Trainingsmodul
Informationssicherheitsmassnahmen auditieren
Anwendbarkeit, Umsetzungsnachweise und typische Schwachstellen über die Annex-A-Massnahmenthemen von ISO/IEC 27001 hinweg beurteilen
Geht Ihr Audit über die reine Listenprüfung von Massnahmen hinaus und schafft nachvollziehbare Klarheit darüber, wie Informationssicherheit tatsächlich funktioniert?
Annex-A-Audits scheitern, wenn Massnahmen als statische Aussagen statt als wirksame Mechanismen mit klarer Anwendbarkeit, Verantwortung und Nachweis behandelt werden. Dieses Modul befähigt Auditoren, die Erklärung zur Anwendbarkeit kritisch zu hinterfragen, aussagekräftige Nachweiswege zu verfolgen und systemische Schwächen im ISMS zu erkennen.
Überblick
Worum es in diesem Modul geht
Viele Organisationen können ihre Annex-A-Massnahmen beschreiben, tun sich aber schwer damit aufzuzeigen, weshalb jede Massnahme gilt, wie sie umgesetzt ist und ob sie über Standorte, Teams und Lieferanten hinweg konsistent wirkt. Das führt zu einem Auditmuster von «Politikanachweisen» ohne operativen Beleg und zu wiederholten Feststellungen, die Symptome tiefer liegender Systemschwächen sind.
Dieses normspezifische Auditmodul fokussiert auf die Anwendbarkeit und Begründung von Annex-A-Massnahmen über die Erklärung zur Anwendbarkeit, auf Nachweiserwartungen je Massnahmenthema und auf typische systemische ISMS-Fehler. Es setzt voraus, dass die Grundlagen der Informationssicherheit anderweitig bereits behandelt wurden, und wiederholt keine generische Auditpraxis; es wendet Auditbeurteilung auf den Massnahmenkatalog von ISO/IEC 27001 an – für interne Audits und Audits durch Dritte, etwa Zertifizierungsstellen oder unabhängige Nachweisanbieter.
Zielgruppe
Für wen es gedacht ist
Wer ein Managementsystem einführt oder koordiniert
Führungskräfte und Bereichsleitungen, die für die Leistung des Managementsystems einstehen
Wer Prozesse, Politiken, Assets, Risiken und Steuerungsmassnahmen verantwortet
Auditoren, die Einblick in die Managementpraxis suchen und nicht in die Audittechnik
Beratende, die an Gestaltung, Governance oder Verbesserung von Managementsystemen arbeiten
EntscheidungshilfeIst dieses Modul für Sie das Richtige?
Es passt gut für Sie, wenn Sie…
prüfen wollen, ob Annex-A-Massnahmen in der Praxis wirken und nicht nur auf dem Papier.
die Anwendbarkeit und Begründung von Massnahmen über die Erklärung zur Anwendbarkeit testen möchten.
Massnahmenaussagen entlang von Politik, Prozess, Konfiguration und Aufzeichnungen End-to-End nachverfolgen.
die nachweisbasierte Beurteilung über verschiedene Massnahmenthemen hinweg stärken wollen.
Auditfeststellungen suchen, die systemische Schwächen statt blosse Lücken in Massnahmenlisten aufzeigen.
Es passt möglicherweise weniger gut für Sie, wenn Sie…
primär Sicherheitsmassnahmen entwerfen, umsetzen oder verbessern möchten.
Grundlagen zu Massnahmentheorie oder technischer Umsetzung erwarten.
Audits bevorzugen, die sich auf Dokumentation oder Politikkonsistenz beschränken.
formell korrekte, aber schwache Massnahmenaussagen nicht hinterfragen wollen.
Was Sie mitbringen
Dieses Modul setzt Folgendes voraus:
Verständnis auf Auditorenstufe für Nachweis, angemessene berufliche Sorgfalt und Disziplin bei Feststellungen (Auditpraxis wird hier nicht erneut vermittelt)
Arbeitskenntnisse der Struktur von ISO/IEC 27001, einschliesslich der Rolle der Erklärung zur Anwendbarkeit und der Annex-A-Massnahmen
Grundlagen der Informationssicherheit, zum Beispiel Zugriffskontrolle, Protokollierung, Änderungsmanagement und Sicherheitsvorfallbehandlung, als Ausgangsbasis
Agenda
Der Lehrstoff
6 Teile01Annex A im Auditkontext
Wie Annex-A-Massnahmen genutzt werden, um Nachweisbarkeit und Wirkung zu beurteilen, und nicht nur als Liste vorhandener Dokumente
02Anwendbarkeit und Begründung von Massnahmen
Wie sich die Glaubwürdigkeit von Einschlüssen, Ausschlüssen und Anpassungen in der Erklärung zur Anwendbarkeit sowie schwache Begründungen als Nachweislücken zeigen
03Nachweiserwartungen je Massnahmenthema (ISO/IEC 27001)
Wie organisatorische Massnahmen, personenbezogene Massnahmen und technologische Massnahmen zu betrachten sind, mit Fokus auf aussagekräftige auditrelevante Signale
04Physische Massnahmen in realen Umgebungen
Wie Standortrealität, Gemeinschaftsflächen, Besucherhandhabung und Bewegungen von Assets zu beurteilen sind, einschliesslich Schnittstellen und Bruchstellen zwischen physischen und technischen Massnahmen
05Eine Massnahme End-to-End nachverfolgen
Wie eine einzelne Massnahmenaussage über Politik, Prozess, Konfiguration und Aufzeichnungen hinweg verfolgt wird, inklusive Schnittstellen zu IT, HR, Facilities, Lieferanten und geteilten Plattformen
06Massnahmenpakete auf dem Papier und Muster der Drift
Wie deklarierte Massnahmen ohne operative Verantwortung, fragmentierte Umsetzung über Standorte oder Werkzeuge und ein Drift in der Risikobehandlung erkannt werden, wenn sich Erklärung zur Anwendbarkeit und Realität über die Zeit auseinanderentwickeln
Ergebnisse
Lernergebnisse
01
Anwendbarkeitsentscheidungen für Annex-A-Massnahmen mit konsistenten Kriterien zur Qualität der Begründung und zum Geltungsbereich hinterfragen
02
Aussagen zu Massnahmen, Umsetzung und Betrieb unterscheiden und erkennen, welcher Nachweis fehlt
03
Erwartete Nachweisarten je Annex-A-Massnahmenthema identifizieren
Praktische, nachvollziehbare Nachweiswege von der Absicht einer Massnahme bis zum operativen Beleg über Funktionen und Lieferanten hinweg aufbauen
Wiederkehrende systemische ISMS-Schwachstellen hinter wiederholten Problemen mit Massnahmen erkennen
Auditbeurteilung für Annex A in internen Audits und in Nachweiskontexten durch Dritte anwenden, ohne in eine reine Listenprüfung zurückzufallen
Unterlagen
Die Inhalte und die Beurteilung
Schriftliches Modul
Der vollständige Inhalt in Schriftform, in sich abgeschlossen. Zu Teilen davon werden Videos aufgezeichnet, als zweiter Weg durch den Stoff; das schriftliche Modul trägt immer alles.
