Anhang

Checkliste der Norm ISO 27001:2022.

Klausel	Name	Beschreibung	Kontrolle
5.01	Informationssicherheitsrichtlinien	Die fortlaufende Eignung, Angemessenheit und Wirksamkeit der Leitlinien der Leitung und ihrer Unterstützung der Informationssicherheit gemäß den geschäftlichen, rechtlichen, gesetzlichen, regulatorischen und vertraglichen Anforderungen sicherstellen.	Das Vorhandensein aller Sicherheitsrichtlinien, ihre Freigabe, ihre Verbreitung und ihre Kommunikation an die betroffenen Beschäftigten und Dritten prüfen.
5.02	Informationssicherheitsrollen und -verantwortlichkeiten	Eine definierte, genehmigte und verstandene Struktur für die Umsetzung, den Betrieb und die Steuerung der Informationssicherheit innerhalb der Organisation schaffen.	Die Festlegung und Zuweisung der Funktionen und Verantwortlichkeiten für die Informationssicherheit entsprechend den Bedürfnissen der Organisation kontrollieren.
5.03	Aufgabentrennung	Das Risiko von Betrug, Fehlern und der Umgehung von Informationssicherheitsmaßnahmen verringern.	Sicherstellen, dass unvereinbare Aufgaben und Verantwortungsbereiche getrennt sind.
5.04	Verantwortlichkeiten der Leitung	Sicherstellen, dass die Leitung ihre Rolle in der Informationssicherheit versteht und Maßnahmen ergreift, damit alle Beschäftigten ihre Verantwortlichkeiten für die Informationssicherheit kennen und wahrnehmen.	Prüfen, dass die Leitung die Bedeutung der Informationssicherheit kommuniziert.
5.05	Kontakt mit Behörden	Den angemessenen Informationsfluss zur Informationssicherheit zwischen der Organisation und den zuständigen Rechts-, Regulierungs- und Aufsichtsbehörden sicherstellen.	Verfahren und Verzeichnis sind aktuell, und es gibt Nachweise über die Beziehungen zu den Behörden.
5.06	Kontakt mit speziellen Interessengruppen	Den angemessenen Informationsfluss zur Informationssicherheit sicherstellen.	Verfahren und Verzeichnis der Interessengruppen sind aktuell. Es gibt Nachweise über die Beziehungen zu den Interessengruppen.
5.07	Informationen über die Bedrohungslage	Kenntnisse über die Bedrohungslage der Organisation bereitstellen, damit geeignete Gegenmaßnahmen ergriffen werden können.	Es gibt Informationsquellen und Nachweise über deren Analyse.
5.08	Informationssicherheit im Projektmanagement	Sicherstellen, dass Informationssicherheitsrisiken im Zusammenhang mit Projekten und Ergebnissen während des gesamten Projektlebenszyklus wirksam im Projektmanagement behandelt werden.	Die Berücksichtigung der Informationssicherheit im Projektmanagement kontrollieren.
5.09	Inventar der Informationen und anderen damit verbundenen Werte	Die Informationen und anderen damit verbundenen Werte der Organisation identifizieren, um ihre Sicherheit aufrechtzuerhalten und die Zuständigkeit angemessen zuzuweisen.	Kontrollieren, dass ein Inventar der Informationen und anderen damit verbundenen Werte einschließlich ihrer Eigentümer gepflegt und aktualisiert wird.
5.10	Zulässiger Gebrauch von Informationen und anderen damit verbundenen Werten	Sicherstellen, dass Informationen und andere damit verbundene Werte angemessen geschützt, verwendet und gehandhabt werden.	Das Vorhandensein der Regeln prüfen und das Veröffentlichungsdatum mit dem Datum der Kontrolle vergleichen.
5.11	Rückgabe von Werten	Die Werte der Organisation bei einer Änderung oder Beendigung der Beschäftigung, des Vertrags oder der Vereinbarung schützen.	Die Liste der ausgeschiedenen Beschäftigten und die Nachweise über die Rückgabe der Werte an die Organisation kontrollieren.
