Februar 26, 2026

Anhang A 6.4 Maßregelungsprozess

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Ein wirksamer Maßregelungsprozess ist notwendig, um Verstöße gegen Informationssicherheitsanforderungen konsequent, fair und nachvollziehbar zu behandeln. Ohne klar definierte Regelungen besteht das Risiko, dass Sicherheitsverstöße nicht angemessen adressiert werden oder Maßnahmen uneinheitlich und willkürlich erfolgen. Dieses Control stellt sicher, dass Verstöße gegen Informationssicherheitsrichtlinien systematisch bewertet und geeignete Maßnahmen ergriffen werden.

Zweck des Controls

A 6.4 soll gewährleisten, dass Verstöße gegen Informationssicherheitsanforderungen angemessen, verhältnismäßig und rechtskonform behandelt werden. Ziel ist es, die Einhaltung von Informationssicherheitsrichtlinien zu fördern, Wiederholungen von Verstößen zu vermeiden und eine klare Signalwirkung für sicherheitsbewusstes Verhalten zu setzen.

Anforderungen und Maßnahmen

1. Festlegung eines Maßregelungsrahmens

Organisationen müssen einen klaren Rahmen für den Maßregelungsprozess definieren, insbesondere:

  • Definition von Verstößen gegen Informationssicherheitsanforderungen
  • Abgrenzung zwischen vorsätzlichem und fahrlässigem Verhalten
  • Grundsätze für angemessene und verhältnismäßige Maßnahmen
  • Integration in bestehende Personal- und Compliance-Prozesse

Der Rahmen muss dokumentiert und bekannt sein.

2. Transparenz und Kommunikation

Mitarbeitende müssen über den Maßregelungsprozess informiert sein:

  • klare Kommunikation der geltenden Regeln und Konsequenzen
  • Integration in Richtlinien, Schulungen und Awareness-Maßnahmen
  • transparente Darstellung des Vorgehens bei Verstößen
  • Hinweis auf Meldewege und Ansprechpersonen

Transparenz stärkt Akzeptanz und Prävention.

3. Untersuchung von Verstößen

Festgestellte oder gemeldete Verstöße müssen geprüft werden:

  • sachliche und objektive Untersuchung des Sachverhalts
  • Ermittlung von Ursachen und Umständen
  • Einbindung relevanter Stellen (z. B. HR, Informationssicherheit, Recht)
  • Wahrung der Rechte der betroffenen Personen

Die Untersuchung muss fair und nachvollziehbar erfolgen.

4. Bewertung und Entscheidung über Maßnahmen

Auf Basis der Untersuchung müssen geeignete Maßnahmen festgelegt werden:

  • Bewertung der Schwere des Verstoßes
  • Berücksichtigung von Vorsatz, Fahrlässigkeit und Auswirkungen
  • Auswahl angemessener disziplinarischer oder organisatorischer Maßnahmen
  • Dokumentation der Entscheidung

Maßnahmen müssen verhältnismäßig und konsistent sein.

5. Umsetzung der Maßnahmen

Festgelegte Maßnahmen müssen konsequent umgesetzt werden:

  • Einbindung zuständiger Stellen für die Durchführung
  • Sicherstellung der rechtlichen Zulässigkeit
  • Kommunikation der Maßnahmen an betroffene Personen
  • Überwachung der Umsetzung

Eine konsequente Umsetzung erhöht die Wirksamkeit.

6. Schutz vor Benachteiligung

Der Maßregelungsprozess muss fair gestaltet sein:

  • Schutz vor willkürlicher oder ungerechtfertigter Benachteiligung
  • Wahrung von Vertraulichkeit
  • Möglichkeit zur Stellungnahme der betroffenen Person
  • Einhaltung arbeits- und datenschutzrechtlicher Vorgaben

Dies stärkt Vertrauen in den Prozess.

7. Dokumentation und Nachvollziehbarkeit

Alle Schritte des Maßregelungsprozesses müssen dokumentiert werden:

  • Beschreibung des Verstoßes
  • Ergebnisse der Untersuchung
  • getroffene Entscheidungen und Maßnahmen
  • beteiligte Rollen und Zeitpunkte

Die Dokumentation muss geschützt und vertraulich behandelt werden.

8. Prävention und kontinuierliche Verbesserung

Erkenntnisse aus Maßregelungsverfahren müssen zur Verbesserung genutzt werden:

  • Analyse wiederkehrender Verstöße
  • Anpassung von Richtlinien oder Schulungsmaßnahmen
  • Sensibilisierung betroffener Bereiche
  • Integration in Management Reviews

So trägt der Maßregelungsprozess zur Prävention bei.

Zusammenfassung

A 6.4 fordert, dass Organisationen einen klar definierten, fairen und rechtskonformen Maßregelungsprozess für Verstöße gegen Informationssicherheitsanforderungen etablieren. Durch transparente Regelungen, objektive Untersuchungen, verhältnismäßige Maßnahmen, sorgfältige Dokumentation und Nutzung der gewonnenen Erkenntnisse wird die Einhaltung von Informationssicherheitsanforderungen gestärkt und das Sicherheitsbewusstsein nachhaltig gefördert. Das Control ist ein wichtiger Bestandteil einer wirksamen Sicherheits- und Compliance-Kultur.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 6.4 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 6.4 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Welches Verfahren greift bei einem Sicherheitsverstoß?“
Das Control verlangt einen formalen, kommunizierten Prozess – nicht die Einzelfallentscheidung der Führungskraft.
„Wissen die Mitarbeitenden davon?“
Ein Disziplinarverfahren, das niemand kennt, wirkt nicht abschreckend und erfüllt das Control nicht.
„Wie stellen Sie ein abgestuftes und faires Vorgehen sicher?“
Gefragt sind Kriterien: Schwere, Vorsatz, Wiederholung. Ohne Abstufung droht Willkür.
„Ist der Betriebsrat eingebunden?“
In Deutschland mitbestimmungspflichtig. Fehlende Einbindung macht das Verfahren angreifbar.
Das Dokument dazu

A 6.4-1 Disziplinarverfahren

Abgestuftes Verfahren bei Verstößen mit Kriterien und Zuständigkeit · Kommunikation an die Belegschaft · Einbindung von Personalvertretung und Recht. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick