Anforderungskataloge enthalten die Soll-Vorgaben, an denen Sie Ihr ISMS ausrichten, zum Beispiel ISO/IEC 27001 Anhang A, NIS2 oder NIST SP 800-53. Diese Anleitung zeigt, wie Sie Plattform-Kataloge importieren, eigene Kataloge anlegen, Anwendbarkeit und Nachweise aus bestehenden Katalogen übernehmen und mit neuen Ständen eines Katalogs umgehen.

Bevor Sie beginnen

  • Plattform-Kataloge importieren Personen mit dem Recht, Zuordnungen zwischen Katalogen zu pflegen. Standardmässig ist das die Fachrolle ISMS-Verantwortliche/r.
  • Eigene Kataloge legen Personen an, die Kataloge und Anforderungen verwalten dürfen.
  • Paket: Im Paket Free stehen nur eigene Kataloge zur Verfügung. Ab Paket Starter können Sie ISO/IEC 27001 Anhang A importieren, ab Paket Pro alle Plattform-Kataloge. Der Import eigener Kataloge aus einer CSV-Datei ist ab Paket Starter möglich.

Kataloge, die nicht in Ihrem Paket enthalten sind, sehen Sie unter Weitere Plattform-Kataloge mit Name, Beschreibung und Gliederung sowie dem Abzeichen „Ab Starter“ bzw. „Ab Pro“.

  1. Importieren

    „Plattform-Katalog importieren“ unter Anforderungen › Kataloge.

  2. Übernehmen (ab Pro)

    Anwendbarkeit, Massnahmen und Nachweise aus bestehenden Katalogen.

  3. Anwendbarkeit festlegen

    Für die übrigen Anforderungen.

Neuer Stand

Hinweis auf der Katalogseite: alles oder eine Auswahl übernehmen, das Update zurückstellen oder nicht übernehmen.

Neue Ausgabe

Kommt als eigener Katalog. Beim Umsteigen übertragen Sie Anforderungen schrittweise oder alle auf einmal.

Ein Katalog in Ihrem ISMS: vom Import bis zum neuen Stand

Drei Schritte: Plattform-Katalog importieren; ab Paket Pro aus bestehenden Katalogen Anwendbarkeit, Massnahmen und Nachweise übernehmen; danach die Anwendbarkeit der übrigen Anforderungen festlegen. Ändert die Plattform den Katalog, übernehmen Sie einen neuen Stand ganz oder teilweise, stellen ihn zurück oder übernehmen ihn nicht. Eine neue Ausgabe kommt als eigener Katalog, auf den Sie umsteigen.

Plattform-Katalog importieren

  1. Öffnen Sie Anforderungen › Kataloge.
  2. Klicken Sie auf Plattform-Katalog importieren.
  3. Wählen Sie einen oder mehrere Kataloge aus und bestätigen Sie mit Importieren.
  4. Varmo legt den Katalog in Ihrer Organisation an. Haben Sie genau einen Katalog importiert, öffnet sich die Katalogseite; dort zeigt „Wie geht es weiter?“ den nächsten Schritt. Bei mehreren Katalogen bietet die Bestätigung den Link Anwendbarkeit festlegen an.
  5. Führen Sie bereits andere Kataloge (ab Paket Pro), übernehmen Sie zuerst aus diesen Katalogen, siehe den nächsten Abschnitt. Legen Sie danach die Anwendbarkeit der übrigen Anforderungen fest. Die Anwendbarkeit wird nur übernommen, solange eine Anforderung noch „Nicht beurteilt“ ist.

Der Inhalt eines Plattform-Katalogs ist fest vorgegeben: Kennungen, Titel und Texte der Anforderungen pflegt die Plattform. Sie entscheiden über Anwendbarkeit, Umsetzung, Eigentümer und Nachweise. Eigene, zusätzliche Anforderungen gehören in einen eigenen Katalog.

Aus bestehenden Katalogen übernehmen

Ab Paket Pro: Kommt ein Katalog zu Ihren bestehenden hinzu, müssen Sie gleichwertige Anforderungen nicht noch einmal erfassen. Sie übernehmen Anwendbarkeit samt Begründung, verknüpfte Massnahmen und Nachweise (Richtlinien, Dokumente, Kontrollen) über die Entsprechungen zwischen den Katalogen. Das dürfen Personen, die Kataloge und Anforderungen verwalten dürfen. Massnahmen verknüpfen darf zusätzlich nur, wer alle Massnahmen bearbeiten darf.