5.12	Klassifizierung von Informationen	Die Ermittlung und das Verständnis des Schutzbedarfs von Informationen entsprechend ihrer Bedeutung für die Organisation sicherstellen.	Das Vorhandensein und die Aktualisierung des Verfahrens sowie seinen Inhalt im Kontext der Organisation prüfen.
5.13	Kennzeichnung von Informationen	Die Kommunikation der Klassifizierung von Informationen erleichtern und die Automatisierung der Verwaltung und Verarbeitung von Informationen unterstützen.	Das Kennzeichnungsverfahren und seine Anwendung an einer Stichprobe von Informationen der Organisation kontrollieren.
5.14	Informationsübermittlung	Die Sicherheit der innerhalb der Organisation und an externe interessierte Parteien übermittelten Informationen aufrechterhalten.	Die Umsetzung der Regeln, Verfahren oder Vereinbarungen zur Informationsübermittlung, das Verzeichnis der betroffenen Vereinbarungen und deren Bedingungen kontrollieren.
5.15	Zugangssteuerung	Den autorisierten Zugang sicherstellen und den unbefugten Zugang zu Informationen und anderen damit verbundenen Werten verhindern.	Die Festlegung und Umsetzung von Richtlinien zur Steuerung des physischen und logischen Zugangs zu Informationen und anderen damit verbundenen Werten auf Grundlage der geschäftlichen und sicherheitsbezogenen Anforderungen kontrollieren.
5.16	Identitätsmanagement	Die eindeutige Identifizierung von Personen und Systemen, die auf Informationen und andere damit verbundene Werte der Organisation zugreifen, sowie die angemessene Zuweisung von Zugangsrechten ermöglichen.	Die Verwaltung des gesamten Lebenszyklus der Identitäten kontrollieren.
5.17	Informationen zur Authentifizierung	Die korrekte Authentifizierung der Entität sicherstellen und Fehler in Authentifizierungsprozessen vermeiden.	Das Vorhandensein und die Anwendung des Prozesses zur Vergabe geheimer Authentifizierungsinformationen prüfen.
5.18	Zugangsrechte	Sicherstellen, dass der Zugang zu Informationen und anderen damit verbundenen Werten gemäß den geschäftlichen Anforderungen festgelegt und genehmigt ist.	Das Vorhandensein des Prozesses zur Verwaltung der Benutzerzugänge, die Gültigkeit der Anwendungsnachweise und die Überprüfung der Zugangsrechte prüfen.
5.19	Informationssicherheit in Lieferantenbeziehungen	Das vereinbarte Niveau der Informationssicherheit in den Lieferantenbeziehungen aufrechterhalten.	Prüfen, dass die Anforderungen dokumentiert und aktuell sind und dass die Maßnahmen von den Lieferanten akzeptiert werden.
5.20	Behandlung von Informationssicherheit in Lieferantenvereinbarungen	Das vereinbarte Niveau der Informationssicherheit in den Lieferantenbeziehungen aufrechterhalten.	Prüfen, dass die Anforderungen dokumentiert und aktuell sind und mit den Lieferanten vereinbart wurden.
5.21	Umgang mit der Informationssicherheit in der IKT-Lieferkette	Das vereinbarte Niveau der Informationssicherheit in den Beziehungen zu Lieferanten aufrechterhalten.	Prüfen, dass die Anforderungen dokumentiert sind und die getroffenen Vereinbarungen diese Anforderungen enthalten.
5.22	Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen	Ein vereinbartes Niveau der Informationssicherheit und der Leistungserbringung gemäß den Vereinbarungen mit den Lieferanten aufrechterhalten.	Prüfen, dass die Organisation Änderungen der Informationssicherheitspraktiken und der Leistungserbringung der Lieferanten regelmäßig überwacht, überprüft, bewertet und steuert.
5.23	Informationssicherheit für die Nutzung von Cloud-Diensten	Die Informationssicherheit bei der Nutzung von Cloud-Diensten festlegen und steuern.	Kontrollieren, dass die Prozesse für Beschaffung, Nutzung, Verwaltung und Beendigung von Cloud-Diensten gemäß den Informationssicherheitsanforderungen der Organisation festgelegt sind.
