# fuentis Service Hub — Gesamtbestand
> Wissens- und Dokumentationsplattform für fuentis trust: ISMS, BCMS, Datenschutz und die zugehörigen Standards.
Stand: 2026-08-03. 48 Seiten, Quelle: https://servicehub.fuentis.com/
# Allgemein
## Alles zum Service Hub
Quelle: https://servicehub.fuentis.com/de/allgemein/start/
Der Service-Hub ist Ihre zentrale Anlaufstelle für alles rund um die fuentis Suite – insbesondere zum Aufbau und Betrieb eines ISMS nach ISO 27001 oder BSI IT-Grundschutz.
### Benutzeroberfläche verstehen
Die fuentis Suite besteht aus sieben Hauptbereichen:
**1. Anzeige Module / Startseite**
Ihre personalisierte Startseite mit Widgets für schnellen Zugriff auf relevante Informationen.
**2. Globale Suche & Filter**
Volltextsuche nach allen Elementen in der fuentis Suite mit erweiterten Filtermöglichkeiten.
**3. Service-Hub-Menü**
Zugriff auf Anleitungen, Quick-Start-Guides und Wissen zu den wichtigsten Themen.
**4. Hauptnavigation**
Zugriff auf die einzelnen Module wie ISMS, BCMS oder die Support Module.
**5. Einstellungen**
Sprache, Darkmode, Profil bearbeiten, Passwort ändern, 2FA aktivieren.
**6. Modul Navigation**
Die blaue Seitenleiste bietet Navigation der einzelnen Modul-Funktionen (wie Risiko-Analyse oder GAP-Analyse).
**7. Geltungsbereichsnavigation**
Wechsel zwischen Geltungsbereichen und Sicherheitsobjekten mit Such- und Filterfunktion.
### Was ist ein GRC-/ISMS-Tool?
Stellen Sie sich vor, Ihr Unternehmen ist wie eine Burg, die Sie schützen möchten. Dafür benötigen Sie:
- **Übersicht**: Was soll geschützt werden?
- **Einschätzung**: Welche Gefahren bestehen?
- **Plan**: Welche Maßnahmen helfen konkret?
Die fuentis Suite unterstützt Sie als integriertes GRC-System bei:
- **Governance**: Klare Zuständigkeiten und Regeln
- **Risk**: Systematische Risikoidentifikation und -bewertung
- **Compliance**: Nachweis der Einhaltung gesetzlicher Anforderungen
### Pragmatischer Einstieg
**1. Analog starten**
Denken Sie kurz nach und skizzieren Sie den Rahmen:
- Was soll Ihr ISMS abdecken?
- Was ist Ihr erster Geltungsbereich?
**2. Geltungsbereich erstellen**
Beispiel: "Wir starten mit dem Standort Hamburg inklusive Rechenzentrum und Cloud-Anbindung."
**3. Demo-Umgebungen nutzen**
Öffnen Sie eine unserer Demo-Umgebungen zum Lernen z.B.:
- ISO – AutoPart Solutions AG
### Nächste Schritte
1. Quick-Start-Guide durcharbeiten
2. Test-Projekt anlegen oder Demo öffnen
3. Support kontaktieren bei Fragen
### Hilfe & Support
[**Service Desk**](https://fuentis.atlassian.net/servicedesk/customer/portal/1)
Sollten Sie Fragen haben oder nicht weiterkommen:
- Nutzen Sie den Support-Button im Tool
- Wenden Sie sich an unsere Expertinnen und Experten
Wir unterstützen Sie gerne beim Einstieg und bei der Strukturierung Ihres Informationssicherheitsmanagements.
## Begriffe & Glossar
Quelle: https://servicehub.fuentis.com/de/allgemein/glossar/
**Hinweis zur Terminologie:**
„Werte“ ≙ „Assets“
„Informationsverbund“ ≙ „Geltungsbereich“ (BSI-Terminologie).
**Grundwerte/Schutzziele:** Vertraulichkeit, Integrität, Verfügbarkeit.
---
### A
**Anwender (Benutzer/Endbenutzer/Nutzer/User):**
Person, die IT-Services im Arbeitsalltag nutzt (nicht gleich Kunde).
*Beispiel:* EU-Zahlstelle BW = bearbeitende Stellen, die Fachverfahren nutzen.
**Applikation (Anwendungsprogramm/-software/Anwendung):**
IT-Unterstützung für Prozesse; fasst IT-Ressourcen zweckgebunden zusammen.
**Arbeitsanweisung:**
Detaillierte Beschreibung zur wiederholbar qualitätsgerechten Durchführung von Tätigkeiten.
**Assets (Werte):**
Werthaltige Zielobjekte einer Institution (z. B. Informationen, Systeme, Räume).
**Authentisierung:**
Nachweis einer Identität (z. B. Passwort, Chipkarte, Biomerkmal).
**Authentizität:**
Eigenschaft, einer authentisierten Identität tatsächlich zu entsprechen.
**Autorisierung:**
Prüfung/Bewilligung von Zugriffsrechten auf Ressourcen.
**Availability Management (ITIL):**
Sicherstellung vereinbarter Verfügbarkeiten von IT-Services inkl. Planung, Messung, Verbesserung.
---
### B
**Basis-Sicherheitscheck (BSC):**
Interviewbasierter Soll-/Ist-Abgleich zum Umsetzungsgrad von IT-Grundschutz-Maßnahmen (ältere BSI-Standards 100-x).
**Baustein (IT-Grundschutz):**
Modularer Inhalt mit Kurzbeschreibung, Gefährdungslage, Maßnahmenempfehlungen.
**Bedrohung:**
Umstand/Ereignis, das über Schwachstellen Schaden an V, I, Vf verursachen kann.
**Benutzerkonto (Benutzerkennung/-name):**
Identifikationsmerkmal eines Anwenders gegenüber einem IT-System.
**Best Practices:**
Bewährte Verfahrensweisen.
**Biometrie:**
IT-gestützte Personenerkennung über körperliche/Verhaltensmerkmale (z. B. Fingerabdruck, Iris).
**Bugfix / Hotfix / Patch / Update / Upgrade:**
Fehlerbehebung bzw. Funktionserweiterung.
- Hotfix = dringender Patch
- Update = meist Minor
- Upgrade = Major
**Bundesamt für Sicherheit in der Informationstechnik (BSI):**
Bundesbehörde für IT-Sicherheit; Herausgeber IT-Grundschutz; Zertifizierungsstelle.
**Bundesdatenschutzgesetz (BDSG):**
Bundesrecht zum Schutz personenbezogener Daten (ergänzt DSGVO, Landesgesetze).
**Business Impact Analyse (BIA):**
Bewertung potenzieller Auswirkungen von Ausfällen auf Geschäftsprozesse.
---
### C
**Capacity Management (ITIL):**
Sicherstellung ausreichender Kapazität/Performance (Business/Service/Component-Ebenen).
**Change Management (ITIL):**
Steuerung risikominimierter Änderungen am IT-Betrieb.
**Configuration Item (CI):**
Betriebsmittel/Komponente der IT.
**Configuration Management (ITIL):**
Verwaltung/Verifikation von CI-Informationen.
**CMDB (Configuration Management Database):**
Datenbank zur Abbildung/Verknüpfung von CIs inkl. Lebenszyklus-Daten.
---
### D
**Datenschutz:**
Schutz personenbezogener Daten (Grundrecht; u. a. DSGVO/BDSG).
**Datensicherheit:**
Technisches Ziel, Daten jeglicher Art gegen Verlust/Manipulation zu sichern.
**Datensicherung (Backup):**
Voll/inkrementell/differenziell; Sicherstellung von V, I, Konsistenz.
**Demilitarisierte Zone (DMZ):**
Zwischennetz zwischen Netzen unterschiedlicher Sicherheitsniveaus.
**Digitale Signatur:**
Prüft Urheberschaft und Unverändertheit von Daten.
---
### E
**Effektivität:**
Zielerreichung (unabhängig vom Aufwand).
**Effizienz:**
Wirtschaftlichkeit (Aufwand-Nutzen-Relation).
**Ergänzende Sicherheitsanalyse:**
Feststellung, wo Risikoanalysen über IT-Grundschutz hinaus nötig sind (erhöhter Schutzbedarf, Sonderfälle, untypische Szenarien).
**EU-Zahlstelle Baden-Württemberg:**
Verwaltungseinheiten für EGFL/ELER-Mittel (Bewilligung/Kontrolle/Auszahlung/Verbuchung).
---
### F
**Fachanwendung:**
Spezialsoftware für spezifische Anforderungen/Branchen.
**Fachaufgabe:**
Behördliche Aufgaben zur Planung/Aufbau/Betrieb der EU-Zahlstelle.
**Fachlicher Betrieb:**
Datenadministration, Anwenderbetreuung, Pflege/Verantwortung Fachverfahren.
**Fachverfahren:**
IT-Unterstützung zur Beantragung/Durchführung von Verwaltungsleistungen; besteht aus einer oder mehreren Anwendungen.
**Financial Management (ITSM):**
Budget, Kosten, Leistungsverrechnung für Services.
**Firewall (Sicherheitsgateway):**
Sichere Netzkopplung, Filterung zulässiger Verbindungen.
---
### G
**Gefahr:**
Oberbegriff; *Gefährdung* = konkretisierte Gefahr (z. B. defekter Datenträger).
**Gefährdung:**
Bedrohung wirkt über Schwachstelle auf Objekt und verursacht Schaden.
**Grundwert/Schutzziel:**
Vertraulichkeit, Integrität, Verfügbarkeit.
**GSTOOL:**
Ehem. BSI-Software für Sicherheitskonzepte (Vertrieb eingestellt, Support bis 2016).
---
### H
*(—)*
---
### I
**Incident Management (ITIL):**
Minimierung von Störungen, Wiederherstellung des Service; Priorisierung nach Auswirkung/Dringlichkeit.
**Informationssicherheit:**
Schutz analoger/digitaler Informationen; Abwesenheit unvertretbarer Risiken.
**ISB / CISO (IT-Sicherheitsbeauftragter):**
Stabsstelle für Informationssicherheit; erstellt/fördert Leitlinien/Konzepte; steuert ISMS.
**Informationssicherheits-Ereignis:**
Ereignis, das das Sicherheitsniveau beeinträchtigen kann.
**Informationssicherheits-Vorfall:**
(Eine Serie von) Ereignissen mit Risiko für Geschäftsabläufe/Informationssicherheit.
**ISMS (Informationssicherheits-Managementsystem):**
Regelungen, Prozesse, Maßnahmen zur Steuerung der Informationssicherheit (kontinuierlich, PDCA).
**Informationstechnik (IT):**
Mittel zur Verarbeitung/Übertragung von Informationen.
**Informationsverbund (IT-Verbund):**
Gesamtheit von Objekten (infrastrukturell, organisatorisch, personell, technisch) in einem Anwendungsbereich (≈ Geltungsbereich).
**Infrastruktur (IT-Grundschutz):**
Gebäude, Räume, Energie, Klima, Verkabelung (ohne IT-Systeme/Koppelelemente).
**Institutionen:**
Unternehmen, Behörden, sonstige Organisationen.
**Integrität:**
Abwesenheit unautorisierter Änderungen an Systemen/Daten.
**Interne Audits:**
Regelmäßige Wirksamkeits-/Konformitätsprüfung des ISMS; Grundlage für Verbesserungen.
**Internes Kontrollsystem (IKS):**
Grundsätze/Maßnahmen zur Sicherung von Wirksamkeit, Ordnungsmäßigkeit, Rechtskonformität.
**ISO-27000-Reihe (ISO27k):**
Internationale Normfamilie zur Informationssicherheit.
- ISO 27001: Anforderungen an ISMS (zertifizierbar).
- ISO 27002: Leitfaden zu Maßnahmen (nicht zertifizierbar).
**IS-Partialrevision:**
Prüfung einzelner Prozesse/Verfahren per IT-Grundschutz-Bausteinen.
**ITIL (IT Infrastructure Library):**
Best Practices für IT-Service-Management (ITSM).
**IT-Sicherheit:**
Schutz elektronisch verarbeiteter Informationen (Teilgebiet von Informationssicherheit).
---
### K
**Kritische Infrastrukturen (KRITIS):**
Einrichtungen mit hoher Bedeutung für Versorgung/Sicherheit.
**Kumulationseffekt:**
Schutzbedarf steigt durch kumulierte Schäden/Abhängigkeiten.
**Kunde:**
Käufer/Vertragspartner des IT-Service Providers; SLA-Adressat.
---
### L
**Leitlinie zur Informationssicherheit:**
Strategisches Dokument zu Zielen, Mitteln, Strukturen und angestrebtem Sicherheitsniveau.
---
### M
**Maximum-Prinzip:**
Höchster potenzieller Schaden bestimmt Schutzbedarf.
**Modellierung (IT-Grundschutz):**
Zuordnung von Bausteinen zu Strukturelementen; Basis für Soll-/Ist-Vergleich.
---
### N
**Nachvollziehbarkeit (Rückverfolgbarkeit):**
Lückenlose Aufzeichnung von Handlungen (Wer/Was/Wann).
**Nachweisdokumente:**
Ergebnisse von Prozessen (z. B. Pläne, Protokolle, Audit-/Prüfnachweise).
**Netzplan:**
Bereinigte Übersicht der Strukturelemente/Verbindungen.
**Nichtabstreitbarkeit:**
Herkunft/Erhalt von Daten kann nicht bestritten werden.
---
### P
**Penetrationstest:**
Nicht-destruktiver Test zur Wirksamkeit von Sicherheitsmaßnahmen.
**Priorisierung:**
Ressourcensteuerung nach Auswirkung/Dringlichkeit (Incident Mgmt).
**Problem Management (ITIL):**
Ursachenbeseitigung/Prävention von Incidents.
**Proxy:**
Stellvertreter-Knoten zur Weiterleitung/Filterung von Daten.
**Prozess:**
Strukturierte Aktivitäten zur Umwandlung von Inputs in Outputs.
---
### R
**Release Management (ITIL):**
Geplante, störungsarme Rollouts von freigegebenen Komponenten.
**Restrisiko:**
Nach Behandlung verbleibendes Risiko.
**Revision:**
Unabhängige Prüfung von Eignung/Einhaltung von Richtlinien.
**Risiko:**
Kombination aus Bedrohung und Schwachstelle; bewertet nach Eintrittswahrscheinlichkeit × Auswirkung.
**Risikoakzeptanz:**
Bewusste Annahme eines Risikos (temporär/dauerhaft).
**Risikoanalyse / -bewertung / -einschätzung / -management:**
Identifikation, Analyse, Bewertung, Behandlung, Überwachung von Risiken.
---
### S
**Schadprogramm (Malware, Virus, Wurm, Trojaner, Rootkit, Spyware):**
Software mit schädlichen Funktionen.
**Schutzbedarf / -definitionen / -feststellung:**
Einordnung „normal/hoch/sehr hoch“ je Objekt; Ableitung Kriterien und Vererbung.
**Schutzziele:**
Vertraulichkeit, Integrität, Verfügbarkeit.
**Schwachstelle (Vulnerability):**
Sicherheitsrelevanter Fehler/Aspekt, der Bedrohungen wirksam werden lässt.
**Server:**
System, das Dienste für Clients bereitstellt.
**Service Level Agreement (SLA):**
Vereinbarung von Service-Zielen/Verantwortlichkeiten.
**Service Level Management (ITIL):**
Aushandlung/Überwachung von SLAs; Reviews/Verbesserungen.
**Sicherheitsgateway (Firewall):**
Netzkopplung nach Richtlinien.
**Sicherheitskonzept / -konzeption:**
Dokumente/Planung zur Erreichung der Sicherheitsziele.
**Sicherheitsmaßnahme (Measure):**
Organisatorisch, personell, technisch, infrastrukturell.
**Sicherheitsrichtlinie:**
Offizielle Vorgaben mit Schutzzielen und generellen Maßnahmen.
**Single Point of Failure (SPOF):**
Komponente, deren Ausfall das Gesamtsystem ausfallen lässt.
**Strukturanalyse:**
Erfassung der relevanten Objekte/Beziehungen eines Informationsverbunds.
**Strukturelemente:**
Anwendungen, IT-Systeme, Netze, Räume, Gebäude, Verbindungen.
**Support (IT-Hotline/IT-Support/Benutzerbetreuung):**
1st/2nd/3rd Level-Unterstützung.
**Technischer Betrieb:**
Standort, Infrastruktur, Hardware, Systemsoftware, DB-Bereitstellung.
---
### U
**Underpinning Contracts (UC):**
Verträge mit externen Dienstleistern zur Absicherung von Services.
---
### V
**Verfügbarkeit:**
Bereitstellung von Informationen/Services wie gefordert.
**Verschlüsselung:**
Umwandlung von Klar- in Geheimtext via Schlüssel.
**Verteilungseffekt:**
Reduktion von vererbtem Schutzbedarf durch Streuung über Systeme.
**Vertraulichkeit:**
Schutz vor unberechtigtem Zugriff.
**VLAN (Virtuelle lokale Netze):**
Logische Netzsegmentierung.
**VPN (Virtuelles Privates Netz):**
Logisch getrenntes Netz (authentisiert, verschlüsselt).
**Vorgabedokumente:**
Verbindliche Regelungen mit Umsetzungsverpflichtung.
---
### W–Z
**Werte (Assets):**
Alles, was der Institution wichtig ist (Vermögen, Wissen, Gegenstände, Gesundheit).
**Werteverantwortlicher:**
Verantwortet Bewertung, Schutz, Maßnahmenumsetzung für Werte.
**Werteverzeichnis:**
Zusammenstellung relevanter Informationen zur Unterstützung des Sicherheitskonzepts.
**WLAN (Wi-Fi):**
Drahtlose Netze (IEEE 802.11).
**Zertifizierungsverbund:**
Teilmenge des Informationsverbunds für die Zertifizierung.
**Zielobjekt (Target Object):**
Teil des Informationsverbunds, dem Bausteine zugeordnet werden.
**Zugang / Zugriff / Zutritt:**
Nutzung von Systemen / Kenntnisnahme von Informationen / Betreten von Orten.
---
### Begriffe aus der fuentis Suite (DE/EN, kompakt)
| Begriff (de) | Begriff (en) | Definition |
| ---------------------------- | ------------------------------- | -------------------------------------------------------------------------------------------------------- |
| Anforderung | Requirement | Sicherheitsanforderung beschreibt **Was** zu tun ist; Erfüllung durch passende **Sicherheitsmaßnahmen**. |
| Assets | Assets | Werthaltige Zielobjekte zur Zielerreichung/Wertschöpfung (IT-Grundschutz-Bedeutung). |
| Audit | Audit | Prüfung auf Standard-Einhaltung, Identifikation von Lücken, Grundlage zur Verbesserung (intern/extern). |
| Basis-Absicherung | Basis protection | Breite Erst-Absicherung über alle Prozesse/Fachverfahren als Einstieg. |
| Bausteine | Block | Modularisierte Inhalte (Gefährdungslage, Anforderungen, Hinweise) im IT-Grundschutz. |
| Fragebogen | Questionnaire | Vereinheitlicht die Schutzbedarfsfeststellung. |
| Gefährdungen | Threats | Bedrohungen, die **über Schwachstellen** wirksam werden. |
| Geltungsbereich | Scope | Gesamtheit relevanter Komponenten eines Anwendungsbereichs. |
| Geschäfts-/Kernprozesse | Business/core processes | Prozesse mit unmittelbarer Wertschöpfung. |
| Katalog | Catalog | Zentrale Veröffentlichung von Sicherheitsstandards (z. B. IT-Grundschutz-Kompendium). |
| Kern-Absicherung | Core protection | Fokus auf besonders gefährdete Prozesse/Assets. |
| Kumulationseffekt | Accumulation effect | Erhöhter Schutzbedarf durch kumulierte Schäden/Mehrfachverarbeitung. |
| Maßnahme | (Security) measure | Aktionen zur Risikosteuerung (org./pers./tech./infra). |
| Maximumprinzip | Maximum principle | Höchster Schaden bestimmt Schutzbedarf. |
| Modellierung | Modeling | Zuordnung von Bausteinen zu Zielobjekten (inkl. Abgrenzung/Voraussetzungen). |
| Risiken | Risks | i. d. R. Häufigkeit × Schadensausmaß (spezielle Form von Unsicherheit). |
| Risikoanalyse | Risk analysis | (Deutschsprachig üblich:) Gesamtprozess der Risikobeurteilung und -behandlung. |
| Schutzbedarfsanalyse | Protection needs analysis | Feststellung Schutzbedarf „normal/hoch/sehr hoch“ inkl. Folgeschäden. |
| Schwachstelle | Vulnerability | Aspekt, der Realisierung eines Risikos ermöglicht. |
| Sicherheitskonzept | Security concept | Geplante Vorgehensweise zur Erreichung der Sicherheitsziele; zentrales Dokument. |
| Standard-Absicherung | Standard protection | Klassische Vorgehensweise (BSI-100-2): breite und tiefe Absicherung. |
| Steuerungsprozesse | Management process | Setzen Ziele und überwachen Fortschritt (Vorgaben/Nachweise). |
| Strukturanalyse | Structural analysis | Erfassung Informationsverbund (Prozesse/Anwendungen/IT/Netze/Räume/Gebäude/Verbindungen). |
| Unterstützungsprozess | Support process | Stellt Ressourcen für Geschäfts-/Steuerungsprozesse. |
| Vererbung | Propagation | Übertragung Schutzbedarf (Maximumprinzip, Abhängigkeiten, Kumulation, Verteilungseffekt). |
| Zielobjekt | Target object | Objekt des Informationsverbunds, dem Bausteine zugeordnet werden. |
| Top-Down-Prinzip | Top-Down principle | Strategien/Anweisungen von oben; Umsetzung/Kontrolle entlang der Hierarchie. |
| Verwaltung | Governance | Regeln/Prozesse/Praktiken für Steuerung, Kontrolle, Compliance, Transparenz. |
| CISO/ISB | CISO/ISB | Chief Information Security Officer / Informationssicherheitsbeauftragter. |
| Risk Owner | Risk Owner | Verantwortet Identifikation, Bewertung, Steuerung und Reporting eines Risikos. |
| RACI-Matrix | RACI matrix | Rollenklärung: Responsible, Accountable, Consulted, Informed. |
| Governance-Gruppe | Governance group | Gremium für Strategie, Richtlinien, Compliance, Risikomanagement. |
| Informationssicherheitsziele | Information Security Objectives | Konkrete Ziele zum Schutz von CIA |
| ISO-Konformität | ISO compliance | Einhaltung relevanter ISO-Standards (insb. ISO 27001/27002) |
## Demo-Instanz Benutzeranleitung
Quelle: https://servicehub.fuentis.com/de/allgemein/demo-instanz-benutzeranleitung/
**In 3 Schritten zur Demo-Instanz:**
1. **Rolle auswählen** → Wählen Sie aus 7 vorkonfigurierten ISMS-Rollen
2. **Demo-Unternehmen testen** → Nutzen Sie realistische Beispieldaten aus 11 Organisationen
3. **Praxiserfahrung sammeln** → Durchlaufen Sie typische ISMS- und BCMS-Prozesse
---
### Überblick
Unsere Demo-Instanz bietet Ihnen eine vollständig konfigurierte ISMS-Umgebung mit realistischen Rollen, Berechtigungen und Beispielorganisationen. Sie können verschiedene Compliance-Ansätze nach **BSI IT-Grundschutz** und **ISO 27001** in der Praxis erleben.
#### Was Sie erwartet:
- **7 vorkonfigurierte ISMS-Rollen** mit spezifischen Berechtigungen
- **11 Demo-Organisationen** aus verschiedenen Branchen
- **Realistische Szenarien** für öffentliche Verwaltung und Privatwirtschaft
- **Vollständige Workflows** von der Risikoanalyse bis zur Zertifizierung
---
### ISMS-Rollen und Berechtigungen
#### 1. **Information Security Officer (ISB) / ISMS Owner**
**Verantwortung:** Gesamte ISMS-Verwaltung und strategische Führung
**Vollzugriff auf:**
- Autorisierung und Rechteverwaltung
- Einheitenverwaltung und Benutzerkontenverwaltung
- ISMS-Strukturanalyse und Schutzbedarfsanalyse
- Modellierung und Risikoanalyse
- Asset-Management und Berichterstattung
- BCMS (Business Continuity Management)
**Best Practice:** Nutzen Sie diese Rolle für strategische Entscheidungen und Compliance-Übersichten.
---
#### 2. **Risk Manager**
**Verantwortung:** Risikomanagement und -bewertung
**Berechtigungen:**
- ISMS-Strukturanalyse (Lesen, Bearbeiten, Erstellen, Löschen, Verknüpfen)
- Schutzbedarfsanalyse (Lesen, Bearbeiten, Empfehlung, Verbreitung)
- Risikoanalyse (vollständig + Risikomatrizen-Verwaltung)
- Controls-Management (Lesen, Bearbeiten, Löschen, Zuweisen)
- Risikobehandlungsplan-Berichte (Erstellen)
**Warum wichtig:** Risikomanagement ist das Herzstück jedes ISMS - hier lernen Sie die praktische Umsetzung.
---
#### 3. **External Service Provider (Consultant ISMS)**
**Verantwortung:** Externe Beratung und Audit-Unterstützung
**Berechtigungen (nur Lesezugriff):**
- ISMS-Strukturanalyse
- Schutzbedarfsanalyse
- Risikoanalyse
- Modellierung
- Berichterstattung
**Anwendungsfall:** Ideal für Berater oder externe Auditoren mit eingeschränkten Zugriffsrechten.
---
#### 4. **IT and Technical Staff (Admin)**
**Verantwortung:** Technische Umsetzung und Systemwartung
**Berechtigungen:**
- Einheitenverwaltung (vollständig)
- Benutzer- und Rollenverwaltung
- ISMS-Strukturanalyse (Lesen)
- Modellierung (Lesen, Export, Import)
- BSI A1-A5 Berichte (Lesen)
**Praxis-Tipp:** Nutzen Sie die Import/Export-Funktionen für effiziente Modellverwaltung.
---
#### 5. **ISMS Project Manager / ISMS Lead**
**Verantwortung:** Projektkoordination und operative ISMS-Führung
**Vollzugriff auf:**
- ISMS-Strukturanalyse
- Schutzbedarfsanalyse
- Modellierung und Risikoanalyse
- Asset-Management
- Berichterstattung
- Rechteverwaltung (Lesen, Erstellen, Bearbeiten, Benutzer zuweisen)
**Empfehlung:** Perfekte Rolle für die operative ISMS-Einführung in Organisationen.
---
#### 6. **Internal Auditor**
**Verantwortung:** Interne Auditierung und Compliance-Prüfung
**Berechtigungen (nur Lesezugriff):**
- ISMS-Strukturanalyse
- Schutzbedarfsanalyse
- Risikoanalyse und Modellierung
- BSI- und ISO-Standardberichte
**Audit-Fokus:** Nutzen Sie die umfassenden Berichtsfunktionen für Audit-Nachweise.
---
#### 7. **BCMS Manager**
**Verantwortung:** Business Continuity Management
**Vollzugriff auf:**
- BCMS-Geltungsbereiche
- Initiierung und Geschäftsprozesse
- Analyse/BIA (Business Impact Analysis)
- BCMS-Berichterstattung
**Integration:** BCMS ergänzt ISMS perfekt für ganzheitliches Risikomanagement.
---
### Demo-Organisationen
#### BSI IT-Grundschutz Organisationen
##### **Stadtverwaltung Musterstadt**
**Szenario:** Mittelgroße Kommune mit digitalen Bürgerdiensten
**Herausforderungen:**
- Legacy IT-Systeme integrieren
- BSI IT-Grundschutz-Zertifizierung anstreben
- WiBA-Basis-Anforderungen zu vollständigem ISMS entwickeln
- Bürgerdaten sicher verwalten
**Demo-Benutzer:**
- Anna Schuster (IT-Managerin): a.schuster
- Max Hoffmann (ISB): m.hoffmann
- Lisa Weber (ISMS-Consultant): l.weber
- Daniel König (IT-Admin): d.koenig
**Lernerfahrung:** Öffentlicher Sektor, Bürgerdienste, Legacy-Integration
---
##### **Universitätsklinikum MediCare**
**Szenario:** Großes Klinikum mit Forschung und kritischer Infrastruktur
**Besonderheiten:**
- KRITIS-Verordnung beachten
- Patientendaten (DSGVO-konform)
- Hochverfügbare medizinische IT-Systeme
- NIS2-Regulatorik umsetzen
- ISMS + BCMS + DSMS Integration
**Demo-Benutzer:**
- Dr. Julia Wagner (ISB): j.wagner
- Thomas Becker (Risk Manager): t.becker
- Lisa Weber (ISMS-Consultant): l.weber
- Daniel König (IT-Admin): d.koenig
**Lernerfahrung:** Kritische Infrastruktur, Gesundheitswesen, Multi-Domain-Compliance
---
##### **Verwaltungsministerium Musterland**
**Szenario:** Landesverwaltung mit digitaler Transformation
**Schwerpunkte:**
- Behördliche IT-Sicherheit
- DSGVO und BSI IT-Grundschutz
- Digitale Verwaltungsprozesse
- Cybersicherheitsstrategie
**Demo-Benutzer:**
- Markus Schreiber (IT-Verantwortlicher): m.schreiber
- Laura Becker (ISB): l.becker
- Stefan Keller (ISMS-Consultant): s.keller
- Tobias Fischer (IT-Admin): t.fischer
**Lernerfahrung:** Landesverwaltung, E-Government, behördliche Compliance
---
#### ISO 27001 Organisationen
##### **AutoPart Solutions AG**
**Szenario:** Automobilzulieferer mit TISAX-Anforderungen
**Compliance-Fokus:**
- TISAX-Zertifizierung für OEM-Anforderungen
- Lieferkettensicherheit
- Schutz geistigen Eigentums
- Produktionssicherheit
**Demo-Benutzer:**
- Michael Steiner (IT-Verantwortlicher): m.steiner
- Claudia Wagner (ISB): c.wagner
- Lisa Weber (BCMS-Manager): l.weber
- Daniel König (IT-Admin): d.koenig
**Lernerfahrung:** Automotive-Branche, Lieferkette, TISAX-Integration
---
##### **MechaTec Maschinenbau GmbH**
**Szenario:** Mittelstand mit Multi-Compliance-Ansatz
**Herausforderungen:**
- ISO 9001 + ISO 14001 + ISO 27001 integrieren
- ICS/SCADA-Systeme absichern
- Produktionssteuerung schützen
- Automotive + Pharma Kunden bedienen
**Demo-Benutzer:**
- Thomas Berger (IT-Verantwortlicher): t.berger
- Erik Schneider (IT-Admin): e.schneider
**Lernerfahrung:** Mittelstand, Multi-Standard-Integration, Produktion
---
##### **BioSecure Analytics GmbH**
**Szenario:** Biotechnologie-Labor mit Forschungsdaten
**Regulatorische Anforderungen:**
- ISO 27001 + GMP + FDA CFR Part 11
- Forschungsdatenintegrität
- Patientendaten-Schutz
- Labormanagement-Systeme
**Demo-Benutzer:**
- Dr. Andrea Fischer (IT-Verantwortliche): a.fischer
- Thomas Meier (Risk Manager): t.meier
- Lisa Weber (ISMS-Consultant): l.weber
- Daniel König (IT-Admin): d.koenig
**Lernerfahrung:** Life Sciences, Forschung, Multi-Regulatorik
---
##### **KRITIS Energie AG**
**Szenario:** Energieversorger als kritische Infrastruktur
**Kritische Anforderungen:**
- KRITIS-Verordnung erfüllen
- Energienetze absichern
- Cyberangriff-Resilienz
- Störungsmanagement
**Demo-Benutzer:**
- Michael Bauer (IT-Verantwortlicher/Admin): m.bauer
- Robert Meier (ISMS-Consultant): r.meier
**Lernerfahrung:** Kritische Infrastruktur, Energiesektor, Cyber-Resilienz
---
##### **Digital Business Innovators GmbH**
**Szenario:** KI-Startup mit Investor-Anforderungen
**Business-Treiber:**
- ISO 27001 für Investoren
- DSGVO-Compliance prioritär
- Cloud-Security
- Ausschreibungs-Teilnahme
**Demo-Benutzer:**
- Julia Neumann (CEO): j.neumann
- Daniel König (IT-Admin): d.koenig
**Lernerfahrung:** Startup-Umfeld, Investment-Compliance, Cloud-First
---
##### **ITExperts Consulting AG**
**Szenario:** IT-Beratung mit Cybersecurity-Fokus
**Service-Portfolio:**
- ISMS-Implementierung für Kunden
- Cloud-Security-Beratung
- Compliance-Services
- Cyber-Incident-Response
**Demo-Benutzer:**
- Christian Lehmann (Director ISMS): c.lehmann
- Sarah Wagner (ISMS-Consultant): s.wagner
- Florian Meier (IT-Admin): f.meier
**Lernerfahrung:** Beratungsbranche, Service-Provider, Multi-Client-ISMS
---
##### **Global Retail GmbH**
**Szenario:** Internationaler Handel mit E-Commerce
**Komplexe Anforderungen:**
- Multi-nationale Compliance
- Zahlungsverkehr absichern
- Lieferketten-Risiken
- Betrugserkennung
- Kundendaten international
**Demo-Benutzer:**
- Sandra Lehmann (CISO): s.lehmann
- Markus Hoffmann (ISB): m.hoffmann
- Lisa Weber (BCMS-Manager): l.weber
- Daniel König (IT-Admin): d.koenig
**Lernerfahrung:** E-Commerce, International, Payment Security
---
### Praktische Anwendung
#### **Schritt 1: Rolle wählen und anmelden**
1. Wählen Sie eine der 7 ISMS-Rollen basierend auf Ihrem Interesse
2. Melden Sie sich mit den Demo-Zugangsdaten an
3. Orientieren Sie sich an den verfügbaren Menüoptionen
#### **Schritt 2: Demo-Organisation erkunden**
1. Wechseln Sie zwischen verschiedenen Demo-Organisationen
2. Vergleichen Sie BSI- und ISO-Ansätze
3. Analysieren Sie branchenspezifische Anforderungen
#### **Schritt 3: ISMS-Prozesse durchlaufen**
1. **Strukturanalyse:** Erfassen Sie Organisationsstrukturen
2. **Schutzbedarfsanalyse:** Bewerten Sie Informationswerte
3. **Modellierung:** Erstellen Sie IT-Grundschutz-Modelle
4. **Risikoanalyse:** Identifizieren und bewerten Sie Risiken
5. **Berichterstattung:** Generieren Sie Compliance-Berichte
---
### Compliance-Standards im Vergleich
#### **BSI IT-Grundschutz vs. ISO 27001**
| Aspekt | BSI IT-Grundschutz | ISO 27001 |
|--------|-------------------|------------|
| **Zielgruppe** | Deutsche Behörden, KRITIS | International, alle Branchen |
| **Ansatz** | Baustein-basiert, präskriptiv | Risiko-basiert, flexibel |
| **Zertifizierung** | BSI-Zertifizierung | Akkreditierte Zertifizierer |
| **Maßnahmen** | Vordefinierte Bausteine | Risiko-angepasste Controls |
| **Dokumentation** | Umfangreich, strukturiert | Schlanker, prozess-orientiert |
#### **Wann welcher Standard?**
**BSI IT-Grundschutz wählen:**
- Deutsche Behörden und Verwaltung
- KRITIS-Betreiber
- Strukturierte, umfassende Sicherheit gewünscht
- Wenig ISMS-Erfahrung vorhanden
**ISO 27001 wählen:**
- Internationale Geschäftstätigkeit
- Flexibilität bei Maßnahmen gewünscht
- Risiko-orientierter Ansatz bevorzugt
- Integration in andere ISO-Standards
---
### Wichtige Hinweise
> **Demo-Umgebung:** Alle Daten sind fiktiv und dienen ausschließlich Demonstrationszwecken. Verwenden Sie keine echten Unternehmensdaten oder persönliche Daten.