  1. Öffnen Sie den neuen Katalog unter Anforderungen › Kataloge. Entsprechen Anforderungen solchen aus Ihren anderen Katalogen, zeigt die Katalogseite einen Hinweis. Klicken Sie dort auf Übernehmen.
  2. Die Seite Aus bestehenden Katalogen übernehmen zeigt je Anforderung die entsprechenden Anforderungen Ihrer anderen Kataloge und was sich übernehmen lässt: Anwendbarkeit, Massnahmen, Nachweise.
  3. Vorausgewählt ist alles bei „Gleichwertig“ und „Teilmenge“; dort deckt die bestehende Anforderung die neue ganz ab. Bei „Obermenge“ und „Überschneidend“ entscheiden Sie selbst. Jedes Häkchen lässt sich einzeln abwählen.
  4. Die Anwendbarkeit übernimmt Varmo nur für Anforderungen, die noch „Nicht beurteilt“ sind, und je Anforderung aus genau einer Quelle.
  5. Klicken Sie auf Ausgewählte übernehmen. Danach legen Sie die Anwendbarkeit der übrigen Anforderungen wie gewohnt fest.

Unter Bisherige Übernahmen machen Sie eine Übernahme mit Rückgängig wieder rückgängig. Anforderungen, die Sie seither geändert haben, bleiben dabei unverändert.

Eigenen Katalog anlegen

  1. Öffnen Sie Anforderungen › Kataloge und klicken Sie auf Eigenen Katalog anlegen.
  2. Geben Sie Name und Beschreibung ein.
  3. Wählen Sie, wie Sie die Anforderungen erfassen: Von Hand erfassen (Anforderungen einzeln eintippen) oder Datei importieren (CSV-Datei oder aus Excel einfügen, ab Paket Starter). Eine Anforderung genügt für den Anfang.
  4. Speichern Sie. Im Katalog ergänzen Sie später mit Anforderung hinzufügen und Kategorie hinzufügen weitere Einträge.

Eigene Kataloge eignen sich für branchenspezifische Vorgaben, Kundenanforderungen oder interne Standards.

Neue Stände und neue Ausgaben

Die Plattform pflegt ihre Kataloge weiter. Es gibt zwei Arten von Änderungen:

  • Neuer Stand (Revision): einzelne Anforderungen sind neu, geändert oder entfallen. Auf der Katalogseite erscheint der Hinweis „Neuer Stand … der Plattform verfügbar“. Mit Auswirkungen ansehen sehen Sie die Änderungsnotiz der Plattform und die Auswirkungen auf Ihr ISMS, zum Beispiel betroffene Umsetzungen und Nachweise. Sie können alles oder eine Auswahl übernehmen, das Update zurückstellen (bis zu einem Datum) oder das Update nicht übernehmen (mit Begründung).
  • Neue Ausgabe: ein grundlegend überarbeiteter Katalog, etwa eine neue Fassung einer Norm. Sie wird als eigener Katalog angelegt. Beim Umsteigen übertragen Sie Anforderungen schrittweise oder alle auf einmal; Anwendbarkeit, Umsetzung und Nachweise kommen mit, wo die neue Anforderung der alten entspricht. Sie können den Umstieg auch zurückstellen oder darauf verzichten. Umsteigen betrifft die alte und die neue Ausgabe desselben Standards; das Übernehmen aus bestehenden Katalogen nutzt dagegen die Entsprechungen zu anderen Standards.

Gelöscht wird dabei nichts. Entfallene Anforderungen werden inaktiv, und Anforderungen, die Sie nach dem Update prüfen sollten, sind markiert (Nach dem Update zu prüfen).

Was danach passiert

  • Nach dem Importieren legen Sie die Anwendbarkeit fest. Weiter geht es in Anwendbarkeit festlegen und SoA freigeben.
  • Liegt ein neuer Stand oder eine neue Ausgabe vor, erhalten die ISMS-Verantwortlichen eine Pendenz in Meine Pendenzen. Haben Sie zurückgestellt, kommt die Pendenz am gewählten Datum wieder.
  • Markierte Anforderungen erscheinen als Pendenz bei den Personen, die Anforderungen verwalten.

Häufige Fragen

Kann ich Texte eines Plattform-Katalogs anpassen?

Nein. Damit Zuordnungen zwischen Katalogen zuverlässig wirken, bleibt der Inhalt unverändert. Halten Sie Ihre Auslegung in der Umsetzung der Anforderung fest oder legen Sie ergänzende Anforderungen in einem eigenen Katalog an.

Kann ich ein abgelehntes Update später doch übernehmen?

Ja. Übernehmen bzw. umsteigen ist jederzeit möglich, auch nach „nicht übernehmen“.

Was passiert bei einem Wechsel in ein kleineres Paket?

Plattform-Kataloge ausserhalb des neuen Pakets bleiben lesbar und exportierbar, lassen sich aber nicht mehr ändern. Freigegebene Erklärungen zur Anwendbarkeit bleiben erhalten.

Wie hängen mehrere Kataloge zusammen?

Plattform-Kataloge sind untereinander zugeordnet. Ab Paket Pro gilt die Erfüllung über diese Entsprechungen teilweise automatisch, und Sie können Anwendbarkeit, Massnahmen und Nachweise aus bestehenden Katalogen übernehmen (siehe oben). Mehr dazu in Entsprechungen zwischen Katalogen nutzen.