5.24	Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen	Eine schnelle, wirksame, einheitliche und geordnete Reaktion auf Informationssicherheitsvorfälle sicherstellen, einschließlich der Kommunikation über Sicherheitsereignisse.	Prüfen, dass die Verantwortlichkeiten für die Handhabung von Vorfällen festgelegt sind und dass das Verfahren zur Handhabung von Vorfällen vorhanden und aktuell ist.
5.25	Beurteilung und Entscheidung über Informationssicherheitsereignisse	Eine wirksame Kategorisierung und Priorisierung von Informationssicherheitsereignissen sicherstellen.	Prüfen, dass der Auswahlprozess angewendet wird.
5.26	Reaktion auf Informationssicherheitsvorfälle	Eine effiziente und wirksame Reaktion auf Informationssicherheitsvorfälle sicherstellen.	Prüfen, dass das Verfahren vorhanden und aktuell ist und befolgt wird.
5.27	Erkenntnisse aus Informationssicherheitsvorfällen	Die Wahrscheinlichkeit oder die Folgen künftiger Vorfälle verringern.	Prüfen, dass das Verfahren verbessert wurde und Nachweise über die Verbesserungen vorliegen.
5.28	Sammeln von Beweismaterial	Eine einheitliche und wirksame Verwaltung von Beweismaterial zu Informationssicherheitsvorfällen für rechtliche oder disziplinarische Maßnahmen sicherstellen.	Die Dokumentation der Beweissicherung im Verfahren und die Anwendung der Beweissicherung kontrollieren.
5.29	Informationssicherheit bei Störungen	Informationen und andere damit verbundene Werte während einer Störung schützen.	Das Vorhandensein und die Aktualisierung des Verfahrens sowie die Sicherheits- und Kontinuitätsanforderungen prüfen.
5.30	IKT-Bereitschaft für Business Continuity	Die Verfügbarkeit der Informationen und anderen damit verbundenen Werte der Organisation während einer Störung sicherstellen.	Die Identifizierung der Systeme und ihrer Sicherheitsziele sowie die Durchführung von Kontinuitätstests prüfen.
5.31	Juristische, gesetzliche, regulatorische und vertragliche Anforderungen	Die Einhaltung der juristischen, gesetzlichen, regulatorischen und vertraglichen Anforderungen an die Informationssicherheit sicherstellen.	Prüfen, dass das Verzeichnis aktuell und das Vorgehen dokumentiert ist.
5.32	Geistige Eigentumsrechte	Die Einhaltung der juristischen, gesetzlichen, regulatorischen und vertraglichen Anforderungen an geistige Eigentumsrechte und die Nutzung proprietärer Produkte sicherstellen.	Das Vorhandensein und die Aktualisierung des Verfahrens sowie Nachweise über seine Anwendung prüfen.
5.33	Schutz von Aufzeichnungen	Die Einhaltung der juristischen, gesetzlichen, regulatorischen und vertraglichen Anforderungen sowie der Erwartungen des Unternehmens oder der Gesellschaft an den Schutz und die Verfügbarkeit von Aufzeichnungen sicherstellen.	- Prüfen, dass die Maßnahmen den Anforderungen entsprechen. - Die Nachweise über die Anwendung der Maßnahmen kontrollieren. - Die Aktualisierung des Verzeichnisses der Quellen wichtiger Informationen kontrollieren. - Die Löschung von Informationen kontrollieren.
5.34	Datenschutz und Schutz personenbezogener Daten	Die Einhaltung der juristischen, gesetzlichen, regulatorischen und vertraglichen Anforderungen an die Informationssicherheitsaspekte des Schutzes personenbezogener Daten sicherstellen.	Das Vorhandensein und die Aktualisierung der Datenschutzrichtlinie sowie die Anwendung der Schutzmaßnahmen prüfen.
5.35	Unabhängige Überprüfung der Informationssicherheit	Sicherstellen, dass das Vorgehen der Organisation zur Steuerung der Informationssicherheit fortlaufend geeignet, angemessen und wirksam ist.	Prüfen, dass unabhängige Überprüfungen des Vorgehens der Organisation zur Steuerung und Umsetzung der Informationssicherheit, einschließlich Personen, Prozessen und Technologien, in festgelegten Abständen oder bei wesentlichen Änderungen durchgeführt werden.