> **Daten-Reset:** Die Demo-Instanz wird regelmäßig zurückgesetzt. Speichern Sie wichtige Erkenntnisse extern.
> **Support:** Bei technischen Problemen wenden Sie sich an unser Support-Team.
---
### Ihre nächsten Schritte
#### **Sofort starten:**
1. **Wählen Sie eine Rolle** aus den 7 verfügbaren ISMS-Positionen
2. **Testen Sie 2-3 Demo-Organisationen** um verschiedene Ansätze zu verstehen
3. **Durchlaufen Sie einen kompletten ISMS-Zyklus** von der Analyse bis zum Bericht
#### **Vertiefung:**
- Vergleichen Sie BSI- und ISO-Ansätze direkt
- Testen Sie rollenspezifische Workflows
- Nutzen Sie die Berichtsfunktionen für verschiedene Zielgruppen
#### **Für Ihre Organisation:**
- Dokumentieren Sie Best Practices aus der Demo
- Identifizieren Sie relevante Compliance-Anforderungen
- Planen Sie Ihre ISMS-Implementierung basierend auf den Demo-Erfahrungen
---
**Starten Sie jetzt Ihre ISMS-Demo-Erfahrung und entdecken Sie, wie effektives Informationssicherheitsmanagement in der Praxis funktioniert!**
## Dokumentvorlagen und Schulungen
Quelle: https://servicehub.fuentis.com/de/allgemein/isms-toolkit/
Das ISMS-Toolkit bietet eine umfassende Sammlung von Dokumentvorlagen und Schulungsmaterialien zur effizienten Einführung und Umsetzung eines Informationssicherheits-Managementsystems (ISMS) nach ISO 27001. Diese praxiserprobten Ressourcen unterstützen Organisationen dabei, ihre Compliance-Anforderungen zu erfüllen und gleichzeitig Zeit und Ressourcen zu sparen.
### Warum ist ein strukturiertes ISMS-Toolkit relevant?
Die Implementierung eines ISMS erfordert eine Vielzahl spezifischer Dokumentationen und Richtlinien. Ein standardisiertes Toolkit gewährleistet:
- **Compliance-Sicherheit**: Vollständige Abdeckung der ISO 27001 Anforderungen
- **Zeitersparnis**: Bewährte Vorlagen reduzieren den Aufwand für die Erstellung von Grund auf
- **Qualitätssicherung**: Praxiserprobte Inhalte minimieren das Risiko von Lücken oder Fehlern
- **Skalierbarkeit**: Anpassbare Dokumentationen für verschiedene Organisationsgrößen
### ISMS-Dokumentenvorlagen
#### Kernrichtlinien zur Informationssicherheit
##### Zugangs- und Berechtigungsmanagement
- **Richtlinie - Einsatz und Nutzung von Passwörtern**: Sichere Passwort-Standards und -verwaltung
- **Richtlinie - Berechtigungskontrolle**: Systematische Überwachung von Zugriffsrechten
- **Richtlinie - Berechtigungsmanagement**: Verwaltung und Zuweisung von Benutzerrechten
- **Richtlinie - Berechtigungswesen**: Grundsätze für die Rechtevergabe
- **Richtlinie - Rollenbeschreibung und Zuweisung**: Definition und Zuordnung von Sicherheitsrollen
##### Risikomanagement und Compliance
- **Richtlinie - Durchführung von Risikoanalysen**: Systematische Identifikation und Bewertung von Risiken
- **Richtlinie - Lenkung von Korrektur- und Vorbeugungsmaßnahmen**: Strukturiertes Vorgehen bei Abweichungen
- **Richtlinie - Lenkung von Vorgabe- und Nachweisdokumenten**: Dokumentenmanagement für Audit-Nachweise
- **Richtlinie - Interne Audits**: Planung und Durchführung von ISMS-Audits
##### Technische Sicherheitsmaßnahmen
- **Richtlinie - Schadsoftware**: Schutz vor und Umgang mit Malware
- **Richtlinie - Gesicherter Fernzugriff**: Sichere Remote-Arbeitsplätze
- **Richtlinie - Einsatz von kryptografischen Maßnahmen**: Verschlüsselungsstandards und -verfahren
- **Richtlinie - Überblick zur Dokumentation der Netzsicherheit**: Netzwerk-Sicherheitsarchitektur
- **Richtlinie - Betrieb von Druckern, Kopierern und Multifunktionsgeräten**: Absicherung von Peripheriegeräten
##### Organisatorische Sicherheit
- **Richtlinie - Infrastruktursicherheit**: Physische und logische Infrastruktursicherung
- **Richtlinie - Personelle Sicherheit**: Sicherheitsaspekte im Personalwesen
- **Richtlinie - Physische Sicherheit**: Schutz von Räumlichkeiten und Anlagen
- **Richtlinie - Schulung und Sensibilisierungen**: Awareness-Programme für Mitarbeiter
#### Prozess- und Service-Management
##### Change- und Konfigurationsmanagement
- **Richtlinie - Änderungswesen**: Kontrollierte Änderungen an IT-Systemen
- **Richtlinie - Change Management**: Strukturierte Umsetzung von Änderungen
- **Richtlinie - Ausrollen und Inbetriebnahme von Services**: Sichere Service-Einführung
##### Incident- und Problem-Management
- **Richtlinie - Behandlung von Sicherheitsvorfällen**: Reaktion auf Sicherheitsereignisse
- **Richtlinie - Informationssicherheitsvorfallsmanagement**: Umfassendes Incident-Management
- **Richtlinie - Behandlung von Störungen**: Systematische Störungsbehandlung
##### Service-Qualität und -Steuerung
- **Richtlinie - Service Level Management**: Definition und Überwachung von Service-Levels
- **Richtlinie - Service Berichte**: Regelmäßiges Reporting über Service-Qualität
- **Richtlinie - Geschäftsbeziehungsmanagement**: Steuerung von Lieferantenbeziehungen
#### Strategische und Governance-Aspekte
##### Outsourcing und Drittparteien
- **Richtlinie - Auslagerung und Auftragnehmer Steuerung**: Management von externen Dienstleistern
- **Richtlinie - Auslagerung von sicherheitsrelevanten Diensten**: Spezielle Anforderungen für kritische Services
- **Richtlinie - Externer ISB/ DSB**: Einbindung externer Sicherheitsexperten
##### Asset- und Werte-Management
- **Richtlinie - Steuerung der organisationseigenen Werte**: Schutz von Unternehmenswerten
- **Richtlinie - Klassifizierung von und Umgang mit Informationen**: Informationsklassifizierung
- **Richtlinie - Steuerung der Informationstechnik**: IT-Governance
#### Organisationskonzepte
- **Konzept - ISMS-Ablauforganisation**: Prozessuale Organisation des ISMS
- **Konzept - ISMS-Aufbauorganisation**: Strukturelle ISMS-Organisation
- **Vorlage - Informationssicherheitsleitlinie**: Grundsatzdokument für die Informationssicherheit
### ISMS-Tool Schulungen & Workshops
#### Einführung und Grundlagen
##### Projekteinführung
- **Foliensatz für Einführungsprojekt**: Kritische Erfolgsfaktoren bei der organisatorischen ISMS-Tool-Einführung
- **Risikoanalyse einer ISMS-Tool Einführung**: Identifikation und Bewertung von Implementierungsrisiken
##### Benutzer- und Admin-Dokumentation
- **Nutzerkonzept Handbuch**: Zielgruppenspezifische Funktionserklärungen im PDF-Format
- **Adminkonzept Handbuch**: Umfassende Administratoren-Dokumentation
- **Foliensatz für Nutzer-/ Adminschulungen**: Strukturierte Schulungsunterlagen
#### Fachliche Workshops
##### Strategieentwicklung
- **Workshop ISMS-Strategieentwicklung**: Entwicklung einer organisationsspezifischen ISMS-Strategie
- **Workshop Zentrales Richtlinienmanagement für integriertes ISMS**: Aufbau eines einheitlichen Policy-Managements
##### Notfall- und Krisenmanagement
- **Workshop Notfallwesen und Planung**: Grundlagen der Business Continuity
- **Workshop Aufbau und Betrieb eines Notfall- und Krisenmanagements**: Operative Umsetzung
- **Vorlage - Übungskonzept für Notfallübung**: Strukturierte Übungsplanung
##### Risikomanagement
- **Workshop Basisprozess Risikoanalyse**: Grundlagen systematischer Risikobetrachtung
- **Workshop Risikoanalyse**: Vertiefende Methoden und Techniken
- **Workshop Methodik Strukturanalyse und Schutzbedarfsfeststellung**: IT-Grundschutz-konforme Vorgehensweise
##### BSI Grundschutz
- **Workshop Methodik Grundschutzcheck und Steckbriefe**: Praktische Umsetzung der Grundschutz-Methodik
### Umsetzungshilfen und Best Practices
#### Integration in die fuentis Suite
Die fuentis Suite unterstützt die praktische Umsetzung des ISMS-Toolkits durch:
- **Dokumentenmanagement**: Zentrale Verwaltung aller ISMS-Dokumentationen
- **Workflow-Integration**: Automatisierte Freigabeprozesse für Richtlinien
- **Versionskontrolle**: Nachvollziehbare Änderungshistorie für alle Dokumente
- **Audit-Trail**: Vollständige Dokumentation aller Änderungen für Compliance-Nachweise
#### Praxis-Tipps für die Implementierung
**Phasenweise Einführung**
- Beginnen Sie mit den Kernrichtlinien (Passwort, Berechtigungen, Incident Management)
- Bauen Sie schrittweise die vollständige Dokumentationslandschaft auf
- Priorisieren Sie nach Risikobewertung und Compliance-Anforderungen
**Anpassung an die Organisation**
- Verwenden Sie die Vorlagen als Ausgangspunkt, nicht als starre Vorgabe
- Berücksichtigen Sie organisationsspezifische Besonderheiten
- Beziehen Sie relevante Stakeholder in die Anpassung ein
**Kontinuierliche Weiterentwicklung**
- Etablieren Sie regelmäßige Review-Zyklen für alle Dokumente
- Nutzen Sie Audit-Erkenntnisse für die Verbesserung der Dokumentation
- Halten Sie die Dokumentation durch Change-Management aktuell
## FAQ
Quelle: https://servicehub.fuentis.com/de/allgemein/faq/
**Was bedeutet IT-Grundschutz?**
Vorgehensweise des BSI zur Identifikation und Umsetzung technischer, organisatorischer, personeller und infrastruktureller Sicherheitsmaßnahmen, um ein angemessenes Schutzniveau zu erreichen.
Der Nachweis eines systematischen Vorgehens kann über ein ISO/IEC 27001-Zertifikat auf Basis IT-Grundschutz erfolgen.
**Was ist eine Information?**
Daten, die in Prozessen zur Wertschöpfung genutzt werden – digital und analog (z. B. mündlich, Papier).
Ein ISMS schützt beide Formen.
**Warum eine eigene Behörde (BSI)?**
Digitalisierung erzeugt neue Gefährdungen. Das BSI stellt Standards (u. a. IT-Grundschutz), Lageinformationen und praxisnahe Orientierung bereit.
**Was sind die Schutzziele?**
- Vertraulichkeit (nur Befugte)
- Verfügbarkeit (abrufbar, funktionsfähig)
- Integrität (unverändert/korrekt)
**Was ist die Schutzbedarfsfeststellung?**
Zuweisung von Schutzbedarf (V, I, Vf, ggf. Authentizität) zu Prozessen/Informationen/Objekten anhand von Schadensszenarien (normal/hoch/sehr hoch).
→ Vererbung auf abhängige Objekte (Maximumprinzip, Kumulation, Verteilungseffekt).
**Was ist ein Grundschutz-Check?**
Soll-/Ist-Vergleich der BSI-Anforderungen je modelliertem Baustein.
→ Momentaufnahme im Prozess der ISMS-Einführung; Abschluss, wenn alle Teilanforderungen umgesetzt oder begründet „entbehrlich“ sind.
**Wie oft prüfen?**
Sicherheitskonzepte mindestens alle 2 Jahre evaluieren; spätestens nach 3 Jahren aktualisierte ISMS-Version bereitstellen.
**Zertifizierung nach ISO 27001 auf Basis IT-Grundschutz?**
Externer Auditor prüft das ISMS (inkl. Vor-Ort-Audit) und empfiehlt die Zertifizierung. Die Zertifizierungsstelle entscheidet.
**Rolle des Auditors?**
Prüft Vollständigkeit/Wirksamkeit; gibt Empfehlung (zertifiziert nicht selbst). Kommentare zum Umsetzungsstatus stets fachlich begründen.
**Was geschieht bei Strukturanalyse/Modellierung?**
- *Strukturanalyse*: Erfassung von Infrastrukturen, Räumen, Netzen, Servern, Systemen, Applikationen, Prozessen gem. Geltungsbereich (Gruppierungen zulässig → Stichprobenprüfung).
- *Modellierung*: Zuordnung der elementaren Gefährdungen und Bausteine, Bildung Basis für den Grundschutz-Check.
**Elementare Gefährdungen?**
Das BSI-Kompendium (aktuell 47) ordnet Gefährdungen den Bausteinen zu (z. B. Feuer, Ausspähen, Schadprogramme).
**Was passiert bei der Risikoeinschätzung?**
Bewertung nach Schaden × Eintrittshäufigkeit → erwartetes Risiko je Baustein/Objekt.
**Was ist ein ISMS?**
Regel- und Methodenset zur Gewährleistung der Informationssicherheit; kontinuierlich (PDCA).
ISO 27001 liefert Anforderungen; IT-Grundschutz konkretisiert und erweitert.
**Was ist die „Statement of Applicability“ (SoA) genau?**
Dokumentiert, welche Annex-A-Kontrollen (inkl. begründeter Ein-/Ausschluss) für das ISMS gelten.
Sie muss auch zusätzliche, nicht in Annex A enthaltene Kontrollen enthalten, sofern diese zur Risikobehandlung verwendet werden (ISO 27001, 6.1.3 d).
**Wie hat sich Annex A mit ISO/IEC 27001:2022 verändert?**
Annex A verweist auf 93 Kontrollen nach ISO/IEC 27002:2022, gruppiert in:
- 37 organisatorische
- 8 personenbezogene
- 14 physische
- 34 technologische Kontrollen
**ISO 27001 vs. ISO 27002 – was ist der Unterschied?**
- ISO 27001: Anforderungen (zertifizierbar).
- ISO 27002: Leitfäden/Umsetzungshinweise zu Kontrollen (nicht zertifizierbar).
Annex A von 27001 referenziert 27002.
**Wie läuft der Zertifizierungszyklus (Überwachung/Rezertifizierung)?**
Das Zertifikat ist 3 Jahre gültig.
→ Jährliche Überwachungsaudits sind Pflicht, Rezertifizierung nach 3 Jahren.
(Gilt ebenso für ISO 27001 auf Basis IT-Grundschutz.)
**Wie ist die aktuelle Transition auf ISO/IEC 27001:2022 geregelt?**
Die IAF MD 26:2023 legt die Umstellung fest.
→ Frist für den vollständigen Übergang: 31. Oktober 2025.
(Praxis: Transition-Audits bis Juli 2025 abschließen, damit CB-Entscheide rechtzeitig erfolgen.)
**Multi-Site-ISMS: Gibt es Besonderheiten?**
Ja. Für Multi-Site-Zertifizierungen gelten IAF-Regeln, u. a. Stichprobenquoten bei Überwachungsaudits (typ. 30 % der Sites, aufgerundet; Details im MD 1).
**Welche Pflichtdokumente erwartet ein Auditor?**
ISO 27001 fordert „dokumentierte Informationen“ u. a. zu:
- Scope
- ISMS-Politik/Zielen
- Risikomethodik
- SoA
- Risikobehandlung/-plan
- Leistungskennzahlen
- internem Audit
- Management-Review
(Klauseln 4–10; SoA explizit 6.1.3 d).
**Interne Audits vs. Management-Review – was ist der Zweck?**
- *Interne Audits (9.2)*: prüfen Wirksamkeit/Konformität.
- *Management-Review (9.3)*: bewertet ISMS strategisch (Leistung, Risiken/Chancen, Ressourcen, Verbesserungen).
**Wie passt Business Continuity (BCMS) zu ISO 27001?**
Ein ISMS adressiert Informationssicherheit; ISO 22301 ergänzt dies für Business Continuity (RTO/RPO etc.).
Beide Systeme sollten verzahnt sein. ISO 22301 wurde 2019 aktualisiert, 2024 durch Amd 1: *Climate action* ergänzt.
**Cloud-Sicherheit & -Privatsphäre: Relevante Standards?**
- ISO/IEC 27017: Cloud-spezifische Sicherheitskontrollen (aktuell Ed. 1 bestätigt; Nachfolger DIS 27017 in Arbeit).
- ISO/IEC 27018:2025: Schutz personenbezogener Daten (PII) in Public Cloud als Auftragsverarbeiter.
**Verhältnis ISMS ↔ NIS2?**
NIS2 verlangt Risikomanagement-Maßnahmen (u. a. Policies, Incident-Handling, BCM, Supply-Chain-Security).
Ein reifes ISO 27001-ISMS deckt viele Anforderungen ab, ersetzt aber keine gesetzliche Umsetzung.
→ Siehe ENISA-Guidance und EU-Durchführungsverordnung (EU) 2024/2690.
**Lieferanten & Cloud-Provider: Muss das ins ISMS-Scope?**
Ja. Risikobasierte Steuerung der Lieferketten ist Bestandteil (Annex-A-Kontrollen: Supplier Relationships, Cloud-Guidance per 27017/27018).
Vertrags-/Datenschutzpflichten (z. B. Art. 28 DSGVO Auftragsverarbeitung) sind separat einzuhalten.
**Was prüft ein IT-Grundschutz-Audit zusätzlich?**
Beim ISO 27001 auf Basis IT-Grundschutz werden u. a. Strukturanalyse, Modellierung, Baustein-Anforderungen, elementare Gefährdungen und die Umsetzungsgrade (Standard/Kern/Basis-Absicherung) in einem formalen Schema auditiert.
**Wie wird Auditzeit geplant?**
IAF-Dokumente (z. B. ID 14, MD 5) definieren die Bestimmung/Anpassung von Auditzeiten für Überwachung und Rezertifizierung – abhängig u. a. von Größe, Komplexität und Risiko.
**Müssen zusätzliche Kontrollen (außer Annex A) dokumentiert werden?**
Ja – wenn sie Teil der Risikobehandlung sind, müssen sie in der SoA erscheinen (ISO 27001 6.1.3d).
# Quickstart-Guides
## BSI IT-Grundschutz - Quickstart Guide
Quelle: https://servicehub.fuentis.com/de/quickstart/bsi-it-grundschutz-quickstart-guide/
### Was erwartet Sie hier?
**1. Geltungsbereich (Scope)**
Legen Sie fest, welche Teile Ihrer Organisation von den Schutzmaßnahmen des IT-Grundschutzes erfasst werden sollen. Ein klar definierter Scope erleichtert Ihnen später die Strukturierung Ihrer Sicherheitsmaßnahmen.
**2. Strukturanalyse**
Erfassen Sie sämtliche relevanten Assets und überführen Sie diese in eine übersichtliche Struktur. So schaffen Sie die Grundlage für eine systematische Erfassung von Bedrohungen und Risiken.
**3. Schutzbedarfsfeststellung**
Ermitteln Sie den Schutzbedarf Ihrer Assets, um gezielt priorisieren zu können. Sie erhalten eine Einschätzung darüber, wie kritisch bestimmte Prozesse, Systeme oder Informationen sind.
**4. Modellierung**
Nutzen Sie die BSI-Bausteine, um Maßnahmen und Anforderungen auf Ihre spezifische Infrastruktur anzupassen. Die Modellierung erleichtert Ihnen die Auswahl der passenden Sicherheitsmaßnahmen.
**5. IT-Grundschutz-Check (Soll-Ist-Vergleich)**
Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den Anforderungen des BSI IT-Grundschutzes. So identifizieren Sie Lücken und priorisieren gezielt Verbesserungsmaßnahmen.
**6. Risikoanalyse**
Sobald Sie den Schutzbedarf festgelegt haben, bewerten Sie alle identifizierten Risiken und leiten entsprechende Gegenmaßnahmen ein. Dadurch erhöhen Sie kontinuierlich das Schutzniveau Ihrer Organisation.
#### Nächste Schritte
- **1. Lesen Sie das Einleitungskapitel:** Verschaffen Sie sich einen ersten Überblick, wie der BSI IT-Grundschutz aufgebaut ist.
- **2. Definieren Sie Ihren Scope:** Starten Sie mit einer klaren Eingrenzung Ihres Projekts, damit Sie zielgerichtet Maßnahmen ableiten können.
- **3. Führen Sie die Strukturanalyse durch:** Nutzen Sie unsere Anleitungen, um sämtliche Assets und relevanten Prozess-Bausteine zu erfassen.
- **4. Schutzbedarfsfeststellung & Modellierung:** Verknüpfen Sie die Ergebnisse der Strukturanalyse mit den BSI-Bausteinen und bestimmen Sie den notwendigen Schutzbedarf.
- **5. Schließen Sie mit dem IT-Grundschutz-Check:** So stellen Sie sicher, dass Ihr Sicherheitsniveau den aktuellen Anforderungen entspricht und Sie wissen, welche Lücken noch zu schließen sind.
---
### Geltungsbereich/Scope
#### 1. Was und wofür ist der Geltungsbereich gedacht?
Ein Geltungsbereich umfasst die Gesamtheit von infrastrukturellen, organisatorischen, personellen und technischen Komponenten, die der Aufgabenerfüllung in einem bestimmten Anwendungsbereich der Informationsverarbeitung dienen.
Das bedeutet, im Geltungsbereich muss ganz klar definiert werden, welchen Bereich des Unternehmens Sie im fortlaufenden Prozess abbilden wollen. In fuentis müssen Sie je Einheit mindestens einen Geltungsbereich erstellen, können aber auch mehrere erstellen.
Im Folgenden wird zur Veranschaulichung das Unternehmen **Beispiel GmbH** genutzt, welches analog zur **RECPLAST GmbH** des BSIs ist.
> **Wichtig:** Das BSI bezeichnet den Geltungsbereich (engl. *Scope*) auch oft als **Informationsverbund**.
> **Praxistipp:** „Fortlaufender Prozess“ bedeutet: Der Geltungsbereich wird kontinuierlich gepflegt, überprüft und angepasst – nicht einmalig festgelegt und dann vergessen. Sie können sich Aufgaben für die regelmäßige Überwachung erstellen; Etwa für eine jährliche Überprüfung.
#### 2. Warum ist der Geltungsbereich wichtig?
Ein klar definierter Geltungsbereich ist entscheidend für den Erfolg eines ISMS, da er:
- die Grenzen des ISMS innerhalb der Organisation absteckt,
- die Verantwortlichkeiten und Zuständigkeiten im Zusammenhang mit der Informationssicherheit klarstellt,
- die Ressourcen und Bemühungen der Organisation auf die relevantesten und kritischsten Bereiche konzentriert.
#### 3. Wie lege ich einen Geltungsbereich fest?
##### 3.1 Geltungsbereich definieren
Wie beschrieben, müssen Sie den Geltungsbereich klar definieren und abgrenzen. Dafür reicht zuerst eine generelle Definition aus, in den nächsten Schritten grenzen Sie den Geltungsbereich weiter ab.
**Beispiel GmbH** definiert den Geltungsbereich wie folgt:
- **Kurzbezeichnung:** Beispiel GmbH
- **Langbezeichnung:** Die Beispiel GmbH mit allen Geschäftsprozessen, Anwendungen und IT-Systemen zur Erbringung der Produktion.
Mit den nächsten Punkten arbeiten Sie sich tiefer in den Geltungsbereich:
##### 3.2 Organisatorische Gliederung
Die organisatorische Gliederung des Geltungsbereichs erfolgt durch ein Organigramm. Im Falle der Beispiel GmbH wäre es ein Organigramm der gesamten Firma, da sich der Geltungsbereich ebenfalls auf die gesamte Firma bezieht.
> **Praxistipp:** Nutzen Sie Whiteboard-Tools wie Microsoft Vision oder Draw.io um ein Organigramm zu erstellen. Updaten Sie dieses regelmäßig. Sie können dies in der Geltungsbereichsdefinition in der fuentis Suite verlinken oder anhängen.
##### 3.3 Standorte und Mitarbeiter
Definieren Sie, welche Standorte und Mitarbeiter zu dem Geltungsbereich gehören. Dies können Sie in der fuentis Suite als Zielobjekte anlegen.
**Beispiel:**
Die Abteilungen für Einkauf, Marketing und Vertrieb befinden sich im Gebäude in Bad Godesberg. Das Unternehmen beschäftigt insgesamt rund 500 Mitarbeiter, von denen 175 in der Verwaltung in Bad Godesberg tätig sind.
> **Praxistipp:** Um nicht den Überblick zu verlieren notieren Sie sich alle relevanten Informationen im ersten Schritt einmal außerhalb des Tools. Arbeiten Sie sich dann sukzessive durch die Informationen und tragen diese in die fuentis Suite ein. Sollten Sie dabei Unterstützung benötigen melden Sie sich jederzeit gerne bei uns.
##### 3.3 Netzplan
Erstellen Sie für den Geltungsbereich einen Netzplan. Der Netzplan ist nicht nur hilfreich für die weiteren Phasen zur Erstellung eines ISMS, sondern er hilft Ihnen auch in Schritt 5.
Ein Netzplan lässt sich alternativ mit Applikationen wie z.B. Microsoft Visio erstellen.
##### 3.4 Was muss im Netzplan vorhanden sein?
- IT-Systeme, d. h. Client- und Server-Computer, aktive Netzkomponenten (Switches, Router, WLAN-APs), Netzdrucker usw.
- ICS- und IoT-Komponenten mit Netzanschluss (Clients, Handscanner, Industriedrucker, SPS, Schaltschränke usw.)
- Netzverbindungen zwischen diesen Systemen (LAN wie Ethernet, WLAN, Backbone-Techniken usw.)
- Verbindungen nach außen (z. B. Einwahlzugänge über ISDN/Modem, Internetanbindungen, Funkstrecken, Mietleitungen zu entfernten Liegenschaften usw.)
##### 3.5 Informationstechnik
Definieren Sie die Informationstechnik im Scope. Beschreiben Sie ausführlich, um welche Komponenten es sich handelt und wofür sie genutzt werden.
Beschreiben Sie Technik & Services knapp mit Zweck und Verantwortung:
- On-Prem: z. B. ERP-Server (Produktion), Fileservices (Doku)
- Cloud/SaaS: z. B. CRM, HR-Suite, Ticketsystem (inkl. Tenant/Region)
- OT/ICS: z. B. Linien-SPS, HMI, Historian
- Endpoints & Peripherie: Clients, Mobile, Drucker, Scanner
- Shared Services: AD/Entra ID, PKI, Backup, MDM, Monitoring
> **Praxistipp:** In fuentis als Zielobjekte mit Owner, Kritikalität und Abhängigkeiten anlegen.
> **Praxistipp:** Eventuell können Sie Inventarlisten der IT nutzen.
#### 4. Geltungsbereich in fuentis
---
### Strukturanalyse
#### 1. Strukturanalyse
Die Strukturanalyse ist der erste Schritt im Prozess zur Erstellung eines ISMS. In dieser Phase wird die gesamte (IT-)Infrastruktur eines Geltungsbereichs erfasst und dokumentiert. Ziel ist es, ein klares Verständnis der vorhandenen (IT-)Landschaft zu erhalten, um auf dieser Basis Risiken erkennen und bewerten zu können.
> **Praxistipp:** Nutzen Sie die vorarbeiten zur Geltungsbereichsdefinition und legen Sie sich einen einheitlichen Speicherort an, an dem Sie diese Unterlagen zentral erfassen z.B. einen eigenen SharePoint.
#### 2. Vorbereitung
##### 2.1 Liegt eine Dokumentation bereits vor?
Prüfen Sie, ob Inventare/Inventarlisten, Prozessmanagementtools, Werkzeuge zum Softwarelebenszyklus o. Ä. vorliegen (ggf. verteilt über mehrere Quellen). Berücksichtigen Sie diese.
Wenn Dokumentation vorhanden ist: in fuentis übernehmen und die Schritte der Strukturanalyse dennoch durchführen, um Fehler oder fehlende Assets zu vermeiden.
##### 2.2 An welchem Punkt setzt man an?
Ausgangspunkt ist die Bestandsaufnahme der physischen und virtuellen IT-Komponenten.
##### 2.3 Wie wird eine Strukturanalyse umgesetzt?
Durch systematische Inventarisierung aller Hardware- und Softwarekomponenten sowie Analyse der Netzwerkstruktur und der Unternehmensprozesse.
Für eine detaillierte Beschreibung der fuentis Suite Funktionen die die Strukturanalyse unterstützt suchen Sie bitte nach Strukturanalyse im Servicehub oder sprechen unsere Experten gerne persönlich an.
##### 2.4 Wie werden die Zielobjekte (TOG = Target Object Group) gebildet?
Zielobjekte sind Gruppen von ähnlichen Assets – also Dinge, die Sie in Ihrem Informationssicherheits-Management gemeinsam betrachten können.
Das können z. B. Server, Netzwerke, Anwendungen oder Standorte sein.
Statt jedes einzelne Gerät oder System einzeln aufzulisten, fassen Sie ähnliche Elemente zu Gruppen zusammen. Das spart Zeit und macht Ihr ISMS übersichtlicher.
Beispiele:
1. Alle Windows-Server = 1 Zielobjektgruppe
2. Alle Büro-PCs = 1 Zielobjektgruppe
3. Alle Router und Switches = 1 Zielobjektgruppe
__Warum das wichtig ist:__
Wenn sich ein einzelnes Gerät ändert (z. B. Austausch eines Servers), müssen Sie nicht Ihr ganzes Sicherheitskonzept neu anpassen – nur die Gruppe bleibt bestehen.
**Tips:**
- Halten Sie Ihre Strukturanalyse so kompakt wie möglich.
- Fassen Sie IT-Systeme so weit wie möglich zusammen.
- Es ist einfacher, die Struktur später zu erweitern, als sie zu verkleinern.
- Das Sicherheitskonzept sollte nicht durch Fluktuationen in der Assetlandschaft beeinflusst werden.
#### 3. Umsetzungsphase
##### 3.1 Erfassung der Geschäftsprozesse, Anwendungen und Informationen
Die Erfassung aller Geschäfts- und Steuerungsprozesse. Dies erfolgt im fuentis-Tool. Der Netzplan stellt eine Ausnahme dar.
Viele dieser Prozesse können weiter untergliedert werden, beispielsweise die Server-Administration in die Teilprozesse Verwaltung von Mail-, Datei- und Datenbankservern, zu denen jeweils Aktivitäten wie Patch-Management, Datensicherung, Konfiguration oder Dokumentation gehören.
Asset in fuentis erfassen, bzw. Zielobjekt erstellen:
##### 3.2 Prozessabhängigkeiten erfassen
Erfassen Sie die Abhängigkeiten der Geschäfts- und Steuerungsprozesse.
##### 3.3 Erfassung der Unterstützungsprozesse
- Die Erfassung erfolgt analog zu Erfassung der Geschäfts- und Steuerungsprozesse. Unterstützungsprozesse können in fuentis mit dem zu unterstützenden Prozess verknüpft werden.
- Die Verknüpfung der Unterstützungsprozesse wird im weiteren bei der Schutzbedarfsanalyse wichtig, um den Schutzbedarf entsprechend zu vererben.
##### 3.4 Erfassung der Anwendungen
Genau wie die Unterstützungsprozesse müssen alle Anwendungen erfasst und in der Strukturanalyse berücksichtigt werden. Auch hierfür wird eine Zielobjekt erstellt, allerdings mit einem anderen “Zielobjekt-Typ“. Den Zielobjekt-Typ kann man bei der Erstellung des Zielobjekts auswählen, siehe oben.
Wichtig ist das die Anwendungen mit allen Geschäfts- und Steuerungsprozessen verknüpft werden müssen, mit denen die Anwendung in Verbindung steht. Zum Beispiel muss die Anwendung Gehaltsabrechnungen mit dem Geschäftsprozess Personalverwaltung verbunden sein.
##### 3.5 Erfassung der IT-Systeme
Bei der Erhebung der IT-Systeme geht es darum, die vorhandenen und geplanten IT-Systeme und die jeweiligen Informationen zusammenzustellen. Dazu zählen:
- alle im Netz vorhandenen IT-Systemen (Clients und Server), Gruppen von IT-Systemen und aktiven Netzkomponenten, Netzdrucker, aber auch
- Telekommunikationskomponenten (wie TK-Anlagen, Faxgeräte und Mobiltelefone) und
- IoT-Geräte wie zum Beispiel ein Sprachassistent.
**Wichtig** ist hier auch die Verknüpfung mit Zusammengehörigen Assets. Zum Beispiel: Buchhaltungs Clients sollten mit der Buchhaltung verknüpft sein.
##### 3.6 Erfassung der Gebäude
In der Strukturanalyse sollten alle relevanten Gebäude und Räume erfasst werden, in denen Werte, Systeme oder Prozesse betrieben werden.Dazu gehören z. B.:
1. Büro- und Verwaltungsgebäude
2. Rechenzentren oder Serverräume
3. Produktionshallen oder Lagerflächen
> **Praxistipp:** Notieren Sie zu jedem Gebäude die Adresse, Nutzung (z. B. Verwaltung, Produktion) und sicherheitsrelevante Bereiche (z. B. Zutrittskontrolle, Serverraum).
##### 3.7 Erfassung Dienstleister
Erfassen Sie alle externen Dienstleister, die für den Betrieb, die Wartung oder die Bereitstellung von IT-Systemen, Anwendungen oder Prozessen relevant sind. Dazu zählen z. B.:
1. IT-Service-Provider oder Cloud-Anbieter
2. Wartungs- und Support-Dienstleister
3. Rechenzentrums- oder Hosting-Partner
4. Externe Administratoren oder Outsourcing-Partner
> **Praxistipp:** Halten Sie fest, welche Leistungen der Dienstleister erbringt und welche Sicherheitsmaßnahmen oder Verträge (z. B. AV-Vertrag, SLA) bestehen.
---
### Schutzbedarfsfeststellung
#### 1. Schutzbedarfsfeststellung
Wie viel Schutz benötigen Informationen, Anwendungen und zugehörige technische Systeme/Infrastruktur? Wie wird der Schutzbedarf nachvollziehbar begründet? Welche Komponenten benötigen mehr Sicherheit, wann genügen Maßnahmen der Standard-Absicherung?
Ziel: Auswahl angemessener Sicherheitsmaßnahmen für Prozesse, Informationen, Anwendungen, IT-Systeme, Räume und Kommunikationsverbindungen.
#### 2. Vorbereitungsphase
##### 2.1 Definitionen und Ausgangspunkt
Der Schutzbedarf bestimmt den **maximalen Schaden**, welcher entstehen kann, wenn für ein Zielobjekt die Schutzziele Vertraulichkeit, Integrität oder Verfügbarkeit verletzt werden.
- **Vertraulichkeit** – Informationen können nur durch Berechtigte gelesen werden.
- **Integrität** – Informationen können nur durch Berechtigte verändert werden. Alle Änderungen sind authentisch (Authentizität) und können nicht abgestritten werden.
- **Verfügbarkeit** – Informationen stehen zur richtigen Zeit und am richtigen Ort zur Verfügung.
Bei den Schritten der Umsetzungsplanung werden diese drei Schutzziele betrachtet und in Kategorien eingestuft.
Außerdem werden verschiedene Schadensszenarien und deren potenzielle Auswirkungen den entsprechenden Schutzbedarfskategorien zugeordnet.
