ISMS: Maßnahmen planen, umsetzen und nachweisen

Mit Maßnahmen in Ariadne ISMS machst du aus einer Risikoentscheidung konkrete Arbeit: Du legst fest, wer was tut, verfolgst den Fortschritt über klare Status und hängst die Nachweise direkt an. So kannst du im Audit jederzeit zeigen, was ihr gegen ein Risiko unternommen habt und ob es geprüft ist.

Voraussetzungen

• Das Risiko, zu dem die Maßnahme gehört, ist angelegt. Eine Maßnahme gehört immer zu genau einem Risiko.
• Sinnvoll ist eine festgelegte Behandlung, meist Reduzieren. Deren Zieldatum ist die Frist deiner Maßnahmen.
• Maßnahmen anlegen darfst du mit jeder Rolle. Status und Wirksamkeitsprüfung verwaltest du, wenn du für die Maßnahme als Verantwortlich eingetragen bist oder die Rolle Key User bzw. Admin hast.

Maßnahme anlegen

Du hast zwei Einstiege:

• Am Risiko: Öffne das Risiko und klicke bei Maßnahmen auf +. Das Risiko ist bereits vorbelegt.
• Über die Maßnahmenliste: Klicke auf Maßnahmen > + Erstellen und wähle über Risiko suchen… das passende Risiko.

Den Titel gibst du im Feld Maßnahmentitel eingeben oder im Katalog suchen… ein. Dabei hast du diese Möglichkeiten:

Aus dem Maßnahmenkatalog

Bewährte Vorlage übernehmen

Schnellster Weg

Klicke einen passenden Katalogtreffer an. Die Maßnahme wird mit ihren Inhalten übernommen, angehängte Dokumente inklusive. Du sparst dir das Formulieren und nutzt einheitliche Beschreibungen.

Wann nutze ich das?

• Für Standardmaßnahmen, z. B. Controls aus Annex A der ISO 27001.
• Wenn du dieselbe Maßnahme an vielen Risiken brauchst.

Eigene Maßnahme

Passgenau für dein Risiko

Individuell

Findet die Suche nichts Passendes, legst du die Maßnahme mit deinem eigenen Titel an und beschreibst sie selbst.

Wann nutze ich das?

• Für Maßnahmen, die nur bei euch so umgesetzt werden.
• Wenn ein Katalogeintrag zu allgemein wäre.

Zusammen mit dem Risiko kopieren

Für ähnliche Risiken an anderen Assets

Mehrere Risiken

Kopierst du ein Risiko über … > Risiko kopieren, kannst du seine Maßnahmen gleich mitkopieren. So musst du sie nicht noch einmal anlegen.

Tipp: Eine Maßnahme lässt sich nicht mehreren Risiken zuordnen. Betrifft dieselbe Maßnahme mehrere Risiken, legst du sie je Risiko an oder kopierst sie mit.

Verantwortung und Inhalt festlegen

Auf der Detailseite der Maßnahme pflegst du alles, was für die Umsetzung wichtig ist:

• Personen: Verantwortlich und Beteiligte Person. So ist klar, wer die Umsetzung treibt.
• Beschreibung: Was genau soll passieren? Je konkreter, desto leichter die spätere Prüfung.
• Schutzziele: Welche Schutzziele die Maßnahme unterstützt.
• Tags und Kategorie: zum Filtern und Auswerten.
• Verknüpftes Risiko: Das Risiko, zu dem die Maßnahme gehört.

Die Frist kommt vom Risiko

Eine Maßnahme hat kein eigenes Fälligkeitsdatum. Ihre Frist ist das Zieldatum, das du bei der Behandlung des Risikos festgelegt hast. Steht das Zieldatum in den nächsten 30 Tagen an, erscheint die Maßnahme im Dashboard unter Anstehende Fristen. Ist es überschritten und die Maßnahme noch offen, erscheint sie unter Handlungsbedarf.

Fortschritt über den Status steuern

Jede Maßnahme durchläuft einen klaren Lebenszyklus. Den Status wechselst du über Nächste Schritte, z. B. mit Starten, oder über das Menü … mit Als in Umsetzung markieren bzw. Als abgebrochen markieren.

Nachweise direkt an der Maßnahme ablegen

Hänge Belege dort an, wo sie hingehören: Klicke bei Dokumente auf + und wähle Dokument hochladen. Das können z. B. Konfigurationsnachweise, Screenshots, Schulungsnachweise oder Prüfprotokolle sein. Im Audit findest du so zu jeder Maßnahme sofort den Beleg.

Nach der Umsetzung: zurück zum Risiko

Sind alle Maßnahmen umgesetzt und geprüft, schließt du am Risiko die Behandlung ab und bewertest es neu. Erst diese Neubewertung zeigt dir das Restrisiko.

So bleiben deine Maßnahmen prüfbar

• Lege Maßnahmen als eigene Objekte an, sobald Arbeit geplant oder geprüft werden muss.
• Formuliere prüfbar: „MFA für alle CRM-Zugänge aktivieren“ statt „Zugang absichern“.
• Setze den Status zeitnah, damit Dashboard und Fristen stimmen.
• Hänge den Nachweis an, bevor du verifizierst.
• Nutze deine eigene Aufgabenverwaltung für die operative Umsetzung. Ariadne ISMS hält Status, Frist und Nachweis fest.

Verwandte Artikel

• ISMS: Risiken erfassen, bewerten und behandeln
• ISMS: Dashboards: Handlungsbedarf und Risikolage im Blick
• ISMS: Rollen und Berechtigungen