Gelenkte Dokumente nach ISO 27001: 24-mal „dokumentieren“ im NIS2-Anhang, kein Wort zur Version – so schließen Sie die Lücke

Ein gelenktes Dokument ist eine Vorgabe – Leitlinie, Richtlinie oder Verfahren –, deren Erstellung, Freigabe, Verteilung, Änderung und Aufbewahrung nach festen Regeln gesteuert wird. So ist jederzeit klar, welche Fassung gilt, wer sie freigegeben hat und seit wann. ISO/IEC 27001 regelt das in Kapitel 7.5. Das deutsche NIS2-Recht übernimmt die Norm nirgends wörtlich, verlangt aber in § 30 Abs. 1 Satz 3 BSIG, dass besonders wichtige und wichtige Einrichtungen die Einhaltung ihrer Risikomanagementpflichten dokumentieren. Eine Dokumentation, die „nicht richtig oder nicht vollständig“ ist, wird zur Ordnungswidrigkeit.

Genau dazwischen liegt die Lücke, um die es hier geht: Der Anhang der Durchführungsverordnung (EU) 2024/2690 verwendet das Verb „dokumentieren“ 24-mal, das Wort „Version“ kein einziges Mal. Was eine prüffeste Dokumentenlenkung leisten muss, zeigt sich erst, wenn man die verstreuten Vorgaben aus BSIG und Verordnung neben ISO 27001 legt. Den Überblick über die drei gesetzlichen Dokumentationspflichten selbst finden Sie im Leitfaden zu den NIS2-Dokumentationspflichten. Dieser Beitrag klärt die nächste Frage: wie die Dokumente beschaffen sein müssen, damit sie als Nachweis taugen.

Kurz gesagt: Für die Geschäftsleitung zählt ein Satz – ohne Lenkung lässt sich bei einer Prüfung nicht belegen, welche Regel zu welchem Zeitpunkt galt. Für Informationssicherheitsbeauftragte und IT-Leitung zählt die Tabelle im dritten Abschnitt. Sie zeigt, welche Lenkungsmerkmale die Verordnung ausdrücklich verlangt und welche Sie aus ISO 27001 ergänzen müssen.

Was ein gelenktes Dokument ist – und was eine Aufzeichnung

ISO/IEC 27001:2022, in Deutschland als DIN EN ISO/IEC 27001:2024-01 veröffentlicht, fasst Dokumente und Aufzeichnungen unter dem Oberbegriff „dokumentierte Information“ zusammen. Die Unterscheidung bleibt trotzdem wichtig, weil beide unterschiedlich behandelt werden. Die Zertifizierungsstelle DQS beschreibt in ihrem Wiki zur dokumentierten Information die beiden Verben, mit denen die Managementsystemnormen das trennen: Vorgaben werden aufrechterhalten, also aktuell gehalten und bei Bedarf geändert. Nachweise werden aufbewahrt, also eingefroren.

Merkmal	Gelenktes Dokument (Vorgabe)	Aufzeichnung (Nachweis)
Beispiele	Informationssicherheitsleitlinie, Zugangssteuerungskonzept, Notfallhandbuch	Schulungsnachweis, Risikobewertung eines Stichtags, Protokoll der Managementbewertung, Änderungsticket
Normverb	aufrechterhalten	aufbewahren
Darf geändert werden?	Ja – über neue Version und erneute Freigabe	Nein – Korrekturen nur nachvollziehbar, nie durch Überschreiben
Typische Prüferfrage	„Welche Fassung galt am Stichtag?“	„Zeigen Sie mir den Beleg.“

Was „lenken“ konkret heißt, regeln zwei Unterkapitel. Nach Kapitel 7.5.2 braucht jedes Dokument beim Erstellen und Aktualisieren eine Kennzeichnung (etwa Titel, Datum, Autor oder Referenznummer), ein geeignetes Format und Medium sowie eine Prüfung und Freigabe auf Eignung und Angemessenheit – so geben es die Auditoren-Erläuterungen von High Table zu Kapitel 7.5.2 wieder. Kapitel 7.5.3 verlangt, dass gelenkte Information dort verfügbar und geeignet ist, wo und wann sie gebraucht wird, und dass sie angemessen geschützt ist. Dafür regelt die Organisation, soweit zutreffend, Verteilung, Zugriff, Auffindung und Verwendung, Ablage und Erhaltung einschließlich Lesbarkeit, die Überwachung von Änderungen – ausdrücklich mit Versionskontrolle als Beispiel – sowie Aufbewahrung und Verbleib (High Table zu Kapitel 7.5.3). Auch Dokumente externer Herkunft, etwa Herstellerhandbücher oder Vorgaben von Kunden und Behörden, sind zu kennzeichnen und zu lenken.