##### 2.2 Schutzbedarfskategorien
| Kategorie | Definition |
|------------|------------------------------------------------------------------------------------------|
| normal | Die Schadensauswirkungen sind begrenzt und überschaubar. |
| hoch | Die Schadensauswirkungen können beträchtlich sein. |
| sehr hoch | Die Schadensauswirkungen können existenziell bedrohlich/katastrophal sein. |
##### 2.3 Schadensszenarien
Zur Trennung der Kategorien Grenzen je Szenario festlegen. Typische Szenarien:
- Verstoß gegen Gesetze/Vorschriften/Verträge
- Beeinträchtigung des informationellen Selbstbestimmungsrechts
- Beeinträchtigung der persönlichen Unversehrtheit
- Beeinträchtigung der Aufgabenerfüllung
- Negative Innen- oder Außenwirkungen
- Finanzielle Auswirkungen
###### 2.3.1 Schadensszenario Kategorie "normal":
###### 2.3.2 Schadensszenario Kategorie "hoch":
###### 2.3.1 Schadensszenario Kategorie "sehr hoch":
#### 3. Umsetzungsphase
##### 3.1 Schutzbedarfsfeststellung der Geschäfts- und Steuerungsprozesse
Zuerst ist Schutzbedarf der bei der Strukturanalyse erfassten Geschäftsprozesse festzustellen. Dies bedeutet, dass für jeden Geschäftsprozess mithilfe der zuvor festgelegten Kategorien bestimmt werden muss, wie groß der Bedarf an Vertraulichkeit, Integrität und Verfügbarkeit ist.
Um den Schutzbedarf entsprechend und richtig festzustellen, sollte die Leitung des Fachbereiches in den Prozess mit einbezogen werden.
- Sie können im Dropdown-Menu die Kategorie des Schutzsbedarfs festlegen, zum Beispiel Vertraulichkeit: hoch.
- Beschreiben sie darunter die Festlegung des Schutzbedarfs, dazu nutzen Sie ihre vorher festgelegten Schadensszenarien.
Um diesen Prozess zu standardisieren, können Sie auch Fragebögen benutzen, bzw. zu ordnen. Dies können Sie in der Registerkarte “Fragebogen“ machen.
> **Praxistipp:** Die fuentis Suite kombiniert wichtige und mächtige Features, um die Schutzbedarfsfeststellung zu vereinfachen und zu automatisieren. Nutzen Sie dafür die Vererbungs- oder Empfehlungsfunktion. Sollten Sie Fragen dazu haben melden Sie sich jederzeit gerne bei uns oder schauen Sie in unserem Servicehub nach weiterführenden Hilfen.
##### 3.2 Schutzbedarfsfeststellung der Anwendungen
Der Schutzbedarf einer Anwendung hängt im Wesentlichen von dem Schutzbedarf der Geschäftsprozesse ab, für deren Erledigung die Anwendung benötigt wird. Dieser Schutzbedarf vererbt sich auf den Schutzbedarf der Anwendungen. Bei der Vererbung lassen sich folgende Fälle unterscheiden:
- **Maximumprinzip**: In vielen Fällen lässt sich der höchste Schutzbedarf aller Geschäftsprozesse, für den die Anwendungen zur Erledigung relevant sind, übernehmen.
- **Kumulationseffekt**: Der Schutzbedarf der Anwendung kann höher sein als der Schutzbedarf der einzelnen Geschäftsprozesse. Dies ist beispielsweise der Fall, wenn eine Anwendung für mehrere Geschäftsprozesse mit normalem Schutzbedarf benötigt wird. Der Ausfall eines dieser Geschäftsprozesse könnte von der Beispiel GmbH toleriert werden. Wenn aber mehrere Geschäftsprozesse gleichzeitig ausfallen würden, dann kann ein hoher Schaden entstehen.
Schutzbedarf für Anwendungen mithilfe des Maximumprinzip und Kumulationseffekt festlegen:
Vererbung des Schutzbedarfs auf verknüpfte Zielobjekte anwenden:
Manuelle Festlegung wie in 2.1 ist ebenfalls möglich.
##### 3.4 Schutzbedarfsfeststellung der IT-Systeme
Der Schutzbedarf eines IT-Systems hängt im Wesentlichen von dem Schutzbedarf der Anwendungen ab, für deren Ausführung es benötigt wird. Dieser Schutzbedarf vererbt sich auf den Schutzbedarf des IT-Systems. Hierbei kann ebenfalls wieder auf das Maximumprinzip oder den Kumulationseffekt als Empfehlung zurückgegriffen werden.
##### 3.5 Schutzbedarfsfeststellung der Kommunikation
Im nächsten Arbeitsschritt geht es darum, den Schutzbedarf für die Kommunikationsverbindungen festzustellen. Es gibt Verbindungen, die gefährdeter sind als andere und durch doppelte Auslegung oder besondere Maßnahmen gegen Angriffe von außen oder innen geschützt werden müssen. Als **kritische Verbindungen** gelten:
- Verbindungen, die aus dem Unternehmen in ein öffentliches Netz (z.B. Telefonnetz, Internet) oder über ein öffentliches Gelände reichen. Über solche Verbindungen können Schadprogramme in das Unternehmensnetz eingeschleust werden, Unternehmens-Server angegriffen werden oder Mitarbeiter vertrauliche Daten an Unbefugte weiterleiten.
- Verbindungen, über die besonders schützenswerte Informationen übertragen werden. Mögliche Gefährdungen sind Abhören, vorsätzliche Manipulation und betrügerischer Missbrauch. Der Ausfall solcher Verbindungen ist für Anwendungen, für die eine hohe Verfügbarkeit erforderlich ist, besonders kritisch.
- Verbindungen, über die vertrauliche Informationen nicht übertragen werden dürfen. Personaldaten dürfen zum Beispiel nur von Mitarbeitern der Personalabteilung eingesehen und bearbeitet werden. Daher muss verhindert werden, dass diese Daten bei ihrer Übertragung von unbefugten Mitarbeitern eingesehen werden können.
Für jede dieser Verbindungen wird anhand der darüber übertragenen Informationen der Schutzbedarf für die drei Grundwerte bestimmt.
##### 3.6 Schutzbedarfsfeststellung der Räumlichkeiten
Bei der Schutzbedarfsfeststellung für Räume werden alle Räume und Liegenschaften betrachtet, die zuvor in der Strukturanalyse identifiziert wurden und die für die Informationen, Geschäftsprozesse, Anwendungen und IT-Systeme des betrachteten Informationsverbundes relevant sind.
Auch hier sind wieder Vererbungsprinzipien zu berücksichtigen. Der Schutzbedarf eines Raums bemisst sich nach dem Schutzbedarf der IT-Systeme, die sich in ihm befinden, sowie der Informationen und Datenträger, die in ihm verarbeitet und gelagert werden. Folglich kann in den meisten Fällen wieder das Maximumprinzip angewendet werden (vergleichbar der Schutzbedarfsfeststellung der IT-Systeme).
Unter Umständen ergibt sich aus der Vielzahl an Objekten, die sich in einem Raum befinden, jedoch ein höherer Schutzbedarf in einem Grundwert als für jedes einzelne Objekt (Kumulationseffekt). Dies kann z. B. für Räume gelten, in denen sich gespiegelte Server mit jeweils normalen Verfügbarkeitsanforderungen befinden – bei Ausfall eines Servers gibt es ja noch einen zweiten, während von einem „Ausfall“ des Raums (zum Beispiel aufgrund eines Brandes) beide Server betroffen sind.
---
### Modellierung
#### 1. Modellierung nach dem Bausteinmodell
Im dritten Schritt, der Modellierung, werden die Ergebnisse der Strukturanalyse und Schutzbedarfsanalyse in ein strukturiertes Modell überführt. Dieses Modell dient dazu, die Komplexität der IT-Landschaft zu reduzieren und eine klare Basis für die Risikoanalyse zu schaffen.
In die Modellierung können sowohl verschiedene organisatorische Prozesse, Anwendungen als auch IT-Systeme einfließen.
Durch die Modellierung werden relevante Bausteine für die einzelnen Zielobjekte identifiziert. In den Bausteinen werden Anforderungen an die Gewährleistung der Informationssicherheit und geeignete Maßnahmen aufgezeigt. Die Modellierung ermöglicht daher ein pragmatisches und effektives Vorgehen zur Erzielung eines angestrebten Sicherheitsniveaus.
#### 2. Wo findet man die Bausteine und welche gibt es?
Die Bausteine finden Sie im **IT-Grundschutz-Kompendium**(GSK). Das IT-Grundschutz-Kompendium kann in der jeweils aktuellen Fassung vom BSI-Webserver heruntergeladen oder beim Bundesanzeiger Verlag erworben werden.
#### 3. Wann sollte eine zusätzliche Risikoanalyse vorgenommen werden?
Bei Zielobjekten mit **hohem** Schutzbedarf. Hierbei reichen die Anforderungen des BSI nicht mehr aus, da diese auf einem normalen Schutzbedarf ausgerichtet sind.
#### 4. Bausteine mit fuentis zuordnen
Sie können die Bausteine ganz einfach im fuentis Tool zuordnen. Durch das zuordnen der Bausteine werden ebenfalls die zusammengehörigen Maßnahmen, Anforderungen und Gefahren mit zu dem Zielobjekt zugeordnet.
#### 5. Wann ist ein Baustein anwendbar?
Jeder GSK-Baustein beschreibt ausführlich den Anwendungsbereich und -grenzen. Wenn kein Beustein passt, oder Abweichungen bestehen, muss dies dokumentiert werden.
---
### IT-Grundschutz-Check (Soll-Ist-Vergleich)
#### 1. IT-Grundschutz Check
In einem ersten IT-Grundschutz-Check wird vor der Durchführung der Risikoanalyse ermittelt, ob und inwieweit die Basis- und Standard-Anforderungen der relevanten Bausteine des IT-GrundschutzKompendiums für die einzelnen Zielobjekte eines Informationsverbundes erfüllt sind.
Anforderungen für den höheren Schutzbedarf werden in einem zweiten IT-Grundschutz-Check geprüft, sofern das Sicherheitskonzept aufgrund der Entscheidungen zur Risikobehandlung durch neue oder geänderte Maßnahmen ergänzt wurde.
Die nachfolgenden Übersichten enthalten auch Hinweise zu den Verantwortlichkeiten für den einzelnen Baustein sowie auch für Anforderungen. Zusätzlich zu den genannten Verantwortlichkeiten gilt, dass in der Regel der Informationssicherheitsbeauftragte (ISB) bei strategischen Entscheidungen einzubeziehen ist. Dieser ist außerdem dafür verantwortlich, dass alle Anforderungen gemäß des festlegten Sicherheitskonzepts erfüllt und überprüft werden. Zur Dokumentation des IT-Grundschutz-Checks gehören auch Informationen zum Überprüfungsprozess (z. B. Befrager, Befragte, Zeitpunkt der Befragung). Auf die Angabe dieser Metadaten wird nachfolgend verzichtet, sie ist gleichwohl bei IT-Grundschutz-Checks in der Praxis unabdingbar.
#### 2. Wie sind die Umsetzungsstatus-Optionen zu wählen?
- **Entbehrlich:** die Anforderung kann nicht erfüllt werden
- **Umgesetzt:** die Anforderung wird vollständig (oder bis auf marginale Verbesserungen) erfüllt
- **Teilweise umgesetzt:** wesentliche Aspekte der Anforderung werden erfüllt, einzelne Aspekte wurden nicht vollständig umgesetzt
- **Offen:** die Anforderung wird nicht oder nur marginal erfüllt
Im Reiter **Details** einer Anforderung können Status und Inhalte bearbeitet werden.
#### 3. Was ist bei der Dokumentation des Umsetzungsstatus zu beachten?
Der Umsetzungsstatus muss **nachvollziehbar** erfasst werden:
- Zu jeder **entbehrlichen Anforderung** muss nachvollzogen werden können, warum diese entbehrlich ist:
- Sind die Rahmenbedingungen nicht anwendbar? (Zum Beispiel Abschaltung von Mikrophonen an einem Server ist entbehrlich, wenn keine Mikrophone verbaut sind)
- Wurden gleichwertige oder bessere Maßnahmen umgesetzt? (Zum Beispiel Einsatz von TLS für die Transportverschlüsselung, wenn bereits ein SINA-VPN mit Geheim-Zulassung verwendet wird)
- Ist die Umsetzung nicht mehr wirtschaftlich vertretbar? (Zum Beispiel, wenn die Umsetzungsdauer 6 Monate beträgt, aber die Restlaufzeit der Komponente 3 Monate)
- Zu jeder **umgesetzten Maßnahem** sollte die Umsetzung nachvollziehbar sein:
- Wo ist die Umsetzung vorgegeben?
- Wie wird die Umsetzung nachgewiesen? (Zum Beispiel eine Rechnung)
- Zu jeder **offenen Maßnahme** müssen Aufgaben nachvollzogen werden können:
- Was ist noch zutun? (**SMART**)
- Zu jeder **teilweise umgesetzten Maßnahme** müssen Aufgaben nachvollzogen werden können:
- Wie aktuell ist die Umsetzung?
- Was ist noch zutun? (SMART)
#### 4. Was ist SMART?
**S**pecific (Spezifisch) - Präzise Formulierung
**M**easureable (Messbar) - Definierte Messbarkeitskriterien
**A**ctivating (Aktivierend) - Ansprechend
**R**ealizable (Realistisch) - Realistische Erreichbarkeit
**T**imeable (Terminierbar) - Möglichkeit ein fixes Datum für die Umsetzung zu bestimmen
#### 5. Absicherungsgrad
Die Bausteine enthalten drei Arten von Anforderungen: **Basis-**, **Standard-** und **Anforderungen für erhöhten Schutzbedarf**. Welche dieser Anforderungen Sie im IT-Grundschutz-Check berücksichtigen, hängt von den Anforderungen des Unternehmens ab:
- Bei der Vorgehensweise **Basis-Absicherung** prüfen Sie lediglich die Erfüllung der Basis-Anforderungen. Wichtig: Eine Testierung kann erfolgen, jedoch keine Zertifizierung.
- Bei den Vorgehensweisen **Standard-Absicherung** wird der IT-Grundschutz in Gänze realisiert, wobei alle Assets einbezogen werden. Der Schutzbedarf ist vollumfänglich zu ermitteln und Risikoanalysen werden komplett ausgeführt. Eine Zertifizierung ist möglich.
- Bei der **Kern-Absicherung** liegt der Fokus auf den wertvollsten und exponiertesten Ressourcen, mit dem Ziel einer vollständigen Absicherung eines spezifischen Kernbereichs. Eine Zertifizierung ist möglich.
### Risikoanalyse
In der Risikoanalyse werden die Risiken bewertet, die nach dem IT-Grundschutz-Check verbleiben. Ziel ist es, geeignete Maßnahmen zu definieren, um verbleibende Risiken zu reduzieren oder zu akzeptieren.
> **Hinweis:** Sie finden weitere Informationen zur Risikoanalyse im Bereich Wissen!
#### Vorgehen
- Identifizieren Sie Risiken, die nach dem IT-Grundschutz-Check bestehen bleiben.
- Bewerten Sie deren Eintrittswahrscheinlichkeit und Schadensausmaß.
- Entscheiden Sie, ob das Risiko akzeptiert, reduziert oder vermieden wird.
- Dokumentieren Sie die Ergebnisse in fuentis unter „Risikomanagement“.
> **Praxistipp:** In fuentis können Risiken direkt mit Zielobjekten und Maßnahmen verknüpft werden. Nutzen Sie den Workflow „Risikobehandlung“, um Aufgaben automatisch zu erstellen.
## ISO 27001 - Quickstart Guide
Quelle: https://servicehub.fuentis.com/de/quickstart/iso-quickstart-guide/
Willkommen zum fuentis ISO27001 Quickstart-Guide
> **Ziel:** Schlanke, praxistaugliche Methode zur Einführung, Zertifizierung und fortlaufenden Verbesserung eines ISO/IEC 27001:2022-konformen ISMS.
> **Bezug:** Aufbau & Begriffe orientieren sich an Ihrem BSI/Grundschutz-Leitfaden (Scope, Strukturanalyse, Schutzbedarf, Modellierung, Risikoanalyse) – hier auf ISO 27001 abgebildet.
---
### 1) Überblick & Voraussetzungen
**Wann nutzen?**
- Sie streben eine ISO/IEC 27001-Zertifizierung an oder wollen Ihr ISMS strukturiert verbessern.
- Sie möchten BSI-Grundschutz-Artefakte (Scope, Struktur, Schutzbedarf) als solide Basis weiterverwenden.
**Ergebnis der Methode**
- Geltungsbereich (Scope), Rollen & Governance
- Risiko-Methodik, Risikobeurteilung & -behandlung
- SoA/Anwendbarkeitsnachweis (Annex A 2022, 93 Controls)
- Dokumentierte Informationen, KPIs, Audit- & Review-Zyklus
---
### 2) Initiierung
**Ziele**
- Relevante Daten sammeln (Dokumente, Interviews, Workshops)
- **Geltungsbereich** definieren (ISO 27001 §4.3)
- Erste **Inventarisierung** von Zielobjekten/Assets (Strukturanalyse)
**Vorgehen**
- Vorhandene Unterlagen sichten (Organigramm, Netzplan, Inventare)
- Fehldaten erheben und zentral ablegen (z. B. SharePoint)
- In fuentis: Zielobjekte/Assets mit Owner, Kritikalität, Abhängigkeiten anlegen
> **Praxistipp:** Nutzen Sie den Grundschutz-Quickstart als „Onboarding“ – Terminologie & Artefakte sind für ISO sehr gut wiederverwendbar.
---
### 3) ISMS-Framework (ISO 27001 Kapitel 4–7)
#### 3.1 Kontext, Scope & Governance
- **Kontext & Stakeholder** (ISO §4.1–4.2): interne/ externe Themen, interessierte Parteien und Anforderungen bestimmen.
- **Scope** (ISO §4.3): fachliche/organisatorische/technische Grenzen festlegen (Standorte, Prozesse, IT/OT).
- **Governance-Modell & Rollen** (ISO §5.1–5.3): Führung verpflichtet, **ISMS-Policy** veröffentlichen, Rollen/ Verantwortlichkeiten (ISB/CISO, Prozesseigner) definieren.
- **RACI** für Schlüsselfunktionen pflegen.
#### 3.2 Ziele & Planung (ISO §6)
- **IS-Ziele** (messbar, terminiert, verantwortlich, KPIs) entlang Unternehmenszielen ableiten (ISO §6.2).
- **Risiko- & Chancenmanagement** planen (ISO §6.1): Methode, Kriterien, Akzeptanz festlegen (s. Kapitel 5).
#### 3.3 Unterstützung (ISO §7)
- **Ressourcen** budgetieren, regelmäßig überprüfen (Personal, Zeit, Tools, Standorte).
- **Kompetenz & Awareness** (Schulungen, On-/Offboarding, wiederkehrende Kampagnen).
- **Kommunikation** (Meldeflüsse, Kanäle, Schutzmechanismen) und
- **Dokumentierte Informationen** steuern (Lenkung, Versionierung, Aufbewahrung, Zugriff).
---
### 4) Strukturanalyse & Schutzbedarf (ISO-kompatibel)
> Ziel: Transparente **Asset-Landschaft** und **CIA-Wertigkeit** als Basis der Risikobeurteilung.
#### 4.1 Strukturanalyse (aus Grundschutz überführt)
- Geschäftsprozesse, Anwendungen, IT/OT-Systeme, Gebäude/Räume, Dienstleister erfassen.
- **TOG/Asset-Gruppen** bilden (Server, Clients, Netz, Apps, Standorte) für Übersicht & Wartbarkeit.
- Prozess- und System-Abhängigkeiten dokumentieren (fuentis-Verknüpfungen).
#### 4.2 Schutzbedarfsfeststellung (CIA)
- **Confidentiality / Integrity / Availability** je Asset/Prozess bewerten: *normal / hoch / sehr hoch*.
- Vererbungsprinzip nutzen (z. B. Prozess → Anwendung → System; Kumulation beachten).
---
### 5) Risikomanagement (ISO §6.1 & §8)
#### 5.1 Methode & Kriterien
- **Ansatz**: szenariobasierte Risikoidentifikation (Bedrohung × Schwachstelle × Auswirkung).
- **Kriterien** definieren: Eintrittswahrscheinlichkeit, Auswirkung (CIA), Bewertungsmaß, Akzeptanzschwellen, Behandlungsregeln, Umgang mit kombinierten Risiken.
#### 5.2 Risikobeurteilung (Assessment)
- Risiken identifizieren → analysieren → bewerten (konsistent, wiederholbar).
- **Risk Owner** benennen, Restrisiko & Priorität bestimmen, Register pflegen.
#### 5.3 Risikobehandlung (Treatment)
- Option wählen (vermeiden, mindern, teilen, akzeptieren) und **Kontrollen** aus **Annex A** ableiten.
- **SoA/Anwendbarkeitsnachweis** erstellen/aktualisieren: anwendbar/nicht anwendbar + Begründung, Status, Referenzen.
- **Maßnahmenplan** mit Verantwortlichen, Fristen, Nachweisen (Tests, Evidenzen).
> **Praxistipp (fuentis):** Risiken mit Zielobjekten & Maßnahmen verknüpfen, Workflow „Risikobehandlung“ für Aufgaben nutzen.
---
### 6) Umsetzung (DO)
#### 6.1 Maßnahmen implementieren
- Ressourcen & Kosten (einmalig/laufend) planen, Reihenfolge nach Risiko & Quick-Wins.
- Technische/ organisatorische Kontrollen umsetzen, Wirksamkeit testen, Evidenzen sammeln.
- Restrisiko neu bewerten und dokumentieren.
#### 6.2 SoA aktuell halten
- Nach jeder wesentlichen Änderung/ Neubewertung Status & Begründungen aktualisieren.
- Managementbestätigung einholen.
#### 6.3 Schulung & Awareness
- Rollenspezifische Trainings durchführen, Kampagnen zyklisch wiederholen.
- Erfolg über KPIs (z. B. Phishing-Quote, Abschlusstests) messen.
---
### 7) Überwachung & Bewertung (CHECK – ISO §9)
#### 7.1 Monitoring & KPIs
- **Was** wird überwacht (Kontrollen, Prozesse, Vorfälle)?
- **Wie** (Methodik), **wie oft** (Frequenz), **durch wen** (Rolle)?
- KPIs definieren (z. B. Patch-SLA, Incident-MTTR, Backup-Erfolgsquote) und berichten.
#### 7.2 Internes Audit
- Programm & Kriterien festlegen, Unabhängigkeit sicherstellen.
- Befunde, Abweichungen und Chancen zur Verbesserung dokumentieren.
#### 7.3 Managementbewertung
- Input: KPI-Berichte, Audit-Ergebnisse, Vorfälle, Status Ziele/SoA/Risiken.
- Output: Entscheidungen, Ressourcen, Prioritäten, Verbesserungsaufträge.
---
### 8) Verbesserung (ACT – ISO §10)
- **Nichtkonformitäten & Korrekturmaßnahmen** managen (Ursachenanalyse, Wirksamkeitsprüfung).
- Kontinuierliche Verbesserung des ISMS (Ziele, Prozesse, Kontrollen, Dokumente).
---
### 9) Artefakte (Minimal-Set)
| Artefakt | Zweck |
|---|---|
| ISMS-Policy | Leitplanken & Commitment der Führung |
| Kontext, Stakeholder, **Scope** | ISO §4-Nachweise, Abgrenzung |
| Organisationsstruktur & **RACI** | Rollen/Verantwortlichkeiten transparent |
| **Asset-/Strukturlandkarte** | Basis für Schutzbedarf & Risiken |
| **Schutzbedarfsanalyse (CIA)** | Wertigkeit & Vererbung dokumentiert |
| **Risikomethode & Kriterien** | Einheitliche, wiederholbare Bewertung |
| **Risikoregister** | Identifikation, Bewertung, Owner, Status |
| **SoA (Annex A 2022)** | Anwendbarkeit, Begründung, Status |
| Maßnahmenplan & Evidenzen | Umsetzung & Wirksamkeit nachweisbar |
| KPI-Set, Auditplan, Managementreview | Überwachung & Steuerung |
---
### 10) Unterschiede: ISO 27001 vs. BSI-IT-Grundschutz (Kurz)
- **ISO 27001**: Prozessorientiert, risikobasiert; zertifiziert **das Managementsystem**, nicht ein fixes Sicherheitsniveau.
- **Grundschutz**: Maßnahmenkatalog & Umsetzungshilfen; Risikoanalyse teils entbehrlich, Zertifizierung gibt **Sicherheitsniveau** an.
- **Praxis**: Grundschutz-Artefakte (Struktur, Schutzbedarf) **beschleunigen** ISO-Einführung; ISO erfordert stets eine formale Risikobeurteilung und SoA.
---
### 11) Anhang – Beispiele & Snippets
#### 11.1 Schutzbedarfs-Kategorien (CIA)
| Kategorie | Definition |
|---|---|
| **normal** | Begrenzte, überschaubare Auswirkungen |
| **hoch** | Beträchtliche Auswirkungen |
| **sehr hoch** | Existenziell/katastrophal |
#### 11.2 Risiko-Fragen (Leitfaden)
- Was ist **akzeptables Restrisiko** je Asset/Prozess?
- Welche **Behandlungsstrategie** gilt je Risikostufe (rot/gelb/grün)?
- Wie messen wir **Wirksamkeit** (KPI, Tests, Evidenz)?
---
### 12) Quick-Checks (für Audits & Go-Lives)
- [ ] Scope vollständig, Grenzen & Schnittstellen klar
- [ ] Rollen/RACI veröffentlicht, verantwortlich gelebt
- [ ] Methode & Kriterien schriftlich, konsistent angewandt
- [ ] Risikoregister aktuell, Owner & Fristen gesetzt
- [ ] SoA aktuell, Begründungen nachvollziehbar
- [ ] Maßnahmen wirksam (Tests/Evidenzen vorhanden)
- [ ] KPI-Berichte, internes Audit & Managementreview erfolgt
- [ ] Korrekturmaßnahmen nachverfolgt, Wirksamkeit geprüft
# ISMS-Modul
## Anwendungsoptionen
Quelle: https://servicehub.fuentis.com/de/isms/isms-settings/
In den ISMS-Anwendungsoptionen definieren Sie grundlegende Einstellungen, die sich auf das gesamte ISMS auswirken – von Schutzzielen über Risikomatrix-Konfigurationen bis hin zu Import-Funktionalitäten.
**Warum ist das relevant?**
- Individuelle Anpassung des ISMS an Ihre Organisationsanforderungen
- Standardisierung von Bewertungsmethoden und Risikomatrizen
- Effiziente Datenübernahme aus bestehenden Systemen
- Konsistente Schutzzieldefinitionen und Anpassungen
### Konfigurationsbereiche
#### 1. Schutzziele
##### Die drei primären Schutzziele der Informationssicherheit
**Vertraulichkeit (Confidentiality)**
- Schutz vor unbefugter Preisgabe von Informationen
- Vertrauliche Daten dürfen ausschließlich Befugten in der zulässigen Weise zugänglich sein
- Beispiele: Kundendaten, Patente, Forschungsdaten, personenbezogene Daten (DSGVO)
- *Praxisrisiken*: Offene Flipcharts nach Strategiemeetings, zugängliche Kundendaten in Büros mit Publikumsverkehr
**Integrität (Integrity)**
- Sicherstellung der Korrektheit und Unversehrtheit von Daten
- Schutz vor unautorisiertem Ändern, Löschen oder Einfügen von Daten
- Umfasst auch Metadaten wie Autor oder Erstellungszeitpunkt
- *Praxisbeispiel*: Manipulation von Messdaten medizinischer Geräte kann gravierende Folgen haben
**Verfügbarkeit (Availability)**
- Gewährleistung, dass Systeme und Informationen wie vorgesehen nutzbar sind
- Nicht zwingend permanente Verfügbarkeit erforderlich
- Definition über Service Level Agreements (SLAs)
- *Beispiel*: Gehaltsabrechnungssystem muss nur zu definierten Zeiten verfügbar sein
##### Erweiterte Schutzziele
In bestimmten Kontexten können zusätzliche Schutzziele definiert werden:
- **Authentizität**: Echtheit und Glaubwürdigkeit von Informationen
- **Nichtabstreitbarkeit**: Nachweisbarkeit von Handlungen
- **Verbindlichkeit**: Rechtliche Bindung an Transaktionen
- **Zuverlässigkeit**: Konsistente Systemleistung
**Hinweis:** Sie können in der fuentis Suite auch die Werte (Attribute) der einzelnen Schutzziele anpassen.
#### 2. Schutzziele verwalten
##### Neues Schutzziel erstellen
**Zugriff auf die Konfiguration:**
1. Wechseln Sie ins ISMS-Modul
2. Klicken Sie auf das Zahnrad-Symbol (unten links) für Anwendungsoptionen
3. Navigieren Sie zur Kategorie "Schutzziele"
4. Klicken Sie auf "Erstellen"
**Wichtiger Hinweis:**
> Das Hinzufügen eines neuen Schutzziels wirkt sich auf ALLE Zielobjekt-Gruppen aus! Bereits eingereichte oder genehmigte Schutzbedarfsbewertungen werden automatisch entsperrt und müssen erneut bearbeitet werden.
**Konfigurationsschritte:**
1. **Namen vergeben**: Deutsch und Englisch
2. **Werte definieren** (mindestens 2, empfohlen 3):
- Gewichtungsstufe wählen: Sehr gering, Gering, Normal, Hoch, Sehr hoch, Kritisch
- Deutsche und englische Bezeichnung für jeden Wert
3. **Speichern**: Klick auf "Erstellen"
##### Schutzziele bearbeiten und löschen
**Bearbeiten:**
- Klick auf das Bearbeiten-Symbol in der entsprechenden Zeile
- Anpassung von Namen und Werten möglich
- Änderungen wirken sich systemweit aus
**Löschen:**
- Klick auf das Löschen-Symbol
- Löschvorgang dauert einen Moment
- Push-Benachrichtigung bestätigt erfolgreiche Löschung
- **Vorsicht**: Löschung kann weitreichende Auswirkungen haben
#### 3. Risikomatrix-Konfiguration
##### Einstellungsmöglichkeiten
Die Risikomatrix ist das zentrale Element zur Risikobewertung. In den Anwendungsoptionen können Sie:
**Matrix-Dimensionen anpassen:**
- 3x3, 4x4, 5x5 oder 6x6 Matrix wählbar
- Anpassung an organisationsspezifische Anforderungen
- Übersetzungen für alle Matrix-Größen verfügbar (außer bei einigen Versionen für 5x5)
**Wertebereiche konfigurieren:**
- **Eintrittswahrscheinlichkeit**: Prozentuale oder qualitative Skalen
- **Schadenshöhe/Auswirkung**: Monetäre Werte oder Kategorien
- **Risikokategorien**: Definition von Akzeptanzbereichen
#### 4. Import-Funktionalitäten
##### Verfügbare Import-Optionen
**GRC-Import:**
- Migration von bestehendem GRC-System
- Übernahme von Risikodaten und Maßnahmen
- Mapping auf fuentis Suite 4-Strukturen
**Verinice-Import:**
- Datenübernahme aus verinice.PRO
- Erhalt der Verknüpfungen zwischen Objekten
- Automatische Zuordnung zu Katalogen
**Import-Prozess:**
1. Anwendungsoptionen → Import
2. Import-Typ wählen (GRC oder Verinice)
3. Klick auf "Import"
4. Katalog und Einheit auswählen
5. Datei über "Durchsuchen" hochladen
6. "Importieren" zur Ausführung
**Hinweis:** Bitte sprechen Sie uns bei Migrations oder Import-Projekt gerne an.
#### 5. Automatische Titel-Generierung
##### Funktionsweise
Die automatische Titel-Generierung ermöglicht:
- Einheitliche Bezeichnungen für Zielobjekte
- Entity-spezifische Präfixe für verschiedene Objekttypen
- Automatische Zähler für fortlaufende Nummerierung
**Konfiguration:**
- **Zugriff**: Anwendungsoptionen → Titelerstellung
- **Berechtigung**: Rolle "Titel-Präfixe verwalten" erforderlich
- **Einstellungen pro Entity**:
- Objekttyp (TargetObject/Asset Group Type)
- Titelpräfix
- Zählerstand
**Beispiel-Konfiguration:**
```
IT-System: IT-SYS-[001]
Netzwerk: NET-[001]
Raum: RAUM-[001]
Prozess: PROC-[001]
```
#### 6. Verantwortliche Stellen
#### Bedeutung und Zweck
Verantwortliche Stellen bilden die Governance-Struktur des ISMS ab und definieren klare Verantwortlichkeiten:
- Rollen-Zuweisung: Zuordnung von Personen zu Funktionen im ISMS
- Entscheidungsträger: Definition von Genehmigern und Ansprechpartnern
- Nachvollziehbarkeit: Dokumentation von Verantwortlichen für Audit und Compliance
- Workflow-Integration: Automatische Benachrichtigung bei Genehmigungsprozessen
- Verwaltung von Verantwortlichen Stellen
- Zugriff auf die Konfiguration
```
Name (erforderlich): Vollständiger Name der Person
Funktion: Berufliche Rolle oder Position (z. B. ISMS-Leiter, IT-Sicherheitsbeauftragter)
Telefon: Telefonnummer für direkte Kontaktaufnahme
Email (erforderlich): E-Mail-Adresse für Benachrichtigungen
Einheit (erforderlich): Organisatorische Zuordnung (Dropdown Einheiten)
```
__Praktische Anwendung:__
- Benachrichtigungen werden an die hinterlegte E-Mail versendet
- Die Einheit-Zuordnung ermöglicht organisationsspezifische Zuständigkeiten
- Besonders wichtig für Risikoakzeptanzen und Maßnahmengenehmigungen
### 7. ISMS-Profile
__Zweck und Nutzen__
ISMS-Profile ermöglichen die Verwaltung verschiedener Security-Konfigurationen für unterschiedliche Kontexte:
- Multi-Mandanten-Support: Separate Profile für verschiedene Organisationen oder Abteilungen
- Best-Practice-Templates: Vordefinierte Profile für Standards (ISO 27001, BSI-Grundschutz)
- Schnelle Implementierung: Standardkonfigurationen für neue Projekte oder Standorte
- Compliance-Variationen: Profile angepasst an regulatorische Anforderungen
- Struktur und Verwaltung von ISMS-Profilen
- Zugriff auf die Konfiguration:
- Wechseln Sie ins ISMS-Modul
- Klicken Sie auf das Zahnrad-Symbol (unten links) für Anwendungsoptionen
- Navigieren Sie zu "ISMS-Profile"
- Profil-Eigenschaften (bearbeitbar):
- Name (erforderlich): Bezeichnung des Profils (z. B. "ISO - Mechatec GmbH")
- Autor: Ersteller oder Verantwortlicher des Profils
- Anwendbare Geschäftsbereiche: Kategorien wie Fertigung, IT-Services, Dienstleistungen
- Anwendbare Unternehmensgrößen: Größenklassen (Mikro, Klein, Mittel, Groß) für die das Profil relevant ist
- Aktiv: Toggle zum Aktivieren/Deaktivieren des Profils
- Beschreibung: Dokumentation des Profil-Zwecks und Anwendungsbereichs
- Hochladen: ZIP-Datei mit Profil-Konfiguration und Katalogen
__Vorteile__
- Schnelle Implementierung für neue Organisationseinheiten
- Compliance-Vorlagen für regulierte Branchen
- Standardisierte Bewertungskriterien und Risikomatrizen
- Export und Import von Konfigurationen zwischen Systemen
**Hinweis:** Achtung diese Funktion steht nur Professional-Kunden oder Enterprise-Kunden zur Verfügung.
**Hinweis:** Sie können jeden Scope als Profil downloaden.
### 8. Vorfallmanagement
Hier können Sie je Einheit die White- und Blacklist der E-Mails steuern und eintragen von denen Sie Incidents erhalten möchten.
