Vergleich
ISO 27001 vs. DSGVO: die Sicherheitshälfte eines Datenschutzgesetzes
ISO/IEC 27001:2022 · GDPR · Daten 2026-10-27
Nach Paul Gillet · Aktualisiert 2026-10-17
Die DSGVO (GDPR) ist ein Datenschutzgesetz, ISO 27001 ist ein Sicherheitsstandard. Beide treffen sich in den Artikeln, die Sicherheitspflichten festlegen: Integrität und Vertraulichkeit (Artikel 5 Absatz 1 Buchstabe f), Datenschutz durch Technikgestaltung (Artikel 25), Auftragsverarbeiter (Artikel 28), Sicherheit der Verarbeitung (Artikel 32), Meldung von Datenschutzverletzungen (Artikel 33–34), Datenschutz-Folgenabschätzungen (Artikel 35) und Datenschutzbeauftragte (Artikel 37–39). ControlMapping ordnet nur diese Artikel zu, und jede DSGVO-Verknüpfung ist redaktionell, da es kein offizielles Crosswalk gibt.
Von ISO 27001 zu den Sicherheitsartikeln der DSGVO gesehen ist nahezu alles abgedeckt: Ein ISMS liefert risikobasierte Sicherheitsmaßnahmen, ein Vorfallmanagement, das in die Meldung von Datenschutzverletzungen einfließen kann, Lieferantenkontrollen für Auftragsverarbeiter und dokumentierte Verantwortlichkeiten. Ausnahme ist die Stellung des Datenschutzbeauftragten (Artikel 38), die ISO nicht adressiert.
Von der DSGVO zu ISO 27001 gesehen sind die meisten Teile von Anhang A zugeordnet oder lose verwandt. Da die DSGVO kein Managementsystem vorschreibt, zeigen jedoch die ISMS-Klauseln, die physische Sicherheit und einige technische Maßnahmen (Endgeräte, Kapazität, Protokollierung) keine Zuordnung in unseren Daten. Die DSGVO verlangt außerdem vieles, was hier nicht im Umfang liegt, etwa Rechtsgrundlage, Transparenz und Betroffenenrechte; ISO/IEC 27701 erweitert ein ISMS um das Datenschutzmanagement.
Kernaussagen
- ISO 27001 ist ein starker Nachweis für Artikel 32 der DSGVO, aber kein Nachweis der DSGVO-Konformität insgesamt.
- Ergänzen Sie Verfahren zur Meldung von Datenschutzverletzungen (72 Stunden an die Aufsichtsbehörde) in Ihrem Vorfallprozess.
- Für das Datenschutzmanagement sollten Sie ISO/IEC 27701 zusätzlich zum ISMS betrachten.
Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →
Haben ISO 27001 → benötigen GDPR
13 Anf. 12 zugeordnet · · 1 ohne Zuordnung In der Lückenansicht öffnen →Von 13 GDPR-Anforderungen sind 12 auf etwas in ISO 27001 zugeordnet, 0 sind nur lose verwandt und 1 haben keine Zuordnung in unseren Daten.
Die DSGVO (GDPR) ist ein Datenschutzgesetz: Hier sind nur ihre sicherheitsrelevanten Artikel zugeordnet, und alle Zuordnungen sind redaktionell.
