Definition und Zweck

Der Hauptzweck von ISO/IEC 27003 ist es, Anleitung und Unterstützung für die Anforderungen in ISO/IEC 27001 zu bieten und Organisationen zu helfen, den Standard effektiv zu interpretieren und umzusetzen. Es umfasst die notwendigen Prozesse zur Planung, Implementierung, Aufrechterhaltung und kontinuierlichen Verbesserung eines ISMS.

Regulierendes Gremium

Der Standard wird von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) entwickelt und gepflegt.

Zuletzt aktualisiert

ISO/IEC 27003 wurde ursprünglich 2010 veröffentlicht. Der Standard wird alle 5 Jahre überprüft und wurde 2017 überarbeitet. Derzeit wird er überprüft.

Gilt für

ISO/IEC 27003 gilt für jede Organisation, unabhängig von ihrem Typ oder ihrer Größe, die ein ISMS gemäß ISO/IEC 27001 implementieren möchte. Es ist für verschiedene Branchen relevant, einschließlich, aber nicht beschränkt auf Finanzen, Gesundheitswesen, öffentlichen und IT-Sektor.

Kontrollen und Anforderungen

Obwohl ISO/IEC 27003 keine neuen Kontrollen einführt, erweitert es die Implementierungsrichtlinien für die in ISO/IEC 27001 aufgeführten Kontrollen. Die Anforderungen, die es erläutert, umfassen:

• Kontext der Organisation: Verständnis der internen und externen Probleme, interessierten Parteien und des Geltungsbereichs des ISMS.
• Führung und Engagement: Beteiligung und Verantwortung des Top-Managements für das ISMS.
• Planung: Bewältigung von Risiken und Chancen und Festlegung von Informationssicherheitszielen.
• Unterstützung: Ressourcen, die für das ISMS benötigt werden, Kompetenz, Bewusstsein, Kommunikation und Verwaltung dokumentierter Informationen.
• Betrieb: Planung, Implementierung und Kontrolle der Prozesse, die zur Erfüllung der Informationssicherheitsanforderungen erforderlich sind.
• Leistungsbewertung: Überwachung, Messung, Analyse, Bewertung, interne Audits und Managementbewertungen des ISMS.
• Verbesserung: Kontinuierliche Verbesserung des ISMS durch Korrekturmaßnahmen.

Bitte beziehen Sie sich auf die offizielle ISO/IEC 27003:2017-Dokumentation für Details zu Kontrollen und Anforderungen.

Audittyp, Häufigkeit und Dauer

Der Prüfungstyp für ISO/IEC 27003 wäre typischerweise eine Konformitätsbewertung oder interne/externe Prüfung, um festzustellen, wie gut die Umsetzung des ISMS mit den Empfehlungen des Standards übereinstimmt. Prüfungen werden in der Regel jährlich oder nach Bedarf durchgeführt, um eine kontinuierliche Verbesserung und Wartung des ISMS sicherzustellen.

Die Dauer einer Prüfung kann je nach Größe und Komplexität der Organisation sowie der Reife des ISMS variieren.