### Glossar
**ISMS**: Information Security Management System - Managementsystem für Informationssicherheit
**Schutzziel**: Sicherheitsziel zum Schutz von Informationen (Vertraulichkeit, Integrität, Verfügbarkeit)
**Risikomatrix**: Zweidimensionale Darstellung zur Bewertung von Risiken basierend auf Eintrittswahrscheinlichkeit und Auswirkung
**TOG**: Target Object Group - Zielobjektgruppe als Strukturelement im ISMS
**Entity**: Organisationseinheit innerhalb der fuentis Suite
**Scope**: Geltungsbereich des ISMS
**SLA**: Service Level Agreement - Vereinbarung über Verfügbarkeiten
### Kernaussagen auf einen Blick
1. **Schutzziele sind fundamental**: Die Definition und Gewichtung der Schutzziele beeinflusst das gesamte ISMS - planen Sie Änderungen sorgfältig.
2. **Risikomatrix-Größe bewusst wählen**: Die Matrix-Dimension sollte zur Organisationsgröße und Risikokomplexität passen - mehr Detail bedeutet auch mehr Aufwand.
3. **Import gut vorbereiten**: Datenqualität vor dem Import sicherstellen spart Zeit und vermeidet Fehler im produktiven System.
4. **Automatisierung nutzen**: Die automatische Titel-Generierung schafft Konsistenz und spart Zeit bei der Objekterstellung.
5. **Performance im Blick behalten**: Bei großen Datenmengen und komplexen Matrizen auf ausreichende Systemressourcen achten.
## Gap-Analyse (Grundlinie/SoA)
Quelle: https://servicehub.fuentis.com/de/isms/gap-analyse-soa-isms/
Die Gap-Analyse und das Statement of Applicability (SoA) (Grundlinie) bilden das strategische Fundament für den erfolgreichen Aufbau eines Informationssicherheitsmanagementsystems (ISMS). Diese systematischen Werkzeuge ermöglichen es Organisationen, den aktuellen Sicherheitsstatus objektiv zu bewerten und einen klaren Fahrplan zur Erreichung der angestrebten Zertifizierung zu entwickeln.
**Warum sind diese Instrumente unverzichtbar?** In der komplexen Landschaft der Informationssicherheit schaffen sie Transparenz über vorhandene Schutzmaßnahmen und identifizieren präzise, wo Handlungsbedarf besteht. Dies spart nicht nur Zeit und Ressourcen, sondern minimiert auch das Risiko von Compliance-Verstößen und Sicherheitslücken.
### Die Gap-Analyse: Systematische Bestandsaufnahme
#### Definition und Zweck
Eine Gap-Analyse im ISMS-Kontext ist eine strukturierte Methode zur Identifikation der Differenz zwischen dem aktuellen Sicherheitsniveau einer Organisation und den Anforderungen eines spezifischen Standards (ISO 27001, BSI IT-Grundschutz oder branchenspezifische Vorgaben).
#### Kernziele der Gap-Analyse
**1. Ist-Zustand erfassen**
- Dokumentation bestehender Sicherheitsmaßnahmen
- Bewertung der Wirksamkeit implementierter Controls
- Identifikation informeller Sicherheitspraktiken
**Hinweis:** Dies wird im Modul Security-Check/ Modellierung vollzogen.
**2. Soll-Anforderungen definieren**
- Systematischer Abgleich mit Normvorgaben
- Berücksichtigung rechtlicher und vertraglicher Anforderungen
- Integration branchenspezifischer Best Practices
**3. Lücken identifizieren**
- Kategorisierung nach Kritikalität
- Risikobewertung fehlender Maßnahmen
- Priorisierung nach Umsetzungsaufwand
**Hinweis:** Dies wird im Modul Risikoanalyse erledigt.
**4. Maßnahmenplan entwickeln**
- Konkrete Handlungsempfehlungen
- Ressourcenplanung und Budgetierung
- Zeitliche Roadmap zur Zertifizierungsreife
**Hinweis:** Dies ist im Modul Risikomonitoring einsehbar (Risk Treatment Plan)
#### Durchführungsmethodik
Die Gap-Analyse folgt einem strukturierten Prozess:
**Phase 1: Vorbereitung**
- Scope-Definition und Systemgrenzen festlegen
- Projektteam zusammenstellen
- Relevante Dokumentation sammeln
**Phase 2: Erhebung**
- Interviews mit Prozessverantwortlichen
- Sichtung vorhandener Richtlinien und Verfahren
- Technische Überprüfung der IT-Infrastruktur
**Phase 3: Bewertung**
- Abgleich mit Normkatalog
- Reifegradbewertung der Controls
- Dokumentation der Abweichungen
**Phase 4: Ergebnisaufbereitung**
- Erstellung des Gap-Analyse-Berichts
- Visualisierung der Ergebnisse
- Ableitung des Maßnahmenkatalogs
> **Praxis-Tipp:** Führen Sie die Gap-Analyse iterativ durch. Eine initiale Grobanalyse verschafft schnell einen Überblick, während nachfolgende Detailanalysen spezifische Bereiche vertiefen.
### Statement of Applicability (SoA): Das Herzstück der ISO 27001
#### Konzept und Bedeutung
Das Statement of Applicability ist ein zentrales Dokument im ISO 27001 ISMS, das alle 93 Controls aus Anhang A der Norm auflistet und für jede einzelne Maßnahme dokumentiert:
- **Anwendbarkeit:** Ist die Kontrolle für die Organisation relevant?
- **Begründung:** Warum wurde diese Entscheidung getroffen?
- **Umsetzungsstatus:** Wie ist der aktuelle Implementierungsgrad?
- **Referenzen:** Verweis auf unterstützende Dokumente und Nachweise
#### Funktionen des SoA
**1. Nachweis der Risikobehandlung**
Das SoA dokumentiert, wie identifizierte Risiken durch spezifische Controls adressiert werden. Es schafft die Verbindung zwischen Risikoanalyse und Maßnahmenumsetzung.
**2. Zertifizierungsgrundlage**
Auditoren nutzen das SoA als Prüfgrundlage. Es definiert den Scope der Zertifizierung und dient als Checkliste während des Audits.
**3. Kommunikationsinstrument**
Das SoA macht Sicherheitsentscheidungen transparent und nachvollziehbar für Management, Auditoren und Stakeholder.
**4. Compliance-Nachweis**
Es demonstriert die systematische Auseinandersetzung mit allen relevanten Sicherheitsaspekten und begründet bewusste Entscheidungen.
#### Erstellung und Pflege des SoA
**Schritt 1: Control-Bewertung**
Jede der 93 Controls aus ISO 27001 Anhang A wird einzeln bewertet:
- Relevanz für das Geschäftsmodell prüfen
- Risikobezug herstellen
- Kosten-Nutzen-Analyse durchführen
**Schritt 2: Begründung dokumentieren**
- Bei Anwendung: Wie wird die Control umgesetzt?
- Bei Nicht-Anwendung: Warum ist sie nicht relevant?
- Kompensatorische Maßnahmen beschreiben
**Schritt 3: Status festlegen**
- Vollständig implementiert
- Teilweise implementiert (mit Zeitplan)
- Geplant (mit Meilensteinplan)
- Nicht anwendbar (mit Begründung)
**Schritt 4: Kontinuierliche Aktualisierung**
- Regelmäßige Reviews (mindestens jährlich)
- Anpassung bei Änderungen im Scope
- Integration neuer Risiken und Bedrohungen
> **Praxis-Tipp:** Nutzen Sie eine Versionskontrolle für Ihr SoA. Dokumentieren Sie Änderungen nachvollziehbar, um die Entwicklung Ihres ISMS transparent zu machen.
### Integration von BSI IT-Grundschutz
#### Besonderheiten beim IT-Grundschutz
Während ISO 27001 einen risikobasierten Ansatz verfolgt, arbeitet der BSI IT-Grundschutz mit Bausteinen und vordefiniertem Schutzbedarf:
**Basis-Absicherung**
- Standardisierte Maßnahmen für normalen Schutzbedarf
- Schnelle Umsetzung durch Baustein-Katalog
- Geeignet für typische IT-Infrastrukturen
**Standard-Absicherung**
- Erweiterte Maßnahmen für höheren Schutzbedarf
- Zusätzliche organisatorische Controls
- Detailliertere Dokumentationsanforderungen
#### Kombinierter Ansatz
Viele Organisationen nutzen einen hybriden Ansatz:
1. IT-Grundschutz für die IT-Infrastruktur
2. ISO 27001 für organisationsweite Prozesse
3. Branchenstandards für spezifische Anforderungen
### Praktische Umsetzung mit der fuentis Suite
#### Digitale Gap-Analyse
Die fuentis Suite automatisiert wesentliche Schritte der Gap-Analyse.
**Hinweis:** In der fuentis flex-Version können Gap-Analysen direkt im Scoping erstellt werden.
#### SoA-Management
**Zentrale Verwaltung**
- Alle Controls in einer übersichtlichen Matrix
- Filter- und Suchfunktionen
- Versionierung und Änderungshistorie
**Kollaboration**
- Zuweisung von Verantwortlichkeiten
- Kommentarfunktion für Abstimmungen
- Workflow für Freigabeprozesse
**Export und Reporting**
- PDF-Export für Management-Präsentationen
- Audit-konforme Dokumentation
> **Praxis-Tipp:** Nutzen Sie die Exportfunktionen für regelmäßige Management-Reviews. Die visuelle Aufbereitung erleichtert die Kommunikation des ISMS-Fortschritts.
### Best Practices für erfolgreiche Gap-Analysen
#### 1. Top-Management-Unterstützung sichern
- Frühe Einbindung der Geschäftsführung
- Klare Kommunikation des Nutzens
- Ressourcenzusagen dokumentieren
#### 2. Realistische Planung
- Pufferzeiten für unerwartete Findings einplanen
- Iterative Vorgehensweise bevorzugen
- Quick Wins identifizieren und umsetzen
#### 3. Stakeholder einbeziehen
- Fachabteilungen frühzeitig involvieren
- Widerstände durch Transparenz abbauen
- Erfolge kommunizieren
#### 4. Dokumentation von Anfang an
- Entscheidungen nachvollziehbar festhalten
- Nachweise systematisch sammeln
- Audit-Trail aufbauen
#### 5. Kontinuierliche Verbesserung
- Gap-Analyse als wiederkehrenden Prozess etablieren
- Lessons Learned dokumentieren
- KPIs zur Fortschrittsmessung definieren
### Häufige Herausforderungen und Lösungsansätze
#### Herausforderung 1: Unvollständige Bestandsaufnahme
**Problem:** Informelle Sicherheitsmaßnahmen werden übersehen
**Lösung:** Strukturierte Interviews mit operativen Teams, Shadow-IT-Analyse
#### Herausforderung 2: Überambitionierte Ziele
**Problem:** Versuch, alle Gaps gleichzeitig zu schließen
**Lösung:** Risikobasierte Priorisierung, Phasenmodell entwickeln
#### Herausforderung 3: Fehlende Akzeptanz
**Problem:** Controls werden als Bürokratie wahrgenommen
**Lösung:** Nutzen kommunizieren, Prozesse verschlanken, Automatisierung
#### Herausforderung 4: Ressourcenmangel
**Problem:** Budget und Personal für Umsetzung fehlen
**Lösung:** Business Case erstellen, externe Unterstützung, Cloud-Lösungen
### Verbindung zu anderen ISMS-Komponenten
#### Risikoanalyse
- Gap-Analyse identifiziert Risiken durch fehlende Controls
- SoA dokumentiert Risikobehandlung
- Wechselwirkung bei der Priorisierung
#### Prozesslandschaft
- Controls werden in Prozesse integriert
- Prozessverantwortliche für Controls definiert
- KPIs aus Gap-Analyse abgeleitet
#### Internes Audit
- SoA als Audit-Grundlage
- Gap-Analyse-Ergebnisse als Audit-Schwerpunkte
- Kontinuierliche Überwachung der Umsetzung
#### Management Review
- Gap-Analyse-Status als Agenda-Punkt
- SoA-Änderungen zur Genehmigung
- Ressourcenentscheidungen basierend auf Gaps
### Weiterführende Schritte nach der Gap-Analyse
1. **Maßnahmenplan konkretisieren**
- Detaillierte Arbeitspakete definieren
- Verantwortlichkeiten zuweisen
- Meilensteine festlegen
2. **Richtlinien entwickeln**
- Sicherheitsrichtlinie erstellen
- Spezifische Policies ableiten
- Arbeitsanweisungen formulieren
3. **Technische Umsetzung**
- Security-Tools implementieren
- Infrastruktur härten
- Monitoring aufbauen
4. **Awareness schaffen**
- Schulungsprogramm entwickeln
- Security Champions etablieren
- Sicherheitskultur fördern
5. **Zertifizierungsvorbereitung**
- Pre-Audit durchführen
- Dokumentation vervollständigen
- Zertifizierungsstelle auswählen
### Kernaussagen auf einen Blick
✓ **Gap-Analyse als Startpunkt:** Die systematische Bestandsaufnahme schafft Transparenz über den aktuellen Sicherheitsstatus und definiert den Weg zur Zertifizierung
✓ **SoA als zentrales Steuerungsinstrument:** Das Statement of Applicability dokumentiert bewusste Sicherheitsentscheidungen und dient als Nachweis der systematischen Risikobehandlung
✓ **Iterative Vorgehensweise:** Erfolgreiche ISMS-Implementation erfolgt schrittweise mit regelmäßigen Reviews und kontinuierlicher Verbesserung
✓ **Tool-Unterstützung essentiell:** Digitale Lösungen wie die fuentis Suite vereinfachen Verwaltung, Tracking und Reporting erheblich
✓ **Ganzheitlicher Ansatz:** Gap-Analyse und SoA sind keine isolierten Dokumente, sondern integraler Bestandteil des gesamten ISMS-Lebenszyklus
## Incident Management Modul
Quelle: https://servicehub.fuentis.com/de/isms/incident-management-modul-fuentis-suite/
Das Incident Management Modul ist ein integraler Bestandteil des Information Security Management Systems (ISMS) der fuentis Suite. Es ermöglicht Organisationen, Sicherheitsvorfälle strukturiert zu erfassen, zu bewältigen und nachzuvollziehen – ein entscheidender Baustein für die Compliance mit ISO 27001, NIS2 und weiteren regulatorischen Anforderungen.
**Warum ist es relevant?**
In der heutigen Bedrohungslandschaft ist die Fähigkeit, schnell und effektiv auf Sicherheitsvorfälle zu reagieren, geschäftskritisch. Das Modul unterstützt Sie dabei, Incidents systematisch zu managen, regulatorische Meldepflichten zu erfüllen und aus Vorfällen zu lernen.
### Hauptkonzepte und Anforderungen
#### Integration in das ISMS
Das Incident Management ist **keine separate Anwendung**, sondern eine dedizierte Phase innerhalb der ISMS-Struktur. Jeder Incident wird einer spezifischen Entität zugeordnet, wodurch alle Aktionen, Sichtbarkeiten und Behandlungen auf Entitätsebene erfolgen. Sie können das Incident Management Modul nur in der neuen trust-platform erreichen.
#### Kern-Funktionalitäten
##### 1. **Incident Reporting (Vorfallsmeldung)**
- **Mehrere Meldekanäle**: Interne Mitarbeiter, externe Stakeholder, IT-Monitoring-Systeme
- **Externe Meldeformulare**: Öffentlich zugängliche Formulare für Personen ohne direkten Systemzugang
- **E-Mail-Verifizierung**: Schutz vor Missbrauch durch Validierung externer Meldungen
- **Kategorisierung**: Automatische oder manuelle Klassifizierung (z.B. Phishing, Ransomware, Datenleck)
- **Priorisierung**: Schweregrad-Zuweisung basierend auf Impact und Wahrscheinlichkeit
**Hinweis:** Sie können natürlich Vorfälle direkt in der Useroberfläche erstellen. Sie können aber auch das Meldeportal nutzen und diesen Link Ihren Mitarbeitern zur Verfügung stellen. So müssen diese keine eigenen User-Accounts erhalten. Klicken Sie dafür einfach auf das "Fragezeichen"-Icon oben rechts am Bildschirm und kopieren Sie den Link für das Vorfallsportal aus dem sich öffnenden Slide-Over.
##### 2. **Incident-Lifecycle Management**
**Report-Status-Workflow:**
- **Unverified**: Eingang externer Meldung
- **Submitted**: E-Mail-verifizierte Meldung
- **Accepted**: Als tatsächlicher Incident angenommen
- **False Positive/Spam**: Abgelehnte Meldungen
**Incident-Status-Progression:**
1. **New Incident**: Initial nach Annahme
2. **Under Investigation**: Aktive Analyse läuft
3. **Ongoing**: Bestätigter Vorfall, Gegenmaßnahmen laufen
4. **Escalated**: Eskalation an höhere Ebene (optional)
5. **Mitigated/Contained**: Bedrohung neutralisiert
6. **Resolved**: Vollständig behoben
##### 3. **Workflow Management**
- **Zuweisung & Eskalation**: Klare Verantwortlichkeiten und Eskalationspfade
- **Status-Tracking**: Lückenlose Nachverfolgung des Incident-Fortschritts
- **SLA-Management**: Überwachung von Reaktions- und Lösungszeiten
##### 4. **Dokumentation & Audit-Trail**
- **Zentrales Repository**: Sichere Speicherung aller Incident-Records
- **Metadaten-Tracking**: Zeitstempel, betroffene Systeme, durchgeführte Aktionen
- **ISMS-Asset-Verknüpfung**: Direkte Verbindung zu betroffenen TOGs (Target Object Groups)
#### NIS2-Compliance Features
Das Modul unterstützt spezifisch die Anforderungen der NIS2-Richtlinie:
- **Meldepflichten**: Vordefinierte Templates für behördliche Meldungen
- **Zeitfristen-Überwachung**: Automatische Erinnerungen für 24h/72h Meldefristen
- **Audit-Trail**: Vollständige Dokumentation für Compliance-Nachweise
### Umsetzungshilfen und Best Practices
#### Organisatorische Vorbereitung
##### Rollen und Verantwortlichkeiten definieren
**Incident Manager**
- Triage externer Meldungen
- Status-Übersicht aller Incidents
- Eskalationsentscheidungen
**Incident Handler**
- Operative Bearbeitung zugewiesener Incidents
- Dokumentation von Maßnahmen
- Status-Updates
**Krisenstab (bei Major Incidents)**
- Strategische Entscheidungen
- Externe Kommunikation
- Business Continuity Koordination
##### Dashboard & Monitoring
Empfohlene Dashboard-Widgets:
- **Incidents by Status**: Übersicht aktiver Vorfälle
- **SLA Compliance**: Einhaltung von Reaktionszeiten
- **Trend Analysis**: Incident-Entwicklung über Zeit
- **Top Threat Categories**: Häufigste Vorfallstypen
#### Praxis-Tipps
> **Praxis-Tipp: Incident Response Playbooks**
> Erstellen Sie vordefinierte Playbooks für häufige Incident-Typen. Diese können als Vorlagen im System hinterlegt und bei Bedarf aktiviert werden.
> **Praxis-Tipp: Regelmäßige Übungen**
> Führen Sie quartalsweise Incident-Response-Übungen durch. Nutzen Sie die Test-Umgebung der fuentis Suite für realistische Simulationen.
> **Praxis-Tipp: Lessons Learned**
> Etablieren Sie einen strukturierten Prozess für Post-Incident-Reviews. Die Erkenntnisse sollten direkt in die Risikobewertung und Maßnahmenplanung einfließen.
#### Glossar
**BAO (Betriebliche Aufbauorganisation)**: Krisenmanagementstruktur mit strategischer, taktischer und operativer Ebene
**CSIRT (Computer Security Incident Response Team)**: Spezialisiertes Team für IT-Sicherheitsvorfälle
**False Positive**: Fehlalarm; gemeldeter Vorfall, der sich als unbedenklich herausstellt
**Major Incident**: Schwerwiegender Vorfall mit erheblichen Auswirkungen auf kritische Geschäftsprozesse
**MTTD/MTTR**: Mean Time to Detect / Mean Time to Respond - KPIs für Incident Response
**SLA (Service Level Agreement)**: Vereinbarte Reaktions- und Lösungszeiten
**TOG (Target Object Group)**: Zielobjektgruppe im ISMS; strukturelle Einheit für Asset-Gruppierung
**Triage**: Erstbewertung und Priorisierung eingehender Incident-Meldungen
### Kernaussagen auf einen Blick
**Integraler ISMS-Bestandteil**: Das Incident Management ist keine Standalone-Lösung, sondern tief in die ISMS-Struktur integriert
**Compliance-Ready**: Erfüllt die Anforderungen von ISO 27001, NIS2 und BSI IT-Grundschutz out-of-the-box
**Strukturierter Lifecycle**: Klare Status-Progression von der Meldung bis zur Schließung mit vollständiger Audit-Trail
**Flexible Architektur**: Skaliert von Einzelmandanten (Standard) bis zu komplexen Multi-Entity-Szenarien (Professional/Enterprise)
**Praxisorientiert**: Unterstützt reale Incident-Response-Prozesse mit Playbooks, Eskalation und Lessons Learned Integration
## Modellierung
Quelle: https://servicehub.fuentis.com/de/isms/isms-security-check-fuentis-suite/
In der modernen Arbeitswelt sind Informationen zu einer kritischen Ressource geworden. Ihr Schutz ist nicht nur eine technische Herausforderung, sondern eine strategische Notwendigkeit für jede Organisation. Die **ISMS-Modellierung** (Information Security Management System) bildet das Herzstück eines systematischen Ansatzes zur Informationssicherheit.
#### Warum ist die ISMS-Modellierung relevant?
Informationen repräsentieren das "Wissen" einer Organisation – eine essenzielle Ressource für moderne Managementsysteme. Die strukturierte Modellierung von Sicherheitsanforderungen ermöglicht es:
- **Compliance-Anforderungen** systematisch zu erfüllen (ISO 27001, BSI IT-Grundschutz)
- **Sicherheitsrisiken** objektbezogen zu bewerten und zu behandeln
- **Schutzmaßnahmen** zielgerichtet auf Assets (TOGs) und Geltungsbereiche anzuwenden
- **Audit-Fähigkeit** durch nachvollziehbare Dokumentation sicherzustellen
### Kernkonzepte der ISMS-Modellierung
#### Die vier Säulen der Sicherheitsmodellierung
Die ISMS-Modellierung basiert auf vier zentralen Sicherheitsobjekten, die aufeinander aufbauen:
**Achtung:** Dieses Vorgehen orientiert sich an beiden Standards (ISO) und BSI - Sie können jedoch auch die entsprechenden Funktionen jeweils weglassen.
#### 1. **Bausteine (Modules)**
Bausteine sind thematische Gruppierungen von Sicherheitsanforderungen, Gefährdungen und Maßnahmen.
**Eigenschaften:**
- Kategorisierung nach Schutzbereichen (z.B. Netzwerksicherheit, Zugriffskontrolle)
- Verknüpfung mit TOGs (Target Objects) und Scopes
- Automatische Statusberechnung basierend auf verknüpften Anforderungen
- Audit-Tracking mit Dokumentation von Prüfzyklen
#### 2. **Anforderungen (Requirements)**
Konkrete Sicherheitsvorgaben, die erfüllt werden müssen, um den Schutz zu gewährleisten.
**Eigenschaften:**
- Detaillierte Beschreibung der Sicherheitsvorgabe
- Implementierungsstatus (Umgesetzt, Teilweise, Nicht umgesetzt, Verzichtbar)
- Verknüpfung mit Prüffragen für Audits
- Zuordnung zu übergeordneten Bausteinen
#### 3. **Maßnahmen (Measures)**
Praktische Umsetzungsschritte zur Erfüllung der Anforderungen.
**Eigenschaften:**
- Konkrete Handlungsanweisungen
- Verantwortlichkeitszuordnung
- Zeitliche Planung und Priorisierung
- Verknüpfung mit mehreren Anforderungen möglich
#### 4. **Kontrollen (Controls)**
Überprüfungsmechanismen zur Validierung der Maßnahmenumsetzung.
**Eigenschaften:**
- Prüfkriterien und -methoden
- Audit-Zyklen und Nachweisführung
- Wirksamkeitsbewertung
- Integration in das kontinuierliche Verbesserungsmanagement
### Statusberechnung und Bewertungslogik
Die fuentis Suite verwendet eine intelligente Statusberechnung, die den Umsetzungsgrad automatisch aggregiert:
#### Statuslogik für Bausteine
1. **UNDEFINIERT**: Mindestens ein verknüpftes Element hat undefinierten Status
2. **IMPLEMENTIERT**: Alle verknüpften Elemente sind implementiert oder verzichtbar
3. **NICHT IMPLEMENTIERT**: Alle verknüpften Elemente sind nicht implementiert
4. **TEILWEISE**: Gemischter Implementierungsstatus (Standardfall)
> **Praxis-Tipp**: Die automatische Statusberechnung ermöglicht eine Echtzeit-Übersicht über den Sicherheitsstatus. Nutzen Sie Dashboard-Ansichten für Management-Reporting!
**Hinweis:** Bausteine berechnen sich aus dem gesamten Status aller verknüpften Anforderungen und Maßnahmen.
#### Kaskadierung der Bewertung
Der Status propagiert sich von unten nach oben:
- Maßnahmen → Anforderungen
- Anforderungen → Bausteine
- Bausteine → TOG/Scope-Gesamtstatus
Diese Kaskadierung gewährleistet, dass der Gesamtstatus immer den schwächsten Punkt reflektiert (konservatives Prinzip).
**Hinweis:** Sie können die Kette auch direkt bei Anforderungen und Maßnahmen abkürzen.
### Arbeiten mit der Security Check Phase
#### Zugriffssteuerung und Berechtigungen
Der Zugriff auf die Modellierungsphase wird über ein granulares Berechtigungssystem gesteuert:
**Globale Rolle:**
- `ISMS_SECURITY_CHECK_ACCESS`: Grundvoraussetzung für den Zugriff
**Funktionsspezifische Berechtigungen:**
- **Modules**: Read, Create, Edit, Delete, Add Reference
- **Requirements**: Read, Create, Edit, Delete, Convert to Custom
- **Measures**: Read, Create, Edit, Delete, Link
- **Controls**: Read, Edit, Delete
- **Review Questions**: Create, Edit, Delete
#### Objektzuordnung und Referenzierung
Ein zentrales Feature ist die flexible Objektzuordnung:
**Direkte Zuordnung:**
- Katalog-basierte Objekte aus Standards (ISO, BSI)
- Benutzerdefinierte Objekte für spezifische Anforderungen
**Referenzierung:**
- Wiederverwendung bereits zugeordneter Objekte
- Cross-TOG-Referenzen für konsistente Anforderungen
- Vermeidung von Redundanzen
> **Praxis-Tipp**: Nutzen Sie Referenzen für unternehmensweite Anwendung! Einmal definiert, mehrfach angewendet.
#### Prüffragen und Audit-Integration
Prüffragen (Review Questions) bilden die Brücke zwischen Anforderungen und Audits:
**Funktionsweise:**
1. Definition spezifischer Prüfkriterien pro Anforderung
2. Strukturierte Erfassung von Audit-Ergebnissen
3. Nachweisdokumentation und Belegverwaltung
4. Automatische Maßnahmenableitung bei Abweichungen
### Best Practices für die Umsetzung
#### 1. Strukturiertes Vorgehen
**Phase 1: Grundlagenmodellierung**
- TOG-Strukturierung und Scope-Definition
- Auswahl relevanter Standard-Bausteine
- Initiale Statuserhebung
**Phase 2: Detaillierung**
- Anforderungsanpassung an Organisationskontext
- Definition spezifischer Maßnahmen
- Verantwortlichkeitszuordnung
**Phase 3: Operationalisierung**
- Implementierung der Maßnahmen
- Einrichtung von Kontrollen
- Audit-Planung
#### 2. Katalog vs. Custom Objects
**Wann Standard-Kataloge nutzen?**
- Basis-Compliance mit ISO/BSI
- Branchenstandards
- Schneller Start
**Wann Custom Objects erstellen?**
- Organisationsspezifische Anforderungen
- Branchenspezifika
- Interne Policies
#### 3. Export/Import-Workflow
Die Offline-Bearbeitung ermöglicht:
- **Bulk-Updates** in Excel
- **Review-Prozesse** ohne Systemzugriff
- **Archivierung** für Compliance-Nachweise
**Workflow:**
1. Export der relevanten Sicherheitsobjekte (z.B. Bausteine)
2. Offline-Bearbeitung in strukturiertem Format
3. Validierung vor Re-Import
4. Import mit automatischer Konsistenzprüfung
> **Wichtig**: Der Import kann nur fehlerfrei verlaufen, wenn die exportierte Datei, bei der Zielobjekt-Gruppe importiert wird, wo sie auch exportiert wurde.
> **Praxis-Tipp**: Nutzen Sie den Export für Quartals-Reviews! Stakeholder können Änderungen in gewohnter Excel-Umgebung vornehmen.
### So unterstützt die fuentis Suite
Die fuentis Suite bietet eine integrierte Umgebung für die ISMS-Modellierung:
#### Automation & Effizienz
- **Automatische Statusberechnung** reduziert manuellen Aufwand
- **Bulk-Operationen** für effiziente Massenpflege
- **Template-basierte** Objekterstellung
#### Collaboration & Workflow
- **Rollenbasierte Zugriffe** für verteilte Teams
- **Kommentarfunktionen** für Abstimmungen
- **Versionierung** für Nachvollziehbarkeit
#### Reporting & Compliance
- **Dashboard-Visualisierungen** für Management
- **Compliance-Reports** für Auditoren
- **Export-Funktionen** für externe Stakeholder
#### Glossar
**TOG (Target Object Group)**: Gruppierung von Assets mit ähnlichen Sicherheitsanforderungen
**Scope**: Geltungsbereich des ISMS, definiert organisatorische und technische Grenzen
**Security Object (SO)**: Oberbegriff für Bausteine, Anforderungen, Maßnahmen und Kontrollen
**Custom Object**: Benutzerdefiniertes Sicherheitsobjekt außerhalb von Standard-Katalogen
**Review Question (RQ)**: Strukturierte Prüffrage zur Audit-Durchführung
### Kernaussagen auf einen Blick
✓ **Strukturierte Sicherheit**: Die ISMS-Modellierung transformiert abstrakte Sicherheitsanforderungen in konkrete, nachvollziehbare Maßnahmen
✓ **Automatisierte Compliance**: Durch Katalog-Integration und Statusberechnung wird Compliance-Management effizient und transparent
✓ **Flexible Anpassung**: Die Kombination aus Standard-Katalogen und Custom Objects ermöglicht maßgeschneiderte Sicherheitskonzepte
✓ **Audit-Ready**: Integrierte Prüffragen und Nachweisführung gewährleisten jederzeitige Audit-Bereitschaft
✓ **Kontinuierliche Verbesserung**: Die Verknüpfung von Anforderungen, Maßnahmen und Kontrollen schafft einen geschlossenen Verbesserungskreislauf
## Risikoanalyse
Quelle: https://servicehub.fuentis.com/de/isms/risikoanalyse-isms/
Die Risikoanalyse bildet das Fundament eines jeden Informationssicherheitsmanagementsystems (ISMS). Sie ist der strukturierte Prozess zur systematischen **Identifikation, Bewertung und Behandlung** von Risiken im Bereich der Informationssicherheit. Ohne eine fundierte Risikoanalyse können Organisationen ihre kritischen Informationswerte nicht angemessen schützen.
#### Kernziele der Risikoanalyse
* **Transparenz schaffen:** Potenzielle Gefahren für Informationswerte sichtbar machen
* **Priorisierung ermöglichen:** Ressourcen gezielt auf die größten Risiken konzentrieren
* **Compliance sicherstellen:** Regulatorische Anforderungen (ISO 27001, BSI IT-Grundschutz) erfüllen
* **Proaktivität fördern:** Von reaktiver zu präventiver Sicherheitsstrategie wechseln
#### Relevanz im ISMS-Kontext
Gemäß **ISO 27001:2022** ist die Risikoanalyse nicht optional, sondern **zentraler Bestandteil** des ISMS. Sie dient als Grundlage für:
- Die Auswahl angemessener Sicherheitsmaßnahmen (Controls aus Anhang A)
- Die Erstellung des Statement of Applicability (SoA)
- Die kontinuierliche Verbesserung der Informationssicherheit
> **Praxis-Tipp:** Eine Risikoanalyse ist besonders dann erforderlich, wenn Assets einen hohen oder sehr hohen Schutzbedarf in Bezug auf Vertraulichkeit, Integrität oder Verfügbarkeit aufweisen.
### Methodische Ansätze: ISO 27001 vs. BSI IT-Grundschutz
#### ISO 27001 Ansatz
**Charakteristika:**
- **Flexibel und individuell:** Organisation definiert eigene Methodik
- **Risikobasiert:** Kontinuierliche Bewertung und Anpassung
- **International anerkannt:** Weltweiter Standard
- **Anspruchsvoll:** Erfordert methodische Reife
**Geeignet für:**
- International tätige Unternehmen
- Organisationen mit spezifischen Anforderungen
- Branchen mit hohen regulatorischen Anforderungen (Finanzwesen, Gesundheitswesen)
#### BSI IT-Grundschutz Ansatz
**Charakteristika:**
- **Strukturiert und umfassend:** Vordefinierte Module und Gefährdungskataloge
- **Schichtenmodell:** Mehrere Sicherheitsebenen reduzieren Abhängigkeit von präziser Bewertung
- **Praxisorientiert:** Basiert auf bewährten Standards
- **Geführt:** Klare Vorgaben und Leitlinien
**Geeignet für:**
- Deutsche Behörden und öffentliche Verwaltung
- Unternehmen mit komplexen IT-Landschaften
- Organisationen mit weniger Erfahrung in Risikobewertung
> **Best Practice:** Viele Organisationen kombinieren beide Ansätze - nutzen die Struktur des IT-Grundschutzes mit der Flexibilität von ISO 27001.
### Der Risikomanagement-Prozess im Detail
#### 1. Asset-Identifikation
**Ziel:** Vollständige Erfassung aller schützenswerten Informationswerte
**Vorgehen:**
- **Inventarisierung:** Hardware, Software, Daten, Prozesse und Personen erfassen
- **Gruppierung:** Ähnliche Assets zu Target Object Groups (TOG) zusammenfassen
- **Klassifizierung:** Schutzbedarf (normal, hoch, sehr hoch) festlegen
**Praxis-Beispiel:**
Statt 500 einzelne Server zu bewerten, werden diese nach Betriebssystem, Funktion oder Kritikalität gruppiert (z.B. "Alle Oracle Linux Server - Produktion").
#### 2. Risikoidentifikation
**Ziel:** Bedrohungen und Schwachstellen systematisch erfassen
**Komponenten:**
- **Bedrohungen (Threats):** Was könnte schief gehen?
- **Schwachstellen (Vulnerabilities):** Wo sind wir verwundbar?
- **Schadensszenarien:** Was wären die Folgen?
**Kataloge und Quellen:**
- BSI IT-Grundschutz-Kompendium (Gefährdungskatalog)
- CVE-Datenbanken für technische Schwachstellen
- Branchenspezifische Threat Intelligence
#### 3. Risikobewertung
**Zentrale Konzepte:**
##### Inhärentes Risiko (Inherent Risk)
**Definition:** Das Risiko ohne jegliche Schutzmaßnahmen - die "nackte" Bedrohungslage.
**Beispiel:** Unverschlüsselte Datenübertragung bei Server-Migration
- Eintrittswahrscheinlichkeit: Hoch
- Schadenspotenzial: 175.000€
- Inhärentes Risiko: **Hoch**
##### Zielrisiko (Target Risk)
**Definition:** Das akzeptable Risikoniveau nach Umsetzung von Maßnahmen - im Einklang mit der Risikobereitschaft der Organisation.