Für kleine Einrichtungen ist Kapitel 7.5.1 die gute Nachricht: Gelenkt wird nur die Information, die die Norm selbst fordert, und die, die die Organisation für die Wirksamkeit ihres ISMS für notwendig hält. Der Umfang darf mit Größe, Komplexität und Kompetenz der Beschäftigten variieren. Die Norm verlangt also keinen festen Dokumentenkatalog, sondern Ordnung in dem, was Sie haben. Wie sich die beiden Regelwerke insgesamt zueinander verhalten, zeigt der Vergleich NIS2 vs. ISO 27001.

Wo NIS2 Dokumentation verlangt: BSIG und Durchführungsverordnung

Kurz gesagt: Das BSIG verlangt Dokumentation von allen besonders wichtigen und wichtigen Einrichtungen, sagt aber nicht, wie sie zu führen ist. Die Verordnung sagt an 22 Stellen, was dokumentiert werden muss, regelt aber nur Bruchstücke der Lenkung.

Im BSIG tragen drei Vorschriften die Dokumentationslast. § 30 Abs. 1 Satz 3 begründet die Pflicht. § 30 Abs. 2 Satz 1 bestimmt, dass die Maßnahmen „die einschlägigen europäischen und internationalen Normen berücksichtigen“ sollen. Das ist der gesetzliche Anknüpfungspunkt für ISO 27001 – als Soll-Vorschrift, nicht als Pflicht zur Zertifizierung. Und § 61 Abs. 5 BSIG verpflichtet besonders wichtige Einrichtungen, bei einer Überprüfung durch das Bundesamt „die in Betracht kommenden Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen“.

Konkreter wird erst die Durchführungsverordnung (EU) 2024/2690. Wir haben den deutschen Volltext ihres Anhangs ausgezählt: Das Verb „dokumentieren“ steht dort in allen Beugungsformen 24-mal, verteilt auf 22 nummerierte Anforderungen – vom Risikobehandlungsplan (Nr. 2.1.2 Buchstabe j) über Notfalländerungen (Nr. 6.4.3) bis zur Überprüfung privilegierter Konten (Nr. 11.3.3). Zwei weitere Nummern, 3.1.1 und 6.1.2, verlangen „Dokumentation“ als Substantiv. Die Wörter „Version“ und „Aufzeichnung“ kommen im Anhang nicht vor. Hinzu kommt Artikel 2 Absatz 2: Wer eine Anforderung, die nur „soweit angemessen“ gilt, nicht anwendet, muss die Begründung „in verständlicher Weise dokumentieren“.

Rechtlich bindend ist die Verordnung nur für die elf Einrichtungsarten, die § 30 Abs. 3 BSIG aufzählt: DNS-Diensteanbieter, TLD-Registries, Cloud-Computing-Dienstleister, Rechenzentrumsanbieter, CDN-Betreiber, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter. Für alle anderen Einrichtungen ist sie keine Pflicht, aber die genaueste verfügbare Auslegungshilfe dafür, was „dokumentieren“ im Sinne von § 30 bedeuten kann. Den Aufbau der Verordnung erläutert der Beitrag zur NIS2-Durchführungsverordnung.

Die Lenkungsregeln, die im Anhang der Verordnung versteckt sind

Die Verordnung enthält keinen Abschnitt „Dokumentenlenkung“. Liest man sie mit der ISO-Brille, finden sich trotzdem sechs Stellen, die genau das verlangen, was Kapitel 7.5 beschreibt – und drei Lenkungselemente, die sie nicht erwähnt.

Anhang DVO 2024/2690	Wortlaut (Kern)	Lenkungselement	ISO 27001
Nr. 1.1.1 Buchst. k	„das Datum der förmlichen Genehmigung durch die Leitungsorgane“	Freigabe mit Datum	7.5.2 a und c
Nr. 1.1.1 Buchst. f	„mitgeteilt und von ihnen anerkannt“	Verteilung mit Kenntnisnahme	7.5.3 c
Nr. 1.1.1 Buchst. h	„die aufzubewahrenden Unterlagen und die Dauer ihrer Aufbewahrung aufführen“	Aufbewahrungsplan	7.5.3 f
Nr. 1.1.2	mindestens jährlich überprüft; „Das Ergebnis der Überprüfung wird dokumentiert.“	Überprüfungszyklus und -nachweis	7.5.2 c, 7.5.3 e
Nr. 6.7.2 Buchst. a	Netzarchitektur „verständlich und aktuell dokumentieren“	Aktualität	7.5.3 a
Nr. 12.4.3	Inventar: „dokumentieren den Verlauf der Änderungen“	Änderungshistorie	7.5.3 e
nicht genannt	–	Versionskennung	7.5.3 e
nicht genannt	–	Schutz der Dokumente selbst vor Vertraulichkeits- und Integritätsverlust	7.5.3 b
nicht genannt	–	Dokumente externer Herkunft	7.5.3, Schlussabsatz

Die drei leeren Zeilen schließt ENISA. Ihr technischer Umsetzungsleitfaden vom Juni 2025 ist nicht bindend, liefert aber zu jeder Anhang-Nummer Beispiele für Nachweise. Zu Nr. 1.1.2 nennt er „review comments or change logs“ und den Beleg, dass jede Änderung der Leitlinie von den Leitungsorganen genehmigt wird „and a record is kept“. Zu den Rollenbeschreibungen nach Nr. 1.2.6 verlangt er ausdrücklich eine „version history“. Über das gesamte Dokument tauchen Änderungsprotokolle oder Versionshistorien 18-mal auf, 13-mal davon unter den Nachweisbeispielen. Themenspezifische Richtlinien sollen nach ENISA von einer angemessenen Managementebene genehmigt werden, die Leitlinie selbst von den Leitungsorganen.

Damit kehrt die Versionierung, die der Verordnungstext nicht nennt, über die Nachweisbeispiele zurück. Für die Praxis heißt das: Wer nur dokumentiert, was die Verordnung wörtlich verlangt, erfüllt den Text. Wer belegen will, dass er ihn erfüllt, braucht die drei Zeilen, die dort fehlen.

Warum die Versionierung über ein Bußgeld mitentscheiden kann

Kurz gesagt: Das Bundesamt kann nachträglich genau die Dokumentation verlangen, die einer Prüfung zugrunde lag. Ohne Versionsarchiv existiert diese Fassung oft nicht mehr.

Zwei Vorschriften enthalten fast wortgleich denselben Halbsatz. Nach § 39 Abs. 1 Satz 3 BSIG kann das Bundesamt von Betreibern kritischer Anlagen „die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen“. § 61 Abs. 3 Satz 2 BSIG gibt ihm dieselbe Befugnis gegenüber besonders wichtigen Einrichtungen, soweit es zuvor ein Audit nach Absatz 1 angeordnet hat. Gefragt ist damit nicht die heutige Fassung Ihrer Richtlinie, sondern die Fassung, die am Prüfungstag galt.

Der Mechanismus dahinter: Betreiber kritischer Anlagen weisen die Umsetzung nach § 39 Abs. 1 Satz 1 alle drei Jahre nach. Innerhalb eines solchen Zyklus wird eine Leitlinie, die – wie es Anhang Nr. 1.1.2 vorsieht – mindestens jährlich überprüft wird, zwei- oder dreimal angefasst. Wer dabei überschreibt statt versioniert, kann die geprüfte Fassung später nicht mehr vorlegen – selbst wenn die Maßnahme selbst einwandfrei umgesetzt war.

Die Sanktion knüpft unmittelbar an. § 65 Abs. 2 Nr. 3 BSIG erklärt es zur Ordnungswidrigkeit, wenn eine Einrichtung vorsätzlich oder fahrlässig „entgegen § 30 Absatz 1 Satz 3 die Einhaltung der Verpflichtung nicht, nicht richtig oder nicht vollständig dokumentiert“.

Tatbestand und Einrichtung	Höchstbetrag	Fundstelle
Dokumentationsmangel, besonders wichtige Einrichtung	10 Mio. €	§ 65 Abs. 2 Nr. 3, Abs. 5 Satz 1 Nr. 1 a
dto., Gesamtumsatz über 500 Mio. €	2 % des weltweiten Gesamtumsatzes	§ 65 Abs. 6 und 8
Dokumentationsmangel, wichtige Einrichtung	7 Mio. €	§ 65 Abs. 2 Nr. 3, Abs. 5 Satz 1 Nr. 1 b
dto., Gesamtumsatz über 500 Mio. €	1,4 % des weltweiten Gesamtumsatzes	§ 65 Abs. 7 und 8
Unterlagen bei Überprüfung nach § 61 Abs. 5 nicht oder nicht richtig vorgelegt	100.000 €	§ 65 Abs. 2 Nr. 17, Abs. 5 Satz 1 Nr. 6

Zwei Details verschärfen die Lage. Nach § 65 Abs. 9 gilt § 17 Abs. 2 OWiG, der das Höchstmaß bei Fahrlässigkeit halbiert, für den Dokumentationstatbestand nicht – auch fahrlässige Mängel stehen also unter dem vollen Rahmen. Und das Merkmal „nicht richtig“ ist offen formuliert. Ob eine veraltete oder nie freigegebene Fassung darunterfällt, ist gerichtlich, soweit ersichtlich, noch nicht entschieden. Naheliegend ist aber die Lesart, dass eine Dokumentation, deren Gültigkeitsstand sich nicht belegen lässt, die Einhaltung nicht „richtig“ dokumentiert. Die Höhe der übrigen Tatbestände zeigt die Bußgeldstaffel nach § 65 BSIG.

Dokumentenlenkung prüffest aufbauen: sieben Schritte

Kurz gesagt: Eine Lenkungsregel passt auf zwei Seiten. Entscheidend ist, dass jede Freigabe einen Namen und ein Datum trägt und keine ersetzte Fassung verloren geht.

Schritt	Inhalt	Anker	Aufwand
1. Lenkungsregel in die Leitlinie	Liste der themenspezifischen Konzepte, Aufbewahrungsliste, Zuständigkeit für die Lenkung	Anhang Nr. 1.1.1 h und i	Niedrig
2. Einheitlicher Dokumentenkopf	Kennung, Titel, Version, Status (Entwurf, freigegeben, ersetzt), Eigentümer, freigegeben von und am, nächste Überprüfung, Vertraulichkeitsstufe	Nr. 1.1.1 k; ISO 7.5.2 a	Niedrig
3. Freigabestufen festlegen	Leitlinie: Leitungsorgan. Themenspezifische Richtlinien: angemessene Managementebene. Verfahren: Prozesseigentümer	Nr. 1.1.1 k; § 38 Abs. 1 BSIG; ENISA	Niedrig
4. Versionsarchiv statt Überschreiben	Ersetzte Fassungen schreibgeschützt aufbewahren, Änderungshistorie im Dokument führen	§ 39 Abs. 1 Satz 3, § 61 Abs. 3 Satz 2 BSIG; ISO 7.5.3 e	Mittel
5. Verteilung mit Kenntnisnahme	Bestätigung durch Beschäftigte und relevante Dritte, bei Externen gegebenenfalls Auszug statt Volltext	Nr. 1.1.1 f; ENISA	Mittel
6. Aufbewahrungsplan	Je Dokumentklasse Dauer, Ablageort und Vernichtung festlegen	Nr. 1.1.1 h; BSI-Standard 200-1	Mittel
7. Überprüfungszyklus	Leitlinie mindestens jährlich und anlassbezogen prüfen, Ergebnis festhalten – auch wenn sich nichts ändert	Nr. 1.1.2	Niedrig, wiederkehrend

Für die Geschäftsleitung: Ihre Unterschrift ist Teil der Lenkung. § 38 Abs. 1 BSIG verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Eine Leitlinie ohne datierte Genehmigung belegt weder das eine noch das andere. Halten Sie die Genehmigung als Beschluss fest, nicht als beiläufige E-Mail, und legen Sie den Beschluss bei der Leitlinie ab.

Für Informationssicherheitsbeauftragte und Compliance: Schritt 4 ist ein klassischer Prüfpunkt: High Table nennt veraltete Fassungen, die neben der aktuellen im Umlauf sind, als eine von drei typischen Abweichungen zu Kapitel 7.5.3. Der BSI-Standard 200-1 formuliert die Mindestanforderung in Kapitel 4.2 knapp: „Es muss klar erkennbar sein, wer wann welche Teile der Dokumentation erstellt hat.“ Dieselbe Stelle verlangt, Aufbewahrungsart, Aufbewahrungsdauer und die Vernichtung festzulegen. Welche Rolle diese Pflege trägt, beschreibt der Beitrag zu den Aufgaben des Informationssicherheitsbeauftragten.

Für die IT-Leitung ohne eigenes Compliance-Team: Das Werkzeug ist zweitrangig. § 61 Abs. 5 BSIG verlangt die Vorlage „in geeigneter Weise“, und nach BSI-Standard 200-1 muss Dokumentation nicht zwingend in Papierform vorliegen. Ein SharePoint mit Versionsverlauf, ein Wiki mit Seitenhistorie oder ein Git-Repository können genügen, wenn drei Dinge gesichert sind: Jede Freigabe ist einer Person und einem Datum zugeordnet, ersetzte Fassungen lassen sich wiederherstellen, und nur Berechtigte können freigegebene Dokumente ändern.

Ein Beispiel zeigt, wie wenig Aufwand das im Alltag ist. Ein Managed Service Provider dehnt im Mai die Multi-Faktor-Authentifizierung auf alle Administrationskonten aus und passt dafür seine Zugangssteuerungsrichtlinie an. Gelenkt bedeutet: Aus Version 2.0 wird Version 2.1, die Änderungshistorie nennt Anlass und betroffenen Abschnitt, die zuständige Leitung gibt mit Datum frei, Version 2.0 wandert schreibgeschützt ins Archiv, die Administratoren bestätigen die Kenntnisnahme. Fragt das Bundesamt im Folgejahr nach dem Stand vom März, liegt er vor. Wie eine solche Vorlage im Prüfungsablauf eingebettet ist, beschreibt der Leitfaden NIS2-Audit vorbereiten.

Typische Lenkungsfehler: Symptom, Ursache, Behebung

Symptom	Ursache	Behebung
Zwei Fassungen der Leitlinie im Intranet	Kein Status, alte Datei nicht zurückgezogen	Status „ersetzt“ setzen, ins Archiv verschieben; nur eine veröffentlichte Fassung
Leitlinie ohne Genehmigungsdatum	Freigabe nur mündlich oder per E-Mail	Datum der förmlichen Genehmigung in den Dokumentenkopf (Nr. 1.1.1 k)
Vorgängerversion nicht auffindbar	Datei überschrieben	Versionsarchiv einrichten und die Wiederherstellung einmal testen
Jährliche Überprüfung ohne Spur	„Keine Änderung“ wurde nicht festgehalten	Prüfvermerk mit Datum und Ergebnis, auch ohne Änderung (Nr. 1.1.2)
Niemand kennt die Aufbewahrungsdauer	Keine Liste nach Nr. 1.1.1 h	Aufbewahrungsplan je Dokumentklasse
Herstellerdokumentation veraltet	Externe Dokumente nicht erfasst	Register externer Dokumente mit Versionsstand und Bezugsquelle
Beschäftigte kennen die Richtlinie nicht	Verteilung ohne Kenntnisnahme	Bestätigung einholen (Nr. 1.1.1 f)

Häufig gestellte Fragen

Was ist ein gelenktes Dokument?

Ein Dokument, dessen Kennzeichnung, Freigabe, Verteilung, Änderung und Aufbewahrung nach festgelegten Regeln gesteuert werden, sodass nur die freigegebene, aktuelle Fassung genutzt wird und frühere Fassungen nachvollziehbar bleiben. Grundlage ist Kapitel 7.5 der ISO/IEC 27001.

Ersetzt ein ISO-27001-Zertifikat den NIS2-Nachweis?