Übungen
Bewertete Arbeit an den Registern der Fallorganisation selbst: strukturierte Antworten werden gegen den kodierten Fall geprüft, Freitextantworten gegen ein daran zurückgebundenes Bewertungsraster, und bei jedem bewerteten Element hat der Trainer das letzte Wort.
Zum Abschluss
Die bewerteten Übungen müssen bestanden sein, bevor das Zertifikat ausgestellt wird.
Termine
Zurzeit ist keine öffentliche Durchführung von Informationssicherheitsmassnahmen auditieren geplant. Sagen Sie uns Bescheid, und wir melden uns, sobald die nächste öffnet. Oder wir sprechen über eine interne Durchführung.
Eckdaten
- Modul-ID
- HAM-IS-A-02
- Fachbereich
- Informationssicherheit
- Kompetenzbereiche
- Assurance · Steuerungsmassnahmen
- Teil von Lehrgängen
- Managementsystem-Auditor
Fallorganisation
Alle Module spielen im selben Unternehmen
Jedes Modul steigt an einem bestimmten Punkt in die Geschichte des Unternehmens ein und findet es so vor, wie diese Geschichte es hinterlassen hat.
Die Northstar Integrated Services AG ist eine Gruppe mit Sitz in Zürich, die in sechs europäischen Ländern tätig ist und Ende 2025 rund 1350 Mitarbeitende beschäftigte. Die Gruppe bietet regulierten Organisationen im Gesundheitswesen, im öffentlichen Sektor und in industriellen Dienstleistungen Plattformen für den digitalen Betrieb und betriebliche Managed Services an. Gegründet wurde sie 2008 als Anbieter von Vor-Ort-Dienstleistungen für Geschäftskunden. Das Unternehmen hatte rund fünfundzwanzig Mitarbeitende, als sein erster regulierter Kunde, eine Spitalgruppe, dokumentierte Entscheidungen, benannte Verantwortlichkeiten und Nachweise auf Anfrage verlangte. 2016 wechselte es ins Plattformgeschäft, und 2024 übernahm es ein operatives Geschäft in Polen und Tschechien, dessen Gesellschaft innerhalb der Gruppe fortbesteht.
Verknüpfte Register
Organisation und Personen, Rollen, Risiken, Ziele, Politiken, Dokumente und Aufzeichnungen, Kommunikation, Feststellungen, Audits und Überprüfungen, Anspruchsgruppen, Prozesse
Aufzeichnungen statt Zusammenfassungen
Die Nachweise liegen in den Registern und Dokumenten, in denen eine echte Organisation sie führen würde.
Eine Geschichte
Das Unternehmen hat eine Zeitachse ab 2008, sodass sich eine Struktur vor und nach einer Veränderung untersuchen lässt.
Mehr als eine Gesellschaft
Eine Schweizer Muttergesellschaft und eine zugekaufte Tochtergesellschaft in Polen und Tschechien, mit Kunden in mehreren Rechtsordnungen
Warum das zählt
Urteilsvermögen entwickelt sich an Material, das unvollständig und teilweise widersprüchlich ist, wie in der Praxis. Northstar ist bewusst so angelegt. Weil die Module an verschiedenen Punkten seiner Geschichte ansetzen, lässt sich eine Governance-Struktur verfolgen, während sie aufgebaut wird, wenn sie zu klein wird und wenn sie neu gebaut wird.
Durchführung & Termine
Wie dieses Modul zu Ihnen kommt
Live online durchgeführt, mit konzeptioneller Einordnung, Diskussion, Fallarbeit und direktem Austausch mit dem Trainer. Interne und auf Ihre Organisation zugeschnittene Durchführungen sind auf Anfrage möglich.
Zurzeit ist keine öffentliche Durchführung geplant. Die meisten Module laufen auch auf Anfrage und nicht nur nach öffentlichem Kalender. Sagen Sie uns, welcher Zeitraum Ihnen passt.
Sollen wir dieses Modul ansetzen?
Wir melden uns, sobald die nächste Durchführung angesetzt ist. Oder wir führen dieses Modul intern mit Ihrem eigenen Fallmaterial durch.
Unsicher, ob es das richtige Modul ist?
Beschreiben Sie Ihren Kontext in einer kurzen Nachricht, und wir antworten ehrlich.