Voraussichtlich neuer Aufwand: GDPR-Anforderungen ohne Zuordnung zu ISO 27001 (1)
| GDPR | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| Requirements · 1 | ||||
| Art.38 | Position of the data protection officer | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
Zugeordnet (12)
| GDPR | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| Requirements · 12 | ||||
| Art.5 | Principles relating to processing of personal data | Redaktionell | A.5.14A.8.10A.8.11+3 | Gleiches Thema: Datenschutz (Redaktionelle Auswahl) |
| Art.24 | Responsibility of the controller | Redaktionell | Clause 6.1.1Clause 6.1.3A.5.37+1 | Gleiches Thema: Risikomanagement, Governance-Richtlinie (Redaktionelle Auswahl) |
| Art.25 | Data protection by design and by default | Redaktionell | A.8.25A.8.26A.8.28+5 | Gleiches Thema: Sichere Entwicklung (Redaktionelle Auswahl) |
| Art.28 | Processor | Redaktionell | A.5.19A.5.20A.5.21+2 | Gleiches Thema: Lieferkettenrisiko, Lieferantenrisikomanagement (Redaktionelle Auswahl) |
| Art.29 | Processing under the authority of the controller or processor | Redaktionell | A.6.1A.6.4A.8.16 | Gleiches Thema: Insider-Bedrohungen (Redaktionelle Auswahl) |
| Art.30 | Records of processing activities | Redaktionell | A.5.9A.5.11A.7.14 | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| Art.32 | Security of processing | Redaktionell | A.8.24A.5.16A.5.18+6 | Gleiches Thema: Verschlüsselung, Zugriffskontrolle (Redaktionelle Auswahl) |
| Art.33 | Notification of a personal data breach to the supervisory authority | Redaktionell | A.5.5A.5.24A.5.25+2 | Gleiches Thema: Meldung, Incident Response (Redaktionelle Auswahl) |
| Art.34 | Communication of a personal data breach to the data subject | Redaktionell | A.5.5A.5.26A.6.8+2 | Gleiches Thema: Meldung, Kommunikation & Wiederherstellung (Redaktionelle Auswahl) |
| Art.35 | Data protection impact assessment | Redaktionell | Clause 6.1.2Clause 6.1.3 | Gleiches Thema: Risikobewertung (Redaktionelle Auswahl) |
| Art.37 | Designation of the data protection officer | Redaktionell | A.5.2A.5.4 | Gleiches Thema: Rollen und Verantwortlichkeiten (Redaktionelle Auswahl) |
| Art.39 | Tasks of the data protection officer | Redaktionell | A.5.2A.5.4A.6.3+1 | Gleiches Thema: Rollen und Verantwortlichkeiten, Awareness & Training (Redaktionelle Auswahl) |
Haben GDPR → benötigen ISO 27001
123 Anf. 47 zugeordnet · · 29 ohne Zuordnung In der Lückenansicht öffnen →Von 123 ISO/IEC 27001:2022-Anforderungen sind 47 auf etwas in GDPR zugeordnet, 47 sind nur lose verwandt und 29 haben keine Zuordnung in unseren Daten.
Voraussichtlich neuer Aufwand: ISO 27001-Anforderungen ohne Zuordnung zu GDPR (29)
| ISO 27001 | Anforderung | Abgleich | GDPR | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 2 | ||||
| A.5.6 | Contact with special interest groups | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.5.35 | Independent review of information security | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.7.2 | Physical entry | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.7.3 | Securing offices, rooms and facilities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.7.5 | Protecting against physical and environmental threats | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.7.6 | Working in secure areas | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.7.8 | Equipment siting and protection | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.7.11 | Supporting utilities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.7.12 | Cabling security | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.8 Technological controls · 3 | ||||
| A.8.1 | User endpoint devices | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.8.6 | Capacity management | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| A.8.15 | Logging | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| ISMS clauses 4–10 · 16 | ||||
| Clause 4.1 | Understanding the organization and its context | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 4.3 | Determining the scope of the ISMS | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 4.4 | Information security management system | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 5.1 | Leadership and commitment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 6.2 | Information security objectives and planning to achieve them | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 6.3 | Planning of changes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 7.5.1 | General | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 7.5.2 | Creating and updating | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 7.5.3 | Control of documented information | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 8.2 | Information security risk assessment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 8.3 | Information security risk treatment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 9.2.1 | General | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 9.2.2 | Internal audit programme | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 10.1 | Continual improvement | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