Nicht automatisch. § 61 Abs. 1 BSIG nennt Zertifizierungen als eine Form, die das Bundesamt gegenüber besonders wichtigen Einrichtungen anordnen kann; eine gesetzliche Vermutung, dass ein Zertifikat die Pflichten nach § 30 erfüllt, enthält das BSIG nicht. Eine nach Kapitel 7.5 gelenkte Dokumentation ist aber genau das Material, das Sie für die Dokumentation nach § 30 Abs. 1 Satz 3 brauchen.

Wie lange müssen gelenkte Dokumente aufbewahrt werden?

Das BSIG nennt keine Frist. Die Verordnung verlangt in Nr. 1.1.1 Buchstabe h, dass die Leitlinie die aufzubewahrenden Unterlagen und die Dauer selbst festlegt. Als Faustregel aus der Praxis: Ersetzte Fassungen mindestens bis zum Abschluss des nächsten Nachweis- oder Prüfzyklus aufbewahren, für Betreiber kritischer Anlagen also mindestens drei Jahre.

Müssen auch Aufzeichnungen versioniert werden?

Nein. Aufzeichnungen wie Schulungsnachweise oder Prüfprotokolle werden nicht fortgeschrieben, sondern aufbewahrt und vor Veränderung geschützt. Ist eine Korrektur nötig, muss sie als Korrektur erkennbar sein.

Wer gibt welches Dokument frei?

Die Leitlinie geben nach Anhang Nr. 1.1.1 Buchstabe k die Leitungsorgane frei. Für themenspezifische Richtlinien empfiehlt ENISA eine angemessene Managementebene, für Arbeitsanweisungen genügt in der Praxis der Prozesseigentümer. Legen Sie diese Stufen in der Leitlinie fest, damit Prüfer sie nachvollziehen können.

Dieser Beitrag bietet allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsform, Einrichtungsart und Sektor abweichen. Für eine auf Ihre Situation zugeschnittene Beurteilung wenden Sie sich an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder an eine Compliance-Fachkraft.

Quellen

1. § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, gesetze-im-internet.de – Absatz 1 Satz 3, Absatz 2 Satz 1, Absatz 3.
2. § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, gesetze-im-internet.de – Absatz 1.
3. § 39 BSIG – Nachweispflichten für Betreiber kritischer Anlagen, gesetze-im-internet.de – Absatz 1 Sätze 1 und 3.
4. § 61 BSIG – Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen, gesetze-im-internet.de – Absätze 1, 3 und 5.
5. § 65 BSIG – Bußgeldvorschriften, gesetze-im-internet.de – Absatz 2 Nummern 3 und 17, Absätze 5 bis 9.
6. § 17 OWiG – Höhe der Geldbuße, gesetze-im-internet.de – Absatz 2.
7. Durchführungsverordnung (EU) 2024/2690 der Kommission, deutsche Amtsblattfassung, EUR-Lex – Artikel 2 Absatz 2 und Anhang. Eigene Wortzählung über den deutschen Volltext des Anhangs: „dokumentier…“ 24 Treffer in 22 Nummern, „Dokumentation“ in 2 weiteren Nummern, „Version“ 0, „Aufzeichnung“ 0.
8. ENISA, Technical Implementation Guidance on Cybersecurity Risk Management Measures, Version 1.0, Juni 2025 (PDF) – Leitfaden und Nachweisbeispiele zu Anhang Nr. 1.1.1, 1.1.2 und 1.2.6. Eigene Zählung: „change log(s)“ 15, „version history“ 3 Treffer.
9. BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS), Version 1.0, Oktober 2017 (PDF) – Kapitel 4.2, Abschnitt „Formale Anforderungen an Dokumentationen“.
10. DIN EN ISO/IEC 27001:2024-01, Katalogeintrag bei DIN Media – deutsche Fassung der ISO/IEC 27001:2022, ersetzt die Ausgabe 2017-06, geändert durch A1:2024-11.
11. High Table, ISO 27001 Clause 7.5.2 Creating and Updating Documented Information.
12. High Table, ISO 27001 Clause 7.5.3 Control of Documented Information.
13. DQS, Was ist dokumentierte Information?
14. Presencis, ISO 27001 Artikel 7.5 – Dokumentierte Information – Inhalt von Kapitel 7.5.1 einschließlich der Anmerkung zum Umfang und zur Lenkung externer Dokumente.