Was sind interessierte Parteien in ISO 27001?

Überblick

Interessierte Parteien sind Personen, Gruppen oder Organisationen, die Ihr ISMS beeinflussen können, von ihm beeinflusst werden können oder sich selbst als davon beeinflusst wahrnehmen. Die Identifizierung interessierter Parteien ist eine grundlegende Anforderung in ISO 27001:2022 Klausel 4.2, die den Anwendungsbereich, die Ziele und die Prioritäten Ihres ISMS prägt.

Das Verständnis der interessierten Parteien hilft Ihnen dabei, Sicherheitsanforderungen zu definieren, die die Bedürfnisse und Erwartungen der Stakeholder mit praktischen Sicherheitsmaßnahmen in Einklang bringen.

Interessierte Parteien in der Praxis

ISO 27001:2022 verlangt von Ihnen die Bestimmung von:

• Wer die für Ihr ISMS relevanten interessierten Parteien sind

• Deren Anforderungen in Bezug auf die Informationssicherheit

• Welche Anforderungen durch Ihr ISMS adressiert werden

Diese Analyse liefert Informationen für Ihren ISMS-Anwendungsbereich (Klausel 4.3), Ihre Informationssicherheitsziele (Klausel 6.2) und dafür, welche Annex A Kontrollen Sie implementieren.

Kategorien von interessierten Parteien

Interne interessierte Parteien

Stakeholder innerhalb Ihrer Organisation:

• Top-Management: Benötigt die Gewissheit, dass die Informationssicherheit die Geschäftsziele unterstützt und die Organisation vor rechtlichen/finanziellen Risiken schützt

• Mitarbeiter: Benötigen sichere Systeme zur Ausführung ihrer Arbeit und erwarten den Schutz ihrer persönlichen Daten

• IT- und Sicherheitsteams: Verantwortlich für die Implementierung und Aufrechterhaltung der Kontrollen

• Recht und Compliance: Stellen sicher, dass regulatorische Verpflichtungen erfüllt werden

• Leiter der Geschäftsbereiche: Balancieren Sicherheitsanforderungen mit operativer Effizienz aus

Externe interessierte Parteien

Stakeholder außerhalb Ihrer Organisation:

• Kunden: Verlangen den Schutz ihrer Daten und können spezifische Kontrollen vorschreiben (z. B. Verschlüsselung, Zugriffsbeschränkungen)

• Lieferanten und Partner: Benötigen einen sicheren Datenaustausch und können vertragliche Sicherheitsanforderungen haben

• Regulierungsbehörden: Setzen die Einhaltung von Gesetzen wie DSGVO, HIPAA oder branchenspezifischen Vorschriften durch

• Zertifizierungsstellen: Auditieren Ihr ISMS gemäß den Anforderungen von ISO 27001:2022

• Aktionäre/Investoren: Erwarten den Schutz der Geschäftskontinuität und des Rufs

• Versicherungsanbieter: Können spezifische Kontrollen für den Deckungsschutz einer Cyber-Versicherung verlangen

Identifizierung von Anforderungen

Bestimmen Sie für jede interessierte Partei deren Informationssicherheitsbedürfnisse:

Beispiel – Kunden:

• Anforderung: Schutz der personenbezogenen Kundendaten gemäß DSGVO

• ISMS-Reaktion: Implementierung von Verschlüsselung (A.8.24), Zugriffskontrollen (A.5.15), Aufbewahrungsrichtlinien (A.5.34)

Beispiel – Regulierungsbehörden:

• Anforderung: Nachweis der Konformität mit branchenspezifischen Datenschutzgesetzen

• ISMS-Reaktion: Durchführung regelmäßiger Risikobewertungen, Führung von Audit-Protokollen, Durchführung interner Audits

Beispiel – Geschäftspartner:

• Anforderung: Sichere API-Verbindungen für den Datenaustausch

• ISMS-Reaktion: Implementierung sicherer Authentifizierung (A.5.17), Netzwerksicherheit (A.8.20-A.8.23)

Dokumentation der interessierten Parteien

Obwohl ISO 27001:2022 kein spezifisches Format vorschreibt, sollte Ihre Dokumentation Folgendes enthalten:

• Liste der identifizierten interessierten Parteien (intern und extern)

• Deren Anforderungen an die Informationssicherheit

• Wie die Anforderungen in Ihrem ISMS adressiert werden (verknüpft mit Kontrollen, Zielen oder Richtlinien)

• Explizit ausgeschlossene Anforderungen samt Begründung

Verbindung zu anderen ISMS-Elementen

Die Analyse der interessierten Parteien beeinflusst direkt:

• ISMS-Anwendungsbereich (Klausel 4.3): Definiert die Grenzen basierend auf den Anforderungen der interessierten Parteien

• Informationssicherheitsrichtlinie (Klausel 5.2): Spiegelt die Verpflichtungen gegenüber Stakeholdern wider

• Risikobewertung (Klausel 6.1.2): Berücksichtigt Risiken für die Anforderungen der interessierten Parteien

• Informationssicherheitsziele (Klausel 6.2): Ausrichtung an den Erwartungen der interessierten Parteien

• Kommunikation (Klausel 7.4): Legt fest, was an welche Stakeholder kommuniziert wird

Praktische Beispiele

Gesundheitsorganisation

Interessierte Parteien: Patienten (Datenschutz), Gesundheitsaufsichtsbehörden (HIPAA-Compliance), Versicherungsgesellschaften (Sicherheit von Leistungsdaten), Anbieter medizinischer Geräte (sichere Integrationen).

Hauptanforderungen: Verwaltung von Patienteneinwilligungen, Audit-Protokollierung, Verschlüsselung von Gesundheitsakten, Sicherheitsbewertungen von Anbietern.

SaaS-Unternehmen

Interessierte Parteien: Unternehmenskunden (SOC 2/ISO 27001-Zertifizierung), Endnutzer (Datenschutz), Cloud-Anbieter (geteilte Verantwortung), Investoren (Geschäftskontinuität).

Hauptanforderungen: Audits durch Dritte, Vorfallreaktionsfähigkeit, Kontrollen zur Datenresidenz, Business Continuity Planung.

Verwandte Begriffe

• ISMS – Geprägt durch Anforderungen interessierter Parteien

• Risikobewertung – Berücksichtigt Risiken für interessierte Parteien

• Informationssicherheitsrichtlinie – Kommuniziert Verpflichtungen gegenüber Stakeholdern

• Managementbewertung – Bewertet Feedback von interessierten Parteien