Vorlagen und Aufzeichnungen · ISO 27001 · Abschnitt A.5.24 a A.5.28

Vorlage für das Protokoll der Sicherheitsvorfälle nach ISO 27001

Der zeitliche Ablauf jedes Sicherheitsereignisses, von der Meldung bis zum Abschluss und zu den Lehren daraus, mit gesicherten Beweisen.

In einem Satz

Das Protokoll der Sicherheitsvorfälle dokumentiert jedes gemeldete Ereignis, die Entscheidung, ob es ein Vorfall ist, die Reaktion, die gesicherten Beweise und die gewonnenen Erkenntnisse; ISO/IEC 27001 führt es nicht als Pflichtaufzeichnung, doch es ist der Nachweis, mit dem sich die Maßnahmen 5.24 bis 5.28 und 6.8 aus Anhang A belegen lassen.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27001 · Abschnitt A.5.24 a A.5.28 Die Abschnitte folgen ISO/IEC 27001:2022; die mit „A.“ beginnenden sind Maßnahmen aus Anhang A, verbindlich in dem Umfang, in dem die Erklärung zur Anwendbarkeit sie aufnimmt.
Art der Information: Bewährte Praxis Nachweis der Maßnahmen 5.24 bis 5.28 und 6.8 aus Anhang A
Wer sie ausfüllt: Melden kann jeder; die Informationssicherheit steuert Der Informationssicherheitsbeauftragte entscheidet, ob das Ereignis ein Vorfall ist, und koordiniert die Reaktion
Wann: Ab Meldung des Ereignisses Der zeitliche Ablauf wird während der Reaktion vervollständigt, die Erkenntnisse beim Abschluss
Wie lange sie aufbewahrt wird: Legt die Organisation fest ISO/IEC 27001 nennt keine Fristen, verlangt aber eine Entscheidung über Aufbewahrung und Vernichtung der dokumentierten Information (7.5.3). Wer den dreijährigen Zertifizierungszyklus abdeckt, kann bei der Rezertifizierung die Historie vorlegen.

Was die Norm verlangt

Was ISO 27001 fordert und was Ihrem Ermessen überlassen bleibt

Anhang A widmet dem Lebenszyklus eines Vorfalls fünf Maßnahmen: die Handhabung planen und vorbereiten (5.24), Ereignisse beurteilen und entscheiden, ob es Vorfälle sind (5.25), nach Verfahren reagieren (5.26), aus dem Geschehenen lernen (5.27) sowie Beweise sammeln und sichern (5.28). Maßnahme 6.8 verlangt einen Kanal, über den das Personal Ereignisse melden kann.

Keine spricht von einem „Register“, doch keine lässt sich ohne es nachweisen. Der Auditor will konkrete Vorfälle mit ihrem zeitlichen Ablauf sehen und prüfen, ob die Erkenntnisse in die Risikobeurteilung eingeflossen sind.

Betrifft der Vorfall personenbezogene Daten, muss dasselbe Register es ermöglichen, die gesetzliche Meldefrist gegenüber der Aufsichtsbehörde einzuhalten.

Im Zusammenhang lesen: Betrieb, in der Akademie zu ISO 27001

Aufbau

Felder, die die Vorlage enthalten sollte

Nummer, Datum und Uhrzeit der Meldung sowie meldende Person
Beschreibung des Ereignisses und betroffene Systeme
Beurteilung: Ist es ein Vorfall? Klassifizierung und Schwere
Sind personenbezogene Daten betroffen? Entscheidung über die Meldung
Zeitlicher Ablauf der Reaktion: Eindämmung, Beseitigung, Wiederherstellung
Gesicherte Beweise und Ort ihrer Verwahrung
Ursache und gewonnene Erkenntnisse
Abgeleitete Maßnahmen und Aktualisierung der Risikobeurteilung
Abschlussdatum

Beispiel

Beispiel: durch Phishing gestohlene Zugangsdaten

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Nummer und Datum	INC-2026-012 · 14. April 2026, 09:40 Uhr
Gemeldet von	Einer Support-Mitarbeiterin, nachdem sie ihr Passwort auf einer gefälschten Website eingegeben hatte
Beurteilung	Vorfall · mittlere Schwere · laut Protokollen kein Zugriff auf Kundendaten
Personenbezogene Daten	Nicht betroffen · keine Meldung erforderlich · begründete Entscheidung im Register
Reaktion	09:55 Konto gesperrt · 10:20 Überprüfung der Zugriffe der letzten 48 h · 11:00 Konto mit neuem zweitem Faktor wiederhergestellt
Beweise	Protokolle des Identitätsanbieters exportiert und in der Vorfallakte verwahrt
Erkenntnis	Der zweite Faktor per SMS hat den Versuch nicht aufgehalten: Für das Support-Personal wird er durch einen Hardware-Schlüssel ersetzt
Risiken	Risiko R-03 (unbefugter Zugriff) wird neu bewertet

Im Audit

Fehler, die Auditoren häufig feststellen

Nur schwere Vorfälle werden erfasst: Verworfene Ereignisse hinterlassen keine Spur.
Es ist nicht dokumentiert, warum ein Vorfall mit personenbezogenen Daten nicht gemeldet wurde.
Die gewonnenen Erkenntnisse ändern nichts an der Risikobeurteilung.
Die Beweise liegen auf dem Laptop der Person, die ermittelt hat.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Jeder Sicherheitsvorfall wird mit Klassifizierung, zeitlichem Ablauf und belegtem Abschluss erfasst.
2Erfordert er eine Korrekturmaßnahme, wird er als Nichtkonformität mit verpflichtender Grundursache eröffnet.
3Die Managementbewertung enthält die Vorfälle bereits vorausgefüllt.

Häufige Fragen

Was man uns vor dem Start fragt

Worin unterscheiden sich Ereignis und Vorfall?

Ein Ereignis ist jedes Geschehen, das die Sicherheit beeinträchtigen könnte; ein Vorfall ist das Ereignis, das nach der Beurteilung die Information oder ihren Dienst gefährdet oder gefährden kann. Beide werden erfasst: Das verworfene Ereignis belegt, dass Maßnahme 5.25 funktioniert.

Ist das dasselbe wie eine Nichtkonformität?

Nein. Der Vorfall ist ein Sicherheitsereignis; die Nichtkonformität die Nichterfüllung einer Anforderung. Ein Vorfall kann eine Nichtkonformität aufdecken – ein nicht befolgtes Verfahren –, und dann wird auch deren Korrekturmaßnahme eröffnet.

Führen Sie die Aufzeichnungen zu ISO 27001 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme. Anforderungen ISO/IEC · 25. Oktober 2022
ISO/IEC 27002:2022 — Informationssicherheitsmaßnahmen ISO/IEC · Februar 2022
Verordnung (EU) 2016/679, Datenschutz-Grundverordnung EUR-Lex · 27. April 2016