Maßnahmen

Ein Control definiert was erreicht werden soll – eine Anforderung aus einem Framework wie ISO 27001 oder NIS2. Eine Maßnahme beschreibt wie du diese Anforderung konkret umsetzt.

Diese Trennung ist zentral für ein funktionierendes ISMS: Controls bleiben stabil (sie kommen aus dem Framework), während Maßnahmen sich ändern können (wenn du die Umsetzung anpasst).

Control vs. Maßnahme

	Control	Maßnahme
Fragt	Was muss erfüllt werden?	Wie setzen wir es um?
Quelle	Framework (ISO 27001, NIS2, etc.)	Dein Unternehmen
Beispiel	"Zugriff auf Systeme muss kontrolliert werden"	"Wir nutzen Azure AD mit MFA und rollenbasierter Zugriffskontrolle"
Änderungshäufigkeit	Selten (nur bei Framework-Updates)	Häufiger (bei Technologie- oder Prozessänderungen)

Warum diese Trennung?

1. Audits werden einfacher

Der Auditor fragt: "Wie erfüllen Sie A.9.2.1?" Du zeigst die Maßnahme mit allen Evidenzen. Die Verbindung zwischen Anforderung und Umsetzung ist dokumentiert.

2. Wiederverwendung über Frameworks

Eine Maßnahme kann mehrere Controls aus verschiedenen Frameworks erfüllen:

Maßnahme	Erfüllt
Azure AD mit MFA	ISO 27001 A.9.4.2, NIS2 Art. 21(2)(i), TISAX 3.2.1
Zentrales Patch-Management	ISO 27001 A.12.6.1, NIS2 Art. 21(2)(e), BSI C5 OPS-04
Verschlüsselte Backups	ISO 27001 A.12.3.1, DSGVO Art. 32(1)(c)

Du dokumentierst die Maßnahme einmal. Kopexa verknüpft sie mit allen relevanten Controls.

3. Änderungen sind nachvollziehbar

Wenn du die Maßnahme änderst (z.B. von Azure AD auf Okta wechselst), aktualisierst du eine Stelle. Alle verknüpften Controls sehen die neue Maßnahme.

Aufbau einer Maßnahme

Titel

Kurz und prägnant. Beschreibt die Maßnahme auf einen Blick.

✓ "Azure AD mit MFA"
✓ "Quartalsweiser Access Review"
✓ "TLS 1.3 für externe Verbindungen"
✗ "Azure AD mit MFA, Passwort-Policy 12 Zeichen, Conditional Access, Session Timeout 30 Min" (zu detailliert)

Beschreibung

Hier gehört das Detail hin:

Was genau ist implementiert?
Welche technischen Parameter?
Welche Prozesse?
Wer ist verantwortlich?

Beispiel:

Alle Mitarbeiter authentifizieren sich über Azure AD mit verpflichtender MFA (Microsoft Authenticator oder FIDO2-Key). Conditional Access Policies erzwingen MFA für alle Anwendungen außerhalb des Firmennetzwerks. Session-Timeout nach 30 Minuten Inaktivität. Passwort-Policy: mindestens 12 Zeichen, keine Wiederverwendung der letzten 10 Passwörter.

Status

Status	Bedeutung
Geplant	Maßnahme ist definiert, aber noch nicht umgesetzt
In Umsetzung	Implementierung läuft
Umgesetzt	Maßnahme ist aktiv
Nicht anwendbar	Maßnahme wurde geprüft, ist aber für diesen Kontext nicht relevant

Owner

Die Person, die für die Maßnahme verantwortlich ist. Bei technischen Maßnahmen oft jemand aus der IT, bei organisatorischen Maßnahmen oft der Prozessverantwortliche.