**Festlegung basiert auf:**
- Regulatorischen Anforderungen
- Geschäftszielen
- Stakeholder-Erwartungen
- Kosten-Nutzen-Abwägung
#### 4. Risikobehandlung
**Vier Strategien:**
##### A. Risikominderung (Risk Reduction)
- **Häufigste Strategie:** Controls implementieren
- **Beispiel:** Verschlüsselung, Zugriffskontrollen, Monitoring
- **Umsetzung:** Controls aus ISO 27001 Anhang A auswählen
##### B. Risikovermeidung (Risk Avoidance)
- **Aktivität einstellen:** Risikoquelle eliminieren
- **Beispiel:** Verzicht auf Cloud-Speicherung kritischer Daten
- **Wann sinnvoll:** Risiko übersteigt jeden möglichen Nutzen
##### C. Risikotransfer (Risk Transfer)
- **Verantwortung verlagern:** Versicherung oder Outsourcing
- **Beispiel:** Cyber-Versicherung, Managed Security Services
- **Wichtig:** Risiko bleibt bestehen, nur Verantwortung wird geteilt
##### D. Risikoakzeptanz (Risk Acceptance)
- **Bewusste Entscheidung:** Risiko tolerieren
- **Voraussetzung:** Innerhalb der Risikotoleranz
- **Dokumentation:** Formale Akzeptanz durch Management erforderlich
#### 5. Restrisiko-Management
**Definition:** Das verbleibende Risiko nach Umsetzung aller Maßnahmen.
**Prozess:**
1. Wirksamkeit der implementierten Controls bewerten
2. Restrisiko neu berechnen
3. Mit Zielrisiko vergleichen
4. Bei Bedarf weitere Maßnahmen ergreifen oder formal akzeptieren
> **Praxis-Tipp:** Restrisiko ist nie Null - es geht um ein akzeptables Niveau, nicht um Perfektion.
#### Der 5-Schritte-Workflow
1. **Risikoidentifikation** (Gelb)
- Bedrohungen zuweisen
- Schwachstellen dokumentieren
- Schadensszenarien definieren
2. **Risikobewertung** (Gelb)
- Inhärentes Risiko festlegen
- Zielrisiko definieren
- Dokumentation ergänzen
3. **Risikobehandlung** (Gelb)
- Strategie wählen
- Maßnahmen planen
- Verantwortliche zuweisen
4. **Risikominderung** (Gelb)
- Controls implementieren
- Maßnahmen umsetzen
- Status überwachen
5. **Restrisiko** (Grün = Abgeschlossen)
- Restrisiko bewerten
- Akzeptanz einholen
- Dokumentation vervollständigen
**Farbcodierung:**
- **Grün:** Schritt abgeschlossen
- **Gelb:** In Bearbeitung
- **Grau:** Noch nicht begonnen
#### Berechtigungskonzept
**Globale Rolle:** `ISMS_RISKS_ANALYSIS_ACCESS`
- Grundvoraussetzung für Zugriff auf Risikoanalyse
**Granulare Berechtigungen:**
- Risks - Read/Create/Edit/Delete
- Threats - Assign/Edit/Delete
- Measures - Create/Edit/Delete
- Controls - Assign/Edit/Delete
- Vulnerabilities - Create/Edit/Delete
### Glossar
**Asset:** Jeder Wert für die Organisation (Hardware, Software, Daten, Prozesse, Personal)
**Control:** Sicherheitsmaßnahme zur Risikominderung (technisch, organisatorisch, physisch)
**CVE:** Common Vulnerabilities and Exposures - Datenbank bekannter Schwachstellen
**GRC:** Governance, Risk Management, and Compliance
**Inhärentes Risiko:** Risiko ohne Berücksichtigung von Kontrollen
**Restrisiko:** Verbleibendes Risiko nach Umsetzung von Maßnahmen
**SoA:** Statement of Applicability - Anwendbarkeitserklärung für ISO 27001
**TOG:** Target Object Group - Gruppierung ähnlicher Assets im ISMS
**Zielrisiko:** Angestrebtes/akzeptables Risikoniveau
### Kernaussagen auf einen Blick
**Risikoanalyse ist Pflicht:** Ohne systematische Risikoanalyse keine ISO 27001 Zertifizierung und kein wirksames ISMS.
**Methodik wählen:** ISO 27001 für Flexibilität, BSI IT-Grundschutz für Struktur - oder beides kombinieren.
**5-Phasen-Prozess:** Asset-Identifikation → Risikoidentifikation → Bewertung → Behandlung → Restrisiko-Management.
**Tool-Unterstützung essentiell:** Manuelle Risikoanalyse ist bei komplexen Umgebungen nicht mehr zeitgemäß.
**Kontinuität statt Projekt:** Risikoanalyse ist ein fortlaufender Prozess, keine einmalige Aktivität.
## Risikomonitoring
Quelle: https://servicehub.fuentis.com/de/isms/risk-monitoring/
Das Risikomanagement ist ein zentraler Baustein jedes Informationssicherheitsmanagementsystems (ISMS). Es ermöglicht Organisationen, potenzielle Gefährdungen für ihre Informationswerte systematisch zu identifizieren, zu bewerten und durch geeignete Maßnahmen zu behandeln. Die fuentis Suite bietet hierfür eine integrierte Lösung, die sowohl die Anforderungen der ISO 27001 als auch des BSI IT-Grundschutzes erfüllt.
#### Warum ist Risikomanagement relevant?
Ohne ein strukturiertes Risikomanagement können Organisationen:
- Kritische Sicherheitslücken übersehen
- Ressourcen ineffizient einsetzen
- Compliance-Anforderungen verfehlen
- Bei Sicherheitsvorfällen unvorbereitet sein
- Das Vertrauen von Kunden und Partnern verlieren
Die kontinuierliche Risikobewertung ist nicht nur eine Anforderung internationaler Standards, sondern auch ein geschäftskritischer Prozess zum Schutz sensibler Informationen und zur Aufrechterhaltung der Geschäftskontinuität.
**Hinweis:** Das Risikomonitoring-Modul speist sich aus den Informationen aus dem Risikomodul der fuentis Suite. Sie können hier eine gesamt Übersicht erhalten.
### Die Risikoübersicht als zentrales Instrument
Die Risikoübersicht in der fuentis Suite bietet eine **dynamische Visualisierung der ISMS-Entwicklung** über definierte Zeiträume. Sie ermöglicht es, die Veränderung von Risikopositionen nachzuvollziehen und den Erfolg von Risikominderungsmaßnahmen zu dokumentieren.
#### Risikobehandlungen
**Hier können Sie alle Risiken und die zugehörigen Risikobehandlungen einer Einheit im Detail sich anschauen. Klicken Sie dafür einfach auf das Risiko um eine Detailansicht zu öffnen**
**Risiko-Titel & Status**
- Anzeige des **Risikonamens** mit passendem **Icon**.
- **Status-Badge** in Farbe (Rot / Orange / Gelb / Grün) zeigt den aktuellen Risikostatus.
**Interaktion & Navigation**
- **Collapsible-Buttons (+/–):** Ein- und Ausklappen von Kontroll- und Maßnahmenlisten.
- **Asset-Links:** Direkte Navigation zu verknüpften Assets.
- **Farbcodierung (durchgehend):**
- Grün = Gering / Umgesetzt / OK
- Gelb / Orange = Mittel / In Bearbeitung
- Rot = Hoch / Kritisch / Überfällig
##### Kernfunktionen der Risikoübersicht:
**1. Risikowerte-Tab**
- Auswahl von Organisationseinheiten oder Geltungsbereichen (Scopes)
- Filterung nach verschiedenen Zielobjekt-Typen (Assets)
- Anzeige von Risikotitel, Risikobeziehung und aktuellem Status
- Mehrfachauswahl für vergleichende Analysen
**2. Risikomatrix-Visualisierung**
- Darstellung der für den Geltungsbereich definierten Risikomatrix
- Auswahl verschiedener Risikotypen (z.B. Bruttorisiko, Nettorisiko, Restrisiko)
- Farbkodierte Darstellung zur schnellen Erfassung kritischer Bereiche
**3. Zeitbasierte Analyse**
- **Vordefinierte Zeiträume**: Schnellauswahl für Standardperioden
- **Benutzerdefinierte Zeiträume**: Flexible Anpassung an individuelle Anforderungen
- **Schrittweiten-Konfiguration**: Granularität der zeitlichen Betrachtung (täglich, wöchentlich, monatlich)
- **Zeitschienen-Slider**: Interaktive Navigation durch die Risikohistorie
#### Risikobehandlung – Von der Analyse zur Maßnahme
Die Risikobehandlung erfolgt in der fuentis Suite durch einen strukturierten Workflow:
##### Prozessschritte der Risikobehandlung:
**1. Risikoidentifikation und -auswahl**
- Übersicht aller identifizierten Risiken im linken Navigationsbereich
- Statusanzeige zur schnellen Priorisierung (offen, in Bearbeitung, behandelt)
- Direkte Navigation zu kritischen Risiken
**2. Detailanalyse**
- Vollständige Risikobeschreibung mit allen relevanten Attributen
- Verknüpfung zu betroffenen Zielobjekt-Gruppen (Assets)
- Historische Entwicklung des Risikowerts
**3. Maßnahmenplanung**
- Definition von Risikominderungsmaßnahmen
- Zuordnung von Verantwortlichkeiten
- Festlegung von Umsetzungsfristen
- Dokumentation der erwarteten Risikoreduktion
**4. Nachverfolgung**
- Monitoring des Implementierungsstatus
- Wirksamkeitsprüfung der Maßnahmen
- Anpassung bei Bedarf
#### Praxis-Tipps für effektives Risikomanagement
> **Praxis-Tipp: Regelmäßige Risikoreviews**
> Etablieren Sie einen festen Rhythmus für Risikoreviews (z.B. quartalsweise). Nutzen Sie die Zeitverlaufsfunktion, um Trends zu identifizieren und proaktiv zu handeln.
> **Praxis-Tipp: Schrittweiten optimal nutzen**
> Für strategische Betrachtungen wählen Sie größere Schrittweiten (monatlich/quartalsweise). Für operative Analysen nach Sicherheitsvorfällen nutzen Sie tägliche oder wöchentliche Schritte.
> **Praxis-Tipp: Multi-Scope-Analyse**
> Vergleichen Sie Risikoprofile verschiedener Organisationseinheiten oder Standorte, um Best Practices zu identifizieren und Synergien zu nutzen.
> **Praxis-Tipp: Dokumentation für Audits**
> Exportieren Sie regelmäßig PDF-Berichte zu festgelegten Stichtagen. Diese dienen als Nachweis der kontinuierlichen Risikoüberwachung bei Zertifizierungsaudits.
#### So unterstützt die fuentis Suite Sie konkret
Die fuentis Suite bietet mehrere Alleinstellungsmerkmale für das Risikomanagement:
**1. Integrierte Compliance-Unterstützung**
- Vorkonfigurierte Risikokataloge für ISO 27001 und BSI IT-Grundschutz
- Automatische Verknüpfung von Risiken mit Anforderungen (Controls)
- Gap-Analyse zur Identifikation von Handlungsbedarfen
**2. Flexible Risikobewertung**
- Anpassbare Risikomatrizen (3x3, 4x4, 5x5)
- Konfigurierbare Bewertungskriterien
- Unterstützung verschiedener Risikotypen (Brutto-, Netto-, Restrisiko)
**3. Workflow-Automatisierung**
- Automatische Benachrichtigungen bei Schwellwertüberschreitungen
- Eskalationsmechanismen für kritische Risiken
- Wiedervorlage-Funktionen für Risikoreviews
**4. Mandantenfähigkeit**
- Separate Risikobewertungen für verschiedene Organisationseinheiten
- Konsolidierte Berichterstattung auf Konzernebene
- Rollenbasierte Zugriffssteuerung
**5. Historisierung und Audit-Trail**
- Vollständige Nachvollziehbarkeit aller Änderungen
- Revisionssichere Dokumentation
- Compliance-konforme Archivierung
### Integration mit anderen ISMS-Komponenten
Das Risikomanagement ist keine isolierte Funktion, sondern eng verzahnt mit anderen ISMS-Bereichen:
#### Verknüpfung mit Asset Management
- Risiken werden direkt Zielobjekten (Assets) zugeordnet
- Schutzbedarfsfeststellung fließt in Risikobewertung ein
- Kritikalität von Assets bestimmt Priorisierung
#### Verbindung zu Maßnahmenkatalogen
- Automatische Vorschläge aus Control-Bibliotheken
- Mapping zu Annex A (ISO 27001) oder BSI-Bausteinen
- Wirksamkeitsprüfung implementierter Controls
#### Business Continuity Management (BCM)
- Identifikation geschäftskritischer Risiken
- Grundlage für Business Impact Analysis (BIA)
- Notfallplanung basierend auf Risikoszenarien
#### Glossar wichtiger Begriffe
**Bruttorisiko/ Inhärentes Risiko**: Risikobewertung ohne Berücksichtigung vorhandener Maßnahmen
**Nettorisiko**: Risikobewertung unter Berücksichtigung bereits implementierter Maßnahmen
**Restrisiko**: Verbleibendes Risiko nach Umsetzung aller geplanten Maßnahmen
**Risikomatrix**: Grafische Darstellung zur Einordnung von Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe
**Scope (Geltungsbereich)**: Definierter Bereich der Organisation, für den das ISMS gilt
**Zielobjekt (Asset)**: Schützenswerte Ressource (Information, System, Prozess)
**Control**: Maßnahme zur Risikominderung (technisch, organisatorisch oder physisch)
**Gap-Analyse**: Systematische Identifikation von Lücken zwischen Ist- und Soll-Zustand
### Kernaussagen auf einen Blick
✓ **Ganzheitlicher Ansatz**: Die fuentis Suite bietet eine integrierte Risikomanagement-Lösung, die nahtlos mit allen ISMS-Komponenten verzahnt ist und sowohl ISO 27001 als auch BSI IT-Grundschutz unterstützt.
✓ **Zeitbasierte Analyse**: Durch die einzigartige Zeitverlaufsfunktion können Sie die Entwicklung Ihrer Risikosituation nachvollziehen und den Erfolg von Maßnahmen dokumentieren – essentiell für Audits und Management-Reviews.
✓ **Flexibilität und Standardkonformität**: Anpassbare Risikomatrizen, konfigurierbare Bewertungskriterien und vorkonfigurierte Kataloge ermöglichen sowohl Compliance als auch organisationsspezifische Anpassungen.
✓ **Durchgängiger Workflow**: Von der Risikoidentifikation über die Bewertung bis zur Maßnahmenumsetzung und Nachverfolgung – alle Schritte sind in einem System abgebildet und revisionssicher dokumentiert.
✓ **Entscheidungsunterstützung**: Umfassende Export- und Reporting-Funktionen liefern die Grundlage für fundierte Managemententscheidungen und transparente Kommunikation mit Stakeholdern.
## Schutzbedarfsfeststellung
Quelle: https://servicehub.fuentis.com/de/isms/schutzbedarfsfeststellung-pra/
Die Schutzbedarfsfeststellung (Protection Requirements Assessment, PRA) ist ein zentraler Baustein im IT-Sicherheitskonzept nach IT-Grundschutz und ISO/IEC 27001. Sie beantwortet die grundlegende Frage: **Wie viel Schutz benötigen unsere Informationen, Anwendungen und IT-Systeme?**
Durch eine systematische Analyse wird ermittelt, welche Assets kritisch für das Unternehmen sind und welche Sicherheitsmaßnahmen angemessen sind. Dies schafft die Grundlage für ein effizientes und effektives Informationssicherheitsmanagementsystem (ISMS).
#### Warum ist die Schutzbedarfsfeststellung relevant?
- **Ressourcenoptimierung**: Sicherheitsmaßnahmen werden gezielt dort eingesetzt, wo sie am meisten benötigt werden
- **Transparenz**: Nachvollziehbare Begründung für Sicherheitsinvestitionen
- **Compliance**: Erfüllung regulatorischer Anforderungen (BSI IT-Grundschutz, ISO 27001)
- **Risikominimierung**: Systematische Identifikation und Bewertung von Schutzbedarfen
- **Priorisierung**: Klare Entscheidungsgrundlage für die Umsetzung von Schutzmaßnahmen
### Die drei Schutzziele im Detail
**Hinweis:** Sie können die Schutzziele und Werte in den Einstellungen anpassen.
Die Schutzbedarfsfeststellung basiert auf den drei fundamentalen Schutzzielen der Informationssicherheit:
#### 1. Vertraulichkeit (Confidentiality)
**Definition**: Informationen können nur durch autorisierte Personen eingesehen werden.
**Praktische Bedeutung**:
- Schutz vor unbefugtem Zugriff auf sensible Daten
- Wahrung von Geschäftsgeheimnissen
- Einhaltung von Datenschutzbestimmungen
- Verhinderung von Industriespionage
#### 2. Integrität (Integrity)
**Definition**: Informationen können nur durch autorisierte Personen verändert werden. Alle Änderungen sind authentisch und nachvollziehbar.
**Praktische Bedeutung**:
- Schutz vor unbefugter Manipulation
- Gewährleistung der Datenrichtigkeit
- Nachweisbarkeit von Änderungen
- Vermeidung von Datenkorruption
#### 3. Verfügbarkeit (Availability)
**Definition**: Informationen und Systeme stehen zur richtigen Zeit am richtigen Ort zur Verfügung.
**Praktische Bedeutung**:
- Sicherstellung der Geschäftskontinuität
- Minimierung von Ausfallzeiten
- Gewährleistung kritischer Prozesse
- Einhaltung von Service Level Agreements (SLAs)
### Schutzbedarfskategorien
Die Schutzbedarfe werden in drei Kategorien eingeteilt, die sich an den potenziellen Schadensauswirkungen orientieren:
#### Normal
**Kriterien**:
- Schadensauswirkungen sind begrenzt und überschaubar
- Finanzielle Verluste bleiben tolerabel
- Maximale Ausfallzeit: 24-72 Stunden
- Geringe oder nur interne Reputationsschäden
**Typische Beispiele**:
- Interne Dokumentation
- Unkritische Verwaltungsprozesse
- Öffentlich zugängliche Informationen
#### Hoch
**Kriterien**:
- Schadensauswirkungen können beträchtlich sein
- Erhebliche finanzielle Verluste, aber nicht existenzbedrohend
- Maximale Ausfallzeit: 1-24 Stunden
- Breite Ansehens- oder Vertrauensbeeinträchtigung möglich
**Typische Beispiele**:
- Personenbezogene Daten
- Wichtige Geschäftsprozesse
- Kritische Kundeninformationen
#### Sehr hoch
**Kriterien**:
- Existenzbedrohende, katastrophale Auswirkungen möglich
- Fundamentale Verstöße gegen Gesetze und Vorschriften
- Maximale Ausfallzeit: < 1 Stunde
- Gefahr für Leib und Leben möglich
**Typische Beispiele**:
- Kritische Infrastruktursysteme
- Hochsensible Forschungsdaten
- Systeme mit Personengefährdungspotenzial
### Schadensszenarien in der Praxis
Bei der Schutzbedarfsfeststellung werden verschiedene Schadensszenarien systematisch betrachtet:
**Hinweis:** Sie können diese Informationen im jeweiligen Geltungsbereich hinterlegen.
#### 1. Verstoß gegen Gesetze/Vorschriften/Verträge
- **Normal**: Geringfügige Vertragsverletzungen, minimale Konventionalstrafen
- **Hoch**: Erhebliche rechtliche Konsequenzen, hohe Strafen
- **Sehr hoch**: Fundamentale Gesetzesverstöße, ruinöse Haftungsschäden
#### 2. Beeinträchtigung des informationellen Selbstbestimmungsrechts
- **Normal**: Mögliche Beeinträchtigung der gesellschaftlichen Stellung
- **Hoch**: Erhebliche Beeinträchtigung wirtschaftlicher Verhältnisse
- **Sehr hoch**: Gefahr für persönliche Freiheit des Betroffenen
#### 3. Beeinträchtigung der Aufgabenerfüllung
- **Normal**: Von Betroffenen als tolerabel eingestuft
- **Hoch**: Von einzelnen als nicht tolerabel eingestuft
- **Sehr hoch**: Von allen als nicht tolerabel eingestuft
#### 4. Finanzielle Auswirkungen
- **Normal**: Tolerabler finanzieller Schaden
- **Hoch**: Beachtliche, aber nicht existenzbedrohende Verluste
- **Sehr hoch**: Existenzbedrohende finanzielle Schäden
### Umsetzung der Schutzbedarfsfeststellung
#### Phase 1: Vorbereitung
1. **Definition der Schutzbedarfskategorien**
- Anpassung an organisationsspezifische Anforderungen
- Festlegung konkreter Schwellenwerte
- Abstimmung mit der Geschäftsleitung
2. **Identifikation der Schadensszenarien**
- Branchenspezifische Risiken berücksichtigen
- Regulatorische Anforderungen einbeziehen
- Historische Vorfälle analysieren
#### Phase 2: Durchführung
##### Schutzbedarfsfeststellung für Geschäftsprozesse
**Vorgehen**:
1. Alle relevanten Geschäftsprozesse identifizieren
2. Für jeden Prozess Vertraulichkeit, Integrität und Verfügbarkeit bewerten
3. Fachbereichsleitung in die Bewertung einbeziehen
4. Begründung dokumentieren
**Praxis-Tipp**: Nutzen Sie standardisierte Fragebögen für eine einheitliche Bewertung. Dies beschleunigt den Prozess und gewährleistet Vergleichbarkeit.
##### Schutzbedarfsfeststellung für Anwendungen
**Vererbungsprinzipien**:
- **Maximumprinzip**: Der höchste Schutzbedarf aller unterstützten Geschäftsprozesse wird übernommen
- **Kumulationseffekt**: Mehrere Prozesse mit normalem Schutzbedarf können zusammen einen hohen Schutzbedarf ergeben
**Wichtig**: Der Kumulationseffekt wird erst aktiviert, wenn mit der Zielobjekt-Gruppe 3 übergeordnete Zielobjekt-Gruppen verknüpft sind.
**Beispiel**: Eine CRM-Anwendung unterstützt mehrere Vertriebsprozesse. Einzeln haben diese normalen Schutzbedarf, aber ein Komplettausfall würde erhebliche Umsatzeinbußen bedeuten → Verfügbarkeit: hoch
##### Schutzbedarfsfeststellung für IT-Systeme
**Besonderheiten**:
- Schutzbedarf vererbt sich von den darauf laufenden Anwendungen
- Shared Resources erfordern besondere Betrachtung
- Virtualisierung kann zu Kumulationseffekten führen
##### Schutzbedarfsfeststellung für Kommunikationsverbindungen
**Kritische Verbindungen identifizieren**:
- Internetanbindungen
- Verbindungen über öffentliche Netze
- Übertragung sensibler Daten
- Single Points of Failure
##### Schutzbedarfsfeststellung für Räumlichkeiten
**Zu berücksichtigen**:
- Physischer Zugangsschutz
- Umgebungsbedingungen (Klima, Brandschutz)
- Konzentration kritischer Systeme
- Redundanzen und Ausweichstandorte
### Integration in die fuentis Suite
#### Funktionalitäten im ISMS-Modul
Die fuentis Suite unterstützt die Schutzbedarfsfeststellung durch:
##### 1. Strukturierte Erfassung
- **Protection Requirements Tab**: Zentrale Erfassung aller Schutzbedarfe
- **Dropdown-Menüs** für standardisierte Kategorien
- **Freitextfelder** für detaillierte Begründungen
- **Custom PR Values**: Erweiterung um organisationsspezifische Schutzziele
##### 2. Automatisierte Vererbung (Propagation)
- **Propagation Tab**: Automatische Übertragung von Schutzbedarfen
- **Override-Funktionen** für manuelle Anpassungen
- **Visualisierung** der Vererbungsketten
- **Bulk-Operations** für effiziente Bearbeitung
##### 3. Intelligente Empfehlungen (Recommendation)
- **Algorithmusbasierte Analyse** verknüpfter Assets
- **Maximum-Prinzip** und **Kumulationseffekt** werden automatisch berücksichtigt
- **Preview-Funktion** zeigt Auswirkungen vor Übernahme
- **Multi-Select-Optionen** für flexible Auswahl
**Hinweis:** Multi-Select erfolgt über die Checkbox in dem Tabellenkopf - Die Schaltfläche "alle überschreiben" meint alle Schutzbedarfswerte "überschreiben".
##### 4. Workflow-Integration (4-Augen-Prinzip)
- **Submit → Review → Approve/Reject → Reopen**
- **Status-Tracking**: Initial, Submitted, Approved, Rejected, Reopened
- **Audit-Trail**: Vollständige Dokumentation aller Änderungen
- **Custom Workflows**: Anpassung an organisationsspezifische Freigabeprozesse
##### 5. Fragebogen-Modul
- **Standardisierte Questionnaires** für einheitliche Bewertung
- **Template-Bibliothek** mit Best Practices
- **Automatische Auswertung** und Kategorisierung
- **Export-Funktionen** für Berichte und Audits
#### Berechtigungskonzept
**Globale Rollen**:
- `ISMS_PROTECTION_REQUIREMENT_ACCESS`: Grundzugriff auf PRA-Funktionen
**Granulare Berechtigungen**:
- `Scopes - PRA Read`: Lesezugriff auf Scope-Schutzbedarfe
- `Scopes - Edit Protection Requirements`: Bearbeitung von Scope-Schutzbedarfen
- `TargetObject Groups - PRA Read`: Lesezugriff auf TOG-Schutzbedarfe
- `TargetObject Groups - Edit Protection Requirements`: Bearbeitung von TOG-Schutzbedarfen
- `Propagation of Protection Requirements`: Durchführung von Vererbungen
- `TargetObject Groups - Recommendation`: Nutzung der Empfehlungsfunktion
### Best Practices für die Umsetzung
#### 1. Vorbereitung und Planung
✓ **Management-Commitment sicherstellen**
- Geschäftsleitung frühzeitig einbinden
- Budget und Ressourcen klären
- Verbindlichkeit kommunizieren
✓ **Projektteam zusammenstellen**
- Fachbereichsvertreter einbeziehen
- IT-Security-Expertise sicherstellen
- Klare Verantwortlichkeiten definieren
#### 2. Durchführung
✓ **Top-Down-Ansatz verfolgen**
- Mit kritischen Geschäftsprozessen beginnen
- Schrittweise zu technischen Assets vordringen
- Quick Wins identifizieren und umsetzen
✓ **Standardisierung anstreben**
- Einheitliche Bewertungskriterien verwenden
- Fragebögen und Templates nutzen
- Regelmäßige Kalibrierungsmeetings durchführen
✓ **Dokumentation sicherstellen**
- Alle Entscheidungen begründen
- Annahmen explizit machen
- Änderungen nachvollziehbar dokumentieren
#### 3. Qualitätssicherung
✓ **4-Augen-Prinzip konsequent anwenden**
- Unabhängige Reviews durchführen
- Plausibilitätsprüfungen einbauen
- Regelmäßige Audits planen
✓ **Kontinuierliche Verbesserung**
- Lessons Learned dokumentieren
- Prozesse regelmäßig optimieren
- Feedback-Schleifen etablieren
#### 4. Häufige Fallstricke vermeiden
**Überbewertung vermeiden**
- Nicht alles ist "sehr hoch" kritisch
- Realistische Einschätzungen treffen
- Kosten-Nutzen-Verhältnis beachten
**Unterbewertung verhindern**
- Kumulationseffekte nicht unterschätzen
- Abhängigkeiten vollständig erfassen
- Worst-Case-Szenarien durchdenken
**Scope Creep kontrollieren**
- Klare Systemgrenzen definieren
- Priorisierung beibehalten
- Iteratives Vorgehen wählen
### Verknüpfung mit anderen ISMS-Prozessen
#### Risikoanalyse
Die Schutzbedarfsfeststellung bildet die Grundlage für:
- Identifikation relevanter Bedrohungen
- Bewertung von Eintrittswahrscheinlichkeiten
- Priorisierung von Risikoszenarien
#### Maßnahmenauswahl
Basierend auf dem Schutzbedarf werden:
- Angemessene Sicherheitsmaßnahmen ausgewählt
- Implementierungsprioritäten festgelegt
- Ressourcen optimal allokiert
#### Business Continuity Management
Schutzbedarfe fließen ein in:
- Definition von Recovery Time Objectives (RTO)
- Festlegung von Recovery Point Objectives (RPO)
- Priorisierung im Wiederanlauf
#### Compliance Management
Dokumentation unterstützt:
- Nachweisführung für Auditoren
- Erfüllung regulatorischer Anforderungen
- Transparenz gegenüber Stakeholdern
#### Glossar
**Asset**: Wert oder Ressource einer Organisation (Information, System, Prozess)
**Kumulationseffekt**: Erhöhung des Schutzbedarfs durch Konzentration mehrerer Assets
**Maximumprinzip**: Übernahme des höchsten Schutzbedarfs bei Vererbung
**Propagation**: Automatische Vererbung von Schutzbedarfen zwischen verknüpften Assets
**TOG (Target Object Group)**: Zielobjektgruppe - logische Gruppierung von Assets
**4EP (4-Eye Principle)**: Vier-Augen-Prinzip zur Qualitätssicherung
### Kernaussagen auf einen Blick
1. **Fundament der Informationssicherheit**: Die Schutzbedarfsfeststellung ist keine bürokratische Pflicht, sondern die Basis für effektive und effiziente Sicherheitsmaßnahmen.
2. **Drei Schutzziele im Fokus**: Vertraulichkeit, Integrität und Verfügbarkeit müssen für jedes Asset individuell bewertet und in normal/hoch/sehr hoch kategorisiert werden.
3. **Vererbung beachten**: Schutzbedarfe vererben sich von Geschäftsprozessen über Anwendungen bis zu IT-Systemen - dabei können Maximumprinzip oder Kumulationseffekte zu höheren Schutzbedarfen führen.
4. **Werkzeugunterstützung nutzen**: Die fuentis Suite automatisiert viele Aspekte der Schutzbedarfsfeststellung und gewährleistet durch Workflows und Fragebögen eine konsistente Durchführung.
5. **Kontinuierlicher Prozess**: Schutzbedarfsfeststellung ist keine einmalige Aufgabe, sondern muss bei Änderungen der IT-Landschaft oder Geschäftsprozesse aktualisiert werden.
## Strukturanalyse
Quelle: https://servicehub.fuentis.com/de/isms/trust-inventory-scope/
> Hinweis: In der neuen Trust-Oberfläche sind diese Phasen auf einer inhaltlichen Ebene. Es wird nicht mehr zwischen den Phasen "Strukturanalyse (Inventar) und (Schutzbedarfsanalyse) getrennt. Funktionen wurden nicht entfernt. Inhalte wurden lediglich zusammengeführt und Redundanzen zusammengefasst.
---
### Überblick
#### Geltungsbereichsdefinition (Scoping) – Überblick
Die Geltungsbereichsdefinition (engl.: Scoping) ist ein zentrales Modul des ISMS-Managementsystems. Sie ermöglicht die Definition und Verwaltung von Sicherheitsgeltungsbereichen für Organisationen im Kontext von Informationssicherheits-Management-Systemen (ISMS) und Datenschutz-Management-Systemen (DPMS).
**Zweck:**
- Festlegung der Grenzen und des Umfangs von Sicherheitskonzepten
- Dokumentation von Sicherheitsverantwortlichkeiten und Rollen
- Verwaltung verschiedener Geltungsbereiche pro Organisationseinheit
- Klassifizierung von Schutzbedarf nach definierten Kategorien
#### Strukturanalyse – Überblick
Die Strukturanalyse ist der erste Schritt beim Aufbau eines Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001 oder IT-Grundschutz. In dieser Phase werden die Grenzen des ISMS definiert, alle relevanten IT-Assets inventarisiert und deren Abhängigkeiten dokumentiert. Die fuentis Suite unterstützt Sie dabei mit einem strukturierten, modularen Ansatz.
**Warum ist die Strukturanalyse wichtig?**
- Schafft klare Verantwortlichkeiten für die Informationssicherheit
- Fokussiert Ressourcen auf kritische Bereiche
- Bildet die Grundlage für systematisches Risikomanagement
- Erleichtert die ISO 27001-Zertifizierung
#### Schutzbedarfsfeststellung (PRA) – Überblick
Die Schutzbedarfsfeststellung (engl. Protection Requirements Assessment, PRA) ist ein zentraler Baustein im IT-Sicherheitskonzept nach IT-Grundschutz und ISO/IEC 27001. Sie beantwortet die grundlegende Frage: **Wie viel Schutz benötigen unsere Informationen, Anwendungen und IT-Systeme?**
Durch eine systematische Analyse wird ermittelt, welche Assets kritisch für das Unternehmen sind und welche Sicherheitsmaßnahmen angemessen sind. Dies schafft die Grundlage für ein effizientes und effektives Informationssicherheitsmanagementsystem (ISMS).
---
### Geltungsbereichsdefinition (Scoping)
#### 1. Überblick
(Identisch mit Übersicht oben)
#### 2. Hauptfunktionen
##### 2.1 Geltungsbereiche-Übersicht
Die Übersichtsseite zeigt alle definierten Geltungsbereiche in einer Kartenansicht:
**Kartenelemente:** Jeder Geltungsbereich wird als Karte dargestellt mit:
- Titel des Geltungsbereichs
- Beschreibung des Sicherheitskonzepts
- Zugehörige Organisationseinheit
- Zertifizierungsstandard (z.B. ISO-27001)
**Filterung:** Geltungsbereiche können nach Organisationseinheit gefiltert werden
**Suchfunktion:** Schnelle Suche nach Geltungsbereichen per Suchleiste
##### 2.2 Geltungsbereich Erstellen
Neue Geltungsbereiche werden über den Button "+ Geltungsbereich erstellen" angelegt.
