ISO 27001 mit Power IMS – welche Module welche Controls abdecken

Worum es geht

ISO 27001 verlangt ein dokumentiertes Informationssicherheits-Managementsystem (ISMS) – mit klar definierten Prozessen, Rollen, Risiken, Massnahmen und Nachweisen. Der grosse Teil dieser Anforderungen ist organisatorisch, nicht technisch. Genau hier setzt Power IMS an.

Dieser Artikel ordnet die Module der Power-IMS-Suite konkreten Anforderungen aus Kap. 4–10 und dem Annex A (ISO 27001:2022, 93 Controls in vier Themen) zu – und grenzt klar ab, was über Microsoft Entra, Defender, Purview & Co. abgedeckt wird, nicht über Power IMS.

Power QMS – das ISMS-Fundament (sehr hohe Abdeckung)

Ein ISMS ist im Kern ein dokumentiertes Managementsystem. Power QMS liefert dafür die zentrale Plattform:

• Dokumentierte Information (Kap. 7.5): ISMS-Politik, Anwendungsbereich, Statement of Applicability, Verfahrensanweisungen – versioniert, mit Pflichtkommentar und parallelen Genehmigungsworkflows
• Informationssicherheitsrichtlinien (Annex A.5.1): Lenkung der Richtlinien-Suite mit Lesebestätigung und Wiedervorlage
• Rollen, Verantwortlichkeiten (Kap. 5.3 / A.5.2 / A.5.3): Abbildung über gelenkte Rollenbeschreibungen und Prozess-Owner pro Prozess
• Kontext und interessierte Parteien (Kap. 4.1 / 4.2): als gelenkte Dokumente versioniert
• Bewusstsein (Kap. 7.3 / A.6.3): Lesebestätigungen als Awareness-Nachweis pro Mitarbeiter und Versionsstand
• Audit-Trail (Kap. 7.5.3 / 9.2): exportierbar für Zertifizierungsaudits

Damit ist der dokumentationspflichtige Teil des ISMS vollständig auf Power QMS abbildbar.

Power Audit – ISMS-Audits & Lieferantenprüfungen (hohe Abdeckung)

Audit-Anforderungen der ISO 27001 sind im Standard explizit verankert:

• Internes Audit (Kap. 9.2): Auditprogramm, Auditplanung, Checklisten, Findings, Massnahmenverfolgung mit lückenlosem Audit-Trail
• Lieferantenprüfungen (Annex A.5.19–A.5.22 Supplier relationships): bewertbare Auditzyklen pro Lieferant, inkl. Sicherheitsanforderungen in der Lieferkette
• Management-Bewertung – Inputs (Kap. 9.3): strukturierte Auditergebnisse
• Nachweise als Reportexport für die Zertifizierungsstelle

Power CI – Incident-Follow-up, Korrekturmassnahmen & Verbesserung (In Entwicklung)

Die ISO 27001 verlangt einen geschlossenen Verbesserungs- und Vorfallsprozess. Power CI liefert genau diesen Workflow:

• Nichtkonformität und Korrekturmassnahmen (Kap. 10.1): strukturierte Erfassung, Ursachenanalyse, Massnahmen, Wirksamkeitsprüfung
• Lehren aus Informationssicherheitsvorfällen (Annex A.5.27): Lessons-Learned-Workflow mit Verknüpfung zu Richtlinienänderungen in Power QMS
• Reaktion auf Vorfälle (Annex A.5.26): organisatorische Nachverfolgung der Incident-Response – die technische Detektion bleibt bei Microsoft Defender / Sentinel
• Fortlaufende Verbesserung (Kap. 10.2)

Wichtig: Power CI ist aktuell in Entwicklung. Bis zur Verfügbarkeit empfehlen wir eine ergänzende Power App oder eine Drittlösung, die später migriert werden kann.

Power Risk – Informationssicherheits-Risiken (In Entwicklung)

Risikomanagement ist das Herzstück von ISO 27001:

• Risikobeurteilung der Informationssicherheit (Kap. 6.1.2): strukturierte Identifikation, Analyse, Bewertung
• Risikobehandlung (Kap. 6.1.3): Auswahl von Massnahmen, Verknüpfung mit dem Statement of Applicability
• Konfigurierbare Risikomatrix, Massnahmen-Tracking, periodische Re-Evaluation
• Verknüpfung mit Prozessen aus Power QMS und Findings aus Power Audit / Power CI

Power Risk ist Coming soon. Bis zur Verfügbarkeit ist eine ergänzende Lösung notwendig – typischerweise ein gelenktes Risikoregister in Power QMS oder eine schlanke Power App.

