Ermittlung der Gesetze und Vorschriften und anderer Pflichten
Um Vorgaben überhaupt beachten zu können, müssen diese der Organisation zuerst einmal bekannt sein. Die Zusammenstellung aller relevanten Gesetze und Vorschriften ist damit unverzichtbar. Besonderes Augenmerk verdienen hierbei beispielsweise auch Vorgaben, die den Einsatz von Informationstechnologie betreffen, etwa Einschränkungen hinsichtlich der Verwendung oder der Ein- und Ausfuhr von bestimmten Hardware- bzw. Softwareprodukten.
Aber nicht nur Gesetze stellen verbindliche Anforderungen auf. Entsprechende Notwendigkeiten können sich beispielsweise auch aus den vertraglichen Beziehungen mit Kunden, Dienstleistern und Lieferanten ergeben oder sich in Versicherungsbedingungen verstecken.
Organisationen sollten daher mit Sorgfalt daran gehen, alle bestehenden Verpflichtungen in allen relevanten Regionen zusammenzustellen und diese Aufstellung dann auch aktuell zu halten. Anforderungen können sich von Land zu Land unterscheiden und Anforderungen ändern sich gelegentlich auch von Zeit zu Zeit. Ein Rechtskataster per einfacher Tabelle zu führen, wird sehr häufig nicht mehr ausreichen.
Ermittlung der Risiken
Die mit den Anforderungen bzw. der Nichterfüllung verbundenen Risiken sind zu analysieren und zu dokumentieren.
Anpassung der betroffenen Prozesse
Soweit notwendig, sind die für die risikoangemessene Erfüllung bestehender Anforderungen relevanten Prozesse zu regeln bzw. anzupassen. Hierbei ist wiederum darauf zu achten, dass die Rollen und Verantwortlichkeiten klar verteilt werden. Mit externen Stellen, etwa Lieferanten, müssen ggf. die notwendigen Vereinbarungen geschlossen oder angepasst werden.
Fazit
Hinter der sehr kurz beschriebenen Maßnahme aus Kapitel 5.31 der ISO 27002 versteckt sich ein teilweise ganz erheblicher Aufwand. Die Auseinandersetzung mit der Frage, welche Anforderungen die Organisation treffen und wie diese angemessen erfüllt werden können, ist aber im Rahmen des Aufbaus und Betriebs eines Managementsystems ganz zentral. Leider ist bereits die Zusammenstellung der relevanten Vorgaben keine triviale Aufgabe. Sie zu erfüllen, bedarf meist erhöhte Fachkunde und Sorgfalt.