**Der Erstellungsprozess verläuft in 4 Schritten:**
**Schritt 1: Basisinformationen**
- Einheit auswählen: Wählen Sie die Organisationseinheit aus
- Name: Eindeutiger Name für den Geltungsbereich
- Titel: Technische Kennung (z.B. SCP-0001)
- Funktion: Definition der Rolle des Geltungsbereichs (Übergeordnet, Untergeordnet)
- Status: Definieren Sie den aktuellen Status (z.B. Entwurf, Aktiv)
- Beschreibung: Detaillierte Dokumentation des Sicherheitskonzepts
**Schritt 2: ISMS-Rahmenwerk und Hauptkatalog**
- Auswahl des anwendbaren Sicherheitsstandards
- Definition des Sicherheitskatalogs für den Geltungsbereich
**Schritt 3: ISMS-Profil anwenden**
- Anwendung vordefinierter Sicherheitsprofile
- Automatische Zuweisung von Sicherheitsanforderungen
**Schritt 4: Sicherheitsobjekte zuweisen**
- Zuordnung von Systemen, Prozessen und Vermögenswerten
- Definition der im Geltungsbereich zu schützenden Objekte
#### 3. Detailansicht eines Geltungsbereichs
Nach Auswahl eines Geltungsbereichs öffnet sich die Detailansicht mit folgenden Informationen:
##### 3.1 Reiter: Details
**Basisinformationen:**
- Name und Titel
- Zugehörige Organisationseinheit
- Typ (z.B. Scope)
- Erstellungsdatum und Benutzer
- Geltungsstatus (Standard/Aktuell)
**Basisdaten:**
- Vollständige Eingabefelder zur Bearbeitung
- Verantwortlichkeitsangaben
- Optionen zur Nutzung von Schutzbedarfsfragebögen
**Überprüfungs-Management:**
- Status der Strukturanalyse-Überprüfung
- Fälligkeitsdaten für Überprüfungen
- Verantwortliche Person für die Freigabe
**Freigabe-Management:**
- Freigabestatus der Strukturanalyse
- Fälligkeitsdatum für Freigaben
- Verantwortliche und Freigabedatum
##### 3.2 Reiter: Schutzbedarfskategorien
Dieses Reiter zeigt die für den Geltungsbereich definierten Schutzbedarfsklassifizierungen:
**Kategorien nach Schutzbedarf:**
- **Kategorie - Normal:** Standardmäßige Sicherheitsanforderungen
- **Kategorie - Hoch:** Erhöhte Sicherheitsanforderungen mit folgenden Aspekten:
- Verstoß gegen Gesetze/Vorschriften/Verträge
- Beeinträchtigung des informationellen Selbstbestimmungsrechts
- Beeinträchtigung der persönlichen Unversehrtheit
- Beeinträchtigung der Aufgabenerfüllung
- Negative Innen- oder Außenwirkung
- Finanzielle Auswirkungen
- **Kategorie - Sehr hoch:** Kritische Sicherheitsanforderungen (mit denselben Aspekten wie "Hoch")
**Funktion:** Diese Kategorisierung ermöglicht eine risikobasierte Zuweisung von Sicherheitsmaßnahmen.
#### 4. Wichtige Konzepte
##### 4.1 Geltungsbereich-Hierarchie
- **Übergeordnete Geltungsbereiche:** Definieren allgemeine, unternehmensweite Sicherheitsrichtlinien
- **Untergeordnete Geltungsbereiche:** Spezifische Sicherheitskonzepte für einzelne Geschäftsbereiche oder Services
##### 4.2 Sicherheitskonzepte
Ein Geltungsbereich wird definiert durch ein Sicherheitskonzept, das:
- Die Grenzen der Verantwortung und Zuständigkeit festlegt
- Sicherheitsanforderungen und -maßnahmen dokumentiert
- Mit einem anerkannten Standard (z.B. ISO 27001) korreliert
##### 4.3 Organisationseinheit
- Definiert die Zugehörigkeit des Geltungsbereichs
- Können übergeordnete und untergeordnete Beziehungen haben
- Ermöglichen organisationsspezifische Sicherheitsrichtlinien
#### 5. Best Practices
- Klare Abgrenzung: Stellen Sie sicher, dass Geltungsbereiche eindeutig voneinander unterscheidbar sind
- Dokumentation: Verwenden Sie aussagekräftige Beschreibungen für jeden Geltungsbereich
- Regelmäßige Überprüfung: Aktualisieren Sie Geltungsbereiche regelmäßig entsprechend den organisatorischen Änderungen
- Hierarchische Struktur: Nutzen Sie die Hierarchie, um komplexe Sicherheitslandschaften zu verwalten
- Schutzbedarf-Klassifizierung: Verwenden Sie die Schutzbedarfskategorien zur Priorisierung von Sicherheitsmaßnahmen
#### 6. Navigation und Bedienung
**Element** | **Funktion**
---|---
Globale Suche | Schnellsuche nach Geltungsbereichen oder anderen Elementen
Einheit auswählen | Filterung nach Organisationseinheit
Suchleiste | Echtzeit-Filterung der angezeigten Geltungsbereiche
Bearbeiten-Button | Öffnet den Bearbeitungsmodus für Details
Zurück-Button | Rückkehr zur Übersichtsseite
Reiter | Navigation zwischen verschiedenen Informationsbereichen
#### 7. Typische Workflows
**Workflow 1: Neuen Geltungsbereich erstellen**
- Button "Geltungsbereich erstellen" klicken
- Basisinformationen eingeben
- Durch die Schritte "Rahmenwerk", "Profil" und "Objekte" navigieren
- Speichern und Abschluss
**Workflow 2: Bestehenden Geltungsbereich bearbeiten**
- Geltungsbereich aus der Übersicht auswählen
- Button "Bearbeiten" klicken
- Gewünschte Felder ändern
- Änderungen speichern
**Workflow 3: Schutzbedarfskategorien überprüfen**
- Geltungsbereich öffnen
- Zum Reiter "Schutzbedarfskategorien" navigieren
- Kategorien einsehen und bei Bedarf anpassen
---
### Schutzbedarfsfeststellung (SBF)
#### Warum ist die Schutzbedarfsfeststellung relevant?
- **Ressourcenoptimierung:** Sicherheitsmaßnahmen werden gezielt dort eingesetzt, wo sie am meisten benötigt werden
- **Transparenz:** Nachvollziehbare Begründung für Sicherheitsinvestitionen
- **Compliance:** Erfüllung regulatorischer Anforderungen (BSI IT-Grundschutz, ISO 27001)
- **Risikominimierung:** Systematische Identifikation und Bewertung von Schutzbedarfen
- **Priorisierung:** Klare Entscheidungsgrundlage für die Umsetzung von Schutzmaßnahmen
#### Die drei Schutzziele im Detail
**Hinweis:** Sie können die Schutzziele und Werte in den Einstellungen anpassen.
Die Schutzbedarfsfeststellung basiert auf den drei fundamentalen Schutzzielen der Informationssicherheit:
##### 1. Vertraulichkeit (Confidentiality)
**Definition:** Informationen können nur durch autorisierte Personen eingesehen werden.
**Praktische Bedeutung:**
- Schutz vor unbefugtem Zugriff auf sensible Daten
- Wahrung von Geschäftsgeheimnissen
- Einhaltung von Datenschutzbestimmungen
- Verhinderung von Industriespionage
##### 2. Integrität (Integrity)
**Definition:** Informationen können nur durch autorisierte Personen verändert werden. Alle Änderungen sind authentisch und nachvollziehbar.
**Praktische Bedeutung:**
- Schutz vor unbefugter Manipulation
- Gewährleistung der Datenrichtigkeit
- Nachweisbarkeit von Änderungen
- Vermeidung von Datenkorruption
##### 3. Verfügbarkeit (Availability)
**Definition:** Informationen und Systeme stehen zur richtigen Zeit am richtigen Ort zur Verfügung.
**Praktische Bedeutung:**
- Sicherstellung der Geschäftskontinuität
- Minimierung von Ausfallzeiten
- Gewährleistung kritischer Prozesse
- Einhaltung von Service Level Agreements (SLAs)
#### Schutzbedarfskategorien
Die Schutzbedarfe werden in drei Kategorien eingeteilt, die sich an den potenziellen Schadensauswirkungen orientieren:
##### Normal
**Kriterien:**
- Schadensauswirkungen sind begrenzt und überschaubar
- Finanzielle Verluste bleiben tolerabel
- Maximale Ausfallzeit: 24-72 Stunden
- Geringe oder nur interne Reputationsschäden
**Typische Beispiele:**
- Interne Dokumentation
- Unkritische Verwaltungsprozesse
- Öffentlich zugängliche Informationen
##### Hoch
**Kriterien:**
- Schadensauswirkungen können beträchtlich sein
- Erhebliche finanzielle Verluste, aber nicht existenzbedrohend
- Maximale Ausfallzeit: 1-24 Stunden
- Breite Ansehens- oder Vertrauensbeeinträchtigung möglich
**Typische Beispiele:**
- Personenbezogene Daten
- Wichtige Geschäftsprozesse
- Kritische Kundeninformationen
##### Sehr hoch
**Kriterien:**
- Existenzbedrohende, katastrophale Auswirkungen möglich
- Fundamentale Verstöße gegen Gesetze und Vorschriften
- Maximale Ausfallzeit: < 1 Stunde
- Gefahr für Leib und Leben möglich
**Typische Beispiele:**
- Kritische Infrastruktursysteme
- Hochsensible Forschungsdaten
- Systeme mit Personengefährdungspotenzial
#### Schadensszenarien in der Praxis
Bei der Schutzbedarfsfeststellung werden verschiedene Schadensszenarien systematisch betrachtet.
**Hinweis:** Sie können diese Informationen im jeweiligen Geltungsbereich hinterlegen.
1. **Verstoß gegen Gesetze/Vorschriften/Verträge**
- Normal: Geringfügige Vertragsverletzungen, minimale Konventionalstrafen
- Hoch: Erhebliche rechtliche Konsequenzen, hohe Strafen
- Sehr hoch: Fundamentale Gesetzesverstöße, ruinöse Haftungsschäden
2. **Beeinträchtigung des informationellen Selbstbestimmungsrechts**
- Normal: Mögliche Beeinträchtigung der gesellschaftlichen Stellung
- Hoch: Erhebliche Beeinträchtigung wirtschaftlicher Verhältnisse
- Sehr hoch: Gefahr für persönliche Freiheit des Betroffenen
3. **Beeinträchtigung der Aufgabenerfüllung**
- Normal: Von Betroffenen als tolerabel eingestuft
- Hoch: Von einzelnen als nicht tolerabel eingestuft
- Sehr hoch: Von allen als nicht tolerabel eingestuft
4. **Finanzielle Auswirkungen**
- Normal: Tolerabler finanzieller Schaden
- Hoch: Beachtliche, aber nicht existenzbedrohende Verluste
- Sehr hoch: Existenzbedrohende finanzielle Schäden
#### Umsetzung der Schutzbedarfsfeststellung
##### Phase 1: Vorbereitung
1. **Definition der Schutzbedarfskategorien**
- Anpassung an organisationsspezifische Anforderungen
- Festlegung konkreter Schwellenwerte
- Abstimmung mit der Geschäftsleitung
2. **Identifikation der Schadensszenarien**
- Branchenspezifische Risiken berücksichtigen
- Regulatorische Anforderungen einbeziehen
- Historische Vorfälle analysieren
##### Phase 2: Durchführung
**Schutzbedarfsfeststellung für Geschäftsprozesse – Vorgehen:**
1. Alle relevanten Geschäftsprozesse identifizieren
2. Für jeden Prozess Vertraulichkeit, Integrität und Verfügbarkeit bewerten
3. Fachbereichsleitung in die Bewertung einbeziehen
4. Begründung dokumentieren
**Praxis-Tipp:** Nutzen Sie standardisierte Fragebögen für eine einheitliche Bewertung. Dies beschleunigt den Prozess und gewährleistet Vergleichbarkeit.
**Schutzbedarfsfeststellung für Anwendungen – Vererbungsprinzipien:**
- **Maximumprinzip:** Der höchste Schutzbedarf aller unterstützten Geschäftsprozesse wird übernommen
- **Kumulationseffekt:** Mehrere Prozesse mit normalem Schutzbedarf können zusammen einen hohen Schutzbedarf ergeben
**Beispiel:** Eine CRM-Anwendung unterstützt mehrere Vertriebsprozesse. Einzeln haben diese normalen Schutzbedarf, aber ein Komplettausfall würde erhebliche Umsatzeinbußen bedeuten → Verfügbarkeit: hoch
**Schutzbedarfsfeststellung für IT-Systeme – Besonderheiten:**
- Schutzbedarf vererbt sich von den darauf laufenden Anwendungen
- Shared Resources erfordern besondere Betrachtung
- Virtualisierung kann zu Kumulationseffekten führen
**Schutzbedarfsfeststellung für Kommunikationsverbindungen – Kritische Verbindungen identifizieren:**
- Internetanbindungen
- Verbindungen über öffentliche Netze
- Übertragung sensibler Daten
- Single Points of Failure
**Schutzbedarfsfeststellung für Räumlichkeiten – Zu berücksichtigen:**
- Physischer Zugangsschutz
- Umgebungsbedingungen (Klima, Brandschutz)
- Konzentration kritischer Systeme
- Redundanzen und Ausweichstandorte
#### Integration in die fuentis Suite
##### Funktionalitäten im ISMS-Modul
**1. Strukturierte Erfassung**
- **Protection Requirements Tab:** Zentrale Erfassung aller Schutzbedarfe
- **Dropdown-Menüs** für standardisierte Kategorien
- **Freitextfelder** für detaillierte Begründungen
- **Custom PR Values:** Erweiterung um organisationsspezifische Schutzziele
**2. Automatisierte Vererbung (Propagation)**
- **Propagation Tab:** Automatische Übertragung von Schutzbedarfen
- **Override-Funktionen** für manuelle Anpassungen
- **Visualisierung** der Vererbungsketten
- **Bulk-Operations** für effiziente Bearbeitung
**3. Intelligente Empfehlungen (Recommendation)**
- **Algorithmusbasierte Analyse** verknüpfter Assets
- **Maximum-Prinzip** und **Kumulationseffekt** werden automatisch berücksichtigt
- **Preview-Funktion** zeigt Auswirkungen vor Übernahme
- **Multi-Select-Optionen** für flexible Auswahl
**4. Workflow-Integration (4-Augen-Prinzip)**
- **Submit → Review → Approve/Reject → Reopen**
- **Status-Tracking:** Initial, Submitted, Approved, Rejected, Reopened
- **Audit-Trail:** Vollständige Dokumentation aller Änderungen
- **Custom Workflows:** Anpassung an organisationsspezifische Freigabeprozesse
**5. Fragebogen-Modul**
- **Standardisierte Questionnaires** für einheitliche Bewertung
- **Template-Bibliothek** mit Best Practices
- **Automatische Auswertung** und Kategorisierung
- **Export-Funktionen** für Berichte und Audits
##### Berechtigungskonzept der Schutzbedarfsfeststellung
**Globale Rollen:**
- `ISMS_PROTECTION_REQUIREMENT_ACCESS`: Grundzugriff auf PRA-Funktionen
**Granulare Berechtigungen:**
- `Scopes - PRA Read`: Lesezugriff auf Scope-Schutzbedarfe
- `Scopes - Edit Protection Requirements`: Bearbeitung von Scope-Schutzbedarfen
- `TargetObject Groups - PRA Read`: Lesezugriff auf TOG-Schutzbedarfe
- `TargetObject Groups - Edit Protection Requirements`: Bearbeitung von TOG-Schutzbedarfen
- `Propagation of Protection Requirements`: Durchführung von Vererbungen
- `TargetObject Groups - Recommendation`: Nutzung der Empfehlungsfunktion
#### Best Practices für die Umsetzung
##### 1. Vorbereitung und Planung
✓ **Management-Commitment sicherstellen**
- Geschäftsleitung frühzeitig einbinden
- Budget und Ressourcen klären
- Verbindlichkeit kommunizieren
✓ **Projektteam zusammenstellen**
- Fachbereichsvertreter einbeziehen
- IT-Security-Expertise sicherstellen
- Klare Verantwortlichkeiten definieren
##### 2. Durchführung
✓ **Top-Down-Ansatz verfolgen**
- Mit kritischen Geschäftsprozessen beginnen
- Schrittweise zu technischen Assets vordringen
- Quick Wins identifizieren und umsetzen
✓ **Standardisierung anstreben**
- Einheitliche Bewertungskriterien verwenden
- Fragebögen und Templates nutzen
- Regelmäßige Kalibrierungsmeetings durchführen
✓ **Dokumentation sicherstellen**
- Alle Entscheidungen begründen
- Annahmen explizit machen
- Änderungen nachvollziehbar dokumentieren
##### 3. Qualitätssicherung
✓ **4-Augen-Prinzip konsequent anwenden**
- Unabhängige Reviews durchführen
- Plausibilitätsprüfungen einbauen
- Regelmäßige Audits planen
✓ **Kontinuierliche Verbesserung**
- Lessons Learned dokumentieren
- Prozesse regelmäßig optimieren
- Feedback-Schleifen etablieren
##### 4. Häufige Fallstricke vermeiden
**Überbewertung vermeiden**
- Nicht alles ist "sehr hoch" kritisch
- Realistische Einschätzungen treffen
- Kosten-Nutzen-Verhältnis beachten
**Unterbewertung verhindern**
- Kumulationseffekte nicht unterschätzen
- Abhängigkeiten vollständig erfassen
- Worst-Case-Szenarien durchdenken
**Scope Creep kontrollieren**
- Klare Systemgrenzen definieren
- Priorisierung beibehalten
- Iteratives Vorgehen wählen
#### Verknüpfung mit anderen ISMS-Prozessen
- **Risikoanalyse:** Identifikation relevanter Bedrohungen, Bewertung von Eintrittswahrscheinlichkeiten, Priorisierung von Risikoszenarien
- **Maßnahmenauswahl:** Angemessene Sicherheitsmaßnahmen auswählen, Implementierungsprioritäten festlegen, Ressourcen optimal allokieren
- **Business Continuity Management:** RTO/RPO definieren, Priorisierung im Wiederanlauf
- **Compliance Management:** Nachweisführung, Erfüllung regulatorischer Anforderungen, Transparenz gegenüber Stakeholdern
#### Glossar
- **Asset:** Wert oder Ressource einer Organisation (Information, System, Prozess)
- **Kumulationseffekt:** Erhöhung des Schutzbedarfs durch Konzentration mehrerer Assets
- **Maximumprinzip:** Übernahme des höchsten Schutzbedarfs bei Vererbung
- **Propagation:** Automatische Vererbung von Schutzbedarfen zwischen verknüpften Assets
- **TOG (Target Object Group):** Zielobjektgruppe – logische Gruppierung von Assets
- **4EP (4-Eye Principle):** Vier-Augen-Prinzip zur Qualitätssicherung
---
### Strukturanalyse
#### Navigation
Wenn Sie sich in der Phase **Strukturanalyse** befinden, spielt der Navigationsbaum an der linken Seite des Bildschirms eine zentrale Rolle. Dort haben Sie den Überblick über alle Geltungsbereiche (Scopes) und deren Zielobjektgruppen. Mithilfe der Pfeile können Sie die verschiedenen Geltungsbereiche oder Zielobjekttypen aufklappen. Wenn Sie mit der Maus über einen Geltungsbereich (Scope) hoovern sehen Sie ein "Pfeil im Kreis"-Symbol; Mit einem Klick darauf gelangen Sie zu der Detailansicht des Geltungsbereiches (Scope). Sie können den Baum Durchsuchen und Filtern, um schneller zu den gewünschten Einträgen zu gelangen.
Sie können über den Button oben Rechts -
**Hinweis:** Wenn Sie auf Zielobjekttypen (z.B. Information, Geschäftsprozesse, etc.) klicken, sehen Sie eine tabellarische Übersicht aller Zielobjekte diesen Typs innerhalb des jeweiligen Geltungsbereiches (Scope). Wenn Sie auf ein Zielobjekt klicken sehen Sie die jeweilige Detailansicht des Zielobjektes.
**Hinweis:** Der Hauptbaum ist nur für Benutzer mit der aktiven Berechtigung „Strukturanalyse – Listen lesen“ sichtbar.
#### Geltungsbereich (Scope)
Der **Geltungsbereich** definiert die Grenzen Ihres ISMS (vgl. Sicherheitskonzeptes) und legt fest, welche Teile der Organisation – einschließlich Prozesse, Systeme und Informationswerte – vom ISMS abgedeckt werden. Er umfasst alle infrastrukturellen, organisatorischen, personellen und technischen Komponenten, die der Aufgabenerfüllung in einem bestimmten Anwendungsbereich dienen.
**Wichtige Eigenschaften:**
- Jede Entität in fuentis hat automatisch einen Standard-Geltungsbereich
- Weitere Geltungsbereiche können manuell erstellt werden
- Klare Abgrenzung der zu schützenden Bereiche
- Basis für die gesamte ISMS-Implementierung
##### Detailansicht Geltungsbereich (Scope)
Im oberen Teil dieser Ansicht befindet sich die Statusleiste, in der einige grundlegende Informationen über den Geltungsbereich angezeigt werden: Name, Titel, etc. - Diese Statusleiste kann über den "Pfeil-nach-oben" eingeklappt werden.
Unterhalb der Statusleiste befinden sich die verschiedenen Attribute und Felder die ausgefüllt werden können. Sie finden dort zwei Reiter, "Details" und "SBF-Definitionen".
**Reiter Details**:
1. Basisdaten - Informationen über den Namen des Geltungsbereich, Titel, Status usw.
2. IT-Grundschutz - Daten in Bezug auf den IT-Grundschutz für den ausgewählten Geltungsbereich (Schutzniveau, Relevanz für KRITIS, Behandlung personenbezogener Daten usw.)
3. Überprüft - Informationen über den Überprüfungsprozess der Strukturelle Analyse (wurde die Bestandsanalyse überprüft, wer wurde überprüft, wann wurde dieser Prozess durchgeführt usw.)
4. Genehmigt - Informationen über den Genehmigungsprozess der Strukturelle Analyse (wurde die Strukturelle Analyse genehmigt, wer wurde genehmigt, wann wurde dieser Prozess durchgeführt, usw.)
Sie können die Arbeitsbereiche über einen Klick auf das "Plus"-Symbol einklappen.
**Reiter SBF-Definitionen***
Auf dieser Registerkarte werden die Schutzanforderungen (PR-Kategorien) definiert. Die Eingabe erfolgt in drei Abschnitten:
- PR-Kategorie – Normal
- PR-Kategorie – Hoch
- PR-Kategorie – Sehr hoch
Jeder Abschnitt enthält identische, bearbeitbare Felder, in denen die Auswirkungen im Schadensfall beschrieben werden können. Typische Felder sind zum Beispiel:
- Verstoß gegen Gesetze, Vorschriften oder Verträge
- Beeinträchtigung des Rechts auf informationelle Selbstbestimmung
- Finanzielle Folgen
- Körperliche Verletzung
Diese Angaben helfen dabei, die Bedeutung einzelner Werte im Kontext der Informationssicherheit nachvollziehbar und konsistent zu bewerten.
**Hinweis:** Sie können mehrere Geltungsbereiche anlegen und so das Konzept der "Services", vgl. "modularen Sicherheitskonzepte", abbilden. Sie können Zielobjekte in mehreren Geltungsbereiche hinzufügen. Sie können die Zielobjekte auch über verschiedene Geltungsbereiche hinweg verknüpfen und somit komplexe Organisationsstrukturen abbilden. Sollten Sie bei der Abbildung Hilfe benötigen sprechen Sie uns gerne an. In einem gemeinsamen Workshop können wir Ihnen sicherlich weiterhelfen.
**Hinweis:** Einheiten sind Objekte in denen alle relevanten Informationen gespeichert werden können. Hierzu zählen insbesondere User, Rollen & Rechte, Geltungsbereiche (Scopes) und Zielobjekte. Sie finden mehr Informationen zu diesem Thema im Bereich Rechte & Rollen.
#### Zielobjektgruppen (Target Object Groups - TOGs)
TOGs sind logische Gruppierungen ähnlicher Assets oder Informationswerte. Diese Gruppierung vereinfacht das Management und sorgt für konsistente Schutzmaßnahmen.
**Die 12 TOG-Typen in fuentis:**
1. **Domäne** - Übergeordnete Organisationsbereiche
2. **Information** - Daten und Informationsbestände
3. **Geschäftsprozess** - Operative und unterstützende Prozesse
4. **Anwendung** - Software und Applikationen
5. **IT-System** - Server, Clients, Netzwerkkomponenten
6. **Netzwerk** - Netzwerkinfrastruktur
7. **Raum** - Serverräume, Büros
8. **Mitarbeiter** - Personalressourcen
9. **Physische Einrichtung** - Hardware, Anlagen
10. **Gebäude** - Standorte und Liegenschaften
11. **Infrastruktur** - Unterstützende Systeme
12. **Outsourcing** - Externe Dienstleister
### Berechtigungskonzept der Strukturanalyse
Für die Arbeit mit der Strukturanalyse benötigen Benutzer spezifische Rollen und Berechtigungen:
#### Globale Rolle
- **ISMS_INVENTORY_ANALYSIS_ACCESS** - Grundvoraussetzung für den Zugriff
#### Detaillierte Berechtigungen
**Hinweis:** Sie können mehr über das Berechtigungskonzept der fuentis Suite im Bereich Berechtigungen nachlesen. Wichtig ist, dass die Rollen selbstständig erstellt und vergeben werden müssen. Lediglich die Zuweisung der "Globalen-Access-Rollen" reicht nicht aus, um Zugriff auf die einzelnen Bereiche zu erhalten.
**Für Geltungsbereiche:**
- Geltungsbereiche - Lesen
- Geltungsbereiche - Erstellen
- Geltungsbereiche - Bearbeiten
- Geltungsbereiche - Löschen
- Geltungsbereiche - Verknüpfen
**Für Zielobjektgruppen:**
- Zielobjektgruppen - Lesen
- Zielobjektgruppen - Erstellen
- Zielobjektgruppen - Bearbeiten
- Zielobjektgruppen - Löschen
- Zielobjektgruppen - Verknüpfen
### Praktische Umsetzung
#### 1. Geltungsbereich definieren
**Vorbereitung:**
1. Organisationsstruktur analysieren
2. Kritische Geschäftsprozesse identifizieren
3. IT-Landschaft dokumentieren
4. Standorte und Mitarbeiter erfassen
**In fuentis Suite:**
- Navigation: ISMS-Modul → Strukturanalyse
- Button "Erstellen" → "Geltungsbereich"
- Pflichtfelder ausfüllen:
- **Name:** Eindeutige Bezeichnung
- **Titel:** Beschreibende Kurzform
- **Status:** Aktueller Zustand
- **IT-Grundschutz-Daten:** Schutzniveau, KRITIS-Relevanz
**Praxis-Tipp:** Beginnen Sie mit einem überschaubaren Geltungsbereich und erweitern Sie diesen schrittweise. Eine zu breite initiale Definition führt oft zu Komplexität und Ressourcenproblemen.
**Hinweis:** Sie können, nachdem Sie die Detailansicht eines Geltungsbereiches geöffnent haben, diesen dort über die Schaltfläche ***löschen*** endgültig löschen. Achtung es gibt keine Papierkorbfunktion.
#### 2. Zielobjektgruppen (ZOG/TOGs) erstellen
**Systematisches Vorgehen:**
1. **Geschäftsprozesse erfassen** (GP001, GP002...)
- Kernprozesse identifizieren
- Unterstützungsprozesse dokumentieren
- Abhängigkeiten festhalten
2. **Anwendungen inventarisieren** (A001, A002...)
- Kritische Software identifizieren
- Mit Geschäftsprozessen verknüpfen
- Schnittstellen dokumentieren
3. **IT-Systeme aufnehmen** (S001, C001, L001...)
- Server gruppieren
- Client-Systeme zusammenfassen
- Netzwerkkomponenten erfassen
4. **Räumlichkeiten dokumentieren** (R001, GB001...)
- Serverräume
- Bürogebäude
- Externe Standorte
**Best Practice für Namenskonventionen:**
```
[Typ-Kürzel][Nummer] [Beschreibung]
Beispiele:
- GP002 Angebotswesen
- A022 CRM-System
- S015 Exchange-Server
- R001 Serverraum 3.OG
```
**Hinweis:** Sie können die automatische Titelerstellung anpassen. Diese Einstellung finden Sie in den Settings des ISMS (Zahnradsymbol unten links).
**Praxistipp:** Status: Wählen Sie hier aus, in welchem Status sich die Zielobjekt-Gruppe befindet.
1. Geplant/In Konzeption – Wichtig für die Planungsphase vor der Umsetzung.
2. Bestellt/In Erstellung – Signalisiert, dass etwas offiziell bestellt oder im Herstellungsprozess ist.
3. Bereitgestellt – Objekt oder Ressource ist verfügbar, aber noch nicht in Nutzung.
4. Im Test – Erforderlich, wenn Tests vor einer Inbetriebnahme notwendig sind.
5. In Betrieb – Standardstatus für aktiv genutzte Ressourcen oder Prozesse.
6. Defekt – Notwendig, um Probleme oder Fehler zu kennzeichnen.
7. In Reparatur/In Austausch – Wichtig für Service- und Wartungsprozesse.
8. Ausgesondert – Erforderlich für das End-of-Life-Management (z. B. bei IT-Hardware oder Maschinen).
***Begriffsdefintion:*** Die Begriffe Zielobjekt; ZO (Targetobject; TO), Zielobjektgruppe; ZOG (Targetobejctgroup; TOG) und Asset, Assetgruppen sind leicht zu verwechseln. Die Begriffe Zielobjekt (ZO), Zielobjektgruppe (ZOG) sowie Asset und Assetgruppe werden häufig ähnlich verwendet, haben jedoch unterschiedliche Bedeutungen:
1. **Zielobjekt (ZO / Target Object, TO):**
Ein einzelnes, konkretes Objekt, das im Geltungsbereich betrachtet wird – z. B. ein Server, eine Fachanwendung oder ein Gebäude.
2. **Zielobjektgruppe (ZOG / Target Object Group, TOG):**
Eine Gruppe von Zielobjekten mit gemeinsamen Eigenschaften, die gemeinsam verwaltet oder bewertet werden können – z. B. „Client-PCs im Vertrieb“ oder „Rechenzentrum Nord“.
3. **Asset / Assetgruppe:**
Assets können sowohl materiell (z. B. Hardware, Räume) als auch immateriell (z. B. Daten, Reputation) sein. Assets sind in der fuentis Suite "echte" eineindeutige "Configuration Items" und werden auch als solche im Asset Management betrachtet. Sie können mehr über das Asset Management im Bereich Asset Management erfahren.
##### Status- und Detailansicht
Im oberen Teil dieser Ansicht befindet sich die Statusleiste, in der einige grundlegende Informationen über das TOG angezeigt werden: Name, Titel, etc.. Außerdem finden Sie die Schaltflächen "Löschen" und "Verknüpfte Objekte".
Sie finden analog zu den Geltungsbereichen für die Zielobjekte auch mehrere Reiter im Bereich der Detailansicht. Hier können Sie zu den einzelnen Funktionen navigieren.
Im Reiter "Details finden Sie die folgenden Abschnitte:
1. Basisdaten: Informationen über den Namen, Titel, Status usw. des TOG.
2. IT-Grundschutz: Daten zum IT-Grundschutz für das ausgewählte TOG (Schutzbedarf, Relevanz für KRITIS, Umgang mit personenbezogenen Daten usw.).
3. Überprüft: Informationen zum Überprüfungsprozess der Strukturanalyse (wurde die Strukturanalyse überprüft, wer hat überprüft, wann wurde dieser Prozess durchgeführt usw.).
4. Genehmigt: Informationen zum Genehmigungsprozess der Strukturanalyse (wurde die Strukturanalyse genehmigt, wer hat genehmigt, wann wurde dieser Prozess durchgeführt usw.).
##### Löschen
Sie können Zielobjekt über die Schaltfläche "Löschen" in der Detailansicht jederzeit löschen. Achtung es gibt keinen Papierkorb. Ein löschen ist endgültig. Sie können auch über die Zielobjekttypentabelle mehrere Zielobjekte aufeinmal löschen. Markieren Sie diese dazu und klicken sie dann auf das "Trash"-Icon.
#### 3. Verknüpfungen herstellen
Das **fuentis ISMS Modul** unterstützt die Verknüpfung von Zielobjekt-Gruppen (TOG).
Welche Gruppen miteinander verknüpft werden können, wird durch deren Typ festgelegt.
- Es wird zwischen **übergeordneten** und **untergeordneten** Verknüpfungen unterschieden.
- Alle Zielobjekt-Gruppen eines Typs können außerdem mit Zielobjekt-Gruppen desselben Typs verknüpft werden.
- Die ausgewählte Gruppe, von der aus die Verknüpfung angelegt wird, gilt als **übergeordnete Zielobjekt-Gruppe**.
---
**Hierarchische Struktur:**
```
Geltungsbereich
└── Domäne
├── Information
├── Geschäftsprozess
└── Anwendung
├── IT-System
│ ├── Netzwerk
│ └── Infrastruktur
└── Physische Einrichtung
└── Mitarbeiter
```
#### Master-Hierarchie der Zielobjekt-Gruppen (TOG)
```
Geltungsbereich
└── Domäne
├── Information
│ ├── Geschäftsprozess
│ │ ├── Anwendung
│ │ │ ├── IT-System
│ │ │ │ ├── Netzwerk
│ │ │ │ │ ├── Mitarbeiter
│ │ │ │ │ └── Outsourcing
│ │ │ │ ├── Infrastruktur
│ │ │ │ │ ├── Raum
│ │ │ │ │ │ ├── Gebäude
│ │ │ │ │ │ │ ├── Mitarbeiter
│ │ │ │ │ │ │ ├── Outsourcing
│ │ │ │ │ │ │ └── Physische Anlage
│ │ │ │ │ │ └── Physische Anlage
│ │ │ │ │ │ └── Mitarbeiter
│ │ │ │ │ └── Outsourcing
│ │ │ │ ├── Raum
│ │ │ │ │ ├── Gebäude
│ │ │ │ │ ├── Mitarbeiter
│ │ │ │ │ ├── Outsourcing
│ │ │ │ │ └── Physische Anlage
│ │ │ │ ├── Physische Anlage
│ │ │ │ │ └── Mitarbeiter
│ │ │ │ ├── Mitarbeiter
│ │ │ │ └── Outsourcing
│ │ │ ├── Physische Anlage
│ │ │ │ └── Mitarbeiter
│ │ │ ├── Mitarbeiter
│ │ │ └── Outsourcing
│ │ └── Outsourcing
│ └── Anwendung
│ ├── IT-System
│ ├── Physische Anlage
│ ├── Mitarbeiter
│ └── Outsourcing
├── Geschäftsprozess
│ ├── Anwendung
│ │ ├── IT-System
│ │ ├── Physische Anlage
│ │ ├── Mitarbeiter
│ │ └── Outsourcing
│ └── Outsourcing
├── Anwendung
│ ├── IT-System
│ ├── Physische Anlage
│ ├── Mitarbeiter
│ └── Outsourcing
├── IT-System
│ ├── Netzwerk
│ │ ├── Mitarbeiter
│ │ └── Outsourcing
│ ├── Infrastruktur
│ │ ├── Raum
│ │ ├── Physische Anlage
│ │ └── Outsourcing
│ ├── Raum
│ │ ├── Gebäude
│ │ ├── Mitarbeiter
│ │ ├── Outsourcing
│ │ └── Physische Anlage
│ ├── Physische Anlage
│ │ └── Mitarbeiter
│ ├── Mitarbeiter
│ └── Outsourcing
├── Infrastruktur
│ ├── IT-System
│ ├── Physische Anlage
│ ├── Raum
│ └── Outsourcing
├── Raum
│ ├── Gebäude
│ ├── Mitarbeiter
│ ├── Outsourcing
│ └── Physische Anlage
├── Gebäude
│ ├── Mitarbeiter
│ ├── Outsourcing
│ └── Physische Anlage
├── Physische Anlage
│ └── Mitarbeiter
├── Mitarbeiter
│ └── Outsourcing
└── Outsourcing
```
##### Zusammenfassung der TOG-Regeln
- **Domäne** kann direkt übergeordnet zu allen anderen TOGs sein.
- **Information** ist Domäne untergeordnet und Geschäftsprozess/Anwendung übergeordnet.
- **Geschäftsprozess** ist Domäne/Information untergeordnet und Anwendung/Outsourcing übergeordnet.
- **Anwendung** ist Domäne/Information/Geschäftsprozess untergeordnet und IT-System, physische Anlage, Mitarbeiter, Outsourcing übergeordnet.
- **IT-System** ist Anwendung untergeordnet und Netzwerk, Infrastruktur, Raum, physische Anlage, Mitarbeiter, Outsourcing übergeordnet.
- **Netzwerk** ist IT-System untergeordnet und Mitarbeiter/Outsourcing übergeordnet.
- **Raum** ist IT-System/Infrastruktur untergeordnet und Gebäude, physische Anlage, Mitarbeiter, Outsourcing übergeordnet.
- **Gebäude** ist Raum untergeordnet und Mitarbeiter, Outsourcing, physische Anlage übergeordnet.
- **Physische Anlage** ist Anwendung, IT-System, Infrastruktur, Raum, Gebäude untergeordnet und Mitarbeiter übergeordnet.
- **Mitarbeiter** ist mehreren TOGs übergeordnet, kann aber Outsourcing untergeordnet sein.
- **Outsourcing** ist stets anderen TOGs untergeordnet, kann aber keinem übergeordneten TOG übergeordnet sein.
**Verknüpfungsregeln:**
- Domänen können mit allen untergeordneten ZOG-Typen verknüpft werden
- Geschäftsprozesse verbinden sich mit Anwendungen und Outsourcing
- IT-Systeme benötigen Verknüpfungen zu Netzwerk und Infrastruktur
- Mitarbeiter werden relevanten Systemen und Räumen zugeordnet
**Praxis-Tipp:** Nutzen Sie die "Verknüpfte Objekte"-Ansicht in fuentis, um direkte und indirekte Abhängigkeiten zu visualisieren. Rote Pfeile zeigen direkte, graue Pfeile indirekte Verknüpfungen. Sie finden diese Schaltfläche im linken Bereich unterhalb der Statusleiste. Dort können Sie zwischen der Tabellenansicht und der Baumansicht wechseln.
