Vorlagen und Aufzeichnungen · ISO 27001 · Abschnitt A.5.9

Vorlage für das Inventar der Informationswerte nach ISO 27001

Die Aufstellung der Information und der Systeme, die sie tragen, jeweils mit Eigentümer und Klassifizierung – sie gibt der Risikobeurteilung und der Zugriffssteuerung ihren Sinn.

In einem Satz

Das Inventar der Informationswerte verzeichnet die Information und die zugehörigen Werte – Anwendungen, Geräte, Cloud-Dienste, Schlüsselpersonen – mit Eigentümer, Standort und Klassifizierung; verlangt wird es von Maßnahme 5.9 in Anhang A von ISO/IEC 27001:2022, die fordert, es zu erstellen und aktuell zu halten.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27001 · Abschnitt A.5.9 Die Abschnitte folgen ISO/IEC 27001:2022; die mit „A.“ beginnenden sind Maßnahmen aus Anhang A, verbindlich in dem Umfang, in dem die Erklärung zur Anwendbarkeit sie aufnimmt.
Art der Information: Pflichtdokument Maßnahme 5.9 aus Anhang A: wird gepflegt, wenn die Erklärung zur Anwendbarkeit sie aufnimmt
Wer sie ausfüllt: Eigentümer der Werte Die IT führt es zusammen; jeder Eigentümer steht dafür ein, dass seine Werte erfasst und korrekt sind
Wann: Bei jedem Zu- und Abgang und jeder Änderung Mit einer vollständigen Überprüfung mindestens vor der jährlichen Risikobeurteilung
Wie lange sie aufbewahrt wird: Stets aktuell Es wird fortlaufend gepflegt; die Historie der Zu- und Abgänge sollte aufbewahrt werden, um rekonstruieren zu können, was zu einem Datum existierte

Was die Norm verlangt

Was ISO 27001 fordert und was Ihrem Ermessen überlassen bleibt

Der Normtext selbst verpflichtet nicht zur Inventarisierung: Das tut Maßnahme 5.9, die ein Inventar der Information und anderer zugehöriger Werte samt Eigentümern verlangt. Da kaum eine Organisation sie begründet ausschließen kann, erwarten es in der Praxis alle Auditoren.

ISO/IEC 27002 gibt Orientierung zum Detaillierungsgrad: genug, um die Risiken zu steuern, keine Liste jedes Kabels. Entscheidend ist, dass jeder relevante Wert einen Eigentümer hat und das Inventar bei Zu- und Abgängen aktuell gehalten wird.

Das Inventar stützt sich auf weitere Maßnahmen: die Klassifizierung (5.12), den zulässigen Gebrauch (5.10) und die Rückgabe von Werten beim Ausscheiden aus dem Unternehmen (5.11).

Im Zusammenhang lesen: Kontext der Organisation, in der Akademie zu ISO 27001

Aufbau

Felder, die die Vorlage enthalten sollte

Kennung und Bezeichnung des Werts
Typ: Information, Anwendung, Cloud-Dienst, Gerät, Datenträger, Schlüsselperson
Eigentümer
Standort oder hostender Anbieter
Klassifizierung der Information (etwa öffentlich, intern, vertraulich)
Davon abhängige Prozesse oder Dienste
Ob er personenbezogene Daten enthält
Datum der Aufnahme, der letzten Überprüfung und der Ausmusterung

Beispiel

Beispiel: vier Werte eines Softwareunternehmens

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
A-001 Kundendatenbank	Information · Eigentümerin: Vertriebsleiterin · Vertraulich · Personenbezogene Daten: ja
A-014 SaaS-Plattform	Anwendung · Eigentümerin: Leiterin Betrieb · Gehostet bei einem Cloud-Anbieter, Region EU
A-022 Code-Repository	Cloud-Dienst · Eigentümer: technischer Leiter · Vertraulich
A-040 Laptops des Teams	82 Geräte · Eigentümer: IT-Verantwortlicher · Festplattenverschlüsselung Pflicht
Letzte Überprüfung	28. August 2026, vor der jährlichen Risikobeurteilung

Im Audit

Fehler, die Auditoren häufig feststellen

Das Inventar erfasst nur Hardware: Information und Cloud-Dienste fehlen.
Ein pauschaler Eigentümer („IT-Abteilung“) statt einer Person.
Austritte von Beschäftigten ohne dokumentierte Rückgabe der Geräte.
Die Klassifizierung im Inventar stimmt nicht mit der auf den Dokumenten angewendeten überein.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Das Inventar der Informationswerte wird mit Eigentümer und Klassifizierung für jeden Wert aufgebaut.
2Der Eigentümer jedes Werts und jedes Risikos wird direkt im System zugewiesen, und die Risikobeurteilung ist mit den Werten verknüpft.
3Das Inventar ist ein versionierter Datensatz: Jeder Zugang, Abgang oder jede Änderung bleibt mit Datum und Urheber erhalten.

Häufige Fragen

Was man uns vor dem Start fragt

Welchen Detaillierungsgrad braucht das Inventar?

Genug, um die Risiken zu steuern. Laptops desselben Modells und derselben Konfiguration in einer Zeile zusammenzufassen ist vernünftig; die gesamte Kundeninformation in einer einzigen Zeile zusammenzufassen nicht.

Taugt dasselbe Inventar für das ENS?

Ja, mit Einschränkungen: Die ENS-Maßnahme op.exp.1 verlangt ebenfalls ein aktuelles Inventar mit Verantwortlichem. Es empfiehlt sich, zu ergänzen, zu welchem kategorisierten System jeder Wert gehört.

Führen Sie die Aufzeichnungen zu ISO 27001 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme. Anforderungen ISO/IEC · 25. Oktober 2022
ISO/IEC 27002:2022 — Informationssicherheitsmaßnahmen ISO/IEC · Februar 2022