| Clause 10.2 | Nonconformity and corrective action | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu GDPR in unseren Daten. |
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (47)
| ISO 27001 | Anforderung | Abgleich | GDPR | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 12 | ||||
| A.5.3 | Segregation of duties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | Teilt nur CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.5.7 | Threat intelligence | Art.35(1)Art.35(7) | Teilt nur CSF ID.RA-03, ID.RA-05, ID.RA-06: verwandt, aber keine Zuordnung | |
| A.5.8 | Information security in project management | Art.30(1) | Teilt nur CSF ID.AM-08: verwandt, aber keine Zuordnung | |
| A.5.10 | Acceptable use of information and other associated assets | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+2 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.5.12 | Classification of information | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | Teilt nur CSF PR.DS-01, ID.AM-08: verwandt, aber keine Zuordnung | |
| A.5.13 | Labelling of information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.5.17 | Authentication information | Art.25(2)Art.32(1)(b) | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| A.5.27 | Learning from information security incidents | Art.33(1)Art.33(5) | Teilt nur CSF ID.IM-04, RS.MA-01, RS.MA-02: verwandt, aber keine Zuordnung | |
| A.5.28 | Collection of evidence | Art.33(1)Art.33(5)Art.34(1) | Teilt nur CSF RS.MA-01, RS.MA-02, RC.CO-03: verwandt, aber keine Zuordnung | |
| A.5.32 | Intellectual property rights | Art.24(2) | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| A.5.33 | Protection of records | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.5.34 | Privacy and protection of PII | Art.24(2) | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| A.6 People controls · 4 | ||||
| A.6.2 | Terms and conditions of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.6.5 | Responsibilities after termination or change of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.6.6 | Confidentiality or non-disclosure agreements | Art.29Art.32(4)Art.37(1)+1 | Teilt nur CSF GV.RR-04, GV.RR-03: verwandt, aber keine Zuordnung | |
| A.6.7 | Remote working | Art.24(2)Art.25(2)Art.28(1)+3 | Teilt nur CSF GV.PO-01, PR.AA-05, PR.PS-01: verwandt, aber keine Zuordnung | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | Art.29Art.32(4) | Teilt nur CSF DE.CM-03: verwandt, aber keine Zuordnung | |
| A.7.7 | Clear desk and clear screen | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.7.9 | Security of assets off-premises | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.7.10 | Storage media | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | Teilt nur CSF PR.DS-01, ID.AM-08: verwandt, aber keine Zuordnung | |
| A.7.13 | Equipment maintenance | Art.30(1) | Teilt nur CSF ID.AM-08: verwandt, aber keine Zuordnung | |
| A.8 Technological controls · 19 | ||||
| A.8.2 | Privileged access rights | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Teilt nur CSF PR.AA-01, PR.AA-05, PR.DS-01, PR.DS-02…: verwandt, aber keine Zuordnung | |
| A.8.4 | Access to source code | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Teilt nur CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.8.5 | Secure authentication | Art.25(2)Art.32(1)(b) | Teilt nur CSF PR.AA-01, PR.AA-05: verwandt, aber keine Zuordnung | |
| A.8.7 | Protection against malware | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.8.9 | Configuration management | Art.28(1) | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| A.8.12 | Data leakage prevention | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.8.17 | Clock synchronization | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10, PR.IR-03: verwandt, aber keine Zuordnung | |
| A.8.18 | Use of privileged utility programs | Art.25(2)Art.32(1)(b) | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| A.8.19 | Installation of software on operational systems | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.8.20 | Networks security | Art.5(1)(e)Art.5(1)(f)Art.28(1)+3 | Teilt nur CSF PR.DS-02, PR.IR-01: verwandt, aber keine Zuordnung | |
| A.8.21 | Security of network services | Art.28(1) | Teilt nur CSF PR.IR-01: verwandt, aber keine Zuordnung | |
| A.8.22 | Segregation of networks | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.8.23 | Web filtering | Art.28(1) | Teilt nur CSF PR.IR-01: verwandt, aber keine Zuordnung | |
| A.8.27 | Secure system architecture and engineering principles | Art.32(1)(b)Art.32(1)(c) | Teilt nur CSF PR.IR-03: verwandt, aber keine Zuordnung | |
