Vorlagen und Aufzeichnungen · ISO 27001 · Abschnitt A.5.31

Register gesetzlicher und vertraglicher Sicherheitsanforderungen

Die Liste der Gesetze, Verordnungen und Verträge, die dem Unternehmen Sicherheitspflichten auferlegen – mit dem, was sie verlangen, und wie jede erfüllt wird.

In einem Satz

Das Register gesetzlicher und vertraglicher Anforderungen erfasst die Gesetze, Verordnungen und Verträge, die Sicherheitspflichten auferlegen – Datenschutz, NIS2, ENS, Kundenklauseln – und erläutert, wie jede erfüllt wird; verlangt wird es von Maßnahme 5.31 von ISO/IEC 27001:2022, die fordert, sie zu ermitteln, zu dokumentieren und aktuell zu halten.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27001 · Abschnitt A.5.31 Die Abschnitte folgen ISO/IEC 27001:2022; die mit „A.“ beginnenden sind Maßnahmen aus Anhang A, verbindlich in dem Umfang, in dem die Erklärung zur Anwendbarkeit sie aufnimmt.
Art der Information: Pflichtdokument Maßnahme 5.31 aus Anhang A, die verlangt, sie zu dokumentieren und aktuell zu halten
Wer sie ausfüllt: Informationssicherheitsbeauftragter mit der Rechtsabteilung Die Verträge liefert, wer sie unterzeichnet: Vertrieb, Einkauf
Wann: Bei Gesetzesänderungen oder Vertragsabschluss Mit einer vollständigen Überprüfung mindestens einmal jährlich
Wie lange sie aufbewahrt wird: Stets aktuell Es wird fortlaufend gepflegt; frühere Versionen zeigen, seit wann jede Pflicht bekannt war

Was die Norm verlangt

Was ISO 27001 fordert und was Ihrem Ermessen überlassen bleibt

Abschnitt 4.2 verlangt, die Anforderungen der interessierten Parteien zu kennen, und Maßnahme 5.31 konkretisiert die aus Gesetzen, Verordnungen und Verträgen: sie ermitteln, dokumentieren und aktuell halten, zusammen mit dem Ansatz zu ihrer Erfüllung.

Anders als das Verzeichnis der Compliance-Verpflichtungen eines Compliance-Managementsystems beschränkt sich dieses auf das, was die Informationssicherheit betrifft. Sein Nutzen ist ein doppelter: Es speist die Risikobeurteilung und begründet die Aufnahme von Maßnahmen in die Erklärung zur Anwendbarkeit.

Benachbarte Maßnahmen runden das Bild ab: geistige Eigentumsrechte (5.32), Schutz von Aufzeichnungen (5.33) sowie Datenschutz und Schutz personenbezogener Daten (5.34).

Im Zusammenhang lesen: Kontext der Organisation, in der Akademie zu ISO 27001

Aufbau

Felder, die die Vorlage enthalten sollte

Ursprüngliche Vorschrift oder ursprünglicher Vertrag, mit Fundstelle
Konkrete Sicherheitsanforderung, die daraus folgt
Geltungsbereich: welche Prozesse, Systeme oder Daten betroffen sind
Wie sie erfüllt wird: Maßnahme, Verfahren oder Nachweis
Verantwortlicher
Festgelegte Melde- oder Reaktionsfristen
Datum der Ermittlung und der letzten Überprüfung

Beispiel

Beispiel: drei Anforderungen eines Softwareunternehmens

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
DSGVO, Art. 33	Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde binnen 72 Stunden · Vorfallverfahren PS-08 · Datenschutzbeauftragter
DSGVO, Art. 28	Auftragsverarbeitungsvertrag mit jedem Kunden, der uns Daten anvertraut · Genehmigte Vertragsvorlage · Vertrieb und Rechtsabteilung
Vertrag mit einem öffentlichen Auftraggeber (fiktiv)	Einhaltung des ENS in der Kategorie „mittel“ · Zertifizierung geplant · Informationssicherheitsbeauftragter
Vertrag mit einem Versicherer als Kunde (fiktiv)	Meldung schwerer Vorfälle binnen 24 Stunden · In Verfahren PS-08 aufgenommen
Letzte Überprüfung	15. Juli 2026

Im Audit

Fehler, die Auditoren häufig feststellen

Eine Liste von Gesetzen, ohne zu sagen, was sie verlangen und wie sie erfüllt werden.
Die Sicherheitszusagen aus Kundenverträgen fehlen.
Vertragliche Meldefristen, die das Vorfallverfahren nicht berücksichtigt.
Nach Inkrafttreten neuer Vorschriften, etwa der NIS2-Umsetzung, wird es nicht überprüft.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Die interessierten Parteien und ihre Sicherheitsanforderungen werden in einer versionierten Tabelle erfasst.
2Jede Anforderung ist in der Erklärung zur Anwendbarkeit mit der Maßnahme oder dem Verfahren verknüpft, das sie erfüllt.
3Die regelmäßige Überprüfung ist eingeplant und erinnert den Verantwortlichen.

Häufige Fragen

Was man uns vor dem Start fragt

Ist das dasselbe wie das Verpflichtungsregister nach ISO 37301?

Nein. Das Register nach ISO 37301 umfasst sämtliche Compliance-Verpflichtungen der Organisation; dieses beschränkt sich auf die, die die Informationssicherheit betreffen. Bestehen beide Systeme, kann das Sicherheitsverzeichnis eine gefilterte Sicht des allgemeinen sein.

Gehören die Kundenverträge dazu?

Ja. Maßnahme 5.31 spricht ausdrücklich von vertraglichen Anforderungen, und diese sind oft die anspruchsvollsten: Fristen für Vorfallmeldungen, Audits durch den Kunden oder der Speicherort der Daten.

Führen Sie die Aufzeichnungen zu ISO 27001 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme. Anforderungen ISO/IEC · 25. Oktober 2022
ISO/IEC 27002:2022 — Informationssicherheitsmaßnahmen ISO/IEC · Februar 2022
Verordnung (EU) 2016/679, Datenschutz-Grundverordnung EUR-Lex · 27. April 2016
Richtlinie (EU) 2022/2555 (NIS2) EUR-Lex · 14. Dezember 2022