5.36	Einhaltung von Richtlinien, Vorschriften und Normen für die Informationssicherheit	Sicherstellen, dass die Informationssicherheit gemäß der Informationssicherheitsrichtlinie, den themenspezifischen Richtlinien, Regeln und Normen der Organisation umgesetzt und betrieben wird.	Sicherstellen, dass die Einhaltung der Informationssicherheitsrichtlinie, der themenspezifischen Richtlinien und der Normen der Organisation regelmäßig überprüft wird.
5.37	Dokumentierte Betriebsabläufe	Den korrekten und sicheren Betrieb der informationsverarbeitenden Einrichtungen sicherstellen.	Das Vorhandensein und die Aktualisierung der Betriebsverfahren sowie ihre Bereitstellung für die betroffenen Benutzer prüfen.
6.01	Sicherheitsüberprüfung	Sicherstellen, dass alle Beschäftigten für die Funktionen, für die sie vorgesehen sind, geeignet sind und dies während ihrer gesamten Beschäftigung bleiben.	Das Vorhandensein eines aktuellen Verfahrens und von Nachweisen über die Durchführung des Auswahlprozesses prüfen.
6.02	Beschäftigungs- und Vertragsbedingungen	Sicherstellen, dass die Beschäftigten ihre Verantwortlichkeiten für die Informationssicherheit im Rahmen der ihnen zugedachten Funktionen verstehen.	Das Vorhandensein der Bedingungen und Nachweise über deren Annahme prüfen.
6.03	Informationssicherheitsbewusstsein, -ausbildung und -schulung	Sicherstellen, dass die Beschäftigten und relevanten interessierten Parteien ihre Verantwortlichkeiten für die Informationssicherheit kennen und wahrnehmen.	Das Vorhandensein eines Sensibilisierungsplans und die Teilnahme der Beschäftigten an Schulungen prüfen.
6.04	Maßregelungsprozess	Sicherstellen, dass die Beschäftigten und anderen relevanten interessierten Parteien die Folgen von Verstößen gegen die Informationssicherheitsrichtlinie verstehen, solche Verstöße verhindern und Beschäftigte und andere Parteien, die Verstöße begangen haben, angemessen behandeln.	Sicherstellen, dass ein Maßregelungsprozess für Maßnahmen gegen Beschäftigte und andere interessierte Parteien, die gegen die Informationssicherheitsrichtlinie verstoßen haben, formalisiert und kommuniziert ist.
6.05	Verantwortlichkeiten bei Beendigung oder Änderung der Beschäftigung	Die Interessen der Organisation bei einer Änderung oder Beendigung der Beschäftigung oder des Vertrags schützen.	Vorhandensein der Bedingungen und Nachweise über ihre Anwendung.
6.06	Vertraulichkeits- oder Geheimhaltungsvereinbarungen	Die Vertraulichkeit der Informationen sicherstellen, auf die Beschäftigte oder externe Parteien zugreifen.	Sicherstellen, dass die Anforderungen ermittelt und dokumentiert sind.
6.07	Remote-Arbeit	Die Informationssicherheit gewährleisten, wenn Beschäftigte aus der Ferne arbeiten.	Das Vorhandensein und die Aktualisierung zusätzlicher Sicherheitsmaßnahmen sowie Nachweise über deren Anwendung prüfen.
6.08	Meldung von Informationssicherheitsereignissen	Die rechtzeitige, einheitliche und wirksame Meldung von Informationssicherheitsereignissen ermöglichen, die von den Beschäftigten erkannt werden können.	Das Vorhandensein des Verfahrens, seine Anwendung und seine Aktualisierung prüfen.
7.01	Physische Sicherheitsperimeter	Unbefugten physischen Zugang zu, Beschädigung von oder Beeinträchtigung von Informationen und anderen damit verbundenen Werten der Organisation verhindern.	Kontrollieren, dass die Sicherheitsperimeter zum Schutz von Bereichen mit sensiblen oder kritischen Informationen und anderen damit verbundenen Werten festgelegt sind.
