ISMS im Betrieb

Fachbereiche und Vorgangstypen

Zweck

Nach der Installation gibt es ein Jira-Projekt „ISMS Home" (Schlüssel ISMS) und einen Confluence-Bereich. Alle vier Fachbereiche leben im selben Projekt und unterscheiden sich über den Vorgangstyp. Diese Seite erklärt die Bausteine; die Arbeitsabläufe je Bereich stehen auf den Folgeseiten.

Die 17 Vorgangstypen

Fachbereich	Vorgangstyp	Wofür
Anforderungen	Epic	Container für die Kapitel der Anforderungsstruktur (Normkapitel / Anhang A) — die einzige Container-Ebene über den Vorgängen
	Anforderung	Eine Sicherheitsanforderung bzw. ein Control
	Teil-Anforderung	Unterpunkt einer Anforderung (Unteraufgabe)
Audits & Nichtkonformitäten	Audit	Eine Auditakte — die Feststellungen werden über die Verknüpfung „festgestellt in" zugeordnet
	Hauptabweichung	Schwere Verletzung bzw. Fehlen einer Anforderung
	Nebenabweichung	Teilweise Nichterfüllung
	Verbesserungspotenzial	Vorschlag über die Mindestanforderung hinaus (OFI)
Maßnahmen	Maßnahme	Geplante und umzusetzende Sicherheitsmaßnahme
	Korrekturmaßnahme	Reaktion auf eine festgestellte Abweichung
Assets & Risiken	Risiko-Szenario	Ein bewertetes Risiko mit IST- und SOLL-Wert
	Information	Informationsobjekt mit Schutzbedarf und Personenbezug
	Prozess	Asset-Typ: Geschäfts- oder Unterstützungsprozess
	Lieferant	Asset-Typ: Lieferant / Dienstleister
	IKT-Asset	Asset-Typ: Hardware, Software, Anwendung, Plattform
	Infrastruktur	Asset-Typ: Gebäude, Netze, Rechenzentren, Cloud-Umgebungen
Dokumentenlenkung	Dokument	Sammelvorgang je gelenktem Confluence-Dokument — Träger der Benachrichtigungen (Dokumentenlenkung nutzen)
	Lenkungsrunde	Unteraufgabe unter dem Dokument-Vorgang — eine einzelne Freigabe- bzw. Bestätigungsrunde

ISMS-Hub: Typauswahl „Neues ISMS-Item anlegen“ mit Suchfeld „Vorgangstyp suchen …“ und nach Arbeitsbereichen gruppierten Vorgangstypen.

Verknüpfungen zwischen den Bereichen

Neben der Jira-Standardverknüpfung „relates to" legt die App vier eigene, gerichtete Verknüpfungstypen an:

Verknüpfung	Lesart (Hinrichtung / Rückrichtung)	Typisch zwischen
Mitigation	„mitigiert" / „wird mitigiert von"	Maßnahme → Risiko-Szenario
Gefährdung	„gefährdet" / „wird gefährdet von"	Risiko-Szenario → Asset oder Information
Verarbeitung	„verarbeitet" / „wird verarbeitet von"	Asset (z. B. Prozess) → Information
Auditfeststellung	„festgestellt in" / „hat Feststellung"	Abweichung → Audit

Die Richtung ist fachlich verbindlich: „Maßnahme mitigiert Risiko" ist richtig, die Gegenrichtung nie. Der Explorer im Hub zeigt diese Verknüpfungen und die Hierarchie als Graph.

Beziehungs-Explorer mit Fokus „CRM-Plattform“: Graph aus 5 Knoten und 4 Beziehungen mit Legende — Beziehungs-Explorer: Abhängigkeiten zwischen Risiken, Assets, Anforderungen und Maßnahmen.

Historischer Hinweis

Bis einschließlich der Vorgängerversion legte die App vier getrennte Jira-Projekte an — ISMSANF (Anforderungen), ISMSAUN (Audits & Nichtkonformitäten), ISMSMM (Maßnahmen) und ISMSRISK (Assets & Risiken). Diese Kürzel leben intern als Namen von Workflows und Bildschirmmasken weiter, sind aber keine Projektschlüssel mehr. Bestehende Installationen behalten ihr bisheriges Layout; Hinweise zum Umstieg: Sprache, Projekttyp und Pflichtangaben.