🏠[[Startseite ISMS]]  
📘 Kapitel:[[04. Dokumentation und Überprüfung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[Informationssicherheitsbeauftragte(r)]]

---

#### 1. Zweck des Dokuments
Dieses Dokument beschreibt die systematische Erfassung, Umsetzung und Überprüfung von Korrektur- und Präventivmaßnahmen zur kontinuierlichen Verbesserung des ISMS der Beispiel-Unternehmen GmbH.

#### 2. Geltungsbereich
Die Maßnahmen gelten für alle Bereiche des ISMS, einschließlich IT-Systeme, Prozesse, Richtlinien und Sicherheitsmaßnahmen.

---

## 3. Prozess für Korrektur- und Präventivmaßnahmen

**3.1 Auslöser für Maßnahmen**
- **Abweichungen aus Audits**:
  - Nicht erfüllte Anforderungen oder festgestellte Schwächen.
- **Sicherheitsvorfälle**:
  - Maßnahmen zur Behebung von Ursachen und zur Vermeidung zukünftiger Vorfälle.
- **Rückmeldungen von Interessierten Parteien**:
  - Hinweise von Kunden, Partnern oder Mitarbeitenden.
- **Neue Risiken oder Änderungen**:
  - Identifikation neuer Bedrohungen oder Anpassung an gesetzliche Anforderungen.

**3.2 Dokumentation der Maßnahmen**
Jede Maßnahme wird nach folgendem Schema dokumentiert:
- **Grund für die Maßnahme**:
  - Beschreibung der Ursache (z. B. „Mangelnde Sensibilisierung bei Mitarbeitenden führte zu Phishing-Vorfall“).
- **Ergriffene Maßnahmen**:
  - Konkrete Schritte zur Behebung der Ursache (z. B. „Durchführung einer Phishing-Schulung“).
- **Verantwortlichkeiten**:
  - Zuständige Personen oder Abteilungen (z. B. [[IT-Verantwortliche(r)]], [[Datenschutzbeauftragte(r)]]).
- **Frist**:
  - Datum, bis wann die Maßnahme umgesetzt sein muss.
- **Erwartete Ergebnisse**:
  - Zielsetzung der Maßnahme (z. B. „Reduktion von Phishing-Vorfällen um 50 %“).

---

## 4. Beispiele für Maßnahmen

**4.1 Korrekturmaßnahmen**
- **Anpassungen von Richtlinien**:
  - Aktualisierung der [[01.51 IT-Sicherheitsrichtlinie]] nach einem Sicherheitsvorfall.
- **Sicherheitsmaßnahmen**:
  - Einführung eines Multi-Faktor-Authentifizierungssystems (MFA) nach einem unbefugten Zugriff.

**4.2 Präventivmaßnahmen**
- **Verbesserungen in der Zugriffskontrolle**:
  - Einführung regelmäßiger Überprüfungen der Zugriffsrechte (siehe [[02.04 Maßnahme Zugriffsmanagement]]).
- **Schulungsmaßnahmen**:
  - Zusätzliche Sensibilisierungsschulungen (siehe [[01.04 Schulungsplan ISMS]]).

---

## 5. Überprüfung der Maßnahmen

**5.1 Regelmäßige Kontrolle**
- Alle Maßnahmen werden nach spätestens **sechs Monaten** auf ihre Wirksamkeit überprüft.
- Überprüfungsfragen:
  - Wurde die Ursache der Abweichung oder des Vorfalls erfolgreich behoben?
  - Sind die gewünschten Ergebnisse erreicht worden?

**5.2 Anpassung bei Bedarf**
- Falls eine Maßnahme nicht die gewünschte Wirkung zeigt:
  - Analyse der Gründe und Anpassung der Maßnahme.
  - Dokumentation der neuen oder erweiterten Maßnahmen.

**5.3 Berichtswesen**
- Ergebnisse der Überprüfung werden dokumentiert und der [[Geschäftsführung]] präsentiert.

---

## 6. Verantwortlichkeiten

- **[[Informationssicherheitsbeauftragte(r)]]**:
  - Koordination und Überwachung der Maßnahmen.
  - Sicherstellung der Dokumentation und Nachverfolgung.
- **[[IT-Verantwortliche(r)]]**:
  - Umsetzung technischer Maßnahmen und Unterstützung bei der Überprüfung.
- **[[Geschäftsführung]]**:
  - Bereitstellung von Ressourcen und Freigabe wesentlicher Änderungen.

---

## 7. Verknüpfte Dokumente
- [[01.51 IT-Sicherheitsrichtlinie]]
- [[02.04 Maßnahme Zugriffsmanagement]]
- [[03.01 Notfallplan IT-Vorfall]]
- [[01.04 Schulungsplan ISMS]]

---

🏷️ **Tags:**  
- #Korrekturmaßnahmen #Präventivmaßnahmen #ISMS_Prozesse #ISO_Kontrolle_10_1 #Verbesserung  