7.02	Physischer Zutritt	Sicherstellen, dass nur autorisierter physischer Zugang zu den Informationen und anderen damit verbundenen Werten der Organisation möglich ist.	Prüfen, dass Sicherheitsbereiche durch angemessene Zutrittskontrollen geschützt sind, damit nur befugte Personen Zutritt erhalten.
7.03	Sichern von Büros, Räumen und Einrichtungen	Unbefugten physischen Zugang zu, Beschädigung von und Beeinträchtigung von Informationen und anderen damit verbundenen Werten der Organisation in Büros, Räumen und Einrichtungen verhindern.	Das Verzeichnis, die Sicherheitsmaßnahmen und deren Anwendung kontrollieren.
7.04	Physische Sicherheitsüberwachung	Unbefugten physischen Zugang erkennen und davon abschrecken.	Die Maßnahmen zur kontinuierlichen Überwachung der Standorte kontrollieren.
7.05	Schutz vor physischen und umweltbedingten Bedrohungen	Die Folgen von Ereignissen aufgrund physischer oder umweltbedingter Bedrohungen verhindern oder verringern.	Das Verzeichnis und die Anwendung der Maßnahmen kontrollieren. Die Anzahl der Unregelmäßigkeiten zählen.
7.06	Arbeiten in Sicherheitsbereichen	Informationen und andere damit verbundene Werte in Sicherheitsbereichen vor Beschädigung und unbefugter Beeinträchtigung durch dort arbeitende Personen schützen.	Prüfen, dass Verzeichnisse vorhanden und aktuell sind.
7.07	Aufgeräumte Arbeitsumgebung und Bildschirmsperren	Das Risiko des unbefugten Zugangs zu, des Verlusts von und der Beschädigung von Informationen auf Schreibtischen, Bildschirmen und an anderen zugänglichen Orten während und außerhalb der normalen Arbeitszeiten verringern.	Kontrollieren, dass Regeln für einen aufgeräumten Schreibtisch für Papierdokumente und Wechseldatenträger sowie Regeln für Bildschirmsperren für informationsverarbeitende Einrichtungen festgelegt sind und durchgesetzt werden.
7.08	Platzierung und Schutz von Geräten und Betriebsmitteln	Risiken durch physische und umweltbedingte Bedrohungen sowie durch unbefugten Zugang und Beschädigung verringern.	Das Verzeichnis der betroffenen Geräte und ihrer Standorte kontrollieren. Die Anwendung der Schutzmaßnahmen prüfen.
7.09	Sicherheit von Werten außerhalb der Räumlichkeiten	Verlust, Beschädigung, Diebstahl oder Kompromittierung von Endgeräten außerhalb der Räumlichkeiten und die Unterbrechung des Geschäftsbetriebs verhindern.	Die Sicherheitsmaßnahmen kontrollieren.
7.10	Speichermedien	Sicherstellen, dass nur eine autorisierte Offenlegung, Änderung, Entfernung oder Vernichtung von Informationen der Organisation auf Speichermedien erfolgt.	- Prüfen, dass die Verfahren zur Verwaltung von Wechseldatenträgern gemäß dem von der Organisation angenommenen Klassifizierungsschema umgesetzt sind. - Prüfen, dass nicht mehr benötigte Datenträger gemäß formellen Verfahren sicher entsorgt werden. - Prüfen, dass Datenträger mit Informationen beim Transport vor unbefugtem Zugriff, Benutzerfehlern und Veränderung geschützt sind.
7.11	Versorgungseinrichtungen	Verlust, Beschädigung oder Kompromittierung von Informationen und anderen damit verbundenen Werten oder die Unterbrechung des Geschäftsbetriebs durch Ausfälle und Störungen der Versorgungseinrichtungen verhindern.	Das Verzeichnis der Geräte und die Anwendung der Schutzmaßnahmen kontrollieren.
7.12	Sicherheit der Verkabelung	Verlust, Beschädigung, Diebstahl oder Kompromittierung von Informationen und anderen damit verbundenen Werten sowie die Unterbrechung des Geschäftsbetriebs im Zusammenhang mit Strom- und Kommunikationsverkabelung verhindern.	Das Verzeichnis der Verkabelung und die Anwendung der Maßnahmen kontrollieren.