**Praxis-Tipp:** Nutzen Sie die blaue Hierarchie-Ebene im oberen Bereich des Bildschirms. Hier können Sie schnell navigieren und immer die Übersicht behalten wo Sie sich aktuell befinden. Sie können außerdem über die Schaltfläche "Verknüpfte Objekte" im oberen rechten Bereich immer eine linke Seitenleiste öffnen, die Ihnen eine schnelle Navigation zu allen indirekten Verknüpfungen ermöglicht. Sie können die Objekte wie im Hauptnavigationsbaum ausklappen und auswählen.
##### ZOGs zu Geltungsbereichen zuweisen
Zielobjektgruppen können zu einem oder mehreren Geltungsbereichen zugewiesen werden.
#### 4. Assets zuweisen
Konkrete Assets werden den TOGs im Tab "Assets eingeschlossen" zugewiesen:
1. TOG auswählen
2. Tab "Assets eingeschlossen" öffnen
3. Button "Hinzufügen" klicken
4. Relevante Assets auswählen und zuordnen
**Hinweis:** Wenn Sie keine Berechtigungen für das Model Asset Management haben können Sie keine Assets zuweisen. Achten Sie außerdem darauf, dass Sie bereits Assets in Ihrem Asset Management hinzugefügt haben.
**Praxistipp:** Starten Sie erstmal ohne Assets, oft Ändern diese sich schneller als die "abstrakte" Form Ihres Sicherheitskonzeptes, durch Updates oder Austausch der Geräte. Sie können Ihr ISMS also grundsätzlich erstmal auf Basis der Zielobjektgruppen erstellen.
### Integration mit ISO 27001 und IT-Grundschutz
#### ISO 27001-Konformität
Die Strukturanalyse in fuentis erfüllt die Anforderungen von ISO 27001:
- **Klausel 4.3:** Definition des ISMS-Geltungsbereichs
- **Klausel 8.1:** Asset-Inventarisierung
- **Anhang A.8:** Asset Management Controls
#### IT-Grundschutz-Integration
Für jede TOG können IT-Grundschutz-spezifische Daten erfasst werden:
- **Schutzbedarf:** Normal, Hoch, Sehr hoch
- **KRITIS-Relevanz:** Kritische Infrastrukturen
- **Personenbezogene Daten:** Datenschutzrelevanz
- **Verfügbarkeitsanforderungen:** SLAs und RPO/RTO
### So unterstützt die fuentis Suite
#### Automatisierung und Effizienz
- **Vorlagen:** Wiederverwendbare TOG-Templates
- **Bulk-Operationen:** Massenbearbeitung von TOGs (Weitere Funktionen befinden sich auf der Roadmap)
- **Export:** Excel-Integration für Bestandsdaten
- **Vererbung:** Automatische Schutzbedarfsvererbung
#### Visualisierung und Reporting
- **Hauptbaum-Ansicht:** Hierarchische Darstellung aller Elemente
- **Abhängigkeitsdiagramme:** Grafische Verknüpfungsdarstellung
- **Audit-Trail:** Lückenlose Änderungsdokumentation
- **Dashboard:** Echtzeit-Übersicht des ISMS-Status
#### Workflow-Integration
- **Review-Prozess:** Strukturierte Überprüfung
- **Genehmigungsworkflows:** Mehrstufige Freigaben
- **Benachrichtigungen:** Automatische Statusupdates
- **Rollen-basierte Sichten:** Angepasste Benutzeroberflächen
### Häufige Herausforderungen und Lösungen
#### Challenge: Zu detaillierte Strukturanalyse
**Problem:** Hunderte von einzelnen Assets erschweren das Management
**Lösung:** Gruppierung ähnlicher Assets in TOGs, z.B. "Büro-PCs Etage 3" statt einzelner Rechner
#### Challenge: Unklare Abhängigkeiten
**Problem:** Kaskadeneffekte bei Ausfällen nicht erkennbar
**Lösung:** Systematische Verknüpfung aller TOGs, regelmäßige Überprüfung der Abhängigkeiten
#### Challenge: Fehlende Dokumentation
**Problem:** Bestehende IT-Landschaft nicht vollständig erfasst
**Lösung:** Schrittweise Erfassung, Nutzung automatischer Discovery-Tools, Workshops mit IT-Verantwortlichen
#### Challenge: Import vorhandener Informationen
**Problem:** Sie haben bereits eine Liste mit Assets die Sie einpflegen möchten.
**Lösung:** Wir können mit Ihnen zusammen eine Lösung finden, wie wir diese Inhalte automatisiert in die fuentis Suite einpflegen können. Sprechen Sie uns dazu gerne an!
### Weiterführende Schritte
Nach Abschluss der Strukturanalyse folgen:
1. **Schutzbedarfsfeststellung:** Bewertung der Kritikalität
2. **Risikoanalyse:** Identifikation von Bedrohungen
3. **Maßnahmenplanung:** Definition von Sicherheitskontrollen
4. **Umsetzung:** Implementierung der Maßnahmen
5. **Überwachung:** Kontinuierliche Verbesserung
### Einführungsvideo
Video abspielenDas Video liegt bei YouTube. Beim Abspielen werden Daten an Google übertragen.
---
### Kernaussagen auf einen Blick
1. **Fundament der Informationssicherheit:** Die Schutzbedarfsfeststellung ist keine bürokratische Pflicht, sondern die Basis für effektive und effiziente Sicherheitsmaßnahmen.
2. **Drei Schutzziele im Fokus:** Vertraulichkeit, Integrität und Verfügbarkeit müssen für jedes Asset individuell bewertet und in normal/hoch/sehr hoch kategorisiert werden.
3. **Vererbung beachten:** Schutzbedarfe vererben sich von Geschäftsprozessen über Anwendungen bis zu IT-Systemen – Maximumprinzip oder Kumulationseffekte können zu höheren Schutzbedarfen führen.
4. **Werkzeugunterstützung nutzen:** Die fuentis Suite automatisiert viele Aspekte der Schutzbedarfsfeststellung und gewährleistet durch Workflows und Fragebögen eine konsistente Durchführung.
5. **Kontinuierlicher Prozess:** Schutzbedarfsfeststellung ist keine einmalige Aufgabe, sondern muss bei Änderungen der IT-Landschaft oder Geschäftsprozesse aktualisiert werden.
6. **Strukturanalyse ist die Basis:** Ohne klare Inventarisierung kein effektives ISMS.
7. **Geltungsbereich definiert Grenzen:** Fokussierung auf das Wesentliche spart Ressourcen.
8. **TOGs vereinfachen Management:** Logische Gruppierung statt Einzelverwaltung.
9. **Verknüpfungen zeigen Abhängigkeiten:** Kritische Pfade werden sichtbar.
10. **fuentis Suite automatisiert:** Workflows und Vorlagen beschleunigen die Umsetzung.
---
*Dieser Artikel basiert auf den Best Practices der ISO 27001:2022 und des BSI IT-Grundschutzes. Die beschriebenen Funktionen beziehen sich auf die fuentis Suite Version 4.*
## Überwachung
Quelle: https://servicehub.fuentis.com/de/isms/isms-monitoring/
Die kontinuierliche Überwachung des Informationssicherheitsmanagementsystems (ISMS) ist ein zentraler Bestandteil der ISO 27001 und des IT-Grundschutzes. Ein effektives Monitoring ermöglicht es Organisationen, den Fortschritt ihrer Sicherheitsmaßnahmen zu verfolgen, Schwachstellen in der Dokumentation frühzeitig zu identifizieren und Compliance-Anforderungen nachweisbar zu erfüllen.
Die fuentis Suite bietet mit dem Überwachungsmodul eine umfassende Lösung, die über klassische Dashboards und Berichte hinausgeht. Das Modul ermöglicht detaillierte Auswertungen auf verschiedenen Ebenen des ISMS und schafft Transparenz über den Umsetzungsstand von Bausteinen, Anforderungen, Maßnahmen und Kontrollen.
Das Monitoring-Modul der fuentis Suite ermöglicht die Überwachung auf verschiedenen strukturellen Ebenen:
- **Bausteine**: Übergeordnete Sicherheitsmodule gemäß BSI-Grundschutz oder eigene Strukturierung
- **Anforderungen**: Spezifische Sicherheitsanforderungen innerhalb der Bausteine
- **Maßnahmen**: Konkrete Umsetzungsschritte zur Erfüllung der Anforderungen
- **Kontrollen**: Prüfmechanismen zur Wirksamkeitskontrolle (ISO 27001 Annex A)
- **Zielobjekt-Gruppen (ZOGs)**: Gruppierung von Assets und Schutzobjekten
### Funktionsweise des Monitoring-Moduls
#### Vorlagen-basierter Ansatz
Das Monitoring in der fuentis Suite arbeitet mit einem flexiblen Vorlagen-System:
1. **Vorlage erstellen**: Definition der Überwachungsperspektive
2. **Quelle auswählen**: Festlegung der zu überwachenden Elemente und deren Beziehungen
3. **Einheit festlegen**: Bestimmung des organisatorischen Bereichs
4. **Auswertung konfigurieren**: Anpassung der Darstellung und Metriken
#### Verfügbare Überwachungsquellen
Das System bietet verschiedene Quellkombinationen für unterschiedliche Analysezwecke:
**Hierarchische Überwachung:**
- Bausteine → Anforderungen: Übersicht über Bausteine mit zugehörigen Anforderungen
- Bausteine → Maßnahmen: Bausteine mit den daraus abgeleiteten Maßnahmen
- Anforderungen → Maßnahmen: Direkte Zuordnung von Anforderungen zu Maßnahmen
**Einzelelement-Überwachung:**
- Bausteine: Isolierte Betrachtung der Bausteine
- Maßnahmen: Fokus auf Maßnahmenumsetzung
- Anforderungen: Status einzelner Anforderungen
- Kontrollen: Übersicht der Kontrollmechanismen
**Asset-bezogene Überwachung:**
- Bausteine → Zielobjekt-Gruppen: Bausteine im Kontext der betroffenen Assets
- Maßnahmen → Zielobjekt-Gruppen: Maßnahmen bezogen auf Schutzobjekte
- Anforderungen → Zielobjekt-Gruppen: Anforderungen für spezifische Asset-Gruppen
- Kontrollen → Zielobjekt-Gruppen: Kontrollen nach Zielobjekten strukturiert
> **Praxis-Tipp**: Wählen Sie die Quelle basierend auf Ihrer Fragestellung:
> - Für Compliance-Nachweise: "Bausteine → Anforderungen"
> - Für Umsetzungscontrolling: "Anforderungen → Maßnahmen"
> - Für Asset-Risikobewertung: Kombinationen mit Zielobjekt-Gruppen
### Praktische Anwendung
#### Schritt 1: Vorlage erstellen
1. Navigation zum Tab "Überwachung" im ISMS-Modul
2. Klicken Sie auf das Drop-Down der verfügbaren Vorlagen
3. Klick auf "+ Neu hinzufügen"
4. Eingabe eines aussagekräftigen Namens (z.B. "Q4-2025 Compliance-Check")
5. Auswahl der relevanten Organisationseinheit
6. **Wichtig**: Sorgfältige Auswahl der passenden Quelle für den Analysezweck
7. Speichern der Vorlage
#### Schritt 2: Überwachungsübersicht nutzen
Nach Erstellung erscheint die Vorlage in der linken Spalte der Übersicht:
- **Linke Spalte**: Liste aller erstellten Vorlagen
- **Rechte Seite**: Detailansicht der ausgewählten Vorlage
- **Oberer Bereich**: Aufbereitete Auswertung mit Kennzahlen
- **Hauptbereich**: Tabellarische Darstellung mit Drill-Down-Möglichkeiten
**Interaktive Elemente:**
- Pfeile zum Auf- und Zuklappen hierarchischer Strukturen
- Direkte Navigation zu verknüpften Elementen
- Farbcodierung nach Umsetzungsstand
#### Schritt 3: Ansicht individualisieren
Das Zahnrad-Symbol oben rechts öffnet die Anpassungsoptionen:
**Spaltenmanagement:**
- Ein-/Ausblenden einzelner Datenfelder
- Anpassung der Spaltenreihenfolge
- Definition von Standardansichten
**Speicheroptionen:**
- "Speichern": Individuelle Anpassung für aktuelle Vorlage
- "Alles Speichern": Übernahme für alle Vorlagen
- "Zurücksetzen"/"Alle zurücksetzen": Wiederherstellung der Standardansicht
#### Schritt 4: Export und Reporting
Der Export-Button ermöglicht die Dokumentation des Überwachungsstands:
1. Auswahl der gewünschten Vorlage
2. Klick auf "Exportieren" (oben rechts)
3. Automatischer Download als PDF-Datei
4. PDF enthält:
- Ausgewählte Kennzahlen und Metriken
- Tabellarische Übersicht gemäß Konfiguration
- Zeitstempel und Versionsinformationen
> **Praxis-Tipp**: Erstellen Sie regelmäßige Exports für:
> - Management-Berichte (monatlich/quartalsweise)
> - Audit-Dokumentation
> - Fortschrittsnachweise für Zertifizierungen
#### Schritt 5: Vorlagenverwaltung
**Vorlagen löschen:**
1. Klick auf das Löschen-Symbol in der Vorlagenübersicht
2. Bestätigung im Pop-up-Dialog
3. Endgültige Entfernung der Vorlage
**Best Practices für Vorlagenverwaltung:**
- Erstellen Sie Vorlagen für wiederkehrende Auswertungen
- Nutzen Sie sprechende Namen mit Datum/Zweck
- Archivieren Sie nicht mehr benötigte Vorlagen durch Export vor dem Löschen
### Integration in den ISMS-Prozess
#### Kontinuierlicher Verbesserungsprozess (KVP)
Das Monitoring-Modul unterstützt den PDCA-Zyklus:
**Plan**: Definition von Überwachungsvorlagen für kritische ISMS-Bereiche
**Do**: Regelmäßige Durchführung der Überwachung
**Check**: Analyse der Ergebnisse und Identifikation von Verbesserungspotenzialen
**Act**: Ableitung und Umsetzung von Korrekturmaßnahmen
#### Compliance-Prüfung
**Ziel**: Nachweis der ISO 27001-Konformität
**Hinweis:** Hier ist auch insbesondere das Modul GAP-Analyse zu erwähnen und zu nutzen.
**Vorgehen**:
1. Vorlage "ISO 27001 Compliance" mit Quelle "Kontrollen"
2. Filterung auf Annex A-Kontrollen
3. Export für externes Audit
#### Szenario 2: Projektfortschritt
**Ziel**: Überwachung eines ISMS-Implementierungsprojekts
**Vorgehen**:
1. Vorlage "ISMS-Projekt Q4" mit Quelle "Anforderungen → Maßnahmen"
2. Wöchentliche Aktualisierung
3. Ampeldarstellung für Projektsteuerung
#### Szenario 3: Asset-Risikomanagement
**Ziel**: Sicherheitsstatus kritischer Assets
**Vorgehen**:
1. Vorlage "Kritische Systeme" mit Quelle "Maßnahmen → Zielobjekt-Gruppen"
2. Fokus auf hochkritische ZOGs
3. Priorisierung von Schutzmaßnahmen
### Weiterführende Ressourcen
#### Video-Tutorial
#### Glossar
**ISMS**: Information Security Management System - Managementsystem für Informationssicherheit
**ZOG (Zielobjekt-Gruppe)**: Gruppierung von Assets mit ähnlichen Schutzanforderungen
**Baustein**: Modulare Einheit im BSI-Grundschutz zur Strukturierung von Sicherheitsanforderungen
**KVP**: Kontinuierlicher Verbesserungsprozess nach PDCA-Zyklus
**PDCA**: Plan-Do-Check-Act - Managementzyklus zur kontinuierlichen Verbesserung
### Kernaussagen auf einen Blick
1. **Flexibles Monitoring**: Das Überwachungsmodul bietet durch verschiedene Quellkombinationen flexible Analysemöglichkeiten für alle ISMS-Ebenen
2. **Vorlagenbasiert**: Wiederkehrende Auswertungen können als Vorlagen gespeichert und effizient wiederverwendet werden
3. **Compliance-Nachweis**: Exportfunktionen ermöglichen die revisionssichere Dokumentation für Audits und Zertifizierungen
4. **Individualisierbar**: Ansichten lassen sich an spezifische Anforderungen anpassen und speichern
5. **Integriert**: Das Monitoring-Modul ergänzt Dashboard und Berichte um eine detaillierte Analyseperspektive für das kontinuierliche ISMS-Management
# BCMS-Modul
## BCMS-Modul
Quelle: https://servicehub.fuentis.com/de/bcms/bcms-business-continuity-management-system/
Das Business Continuity Management System (BCMS) ist ein essenzieller Baustein zur Sicherstellung der Geschäftskontinuität in Krisensituationen. Es hilft Organisationen, ihre geschäftskritischen Prozesse auch bei Störungen, Ausfällen oder Katastrophen aufrechtzuerhalten. Die fuentis Suite bietet ein umfassendes BCMS-Modul, das Sie Schritt für Schritt durch die Implementierung eines normkonformen Business Continuity Managements führt.
**Kernziele des BCMS:**
- Identifikation zeitkritischer Geschäftsprozesse
- Systematische Analyse von Schadenspotentialen und Ausfallzeiten
- Entwicklung von Notfallplänen und Wiederanlaufstrategien
- Ressourcenplanung für den Notbetrieb
- Kontinuierliche Verbesserung der Krisenresilienz
### Hauptkonzepte und Anforderungen
#### 1. BCM-Initiierung - Das Fundament legen
Die BCM-Initiierung muss von der Institutionsleitung initiiert werden, da die zu treffenden Entscheidungen weitreichende Konsequenzen haben. Alle wesentlichen Phasen werden in der fuentis Suite dokumentiert:
##### 1.1 Geltungsbereich (Scope) definieren
**Was ist der Geltungsbereich?**
Der Geltungsbereich legt fest, welcher Bereich der Institution durch das BCMS abgesichert werden soll. Dies kann umfassen:
- Die gesamte Institution
- Einzelne Standorte oder Teilbereiche
- Spezifische Produkte oder Services
- Gemeinsame Geschäftsprozesse oder Produktionsstraßen
**Praxis-Tipp:** Der Geltungsbereich umfasst alle infrastrukturellen, organisatorischen, personellen und technischen Komponenten, die der Aufgabenerfüllung dienen. Berücksichtigen Sie dabei regulatorische Anforderungen und Institutionsziele.
##### 1.2 Konzeption - Strategische Ausrichtung
Die Konzeptionsphase umfasst:
**Zielsetzung:**
- Individuelle Ziele aus Geschäftsprozessen ableiten
- Gesetzliche Rahmenbedingungen berücksichtigen
- Institutionsziele einbeziehen
- Transparente Kommunikation innerhalb der Organisation
**Entscheidung zur Vorgehensweise - Wahl der BCMS-Stufe:**
- **Reaktiv-BCMS:** Minimale Vorbereitung, Reaktion im Ernstfall
- **Standard-BCMS:** Vollständige Implementierung nach Norm (z.B. ISO 22301)
##### 1.3 Rollen und Verantwortlichkeiten
**Wichtige Rollen im BCMS:**
**Business Continuity Officer (BC-Beauftragter):**
- Hauptverantwortlich für Aufbau und Umsetzung des BCMS
- Unterstützt die Institutionsleitung
- Koordiniert alle BCM-Aktivitäten
**Weitere Rollen:**
- Krisenmanager
- Prozessverantwortliche
- Mitglieder der Besonderen Aufbauorganisation (BAO)
- Notfallteam-Mitglieder
**Praxis-Tipp:** Kennzeichnen Sie Pflicht-Rollen und BAO-Zugehörigkeiten bereits bei der Rollenerstellung. Dies erleichtert später die Zuordnung und Dokumentation.
##### 1.4 Ressourcenkategorien
**Grundlegende Ressourcen:**
Bestimmte Ressourcen sind für den gesamten Geschäftsbetrieb essentiell:
- Strom und Notstromversorgung
- Wasserversorgung
- Klimatechnik/Belüftung
- IT-Infrastruktur
- Telekommunikation
**Recovery Point Objective (RPO):**
Definiert den maximal tolerierbaren Datenverlust. Kennzeichnen Sie Ressourcenkategorien mit RPO-Anforderungen entsprechend.
##### 1.5 Dokumenttypen und Schlüsseldokumente
**Dokumentkategorien:**
- Notfallpläne
- Wiederanlaufpläne
- Kommunikationspläne
- Ressourcenlisten
- Kontaktlisten
**Praxis-Tipp:** Markieren Sie verpflichtende Dokumenttypen und verknüpfen Sie hochgeladene Dokumente direkt mit den entsprechenden Kategorien.
#### 2. Geschäftsprozesse - Das Herzstück des BCMS
##### 2.1 Prozessidentifikation und -zuordnung
Geschäftsprozesse bilden die Grundlage für die Business Impact Analyse (BIA). Sie müssen:
- Im Asset-Management erstellt werden
- Dem BCMS-Geltungsbereich zugeordnet werden
- Mit anderen Prozessen verknüpft werden (Abhängigkeiten)
- Mit relevanten Assets verbunden werden
##### 2.2 Prozessverknüpfung
**Beziehungsarten zwischen Prozessen:**
- **Vorgelagert:** Prozess A muss vor Prozess B ablaufen
- **Nachgelagert:** Prozess B folgt auf Prozess A
- **Parallel:** Prozesse laufen gleichzeitig
- **Abhängig:** Prozess B benötigt Output von Prozess A
**Wichtig:** Im BCMS werden nur Verknüpfungen zwischen Geschäftsprozessen angezeigt, aber die vollständige Verknüpfung mit Assets ist für eine umfassende Analyse wichtig.
#### 3. Analyse-Parameter - Bewertungsgrundlagen schaffen
##### 3.1 Zeithorizonte
**Standard-Zeithorizonte für die Bewertung:**
- Sofort (0-4 Stunden)
- Kurzfristig (4-24 Stunden)
- Mittelfristig (1-7 Tage)
- Langfristig (> 7 Tage)
**Format für individuelle Zeithorizonte:**
- w = Wochen
- d/t = Tage
- h/s = Stunden
- m = Minuten
Beispiel: `2w 3d 4h 30m` = 2 Wochen, 3 Tage, 4 Stunden, 30 Minuten
##### 3.2 Schadensszenarien
**BSI-Standard-Schadensszenarien:**
- Beeinträchtigung der persönlichen Unversehrtheit
- Beeinträchtigung der Aufgabenerfüllung
- Verstoß gegen Gesetze, Vorschriften und Verträge
- Negative Innen- und Außenwirkung (Imageschaden)
- Finanzielle Auswirkungen
##### 3.3 Schadenskategorien
**Standard-Schadenskategorien nach BSI:**
| Kategorie | Beschreibung | Auswirkungen |
|-----------|--------------|---------------|
| **Gering** | Minimale, kaum spürbare Auswirkungen | Unwesentliche Beeinträchtigung, keine Konsequenzen |
| **Mittel** | Spürbare Auswirkungen | Arbeitsrückstände, tolerabler finanzieller Schaden |
| **Hoch** | Nicht tolerierbare Auswirkungen | Massive Einschränkungen, erhebliche Konsequenzen |
| **Sehr hoch** | Existentiell bedrohliche Auswirkungen | Gefahr für Leib und Leben, existenzbedrohende Schäden |
**Untragbarkeitsniveau:**
Definiert die Schwelle, ab der ein Schaden nicht mehr akzeptabel ist. Dies bestimmt die maximal tolerierbare Ausfallzeit (MTA/MTPD).
#### 4. Business Impact Analyse (BIA) - Kritikalität bewerten
##### 4.1 BIA-Profil und Schadenspotential
**Ziele der BIA:**
- Identifikation zeitkritischer Geschäftsprozesse
- Bestimmung der Ausfallauswirkungen
- Ableitung von Wiederanlaufanforderungen
- Ressourcenbedarfsermittlung für Notbetrieb
**Schadenspotential-Bewertung:**
Für jeden Zeithorizont wird das Schadenspotential in den definierten Kategorien bewertet. Die Bewertung erfolgt grafisch durch Positionierung auf der Schadenskategorie-Skala.
##### 4.2 Kritische Kennzahlen
**Maximum Tolerable Period of Disruption (MTPD/MTA):**
- Maximal tolerierbare Ausfallzeit eines Geschäftsprozesses
- Wird automatisch berechnet basierend auf Schadenspotential und Untragbarkeitsniveau
**Recovery Time Objective (RTO):**
- Ziel-Wiederanlaufzeit nach einem Ausfall
- Muss kleiner als MTPD sein
- Basis für Notfallplanung
**Recovery Point Objective (RPO):**
- Maximal akzeptabler Datenverlust
- Bestimmt Backup-Strategien
- Relevant für IT-gestützte Prozesse
##### 4.3 Abhängigkeiten und Ressourcen
**Prozessabhängigkeiten analysieren:**
- Interne Abhängigkeiten (andere Prozesse)
- Externe Abhängigkeiten (Lieferanten, Dienstleister)
- Technische Abhängigkeiten (IT-Systeme, Infrastruktur)
- Personelle Abhängigkeiten (Schlüsselpersonen, Spezialwissen)
**Ressourcenbedarf ermitteln:**
- Mindestpersonal für Notbetrieb
- Kritische IT-Systeme und Anwendungen
- Arbeitsplätze und Räumlichkeiten
- Kommunikationsmittel
- Spezielle Ausrüstung oder Material
### Umsetzungshilfen und Best Practices
#### Praktische Tipps für die Implementierung
##### Schritt-für-Schritt-Vorgehen:
1. **Vorbereitung:**
- Management-Commitment sicherstellen
- BC-Beauftragten benennen
- Projektteam zusammenstellen
2. **Initiierung:**
- Geltungsbereich definieren
- BCMS-Stufe festlegen
- Rollen und Verantwortlichkeiten klären
3. **Analyse:**
- Geschäftsprozesse identifizieren
- BIA durchführen
- Kritikalitäten bewerten
4. **Strategieentwicklung:**
- Notfallstrategien definieren
- Wiederanlaufpläne erstellen
- Ressourcen planen
5. **Implementierung:**
- Notfallpläne dokumentieren
- Schulungen durchführen
- Tests und Übungen planen
#### Integration mit ISO-Standards
**ISO 22301 - Business Continuity Management:**
Das BCMS-Modul der fuentis Suite orientiert sich an den Anforderungen der ISO 22301:
- Plan-Do-Check-Act (PDCA) Zyklus
- Risikoorientierter Ansatz
- Kontinuierliche Verbesserung
- Dokumentierte Information
**BSI-Standard 200-4:**
Die Implementierung folgt den Empfehlungen des BSI für Business Continuity Management:
- Stufenmodell (Reaktiv, Aufbau, Standard)
- Standardisierte Schadenskategorien
- Strukturierte Vorgehensweise
#### So unterstützt die fuentis Suite
**Automatisierung und Vereinfachung:**
- Automatische Berechnung von MTPD und RTO
- Grafische Darstellung von Schadenspotentialen
- Verknüpfung mit Asset-Management
- Integrierte Dokumentenverwaltung
**Compliance und Audit:**
- Normkonforme Dokumentation
- Nachvollziehbare Prozesse
- Audit-Trail für alle Änderungen
- Zertifizierungsvorbereitung
#### Häufige Herausforderungen und Lösungen
**Herausforderung: Unvollständige Prozesslandschaft**
- Lösung: Schrittweise Erfassung, beginnend mit kritischen Prozessen
- Praxis-Tipp: Workshop-basierte Prozessidentifikation mit Fachabteilungen
**Herausforderung: Unrealistische Wiederanlaufzeiten**
- Lösung: Realistische Tests und Übungen durchführen
- Praxis-Tipp: Mit konservativen Schätzungen beginnen und optimieren
**Herausforderung: Fehlende Ressourcen für Notbetrieb**
- Lösung: Priorisierung und Minimalbetrieb definieren
- Praxis-Tipp: Ausweichstrategien und externe Ressourcen einplanen
### Kernaussagen auf einen Blick
1. **BCMS ist Chefsache:** Die Initiierung und Verantwortung für ein BCMS liegt bei der Institutionsleitung, wobei ein BC-Beauftragter die operative Umsetzung koordiniert.
2. **Strukturiertes Vorgehen:** Der Aufbau erfolgt in klar definierten Phasen - von der Initiierung über die BIA bis zur Strategieentwicklung und Implementierung.
3. **Kritikalität im Fokus:** Die Business Impact Analyse identifiziert zeitkritische Prozesse und bestimmt maximal tolerierbare Ausfallzeiten als Basis für die Notfallplanung.
4. **Integration ist entscheidend:** Das BCMS ist keine isolierte Disziplin, sondern eng mit Asset-Management, Risikomanagement und ISMS verzahnt.
5. **Kontinuität als Prozess:** Business Continuity Management ist ein fortlaufender Prozess mit regelmäßigen Tests, Übungen und Anpassungen an veränderte Rahmenbedingungen.
### Weiterführende Informationen
#### Glossar wichtiger Begriffe:
- **BAO:** Besondere Aufbauorganisation - Krisenorganisation im Notfall
- **BIA:** Business Impact Analyse - Bewertung der Ausfallauswirkungen
- **MTPD/MTA:** Maximum Tolerable Period of Disruption / Maximal tolerierbare Ausfallzeit
- **RPO:** Recovery Point Objective - Maximal akzeptabler Datenverlust
- **RTO:** Recovery Time Objective - Ziel-Wiederanlaufzeit
# Datenschutz-Modul
## Datenschutz-Management
Quelle: https://servicehub.fuentis.com/de/dsms/dpms-datenschutz-management-modul/
Die **EU-Datenschutz-Grundverordnung (DSGVO)** stellt seit 2018 hohe Anforderungen an den Umgang mit personenbezogenen Daten. Organisationen müssen nicht nur datenschutzkonform arbeiten, sondern dies auch **nachweisbar dokumentieren**. Genau hier setzt das **Data Protection Management System (DPMS)** der fuentis Suite 4 an: Es bietet eine strukturierte, softwaregestützte Lösung zur Verwaltung aller datenschutzrelevanten Prozesse.
Das DPMS-Modul ist **integraler Bestandteil** der fuentis Suite 4 (Codename Phoenix) und arbeitet nahtlos mit anderen Modulen wie ISMS, BCMS und dem Incident Management zusammen. Diese Integration ermöglicht eine **ganzheitliche Governance-Strategie**, bei der Datenschutz nicht isoliert, sondern im Kontext der gesamten Informationssicherheit betrachtet wird.
---
### Kernkonzepte des DPMS
#### 1. Verzeichnis von Verarbeitungstätigkeiten (VVT/RoPA)
Das **Register of Processing Activities (RoPA)** bildet das Herzstück des DPMS. Es dokumentiert gemäß **Art. 30 DSGVO** alle Verarbeitungstätigkeiten personenbezogener Daten in Ihrer Organisation.
**Struktureller Aufbau:**
- **RoPA** (Hauptebene): Repräsentiert das gesamte Verzeichnis einer Organisationseinheit
- **Processing Activities (PAs)**: Einzelne Verarbeitungstätigkeiten innerhalb des RoPA
- **Hierarchische Organisation**: Jede Entity (Organisationseinheit) kann ihr eigenes RoPA führen
**Dokumentierte Informationen pro Verarbeitungstätigkeit:**
- Verarbeitungszwecke und Rechtsgrundlagen
- Kategorien betroffener Personen und Daten
- Empfängerkategorien (inkl. Drittlandsübermittlungen)
- Löschfristen und Aufbewahrungsdauer
- Verantwortliche Abteilungen und Ansprechpartner
#### 2. Technische und Organisatorische Maßnahmen (TOMs)
TOMs sind essenzielle Sicherheitsvorkehrungen zum Schutz personenbezogener Daten. Das DPMS unterscheidet zwischen:
**Ebenen der TOM-Anwendung:**
- **Globale TOMs**: Auf RoPA-Ebene (gelten für alle untergeordneten Verarbeitungen)
- **Spezifische TOMs**: Auf einzelne Processing Activities bezogen
**TOM-Kategorisierung nach Schutzzielen:**
- **Vertraulichkeit**: Zugriffskontrolle, Verschlüsselung, Pseudonymisierung
- **Integrität**: Eingabekontrolle, Weitergabekontrolle, Datenträgervernichtung
- **Verfügbarkeit**: Backup-Konzepte, Notfallpläne, Wiederherstellungsverfahren
- **Belastbarkeit**: Penetrationstests, Monitoring, Incident Response
**Praktische TOM-Bibliothek:**
Das DPMS bietet eine vordefinierte Bibliothek mit Best-Practice-TOMs basierend auf:
- Standard-Datenschutzmodell (SDM)
- General Data Protection Regulation (GDPR)
#### 3. Partner- und Auftragsverarbeiterverwaltung
**Vertragsmanagement umfasst:**
- **Auftragsverarbeiter** (Data Processors): Externe Dienstleister, die im Auftrag Daten verarbeiten
- **Gemeinsame Verantwortlichkeit** (Joint Controllers): Partner mit geteilter Datenverantwortung
- **Datenübermittlungen**: Dokumentation von Drittlandsübermittlungen inkl. Garantien
**Automatisierte Compliance-Prüfungen:**
- Vertragslaufzeiten und Kündigungsfristen
- Aktualisierung von Standardvertragsklauseln (SCC)
- Überwachung von Angemessenheitsbeschlüssen
#### 4. Datenschutzverletzungen (Data Breaches)
**Integration mit Incident Management:**
Datenschutzverletzungen werden initial im **Incident Management System (IMS)** erfasst und bei Relevanz an das DPMS übergeben.
**72-Stunden-Meldepflicht Management:**
- Automatische Fristberechnung ab Kenntnisnahme
- Eskalationsmechanismen bei kritischen Vorfällen
- Vorlagen für Aufsichtsbehörden-Meldungen
**Risikobewertung nach DSGVO-Kriterien:**
- Art der betroffenen Daten (besondere Kategorien gem. Art. 9 DSGVO)
- Anzahl betroffener Personen
- Mögliche Folgen für Betroffene
- Ergriffene Abhilfemaßnahmen
---
### Praktische Anwendung im DPMS
#### Arbeitsablauf: Von der Erfassung zur Compliance
**1. Initiale Bestandsaufnahme:**
```
- Anlegen der RoPA-Struktur pro Entity/Mandant
- Import bestehender Verarbeitungsverzeichnisse (Excel/CSV)
- Mapping zu Business-Prozessen aus dem Asset Management
```
**2. Kontinuierliche Pflege:**
```
- Regelmäßige Reviews durch Datenschutzbeauftragte
- Aktualisierung bei Prozessänderungen
- Versionierung und Änderungshistorie
```
**3. Compliance-Nachweis:**
```
- Generierung DSGVO-konformer Reports
- Audit-Trails für Prüfungen
- Dashboard-Visualisierungen für Management
```
#### Integration mit anderen fuentis-Modulen
**ISMS-DPMS Synergie:**
- TOMs aus dem ISMS können als Datenschutzmaßnahmen referenziert werden
- Gemeinsame Risikobetrachtung für Informationssicherheit und Datenschutz
- Einheitliche Kontrollen für ISO 27001 und DSGVO
**BCMS-Integration:**
- Wiederherstellungszeiten kritischer Datenverarbeitungen
- Notfallpläne für Datenschutzverletzungen
- Business Impact Analysis unter Datenschutzaspekten
**Asset Management Verknüpfung:**
- Automatische Zuordnung von IT-Systemen zu Verarbeitungstätigkeiten
- Hardware-Lifecycle und Datenlöschung
- Standortbezogene Datenschutzanforderungen
---
### Best Practices für die DPMS-Nutzung
#### 1. Strukturierte Herangehensweise
**Praxis-Tipp: Schrittweise Implementierung**
> Beginnen Sie mit kritischen Verarbeitungen (HR, Kundendaten, Gesundheitsdaten) und erweitern Sie sukzessive. Nutzen Sie die Priorisierungsfunktion nach Risiko und Datenvolumen.
