und Beobachtung.
- Ablaufprotokoll mit Zeitstempeln und Entscheidungen: Injects, Reaktionen und Entscheidungen samt Begründung und Zeitpunkt.
- Beobachtungen/Findings: Stärken und Lücken, wertfrei formuliert und dem jeweiligen Plan oder Control zugeordnet.
- After-Action-Report: die Auswertung nach Soll und Ist mit Ursachen und Bewertung, siehe After-Action-Review.
- Maßnahmenplan: jede Maßnahme mit Owner, Frist und Priorität.
- Nachweis der Umsetzung & Wirksamkeitsprüfung: Beleg der Umsetzung und eine Folgeübung, die zeigt, dass die Lücke geschlossen ist.
Die Dokumente 1 bis 5 belegen, dass geübt wurde. Die Dokumente 6 bis 8 belegen, dass die Organisation daraus lernt. Darum geht es in A.5.27 und in Kapitel 10 der Norm.
Welche Kennzahlen (KPIs) eignen sich für Übungen?
ISO 27001 schreibt keine bestimmten Übungskennzahlen vor. Abschnitt 9.1 (Überwachung, Messung, Analyse und Bewertung) verlangt aber, dass Sie festlegen, was Sie überwachen und messen, mit welchen Methoden, wann und durch wen. Außerdem müssen Sie die Ergebnisse auswerten. Übungskennzahlen passen hier gut, weil sie die Wirksamkeit des Incident Managements messbar machen. Die folgenden KPIs sind Beispiele, keine Normvorgaben:
| Kennzahl (Beispiel) | Was sie zeigt | Datenquelle |
|---|---|---|
| Anteil der kritischen Szenarien, die pro Jahr geübt wurden | Abdeckung des Übungsprogramms gegenüber der Risikobewertung | Jahresübungsplan, Risikoregister |
| Zeit bis zur Eskalation | Wie schnell ein Ereignis bewertet und an die zuständige Stelle eskaliert wird (A.5.25) | Ablaufprotokoll mit Zeitstempeln |
| Abschlussquote der Maßnahmen innerhalb der Frist | Ob Erkenntnisse auch umgesetzt werden (A.5.27, 10.2) | Maßnahmenplan |
| Wiederholte Findings | Ob dieselbe Lücke in einer Folgeübung erneut auftritt. Das deutet auf unwirksame Korrekturmaßnahmen hin. | Vergleich der Findings über mehrere Übungen |
| Teilnahmequote der vorgesehenen Rollen inkl. Stellvertretungen | Ob Rollen im Ernstfall tatsächlich besetzt wären | Teilnehmerliste mit Rollen |
Zielwerte legen Sie selbst fest und verknüpfen sie mit Ihren Informationssicherheitszielen nach 6.2. Wichtig ist die Vergleichbarkeit. Erheben Sie dieselben Kennzahlen über mehrere Übungen. Nur dann entsteht ein Trend, den Sie in der Managementbewertung zeigen können.
Übungen in internem Audit, Managementbewertung und Korrekturmaßnahmen
Übungsergebnisse fließen in drei Pflichtprozesse des ISMS ein.
Internes Audit (9.2)
Interne Audits prüfen in geplanten Abständen, ob das ISMS die Anforderungen erfüllt und wirksam umgesetzt ist. Mit Übungsnachweisen kann der Auditor A.5.24 bis A.5.30 an Belegen prüfen, nicht nur an Dokumenten. Nehmen Sie das Übungsprogramm in das Auditprogramm auf: Der Auditor wählt eine Übung aus und verfolgt die Kette vom Übungsauftrag bis zur Wirksamkeitsprüfung.
Managementbewertung (9.3)
In die Managementbewertung fließen unter anderem Ergebnisse von Überwachung und Messung, Auditergebnisse und der Stand von Korrekturmaßnahmen ein. Übungskennzahlen und offene Maßnahmen aus Übungen gehören deshalb in die Vorlage für die Leitung. Das Ergebnis sind Entscheidungen zur Verbesserung, etwa die Freigabe des Übungsplans für das nächste Jahr oder Ressourcen für eine wiederholt festgestellte Lücke.
