COM-04 Informationen über die Informationssicherheitsleistung und Managementbewertung des ISMS

Die oberste Leitung des Cloud-Anbieters wird regelmäßig über die Informationssicherheitsleistung im Anwendungsbereichs des ISMS informiert, um dessen fortdauernde Eignung, Angemessenheit und Wirksamkeit sicherzustellen. Die Informationen werden in die Managementbewertung des ISMS einbezogen. Diese Managementbewertung wird mindestens einmal jährlich durchgeführt.

Ergänzende Informationen

Die oberste Geschäftsleitung ist eine natürliche Person oder Personengruppe, die die endgültige Entscheidung für die Organisation trifft und für diese Entscheidung verantwortlich ist.

Die in der Managementbewertung des ISMS zu behandelnden Aspekte sind in Abschnitt 9.3 der ISO / IEC 27001 aufgeführt.

Der Cloud-Anbieter definiert und implementiert technische und betriebliche Kennzahlen, die mit seinen Geschäftszielen, seinen Sicherheitsanforderungen und Compliance-Verpflichtungen im Einklang stehen. Diese Kennzahlen werden dokumentiert und in die Managementbewertung des ISMS einbezogen, um ihre fortdauernde Eignung, Angemessenheit und Wirksamkeit sicherzustellen.

Die verantwortlichen Geschäftsbereiche des Cloud-Anbieters berichten der obersten Leitung mindestens jährlich über den Status und die Wirksamkeit der Richtlinien und Verfahren, die für die Managementbewertung des Informationssicherheitsmanagementsystems durch die oberste Leitung relevant sind. Diese Berichterstattung umfasst mindestens:

1. Umgesetzte Änderungen zur Behandlung von Cybersicherheitsrisiken für das in der Richtlinie oder im Verfahren behandelte Thema;

2. Informationssicherheitsvorfälle für das in der Richtlinie oder im Verfahren behandelte Thema und die Nachverfolgung;

3. Leistung der internen Kontrollen hinsichtlich der Informationssicherheit für das in der Richtlinie oder im Verfahren behandelte Thema; und

4. Geplante Änderungen für das in der Richtlinie oder im Verfahren behandelte Thema zur Behandlung von Cybersicherheitsrisiken sowie der Informationssicherheit und Cybersicherheit.