7.13	Instandhaltung von Geräten und Betriebsmitteln	Verlust, Beschädigung, Diebstahl oder Kompromittierung von Informationen und anderen damit verbundenen Werten sowie die Unterbrechung des Geschäftsbetriebs durch mangelnde Instandhaltung verhindern.	Das Verzeichnis der betroffenen Geräte, die Instandhaltungsmaßnahmen und deren Anwendung kontrollieren.
7.14	Sichere Entsorgung oder Wiederverwendung von Geräten und Betriebsmitteln	Das Abfließen von Informationen aus zu entsorgenden oder wiederzuverwendenden Geräten verhindern.	Prüfen, dass das Verzeichnis aktuell ist. Das Vorhandensein von Nachweisen über die Datenlöschung prüfen.
8.01	Endpunktgeräte des Benutzers	Informationen vor den Risiken schützen, die mit der Nutzung von Endpunktgeräten der Benutzer verbunden sind.	Kontrollieren, dass alle Informationen, die auf einem Endpunktgerät des Benutzers gespeichert, von ihm verarbeitet oder über es abgerufen werden, geschützt sind.
8.02	Privilegierte Zugangsrechte	Sicherstellen, dass nur autorisierten Benutzern, Softwarekomponenten und Diensten privilegierte Zugangsrechte gewährt werden.	Das Vorhandensein von Beschränkungen der privilegierten Zugangsrechte und die Vergabe privilegierter Zugänge prüfen.
8.03	Informationszugangsbeschränkung	Nur autorisierten Zugang sicherstellen und unbefugten Zugang zu Informationen und anderen damit verbundenen Werten verhindern.	Die Beschränkungen des Zugangs zu Informationen und deren Anwendung gemäß der themenspezifischen Richtlinie zur Zugangssteuerung kontrollieren.
8.04	Zugriff auf den Quellcode	Die Einführung nicht autorisierter Funktionen verhindern, unbeabsichtigte oder böswillige Änderungen vermeiden und die Vertraulichkeit wertvollen geistigen Eigentums wahren.	Die Wirksamkeit der Beschränkung des Zugriffs auf den Quellcode kontrollieren.
8.05	Sichere Authentifizierung	Sicherstellen, dass ein Benutzer oder eine Entität sicher authentifiziert wird, wenn Zugang zu Systemen, Anwendungen und Diensten gewährt wird.	Die sicheren Anmeldeverfahren kontrollieren.
8.06	Kapazitätssteuerung	Den Bedarf an informationsverarbeitenden Einrichtungen, Personal, Büros und anderen Einrichtungen sicherstellen.	Das Verzeichnis der überwachten Ressourcen, die Nachweise der Überwachung und die erstellten Prognosen prüfen.
8.07	Schutz gegen Schadsoftware	Sicherstellen, dass Informationen und andere damit verbundene Werte vor Schadsoftware geschützt sind.	Das Vorhandensein und die Aktualisierung der Betriebsverfahren sowie ihre Bereitstellung für die betroffenen Benutzer kontrollieren.
8.08	Handhabung von technischen Schwachstellen	Die Ausnutzung technischer Schwachstellen verhindern.	Prüfen, dass das Verzeichnis relevant ist und dass Nachweise über die Überprüfung der ergriffenen Maßnahmen vorliegen.
8.09	Konfigurationsmanagement	Sicherstellen, dass Hardware, Software, Dienste und Netzwerke mit den erforderlichen Sicherheitseinstellungen ordnungsgemäß funktionieren und die Konfiguration nicht durch unbefugte oder fehlerhafte Änderungen verändert wird.	Prüfen, dass das Verzeichnis der betroffenen Systeme vollständig ist, die Konfiguration dokumentiert ist und Kontrollen durchgeführt werden.
8.10	Löschung von Informationen	Die unnötige Offenlegung sensibler Informationen verhindern und die juristischen, gesetzlichen, regulatorischen und vertraglichen Anforderungen an die Löschung von Informationen einhalten.	Das Verzeichnis der Anforderungen, die betroffenen Informationen und die Nachweise über die Löschung kontrollieren.