Nichtkonformität und Korrekturmaßnahmen (10.2)
Nicht jedes Finding ist eine Nichtkonformität. Manchmal zeigt eine Übung aber, dass ein dokumentiertes Verfahren nicht funktioniert, etwa ein Meldeweg, den nur eine Person kennt. Dann verlangt 10.2, darauf zu reagieren und die Ursache zu bewerten. Korrekturmaßnahmen müssen umgesetzt, auf ihre Wirksamkeit überprüft und dokumentiert werden. Die Folgeübung ist dafür der naheliegende Wirksamkeitsnachweis. Alle übrigen Findings fließen in die fortlaufende Verbesserung nach 10.1 ein.
ISO 27001 und ISO 22301
ISO 27001 sichert die Informationen, ISO 22301 hält die Geschäftsprozesse am Laufen. Die Brücke zwischen beiden ist A.5.30: Die IKT-Bereitschaft richtet sich nach den Business-Continuity-Zielen. ISO 22301 verlangt in Abschnitt 8.5 ein eigenes Übungsprogramm. Wer beide Normen betreibt, plant am besten ein gemeinsames Übungsprogramm. Eine gut dokumentierte Übung kann dann Nachweise für beide Managementsysteme liefern.
Die Tabletop-Übung als Wirksamkeitsnachweis
In einer Tabletop-Übung spielt das Team einen realistischen Vorfall durch. Es trifft Entscheidungen, eskaliert, kommuniziert und arbeitet die Meldekette ab. SecDrills folgt dabei der Übungsmethodik der ENISA und ordnet die Rollen nach dem ECSF zu. Den auditierbaren After-Action-Report erzeugt SecDrills automatisch, mit Teilnehmenden, Rollen, Entscheidungen, Zeitstempeln und abgeleiteten Maßnahmen. Eine erste Übung ist ab 30 Minuten möglich. Sie läuft im Browser, ein externer Moderator ist nicht nötig. Über mehrere Übungen zeigen Sie so, wie sich der Reifegrad Ihres ISO 27001 Notfallmanagements entwickelt, belegt mit Daten aus den Reports.
Häufige Fragen
Verlangt ISO 27001 Notfallübungen?
ISO/IEC 27001:2022 schreibt keine bestimmte Übungsform vor, verlangt aber den Nachweis, dass Incident- und Notfallprozesse wirksam sind. A.5.30 fordert ausdrücklich, die IKT-Bereitschaft für Business Continuity zu testen. Für A.5.24 bis A.5.29 sind Übungen der praktikabelste Wirksamkeitsnachweis. Eine Tabletop-Übung ist dafür ein anerkanntes Mittel.
Wie oft muss man nach ISO 27001 üben?
Die Norm nennt keine feste Frequenz. Sie legen sie risikobasiert fest und begründen sie im ISMS. Bewährt ist, jedes kritische Szenario mindestens jährlich zu üben und zusätzlich nach wesentlichen Änderungen. Der BSI-Standard 200-4 gibt Orientierung, etwa eine Stabsübung mindestens jährlich und eine Jahresübungsplanung über mindestens zwölf Monate.
Welche ISO-27001-Controls deckt eine Tabletop-Übung ab?
Vor allem A.5.24 bis A.5.27 (Planung, Beurteilung, Reaktion, Erkenntnisse) sowie A.5.29 (Informationssicherheit bei Störungen). A.5.28 (Beweismaterial) prüft sie auf Verfahrensebene. Für A.5.30 belegt sie die Plausibilität der Wiederanlaufplanung; die technische Wiederherstellung weisen Sie ergänzend mit einem Funktionstest nach.
Wie hilft eine Tabletop-Übung im ISO-27001-Audit?
Der Auditor prüft, ob dokumentierte Verfahren auch wirksam sind. Eine dokumentierte Übung mit Ablaufprotokoll, After-Action-Report und nachverfolgtem Maßnahmenplan liefert diesen Nachweis. Sie können ihn im internen Audit (9.2), in der Managementbewertung (9.3) und als Beleg für Korrekturmaßnahmen (10.2) verwenden.
Was ist der Unterschied zwischen A.5.29 und A.5.30?
A.5.29 betrifft die Informationssicherheit während einer Störung: Schutzmaßnahmen sollen auch im Notbetrieb auf angemessenem Niveau bleiben. A.5.30 betrifft die IKT-Bereitschaft: IT-Systeme und -Dienste müssen gemäß den Business-Continuity-Zielen wiederhergestellt werden können, und das muss getestet werden.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.