Evidenzen

Nachweise, dass die Maßnahme umgesetzt ist und funktioniert:

Typ	Beispiele
Technisch	Screenshots, Konfigurationsdateien, Logs, Scan-Reports
Dokumentarisch	Policies, Prozessbeschreibungen, Arbeitsanweisungen
Prüfberichte	Audit-Reports, Penetration-Test-Ergebnisse

Maßnahme anlegen

Öffne einen Control
Gehe zum Tab Maßnahmen
Klicke Neue Maßnahme
Fülle aus:
- Titel: Kurze Beschreibung
- Beschreibung: Technische und organisatorische Details
- Status: Aktueller Umsetzungsstand
- Owner: Verantwortliche Person
Klicke Erstellen

Die Maßnahme ist jetzt mit dem Control verknüpft.

Maßnahme mit mehreren Controls verknüpfen

Eine Maßnahme kann mehrere Controls erfüllen. Das ist der Normalfall – die meisten technischen Maßnahmen adressieren Anforderungen aus verschiedenen Frameworks.

Öffne die Maßnahme
Gehe zum Tab Verknüpfte Controls
Klicke Control verknüpfen
Suche nach dem Control (z.B. "A.9.4.2" oder "access")
Wähle das Control aus
Klicke Verknüpfen

Wiederhole für alle relevanten Controls.

Wenn du ein Framework aktivierst, das ähnliche Anforderungen hat wie ein bereits aktives Framework, schlägt Kopexa automatisch vor, bestehende Maßnahmen zu verknüpfen.

Maßnahme von Risiko aus verknüpfen

Maßnahmen können auch direkt mit Risiken verknüpft werden. Das ist sinnvoll, wenn eine Maßnahme ein spezifisches Risiko adressiert, auch wenn kein Framework-Control existiert.

Öffne das Risiko
Gehe zum Tab Maßnahmen
Klicke Maßnahme verknüpfen oder Neue Maßnahme

Der Zusammenhang Risiko → Maßnahme → Evidence ist damit dokumentiert.

Evidenzen hinzufügen

Evidenzen gehören zur Maßnahme, nicht zum Control. Das ergibt Sinn: Du weist nach, dass die Maßnahme umgesetzt ist – nicht, dass ein Control existiert.

Öffne die Maßnahme
Gehe zum Tab Evidenzen
Klicke Evidence hinzufügen
Wähle eine Datei oder erstelle einen Text-Eintrag
Füge eine Beschreibung hinzu (was zeigt diese Evidence?)
Klicke Hochladen

Evidenzen werden versioniert. Wenn du eine neue Version hochlädst, bleibt die alte erhalten. Bei Audits kannst du zeigen, wie sich der Nachweis über die Zeit entwickelt hat.

Best Practices

Granularität richtig wählen

Eine Maßnahme pro logische Einheit. Nicht zu grob, nicht zu fein.

Zu grob:

"IT-Sicherheit" – Sagt nichts aus, kann nicht bewertet werden

Zu fein:

"Firewall-Regel für Port 443 auf Server X" – Zu detailliert, führt zu hunderten Maßnahmen

Richtig:

"Perimeter-Firewall mit Default-Deny" – Beschreibt eine konkrete Maßnahme, die bewertet und nachgewiesen werden kann

Keine Doppelungen

Wenn du feststellst, dass du dieselbe Maßnahme zweimal beschreibst, lösche eine und verknüpfe die andere mit beiden Controls.

Evidenzen aktuell halten

Alte Screenshots oder Reports verlieren an Aussagekraft. Plane regelmäßige Aktualisierungen:

Technische Evidenzen: Bei jedem Change oder mindestens jährlich
Dokumentarische Evidenzen: Bei Dokumentenänderung
Prüfberichte: Nach jedem Audit oder Test

Owner aktiv halten

Der Owner ist verantwortlich für:

Aktualität der Beschreibung
Korrektheit des Status
Vollständigkeit der Evidenzen

Wenn ein Owner das Unternehmen verlässt, sofort neu zuweisen.

Zusammenhang im Überblick

Eine Maßnahme kann:

Mehrere Controls erfüllen (aus verschiedenen Frameworks)
Mehrere Risiken adressieren
Mehrere Evidenzen haben

Die Evidenzen hängen an der Maßnahme. Wenn ein Auditor einen Control prüft, sieht er die verknüpfte Maßnahme und deren Evidenzen.