8.11	Datenmaskierung	Die Offenlegung sensibler Daten, einschließlich personenbezogener Daten, begrenzen und die juristischen, gesetzlichen, regulatorischen und vertraglichen Anforderungen einhalten.	Das Vorhandensein und die Aktualisierung des Maskierungsverfahrens, die Relevanz der betroffenen Daten und die Anwendung der Maskierung prüfen.
8.12	Verhinderung von Datenlecks	Die unbefugte Offenlegung und Extraktion von Informationen durch Personen oder Systeme erkennen und verhindern.	- Das Vorhandensein und das Datum des Verfahrens prüfen. - Die betroffenen Daten prüfen. - Die Anwendung der Maßnahmen prüfen.
8.13	Sicherung von Informationen	Die Wiederherstellung bei Verlust von Daten oder Systemen ermöglichen.	- Das Vorhandensein und die Aktualisierung der Sicherungsrichtlinie prüfen. - Vorhandensein von Sicherungskopien. - Tests der Sicherungskopien.
8.14	Redundanz von informationsverarbeitenden Einrichtungen	Den kontinuierlichen Betrieb der informationsverarbeitenden Einrichtungen sicherstellen.	Prüfen, dass das Verzeichnis aktuell ist, die Verfügbarkeitsanforderungen festgelegt sind und Nachweise über die Redundanz vorliegen.
8.15	Protokollierung	Ereignisse aufzeichnen, Nachweise erzeugen, die Integrität der Protokollinformationen sicherstellen, unbefugten Zugriff verhindern, Informationssicherheitsereignisse erkennen, die zu einem Informationssicherheitsvorfall führen können, und Untersuchungen unterstützen.	Prüfen, dass die Protokolle vorhanden und aktuell sind, sowie die Maßnahmen zum Schutz der Protokolle, die Speicherkapazitäten und die Auswertung dieser Protokolle prüfen.
8.16	Überwachung von Aktivitäten	Anomales Verhalten und mögliche Informationssicherheitsvorfälle erkennen.	Das Verzeichnis der betroffenen Netzwerke, Systeme und Anwendungen, die eingeführten Erkennungsmaßnahmen und die Durchführung von Auswertungen oder die Erzeugung von Vorfällen kontrollieren.
8.17	Uhrensynchronisation	Die Korrelation und Analyse von Sicherheitsereignissen und anderen aufgezeichneten Daten ermöglichen und die Untersuchung von Informationssicherheitsvorfällen unterstützen.	Das Verzeichnis der Uhren, die verwendete einheitliche Zeitquelle und die Synchronisation der Uhren mit dieser Quelle kontrollieren.
8.18	Gebrauch von Hilfsprogrammen mit privilegierten Rechten	Sicherstellen, dass die Nutzung von Hilfsprogrammen die Informationssicherheitsmaßnahmen von Systemen und Anwendungen nicht beeinträchtigt.	Die Kontrollen der Nutzung von Hilfsprogrammen kontrollieren.
8.19	Installation von Software auf Systemen im Betrieb	Die Integrität der Betriebssysteme sicherstellen und die Ausnutzung technischer Schwachstellen verhindern.	Die Wirksamkeit des Verfahrens zur Kontrolle von Installationen prüfen.
8.20	Netzwerksicherheit	Informationen in Netzwerken und die unterstützenden informationsverarbeitenden Einrichtungen vor einer Kompromittierung über das Netzwerk schützen.	Kontrollieren, dass Maßnahmen vorhanden und wirksam sind.
8.21	Sicherheit von Netzwerkdiensten	Die Sicherheit bei der Nutzung von Netzwerkdiensten sicherstellen.	Prüfen, dass das Verzeichnis der relevanten Netzwerkdienste vollständig und aktuell ist und dass die Sicherheitsmechanismen, die Dienstgüte und die Anforderungen ermittelt und in die Dienstleistungsvereinbarungen aufgenommen sind.
8.22	Trennung von Netzwerken	Das Netzwerk in Sicherheitsbereiche unterteilen und den Verkehr zwischen ihnen entsprechend den geschäftlichen Anforderungen steuern.	Das Verzeichnis der Gruppen von Informationsdiensten, Benutzern und Informationssystemen sowie die Umsetzung der Maßnahmen zur Netzwerktrennung kontrollieren.