Power Knowledge – Awareness & Kompetenz

Awareness-Training ist ein expliziter Control:

• Informationssicherheitsbewusstsein, Ausbildung und Schulung (Annex A.6.3): Kompetenzmatrix, Schulungspfade, Wirksamkeitsbewertung
• Kompetenz (Kap. 7.2): Nachweise pro Mitarbeiter und Rolle
• Onboarding-Pfade für sicherheitskritische Rollen (z.B. ISB, Admin-Rollen)

Power Contract – Lieferanten- & Vertragsmanagement (In Entwicklung)

Die Lieferantenbeziehungen sind in der 2022er-Fassung deutlich aufgewertet:

• Informationssicherheit in Lieferantenbeziehungen (A.5.19): zentrales Lieferantenregister mit Sicherheitsanforderungen
• Adressierung der Informationssicherheit in Lieferantenvereinbarungen (A.5.20): NDAs, Verarbeitungsverträge, Sicherheitsklauseln
• Steuerung der Informationssicherheit in der IKT-Lieferkette (A.5.21)
• Überwachung, Bewertung und Änderungsmanagement von Lieferantendiensten (A.5.22): Fristen- und Erneuerungsmanagement, Verknüpfung mit Lieferantenaudits aus Power Audit

Power Safety & Power Maintenance – physische Sicherheit & Anlagen

Direkter Beitrag zu den physischen Controls (Annex A.7):

• Power Safety – Vorfallmeldungen physischer Natur, Begehungen: Beitrag zu A.7.1 Physische Sicherheitsperimeter, A.7.2 Physischer Zutritt und A.7.4 Überwachung der physischen Sicherheit
• Power Maintenance – Wartung sicherheitsrelevanter Anlagen: Beitrag zu A.7.13 Wartung von Anlagen und A.7.11 Versorgungseinrichtungen

Was Power IMS bewusst nicht abdeckt

ISO 27001 hat einen grossen technischen Anteil (Annex A.8 Technologische Massnahmen, 34 Controls). Diese werden nicht über Power IMS abgedeckt, sondern über die Microsoft-365-Plattform selbst:

• Identitäten, Zugriffsverwaltung, MFA (A.5.15–A.5.18, A.8.2–A.8.5): Microsoft Entra ID / Conditional Access
• Endpunktsicherheit, Anti-Malware, EDR (A.8.7): Microsoft Defender for Endpoint
• Logging, Monitoring, SIEM (A.8.15–A.8.16): Microsoft Sentinel / Defender XDR
• DLP, Klassifizierung, Verschlüsselung (A.8.10–A.8.12, A.8.24): Microsoft Purview
• Schwachstellen- und Patchmanagement (A.8.8, A.8.9): Intune / Defender Vulnerability Management
• Sichere Entwicklung (A.8.25–A.8.29): DevSecOps-Toolchain (Azure DevOps, GitHub Advanced Security)

Power IMS lenkt die zugehörigen Richtlinien, Prozesse, Verantwortlichkeiten und Nachweise – die technische Umsetzung bleibt in der Microsoft-Cloud-Plattform.

Empfohlener Stack für ISO 27001

Klare Aufgabenteilung zwischen organisatorischer und technischer Ebene:

• Power QMS als ISMS-Kern (Politik, SoA, Verfahren, Awareness-Nachweise)
• Power Audit für interne Audits und Lieferantenprüfungen
• Power CI (sobald verfügbar) für Korrekturmassnahmen und Lessons Learned
• Power Risk (sobald verfügbar) für Risikobeurteilung und -behandlung
• Power Contract (sobald verfügbar) für Lieferantenverträge und Sicherheitsklauseln
• Power Knowledge (sobald verfügbar) für Awareness und Kompetenz
• Power CI für kontinuierliche Verbesserung der ISMS-Prozesse
• Power Safety & Power Maintenance für physische Controls
• Microsoft Entra, Defender, Purview, Sentinel, Intune für die technischen Controls aus Annex A.8

Fazit

Für ISO 27001 ist Power IMS die organisatorische ISMS-Plattform – mit hoher Abdeckung der Kap. 4–10 und der Annex-A-Themen 5 (organisatorisch), 6 (personenbezogen) und 7 (physisch). Die technischen Controls (Annex A.8) gehören in die Microsoft-365-Plattform, nicht in Power IMS – diese saubere Trennung erspart Doppelarbeit und macht Audits einfacher.

Für Organisationen mit bestehender Microsoft-365-Landschaft ergibt sich daraus ein durchgängiger Stack: ein Tenant, ein Berechtigungsmodell, ein Audit-Trail – statt ein paralleles GRC-Tool, das alles erneut erfassen muss.

Wenn Sie wissen möchten, wie Ihr ISO-27001-Stack mit Power IMS und Microsoft 365 konkret aussehen könnte, vereinbaren Sie einen Termin oder entdecken Sie zunächst die Module im Detail.