| A.8.30 | Outsourced development | Art.5(2) | Teilt nur CSF GV.OV-03: verwandt, aber keine Zuordnung | |
| A.8.31 | Separation of development, test and production environments | Art.25(1) | Teilt nur CSF PR.PS-06: verwandt, aber keine Zuordnung | |
| A.8.32 | Change management | Art.5(2) | Teilt nur CSF GV.OV-03: verwandt, aber keine Zuordnung | |
| A.8.33 | Test information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.8.34 | Protection of information systems during audit testing | Art.5(2) | Teilt nur CSF GV.OV-03: verwandt, aber keine Zuordnung | |
| ISMS clauses 4–10 · 7 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | Teilt nur CSF GV.OC-04, PR.DS-01, PR.DS-02, PR.DS-10…: verwandt, aber keine Zuordnung | |
| Clause 7.1 | Resources | Art.37(1)Art.39(1) | Teilt nur CSF GV.RR-03: verwandt, aber keine Zuordnung | |
| Clause 7.2 | Competence | Art.37(1)Art.39(1) | Teilt nur CSF GV.RR-01, GV.RR-02, GV.RR-03: verwandt, aber keine Zuordnung | |
| Clause 8.1 | Operational planning and control | Art.28(1)Art.32(1)(b) | Teilt nur CSF GV.SC-01, GV.SC-03, RC.RP-04: verwandt, aber keine Zuordnung | |
| Clause 9.3.1 | General | Art.28(1) | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 9.3.2 | Management review inputs | Art.28(1) | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 9.3.3 | Management review results | Art.28(1) | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
Zugeordnet (47)
| ISO 27001 | Anforderung | Abgleich | GDPR | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 23 | ||||
| A.5.1 | Policies for information security | Redaktionell | Art.24(2) | Gleiches Thema: Governance-Richtlinie (Redaktionelle Auswahl) |
| A.5.2 | Information security roles and responsibilities | Redaktionell | Art.37(1)Art.39(1) | Gleiches Thema: Rollen und Verantwortlichkeiten (Redaktionelle Auswahl) |
| A.5.4 | Management responsibilities | Redaktionell | Art.37(1)Art.39(1) | Gleiches Thema: Rollen und Verantwortlichkeiten (Redaktionelle Auswahl) |
| A.5.5 | Contact with authorities | Redaktionell | Art.33(1)Art.34(1) | Gleiches Thema: Meldung (Redaktionelle Auswahl) |
| A.5.9 | Inventory of information and other associated assets | Redaktionell | Art.30(1) | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| A.5.11 | Return of assets | Redaktionell | Art.30(1) | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| A.5.14 | Information transfer | Redaktionell | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Gleiches Thema: Datenschutz (Redaktionelle Auswahl) |
| A.5.15 | Access control | Redaktionell | Art.25(2)Art.32(1)(b) | Gleiches Thema: Zugriffskontrolle (Redaktionelle Auswahl) |
| A.5.16 | Identity management | Redaktionell | Art.25(2)Art.32(1)(b) | Gleiches Thema: Zugriffskontrolle (Redaktionelle Auswahl) |
| A.5.18 | Access rights | Redaktionell | Art.25(2)Art.32(1)(b) | Gleiches Thema: Zugriffskontrolle (Redaktionelle Auswahl) |
| A.5.19 | Information security in supplier relationships | Redaktionell | Art.28(1)Art.28(3) | Gleiches Thema: Lieferkettenrisiko, Lieferantenrisikomanagement (Redaktionelle Auswahl) |
| A.5.20 | Addressing information security within supplier agreements | Redaktionell | Art.28(1)Art.28(3) | Gleiches Thema: Lieferantenrisikomanagement (Redaktionelle Auswahl) |
| A.5.21 | Managing information security in the ICT supply chain | Redaktionell | Art.28(1) | Gleiches Thema: Lieferkettenrisiko (Redaktionelle Auswahl) |
| A.5.22 | Monitoring, review and change management of supplier services | Redaktionell | Art.28(1)Art.28(3) | Gleiches Thema: Lieferantenrisikomanagement (Redaktionelle Auswahl) |
| A.5.23 | Information security for use of cloud services | Redaktionell | Art.28(1) | Gleiches Thema: Cloud-Sicherheit (Redaktionelle Auswahl) |
| A.5.24 | Information security incident management planning and preparation | Redaktionell | Art.33(1)Art.33(5) | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
| A.5.25 | Assessment and decision on information security events | Redaktionell | Art.33(1)Art.33(5) | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
| A.5.26 | Response to information security incidents | Redaktionell | Art.33(1)Art.33(5)Art.34(1) | Gleiches Thema: Incident Response, Kommunikation & Wiederherstellung (Redaktionelle Auswahl) |
| A.5.29 | Information security during disruption | Redaktionell | Art.32(1)(b)Art.32(1)(c) | Gleiches Thema: Business Continuity, Wiederherstellungsplanung (Redaktionelle Auswahl) |
| A.5.30 | ICT readiness for business continuity | Redaktionell | Art.32(1)(b)Art.32(1)(c) | Gleiches Thema: Business Continuity, Wiederherstellungsplanung, Disaster Recovery (Redaktionelle Auswahl) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Redaktionell | Art.5(2) | Gleiches Thema: Compliance (Redaktionelle Auswahl) |
| A.5.36 | Compliance with policies, rules and standards for information security | Redaktionell | Art.5(2) | Gleiches Thema: Compliance (Redaktionelle Auswahl) |
| A.5.37 | Documented operating procedures | Redaktionell | Art.24(2) | Gleiches Thema: Governance-Richtlinie (Redaktionelle Auswahl) |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | Redaktionell | Art.29Art.32(4) | Gleiches Thema: Insider-Bedrohungen (Redaktionelle Auswahl) |
| A.6.3 | Information security awareness, education and training | Redaktionell | Art.39(1)(b) | Gleiches Thema: Awareness & Training (Redaktionelle Auswahl) |
| A.6.4 | Disciplinary process | Redaktionell | Art.29Art.32(4) | Gleiches Thema: Insider-Bedrohungen (Redaktionelle Auswahl) |
| A.6.8 | Information security event reporting | Redaktionell | Art.33(1)Art.34(1) | Gleiches Thema: Meldung (Redaktionelle Auswahl) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Redaktionell | Art.30(1) | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| A.8 Technological controls · 12 | ||||
| A.8.3 | Information access restriction | Redaktionell | Art.25(2)Art.32(1)(b) | Gleiches Thema: Zugriffskontrolle (Redaktionelle Auswahl) |
| A.8.8 | Management of technical vulnerabilities | Redaktionell | Art.32(1)(d) | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| A.8.10 | Information deletion | Redaktionell | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Gleiches Thema: Datenschutz (Redaktionelle Auswahl) |
| A.8.11 | Data masking | Redaktionell | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Gleiches Thema: Datenschutz (Redaktionelle Auswahl) |
| A.8.13 | Information backup | Redaktionell | Art.32(1)(c) | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| A.8.14 | Redundancy of information processing facilities | Redaktionell | Art.32(1)(b)Art.32(1)(c) | Gleiches Thema: Business Continuity, Disaster Recovery (Redaktionelle Auswahl) |
| A.8.16 | Monitoring activities | Redaktionell | Art.29Art.32(4) | Gleiches Thema: Insider-Bedrohungen (Redaktionelle Auswahl) |
| A.8.24 | Use of cryptography | Redaktionell | Art.32(1)(a)Art.34(3)(a) | Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl) |
| A.8.25 | Secure development life cycle | Redaktionell | Art.25(1) | Gleiches Thema: Sichere Entwicklung (Redaktionelle Auswahl) |
| A.8.26 | Application security requirements | Redaktionell | Art.25(1) | Gleiches Thema: Sichere Entwicklung (Redaktionelle Auswahl) |
| A.8.28 | Secure coding | Redaktionell | Art.25(1) | Gleiches Thema: Sichere Entwicklung (Redaktionelle Auswahl) |
| A.8.29 | Security testing in development and acceptance | Redaktionell | Art.25(1) | Gleiches Thema: Sichere Entwicklung (Redaktionelle Auswahl) |
| ISMS clauses 4–10 · 7 | ||||
| Clause 5.2 | Policy | Redaktionell | Art.24(2) | Gleiches Thema: Governance-Richtlinie (Redaktionelle Auswahl) |
| Clause 6.1.1 | General | Redaktionell | Art.24(1)Art.32(2) | Gleiches Thema: Risikomanagement (Redaktionelle Auswahl) |
| Clause 6.1.2 | Information security risk assessment | Redaktionell | Art.35(1)Art.35(7) | Gleiches Thema: Risikobewertung (Redaktionelle Auswahl) |
| Clause 6.1.3 | Information security risk treatment | Redaktionell | Art.24(1)Art.32(2)Art.35(1)+1 | Gleiches Thema: Risikomanagement, Risikobewertung (Redaktionelle Auswahl) |
| Clause 7.3 | Awareness | Redaktionell | Art.39(1)(b) | Gleiches Thema: Awareness & Training (Redaktionelle Auswahl) |
| Clause 7.4 | Communication | Redaktionell | Art.34(1) | Gleiches Thema: Kommunikation & Wiederherstellung (Redaktionelle Auswahl) |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Redaktionell | Art.5(2) | Gleiches Thema: Compliance (Redaktionelle Auswahl) |
Nach Thema
Beide abgedeckt (23):
Governance-RichtlinieAwareness & TrainingRisikomanagementLieferkettenrisikoRollen und VerantwortlichkeitenComplianceAsset-ManagementRisikobewertungSchwachstellenmanagementZugriffskontrolleVerschlüsselungDatenschutzBackup & RecoverySichere EntwicklungCloud-SicherheitIncident ResponseMeldungWiederherstellungsplanungBusiness ContinuityKommunikation & WiederherstellungDisaster RecoveryInsider-BedrohungenLieferantenrisikomanagement
Nur ISO 27001 (27):
GeschäftsumfeldDatenklassifizierungThreat IntelligenceMulti-Faktor-AuthentifizierungPrivilegierter ZugriffFirewall / NetzsegmentierungEndpoint-SchutzPatch-ManagementSichere KonfigurationE-Mail-SicherheitWebanwendungssicherheitZero TrustMobile SecurityDNS-SicherheitWAFDLPKont. ÜberwachungProtokollierung & AuditAngriffserkennungAnomalieerkennungSIEM / SOCForensikKommunikationMitigationErkenntnisse aus VorfällenAPI-SicherheitPhysische Sicherheit
Fragen
Machen Sie ISO 27001 Sie DSGVO-konform?
Nein. ISO 27001 unterstützt die Sicherheitspflichten, insbesondere Artikel 32, die DSGVO umfasst aber auch die rechtmäßige Verarbeitung, Transparenz, Betroffenenrechte und mehr.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Zugeordnet = gemeinsam in einem ControlMapping-Thema kuratiert oder direkt verknüpft. Crosswalks belegen keine Konformität. Methodik · Daten herunterladen · Fehler melden.