8.23	Webfilterung	Systeme vor einer Kompromittierung durch Schadsoftware schützen und den Zugriff auf nicht autorisierte Webressourcen verhindern.	Die Regeln für den Zugriff auf externe Websites und deren Sperrung kontrollieren.
8.24	Verwendung von Kryptographie	Die korrekte und wirksame Nutzung der Kryptographie zum Schutz der Vertraulichkeit, Authentizität oder Integrität von Informationen gemäß den geschäftlichen und sicherheitsbezogenen Anforderungen und unter Berücksichtigung der juristischen, gesetzlichen, regulatorischen und vertraglichen Anforderungen an die Kryptographie sicherstellen.	Die Regeln für die Nutzung kryptographischer Maßnahmen, deren Entwicklung und Umsetzung sowie die verwendeten kryptographischen Schlüssel und Algorithmen kontrollieren.
8.25	Lebenszyklus einer sicheren Entwicklung	Sicherstellen, dass die Informationssicherheit im Lebenszyklus der sicheren Entwicklung von Software und Systemen konzipiert und umgesetzt wird.	Das Vorhandensein der Entwicklungsregeln, ihre Aktualisierung und ihre Anwendung prüfen.
8.26	Anforderungen an die Anwendungssicherheit	Sicherstellen, dass alle Informationssicherheitsanforderungen bei der Entwicklung oder Beschaffung von Anwendungen ermittelt und berücksichtigt werden.	Das Verzeichnis der Netzwerkdienste und die Wirksamkeit der Schutzmaßnahmen gegen betrügerische Aktivitäten, Vertragsstreitigkeiten sowie unbefugte Offenlegung und Änderung kontrollieren.
8.27	Sichere Systemarchitektur und Entwicklungsgrundsätze	Sicherstellen, dass Informationssysteme während des gesamten Entwicklungslebenszyklus sicher konzipiert, umgesetzt und betrieben werden.	Prüfen, dass Entwicklungsgrundsätze festgelegt und gepflegt werden und bei der Umsetzung von Informationssystemen angewendet werden.
8.28	Sichere Codierung	Sicherstellen, dass Software sicher entwickelt wird, um die Anzahl möglicher Informationssicherheitsschwachstellen in der Software zu verringern.	Das Verzeichnis der durchgeführten Entwicklungen und die Anwendung der Codierungsregeln kontrollieren.
8.29	Sicherheitsprüfung bei Entwicklung und Abnahme	Die Einhaltung der Informationssicherheitsanforderungen überprüfen, wenn Anwendungen oder Code in die Produktionsumgebung übernommen werden.	Prüfen, dass Tests an neuen Systemen und bei Aktualisierungen auf neue Versionen durchgeführt werden.
8.30	Ausgegliederte Entwicklung	Sicherstellen, dass die von der Organisation geforderten Informationssicherheitsmaßnahmen bei der ausgegliederten Entwicklung von Systemen umgesetzt werden.	Prüfen, dass Kontrollen an den ausgegliederten Entwicklungen durchgeführt werden.
8.31	Trennung von Entwicklungs-, Test- und Produktionsumgebungen	Die Produktionsumgebung und die zugehörigen Daten vor Kompromittierungen durch Entwicklungs- und Testaktivitäten schützen.	Das Vorhandensein von Umgebungen für jede Anwendung und die Wirksamkeit der Trennung der Umgebungen kontrollieren.
8.32	Änderungssteuerung	Die Informationssicherheit bei der Durchführung von Änderungen wahren.	Das Verfahren zur Änderungssteuerung, seine Aktualisierung und die Einhaltung des Verfahrens bei den durchgeführten Änderungen kontrollieren.
8.33	Testdaten	Die Eignung von Tests und den Schutz der für Tests verwendeten Betriebsinformationen sicherstellen.	Die Anwendung der Schutzmaßnahmen auf Testdaten kontrollieren.
8.34	Schutz der Informationssysteme während Tests im Rahmen von Audits	Die Auswirkungen von Audits und anderen Prüftätigkeiten auf Betriebssysteme und Geschäftsprozesse minimieren.	Die Anforderungen, die Planung und die Freigabe der Tätigkeiten sowie das Auftreten von Störungen durch diese Prüfungen kontrollieren.