#### 2. Automatisierung nutzen
**Effizienzsteigerung durch:**
- Vordefinierte Templates für Standardverarbeitungen
- Bulk-Import/Export-Funktionen
- Automatische Verlinkung gleichartiger TOMs
- KI-unterstützte Vorschläge für Rechtsgrundlagen
#### 3. Kollaboration fördern
**Multi-Stakeholder-Ansatz:**
- **Fachbereiche**: Erfassen ihre Verarbeitungstätigkeiten
- **IT-Abteilung**: Dokumentiert technische TOMs
- **Datenschutzbeauftragte**: Überprüfen und genehmigen
- **Management**: Erhält aggregierte Compliance-Dashboards
#### 4. Kontinuierliche Verbesserung
**PDCA-Zyklus im Datenschutz:**
- **Plan**: Datenschutz-Folgenabschätzungen durchführen
- **Do**: TOMs implementieren und dokumentieren
- **Check**: Regelmäßige Audits und Reviews
- **Act**: Maßnahmen anpassen und optimieren
---
### Reporting und Dashboards
#### Operative Reports
**Verfügbare Report-Typen:**
1. **Verarbeitungsverzeichnis** (Art. 30 DSGVO-konform)
2. **TOM-Übersicht** nach Schutzziel und Status
3. **Partner-Register** mit Vertragsstatus
4. **Data Breach Log** für Aufsichtsbehörden
5. **Audit-Trail** für interne/externe Prüfungen
### Kernaussagen auf einen Blick
1. **Ganzheitlicher Ansatz**: Das DPMS ist keine Insellösung, sondern tief in die fuentis Suite 4 integriert. Datenschutz wird im Kontext von Informationssicherheit (ISMS), Business Continuity (BCMS) und Incident Management betrachtet.
2. **DSGVO-Compliance by Design**: Alle Funktionen sind auf die Anforderungen der DSGVO und internationaler Datenschutzstandards ausgerichtet – von der Verarbeitungsdokumentation über TOM-Management bis zur Breach-Notification.
3. **Skalierbarkeit**: Ob kleine Organisation mit wenigen Verarbeitungen oder Konzern mit hunderten Gesellschaften – das DPMS passt sich durch seine Multi-Tenant-Architektur flexibel an.
4. **Praxisorientierung**: Vordefinierte Templates, Best-Practice-TOMs und automatisierte Workflows reduzieren den Implementierungsaufwand erheblich und ermöglichen schnelle Erfolge.
5. **Zukunftssicherheit**: Durch offene APIs, kontinuierliche Updates und die Integration neuer Compliance-Anforderungen bleibt das DPMS auch bei sich ändernden regulatorischen Rahmenbedingungen aktuell.
---
### Glossar
**DPMS**: Data Protection Management System - Datenschutz-Managementsystem
**RoPA**: Register of Processing Activities - Verzeichnis von Verarbeitungstätigkeiten (VVT)
**PA**: Processing Activity - Einzelne Verarbeitungstätigkeit
**TOM**: Technische und Organisatorische Maßnahme - Sicherheitsvorkehrung zum Datenschutz
**Data Breach**: Datenschutzverletzung - Sicherheitsvorfall mit personenbezogenen Daten
**DPO**: Data Protection Officer - Datenschutzbeauftragte(r)
**DPIA**: Data Protection Impact Assessment - Datenschutz-Folgenabschätzung
**Joint Controller**: Gemeinsame Verantwortlichkeit - Geteilte Datenverantwortung
**Processor**: Auftragsverarbeiter - Externer Dienstleister
**SDM**: Standard-Datenschutzmodell - Deutsches Referenzmodell für Datenschutz
**Multi-Tenancy**: Mandantenfähigkeit - Datenisolation zwischen Organisationseinheiten
# Support-Module
## Account-Management und Authentifizierung
Quelle: https://servicehub.fuentis.com/de/support/account-management-authentifizierung/
Die sichere Verwaltung von Benutzerkonten und die Authentifizierung sind zentrale Säulen der Informationssicherheit in jedem ISMS. Die fuentis Suite nutzt Keycloak als Identity and Access Management (IAM)-System im fuentis-Design, um eine sichere und benutzerfreundliche Kontoverwaltung zu gewährleisten. Diese Seite erklärt die wichtigsten Konzepte, Funktionen und Best Practices für das Account-Management. Für mehr Informationen zu Rechten und Rollen finden Sie im entsprechenden Modul.
**Warum ist das relevant?**
Ein effektives Account-Management reduziert Sicherheitsrisiken durch schwache Passwörter, unauthorisierten Zugriff und unzureichende Authentifizierung. Es ist ein wesentlicher Baustein für die Erfüllung von ISO 27001-Anforderungen (A.9 Zugriffskontrolle) und BSI-Grundschutz (ORP.4 Identitäts- und Berechtigungsmanagement).
### Zentrale Konzepte und Funktionen
#### Account-Manager (Keycloak)
Die fuentis Suite verwendet Keycloak als zentrales Identity Management System. Jede Instanz verfügt über einen eigenen Account-Manager, der über eine spezifische URL erreichbar ist:
**URL-Struktur:**
`https://auth.fuentis.com/auth/realms/[INSTANZNAME]/account/`
**Beispiel für die fuentis-Instanz:**
`https://auth.fuentis.com/auth/realms/fuentis/account/`
**Beispiel für OnPremise: **
https://KEYCLOAK-URL.domain.tld/auth/realms/[Instanzname]/account
Die Keycloak-URL finden Sie heraus wenn Sie die fuentis Suite öffnen, dann werden Sie zu Keycloak geleitet und sehen dann auch den Realm in der Adresszeile Ihres Browsers
> **Praxis-Tipp:** Setzen Sie ein Lesezeichen für Ihren Account-Manager, um den direkten Zugriff zu erleichtern.
#### Passwort-Management
Das System ermöglicht es Benutzern, ihre Passwörter eigenständig zu verwalten:
- **Self-Service Passwort-Änderung** über den Account-Manager
- **Sichere Passwort-Richtlinien** werden durch das System durchgesetzt
- **Sofortige Aktivierung** neuer Passwörter ohne Administrator-Eingriff
**Funktionsumfang:**
- Zugriff über den "Passwords"-Tab im Account-Manager
- Eingabe des neuen Passworts in zwei Feldern zur Bestätigung
- Sofortige Aktivierung nach dem Speichern
#### Zwei-Faktor-Authentifizierung (2FA)
Die fuentis Suite unterstützt Zwei-Faktor-Authentifizierung als zusätzliche Sicherheitsebene:
- **TOTP-basierte Authentifizierung** (Time-based One-Time Password)
- **Schritt-für-Schritt-Einrichtung** über den "Authenticator"-Tab
- **Unterstützung gängiger Apps** wie Google Authenticator, Microsoft Authenticator
**Einrichtungsprozess:**
1. Zugriff auf Account-Manager mit aktuellen Zugangsdaten
2. Navigation zum "Authenticator"-Tab
3. Befolgen der geführten Einrichtungsschritte
4. QR-Code scannen oder manueller Schlüsseleintrag
5. Bestätigung durch Eingabe eines generierten Codes
### Umsetzungshilfen und Best Practices
#### Passwort-Sicherheit
**Empfohlene Passwort-Richtlinien:**
- Mindestlänge von 12 Zeichen
- Kombination aus Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen
- Keine Verwendung persönlicher Informationen
- Regelmäßige Änderung bei Verdacht auf Kompromittierung
**Organisatorische Maßnahmen:**
- Schulung der Mitarbeiter über sichere Passwort-Praktiken
- Richtlinien für den Umgang mit Passwörtern
- Nutzung von Passwort-Managern empfehlen
> **Praxis-Tipp:** Implementieren Sie 2FA zunächst für privilegierte Accounts (Administratoren, Auditoren) und weiten Sie es dann auf alle Nutzer aus.
### So unterstützt die fuentis Suite
Die fuentis Suite bietet integrierte Lösungen für das Account-Management:
**Technische Integration:**
- Nahtlose SSO-Integration (Single Sign-On)
- Automatisierte Benutzerprovisioning
- Zentrale Benutzerverwaltung über Keycloak
- API-basierte Integration in bestehende Systeme
**Compliance-Unterstützung:**
- Vorkonfigurierte Sicherheitsrichtlinien
- Audit-Logs für Compliance-Nachweise
- Rollenbasierte Zugriffskontrolle (RBAC)
- Automatische Protokollierung von Sicherheitsereignissen
**Benutzerfreundlichkeit:**
- Self-Service-Portal für Passwort-Management
- Intuitive Benutzeroberfläche im fuentis-Design
- Mobile Unterstützung für 2FA-Apps
- Mehrsprachige Oberfläche (Deutsch/Englisch)
**Hinweis:** Wenn Sie eine Synchronisation mit Ihrem Nutzerverzeichnisdienst wünschen sprechen Sie uns gerne an. Wir helfen Ihnen dies einzurichten!
**Glossar:**
- **2FA/MFA:** Zwei-/Mehr-Faktor-Authentifizierung
- **TOTP:** Time-based One-Time Password
- **SSO:** Single Sign-On
- **IAM:** Identity and Access Management
- **RBAC:** Role-based Access Control
- **Keycloak:** Open-Source Identity and Access Management Solution
### Kernaussagen auf einen Blick
1. **Zentrales Management:** Die fuentis Suite nutzt Keycloak für einheitliches Account-Management über instanzspezifische URLs.
2. **Self-Service-Funktionen:** Benutzer können Passwörter eigenständig ändern und 2FA einrichten, ohne Administrator-Eingriff.
3. **Compliance-Ready:** Das System erfüllt die Anforderungen von ISO 27001 und BSI-Grundschutz für Identitäts- und Zugriffsmanagement.
4. **Sicherheit durch Design:** Integrierte Sicherheitsfeatures wie 2FA, sichere Passwort-Richtlinien und Audit-Logging.
5. **Benutzerfreundlichkeit:** Intuitive Oberfläche im fuentis-Design mit mehrsprachiger Unterstützung und mobiler Kompatibilität.
## Asset Management
Quelle: https://servicehub.fuentis.com/de/support/asset-management/
Das Asset Management-Modul in der fuentis Suite ist die zentrale Plattform zur systematischen Erfassung, Verwaltung und Dokumentation aller informationsrelevanten Werte Ihres Unternehmens. Von IT-Systemen über Softwarelizenzen bis hin zu sensiblen Datenbanken und Geschäftsprozessen - hier behalten Sie den vollständigen Überblick über Ihre Unternehmensressourcen, welche Sie mit Ihren Bemühungen im ISMS, BCMS und DSMC schützen.
**Hinweis:** Für die Nutzung des ISMS ist kein Asset Management erforderlich. Das Modul BCMS, baut direkt auf den Assets auf. Es gibt in diesem Modul keine Zielobjektgruppen. Hier Starten Sie mit den wichtigsten Geschäftsprozessen.
#### Warum ist ein strukturiertes Asset Management kritisch?
In **ISO 27001** und im **BSI IT-Grundschutz** bildet ein vollständiges Asset-Inventar das Fundament für:
- **Risikoanalysen** und deren Bewertung
- **Compliance-Nachweise** für Audits
- **Business Continuity Management** (BCM)
- **Incident Response** und Notfallmanagement
- **Fundierte Sicherheitsentscheidungen** basierend auf aktuellen Daten
**Hinweis:** Im Asset Management lassen sich oft Daten aus IT-Servicemanagement Produkten und anderen Datenbanken importieren. Sprechen Sie uns gerne für Beratung an.
### Die vier Säulen des Asset Managements
Das Modul strukturiert Ihre Unternehmenswerte in vier Hauptbereiche: 1. Scopes, 2. Assets, 3. Geschäftsprozesse, 4. Organisationsstruktur.
#### 1. Scopes - Geltungsbereiche definieren
**Zweck:** Organisation der Assets in logische Verwaltungseinheiten (Geltungsbereiche = Scopes)
- Jedes Asset-Objekt gehört zu mindestens einem Geltungsbereich (Scope)
- Scopes ermöglichen die Abbildung von Organisationsstrukturen, Projekten oder Standorten
- Integration mit ISMS/BCMS-Modulen für durchgängige Compliance
**Berechtigungskonzept:**
- `ASSM_ACCESS_SCOPES` - Globale Zugriffsberechtigung
- Granulare Rechte: Hier können Rechte bis auf einzelne Assets vergeben werden.
**Praxistipp:** Geltungsbereiche oder Scopes sind ähnlich aufgebaut wie im ISMS-Modul. Hier lassen sich auch die Berechtigungskonzepte spiegeln. In der Regel sollte mit dem ISMS angefangen werden, da sich Assets oft häufiger ändern - ***Praxisbeispiel: Der physische Rechner im Vertrieb MacBook Pro 14" M3 2024 wird ausgetauscht - Die Assetgruppe (Zielobjektgruppe) Vertriebsnotebooks bleibt bestehen***
#### 2. Assets - Kernstück des Asset Managements
**Umfang:** Dokumentation aller informationsrelevanten Assets
- IT-Systeme (Server, Clients, Netzwerkkomponenten)
- Software und Lizenzen
- Datenbanken und Informationssysteme
- Physische Assets (Gebäude, Räume, Sicherheitstechnik)
**Strukturierung:**
- Hierarchische Organisation in Asset-Gruppen und -Typen
- Einheitliche Basisdaten-Attribute für alle Asset-Typen
- Typspezifische Detail-Attribute je nach Asset-Kategorie
- Visueller Asset-Baum für intuitive Navigation
#### 3. Geschäftsprozesse - Prozesslandschaft abbilden
**Fokus:** Dokumentation kritischer Geschäftsprozesse und Informationsflüsse
- Erfassung von Prozessabhängigkeiten
- Identifikation kritischer Informationen
- Verknüpfung mit unterstützenden Assets
**Berechtigung:** `ASSM_ACCESS_BUSINESS_PROCESSES`
#### 4. Organisationsstruktur - Verantwortlichkeiten klären
**Inhalt:** Abbildung der Organisationseinheiten
- Abteilungen und Teams
- Rollen und Verantwortlichkeiten
- Kontaktinformationen für Notfallmanagement
**Berechtigung:** `ASSM_ACCESS_ORGANIZATION`
### Asset-Verwaltung im Detail
#### Asset-Erfassung und -Pflege
**Erstellungsprozess (Wizard-basiert):**
1. **Typ-Auswahl**: Bestimmt die verfügbaren Attribute und Relationen
2. **Entitäts-Zuordnung**: Nur Entitäten mit Create-Berechtigung werden angezeigt
3. **Scope-Zuweisung**: Mindestens ein Scope ist obligatorisch
4. **Basisdaten-Eingabe**: Name und Titel (müssen eindeutig sein)
5. **Detail-Attribute**: Typspezifische technische und organisatorische Daten
**Batch-Verarbeitung:**
- Checkbox "Create another" für Serienerstellung
- Mehrfachauswahl für Löschvorgänge
- Detaillierte Ansicht der Assets
- Bearbeitung der Attribute eines Assets
#### Beziehungsmanagement - Assets vernetzen
Die Verknüpfung von Assets erfolgt über zwei Mechanismen:
**1. Scope-Zuweisungen (Tab "Scopes"):**
- Multi-Scope-Fähigkeit: Ein Asset kann mehreren Bereichen angehören
- Mindestens ein Scope muss immer zugewiesen bleiben
- Erforderlich: Edit-Berechtigung auf Scope + Read auf Asset
**2. Asset-Verknüpfungen (Tab "Links"):**
**Allgemeine Relationstypen:**
- **Hierarchisch**: "is parent to" / "is child of"
- Universell anwendbar auf alle Asset-Kombinationen
- Mehrfachverknüpfungen möglich (unterschiedliche Typen)
**Spezifische Relationstypen:**
- **Räumlich**: "Contains" / "Is in" (für Gebäude/Räume)
- **Technisch**: Abhängigkeiten zwischen IT-Komponenten
- **Organisatorisch**: Zuständigkeiten und Ownership
**Visualisierung:**
- **Tabellenansicht**: Übersichtliche Listendarstellung
- **Graph-View**: Interaktive Hierarchie-Visualisierung
- Asset-Boxen mit Direktinformationen
- Gerichtete Pfeile zeigen Relationstyp und -richtung
- Focus-Funktion: Neuzentrierung auf ausgewähltes Asset
- Go-to-Funktion: Direktsprung zur Detail-Ansicht
### Best Practices für die Implementierung
#### Strukturierung und Organisation
**Asset-Hierarchie aufbauen:**
- Beginnen Sie mit kritischen Assets (Crown Jewels)
- Nutzen Sie konsistente Namenskonventionen
- Nutzen Sie die klaren Asset-Kategorien
- Etablieren Sie Ownership von Anfang an
**Scope-Design:**
- Orientierung an Organisationsstruktur oder Standorten
- Separate Scopes für Projekte oder temporäre Strukturen
- Überschneidungen gezielt für Matrix-Organisationen
#### Integration mit ISMS/BCMS
**Synergien nutzen:**
- Assets als Basis für Risikoanalysen
- Verknüpfung mit Schutzbedarfsfeststellung
- Input für Business Impact Analysen (BIA)
- Grundlage für Notfallpläne
**Aufgabenmanager einbinden:**
- Regelmäßige Asset-Reviews planen
- Inventur-Zyklen automatisieren
- Verantwortlichkeits-Updates terminieren
#### Berechtigungsmanagement
**Rollenbasierter Ansatz:**
```
Globale Rollen (Modulzugriff):
- ASSM_ACCESS_SCOPES
- ASSM_ACCESS_ASSETS
- ASSM_ACCESS_ORGANIZATION
- ASSM_ACCESS_BUSINESS_PROCESSES
Granulare Rechte (je Asset-Typ und Entität):
- [AssetType] - Read
- [AssetType] - Create
- [AssetType] - Edit
- [AssetType] - Delete
```
#### Datenqualität sichern
**Validierung und Pflege:**
- Eindeutige Bezeichner (Name/Titel) durchsetzen
- Pflichtfelder sinnvoll definieren
- Regelmäßige Konsistenzprüfungen
- Verwaiste Verknüpfungen identifizieren
### Unterstützung durch die fuentis Suite
Die fuentis Suite bietet umfassende Unterstützung für effizientes Asset Management:
#### Automatisierung
- **Wizard-geführte Prozesse** für fehlerfreie Dateneingabe
- **Batch-Operationen** für Massenänderungen
- **Import-Schnittstellen** für Bestandsdaten
**Hinweis:** Wir verfügen über einige Schnittstellen zu anderen CMDB- und Inventarisierungstools. Sprechen Sie uns gerne an, wir haben bisher immer eine Lösung gefunden.
#### Visualisierung
- **Interaktive Graph-Views** für Abhängigkeitsanalysen
- **Hierarchie-Browser** für strukturierte Navigation
- **Dashboard-Integration** für Management-Reporting
### Weiterführende Ressourcen
### Kernaussagen auf einen Blick
✓ **Ganzheitlicher Ansatz**: Asset Management bildet die Grundlage für ISMS, BCMS und Risikomanagement - ein gepflegtes Asset-Inventar ist der Schlüssel zu effektiver Informationssicherheit
✓ **Vier-Säulen-Prinzip**: Strukturierte Verwaltung über Scopes, Assets, Geschäftsprozesse und Organisation ermöglicht vollständige Transparenz über Unternehmenswerte
✓ **Beziehungen sind kritisch**: Die Verknüpfung von Assets untereinander und zu Scopes schafft Verständnis für Abhängigkeiten und erleichtert Impact-Analysen
✓ **Compliance by Design**: Die fuentis Suite unterstützt automatisch ISO 27001 und BSI-Grundschutz-konforme Asset-Verwaltung durch vordefinierte Strukturen und Workflows
## Benutzerprofil, Einstellungen und Dashboards
Quelle: https://servicehub.fuentis.com/de/support/benutzerprofil-einstellungen-dashboards/
Die fuentis Suite bietet umfangreiche Personalisierungsmöglichkeiten, mit denen Sie Ihre Arbeitsumgebung optimal an Ihre individuellen Bedürfnisse und Arbeitsprozesse anpassen können. Von grundlegenden Profileinstellungen über visuelle Anpassungen bis hin zu maßgeschneiderten Dashboards – diese Funktionen sind essentiell für effizientes Arbeiten im Informationssicherheits-Managementsystem (ISMS) und anderen Modulen der Suite.
**Warum ist das relevant?**
- **Effizienzsteigerung**: Personalisierte Dashboards und Schnellzugriffe reduzieren Klickwege
- **Compliance-Unterstützung**: Übersichtliche Darstellung von Maßnahmen, Risiken und Anforderungen gemäß ISO 27001
- **Benutzerfreundlichkeit**: Individuelle Anpassungen wie Dark Mode oder Schriftgröße verbessern die Ergonomie
- **Rollenbasierte Sichten**: Verschiedene Dashboards für unterschiedliche Verantwortungsbereiche im ISMS
---
### Hauptkonzepte und Funktionsbereiche
#### 1. User Profile - Das persönliche Kontrollzentrum
Das User Profile ist der zentrale Ausgangspunkt für alle persönlichen Einstellungen und Präferenzen in der fuentis Suite. Es gliedert sich in drei Hauptbereiche:
##### 1.1 Persönliche Daten und Profilbild
**Zugriff auf die Profileinstellungen:**
1. Klicken Sie auf Ihr Benutzer-Icon oben rechts in der Benutzeroberfläche
2. Wählen Sie "Einstellungen bearbeiten" / "Edit settings"
3. Sie gelangen zu Ihren persönlichen Benutzereinstellungen
**Verwaltbare Profildaten:**
- **Profilbild**: Upload über das Upload-Symbol, Entfernen über das Löschen-Symbol
- **Kontaktdaten**: Name, E-Mail, Telefonnummer und weitere geschäftliche Informationen
- **Organisationszugehörigkeit**: Abteilung, Position, Verantwortungsbereiche im ISMS
> **Praxis-Tipp**: Ein aussagekräftiges Profilbild und vollständige Kontaktdaten erleichtern die Zusammenarbeit in ISMS-Prozessen, besonders bei der Zuweisung von Maßnahmen und Verantwortlichkeiten.
##### 1.2 Visuelle und funktionale Anpassungen
**Sprache einstellen:**
- Verfügbare Sprachen: Deutsch und Englisch
- Sofortige Umschaltung der gesamten Benutzeroberfläche
- Wichtig für internationale Teams und Auditoren
**Dark Mode:**
- Reduziert Augenbelastung bei längerer Bildschirmarbeit
- Besonders nützlich bei der Arbeit in dunkleren Umgebungen
- Umschaltung jederzeit über die Benutzereinstellungen möglich
**Schriftgröße anpassen:**
- Stufenlose Anpassung über Plus/Minus-Symbole
- Barrierefreiheit für Nutzer mit Sehbeeinträchtigungen
- Optimale Lesbarkeit auf verschiedenen Bildschirmgrößen
**Datumsformat:**
- Verschiedene internationale Formate verfügbar (DD.MM.YYYY, MM/DD/YYYY, etc.)
- Wichtig für korrekte Dokumentation in ISMS-Prozessen
- Anpassung an regionale Standards und Unternehmensrichtlinien
**Hinweis:** Die Skalierung der Schriftgröße und eine Skalierung über den Browser kann ungewünschte Effekte haben.
##### 1.3 Sicherheit und Zugriff
**Logout-Funktion:**
- Sicheres Abmelden von der fuentis Suite
- Wichtig bei gemeinsam genutzten Arbeitsplätzen
- Schutz sensibler ISMS-Daten
---
#### 2. Dashboards - Modulspezifische Übersichten
Dashboards sind individuell konfigurierbare Übersichtsseiten für spezifische Module wie ISMS oder BCMS (Business Continuity Management System) oder die gesamte Applikation (Launchpad). Sie bieten einen schnellen Überblick über relevante Kennzahlen, Status und Aufgaben. Die Einrichtung der verschiedenen Dashboards erfolgt immer nach dem gleichen Muster. Sie können mehrere Dashboards pro User einrichten. Achten Sie jedoch darauf diese auch zu aktivieren.
**Praxistipp:** Erstellen Sie sich jeweils für bestimmte Projektphasen unterschiedliche Dashboards und aktivieren oder deaktivieren Sie diese mit nur einem Klick.
##### 2.1 Dashboard-Erstellung
**Schritt-für-Schritt-Prozess:**
1. **Navigation**: User-Icon → Einstellungen bearbeiten → Dashboards
2. **Erstellung**: Klick auf "Erstellen" / "Create"
3. **Benennung**: Aussagekräftiger Name und optional Beschreibung
4. **Positionierung**: Auswahl zwischen:
- **ISMS-Dashboard**: Spezifisch für das ISMS-Modul
- **BCMS-Dashboard**: Für Business Continuity Management
- **Launchpad**: Modulübergreifende Übersicht (siehe Abschnitt 3)
##### 2.2 Dashboard-Konfiguration
Nach der Erstellung können Sie Widgets hinzufügen und konfigurieren:
**Verfügbare ISMS-Dashboard-Widgets:**
- **Modellierung**: Übersicht über Bausteine, Maßnahmen, Anforderungen, Kontrollen
- **Risikoanalyse**: Darstellung von inhärenten und residualen Risiken
- **Maßnahmen nach Status**: Visualisierung des Umsetzungsstands
- **Anforderungen nach Status**: Compliance-Übersicht
- **Kontrollen nach Status**: Wirksamkeitsprüfungen
- **Meine Aufgaben**: Persönliche To-Do-Liste
**Konfigurationsoptionen pro Widget:**
- **Datenquelle**: Auswahl der anzuzeigenden Informationen
- **Einheit und Geltungsbereich**: Filterung nach Organisationseinheiten
- **Darstellungsform**: Diagrammtyp, Farben, Sortierung
> **Best Practice**: Beginnen Sie mit einem einfachen Dashboard mit 4-6 Widgets und erweitern Sie es schrittweise basierend auf Ihren tatsächlichen Informationsbedürfnissen.
##### 2.3 Dashboard-Verwaltung
**Aktivierung/Deaktivierung:**
- Schalter unten links auf der Dashboard-Karte
- Nur aktive Dashboards werden im jeweiligen Modul angezeigt
- Mehrere Dashboards können parallel aktiv sein
**Bearbeitung:**
- Stift-Icon für Namens- und Beschreibungsänderungen
- "Konfigurieren" für Widget-Anpassungen
- Drag & Drop für Widget-Positionierung
**Löschung:**
- Mülleimer-Icon mit Bestätigungsdialog
- Vorsicht: Gelöschte Dashboards können nicht wiederhergestellt werden
---
#### 3. Launchpad - Die zentrale Startseite
Das Launchpad ist eine modulübergreifende Übersichtsseite, die als zentraler Einstiegspunkt in die fuentis Suite dient. Es bietet Schnellzugriffe auf alle Module und wichtige Informationen auf einen Blick.
##### 3.1 Launchpad-Besonderheiten
**Unterschiede zum Dashboard:**
- **Scope**: Gesamte fuentis Suite statt einzelnes Modul
- **Widgets**: Modulübergreifende statt modulspezifische Widgets
- **Zugriff**: Über das fuentis-Logo oben links
- **Zweck**: Startpunkt und Navigation statt Detailanalyse
##### 3.2 Launchpad-spezifische Widgets
**Schnellzugriff (Quick Access):**
- Konfigurierbare Shortcuts zu häufig genutzten Funktionen
- ISMS-Phasen-Schnellzugriffe
- Benutzerdefinierte Links (z.B. zum Service Hub)
- Hinzufügen über das Plus-Symbol im Widget
**Jüngste Zielobjekt-Gruppen:**
- Zeigt kürzlich bearbeitete Assets und Scopes
- Schneller Wiedereinstieg in laufende Arbeiten
**Modulübergreifende Statistiken:**
- Gesamtanzahl Gefährdungen nach Risikowert
- Zielobjekt-Gruppen nach Typ
- Risiken nach inhärentem Risikowert
- Aufgabenübersicht über alle Module
**Weitere Launchpad-Widgets:**
- **Requirements count by status**: Gesamtanzahl Anforderungen nach Status
- **Measures count by status**: Gesamtanzahl Maßnahmen nach Status
- **Threat count by inherent risk value**: Gesamtzahl Gefährdungen nach inhärentem Risikowert
- **Target Object Groups count by Type**: Gesamtzahl Zielobjekt-Gruppen nach Typ
- **Risk count by inherent risk value**: Gesamtzahl Risiken nach inhärentem Risikowert
- **My tasks**: Persönliche Aufgabenübersicht mit Direktzugriff
- **Control count by status**: Gesamtzahl der Kontrollen nach Status
##### 3.3 Launchpad Quick Start
**Empfohlene Grundkonfiguration:**
1. **Schnellzugriff-Widget** mit Links zu:
- Allen ISMS-Phasen
- Service Hub (Dokumentation)
- Häufig genutzten Berichten
2. **Jüngste Zielobjekt-Gruppen** für schnellen Wiedereinstieg
3. **Meine Aufgaben** für persönliches Aufgabenmanagement
4. **Gesamtanzahl Assets nach Typ** für Bestandsübersicht
---
### Umsetzungshilfen und Best Practices
#### Dashboard Quick Start Guide
**Empfohlenes Vorgehen für ISMS-Dashboard:**
1. Dashboard mit Namen versehen und ISMS-Dashboard Position wählen
2. Widgets paarweise auf Seite anordnen (2 pro Seite)
3. **Modellierung-Widget** konfigurieren:
- Datenquelle: Maßnahmen (empfohlen für Einsteiger)
- Einheit und Scope nach Arbeitsbereich wählen
4. **Risikoanalyse-Widget** einrichten:
- Datenquelle: Inhärentes Risiko (für Ausgangslage)
- Gleiche Einheit und Scope wie bei Modellierung
5. Dashboard aktivieren für sofortige Nutzung
#### Optimale Dashboard-Strategie
**Für ISMS-Verantwortliche:**
- Erstellen Sie separate Dashboards für verschiedene ISMS-Phasen
- Nutzen Sie Risikoanalyse-Widgets für Management-Reporting
- Konfigurieren Sie Maßnahmen-Widgets für Umsetzungscontrolling
**Für operative Mitarbeiter:**
- Fokus auf "Meine Aufgaben" und zugewiesene Maßnahmen
- Widgets für eigenen Verantwortungsbereich konfigurieren
- Schnellzugriffe zu häufig genutzten Funktionen
#### Widget-Anordnung und Seitenlayout
**Empfohlene Struktur:**
- **Reihe 1**: Übersichtsinformationen (2 Widgets)
- **Reihe 2**: Detailanalysen (2 Widgets)
- **Reihe 3**: Persönliche Aufgaben und Aktionen
**Visuelle Hierarchie:**
- Wichtigste KPIs oben links positionieren
- Verwandte Widgets gruppieren
#### Zusammenarbeit und Standardisierung
**Team-Dashboards:**
- Entwickeln Sie Standard-Dashboard-Vorlagen für Rollen
- Dokumentieren Sie Widget-Konfigurationen
- Teilen Sie Best Practices im Team
---
### Abbildung ISO 27001 und BSI IT-Grundschutz
#### ISO 27001 Kontext
Die Dashboard- und Personalisierungsfunktionen unterstützen mehrere ISO 27001-Anforderungen:
**A.5.1 Informationssicherheitsleitlinien:**
- Dashboards visualisieren Policy-Compliance
- Maßnahmen-Status zeigt Umsetzungsgrad
**A.6.1 Interne Organisation:**
- Rollenbasierte Dashboards für verschiedene Verantwortlichkeiten
- Aufgaben-Widgets für klare Zuständigkeiten
**A.18.2 Informationssicherheits-Reviews:**
- Risiko-Widgets für kontinuierliche Überwachung
- Status-Dashboards für Management-Reviews
#### BSI IT-Grundschutz Integration
**Baustein-Überwachung:**
- Widget "Bausteine" zeigt Implementierungsstatus
- Anforderungen-Widget für Grundschutz-Checks
**Schutzbedarfsfeststellung:**
- Zielobjekt-Gruppen-Widget für Asset-Übersicht
- Risiko-Widgets für Schutzbedarfsanalyse
---
### So unterstützt die fuentis Suite
Die fuentis Suite bietet durch ihre Personalisierungs- und Dashboard-Funktionen erhebliche Mehrwerte:
#### Compliance-Unterstützung
**Nachweisführung:**
- Dashboard-Screenshots für Audits
- Historische Ansichten über Zeitverläufe
- Exportfunktionen für Berichte
- Transparente Status-Darstellung
#### Integration und Interoperabilität
**Nahtlose Verbindung:**
- Einheitliche Oberfläche über alle Module
- Konsistente Bedienkonzepte
- Zentrale Benutzerverwaltung
- Single Sign-On Unterstützung
---
### Weiterführende Ressourcen
Video abspielenDas Video liegt bei YouTube. Beim Abspielen werden Daten an Google übertragen.
#### Support
[**fuentis Service Hub**](https://fuentis.atlassian.net/wiki/spaces/FSUG)
### Kernaussagen auf einen Blick
1. **Personalisierung steigert Effizienz**: Individuelle Anpassungen der Benutzeroberfläche und maßgeschneiderte Dashboards reduzieren Arbeitszeit und verbessern die Übersicht im ISMS.
2. **Dashboards visualisieren Compliance**: Die Widget-basierte Darstellung von Maßnahmen, Risiken und Kontrollen macht den ISO 27001-Compliance-Status transparent und nachvollziehbar.
3. **Launchpad als zentraler Einstieg**: Das modulübergreifende Launchpad bietet schnellen Zugriff auf alle relevanten ISMS-Funktionen und reduziert Navigationsaufwand.
4. **Rollenbasierte Konfiguration**: Verschiedene Dashboards für unterschiedliche Verantwortungsbereiche ermöglichen fokussiertes Arbeiten ohne Informationsüberflutung.
5. **Kontinuierliche Optimierung**: Dashboards sollten regelmäßig an veränderte Anforderungen angepasst werden - die fuentis Suite bietet dafür flexible Konfigurationsmöglichkeiten ohne Programmierung.
## Katalog-Manager
Quelle: https://servicehub.fuentis.com/de/support/catalog-manager/
Der **Katalog-Manager** ist das zentrale Werkzeug zur strukturierten Verwaltung und Nutzung von Compliance‑Katalogen in Ihrem ISMS. Er bildet die Grundlage für **systematische, nachvollziehbare IT‑Compliance**, indem er **Anforderungen**, **Maßnahmen**, **Gefährdungen**, **Schwachstellen**, **Schadensszenarien** und **Kontrollen** konsistent verknüpft.
---
### Wofür benötige ich Kataloge?
Kataloge stellen sicher, dass alle Beteiligten mit einer **einheitlichen, wiederverwendbaren Datenbasis** arbeiten – z. B. in Risikoanalysen, Schutzbedarfsfeststellungen oder bei der Maßnahmenumsetzung. Sie schaffen:
- **Struktur & Transparenz** in Sicherheitsprozessen
- **Vergleichbarkeit** zwischen Bewertungen und Einheiten
- **Nachvollziehbarkeit** für Audits/Zertifizierungen
- **Effizienz** durch Wiederverwendung bewährter Inhalte
> **Praxistipp:** Nutzen Sie Kataloge auch für **Gefährdungen, Schwachstellen und Schadensszenarien**. Sie können **referenzieren** (z. B. ISO 27001 nutzen, aber Gefährdungen/Maßnahmen aus IT‑Grundschutz ableiten).
> **Hinweis:** Auf Wunsch stellen wir Ihnen **relevante Standard‑Kataloge** bereit und migrieren bestehende Inhalte.
---
### Katalogtypen & Anwendungsfälle
Der Katalog‑Manager unterstützt unterschiedliche Frameworks/Normen:
- **BSI IT‑Grundschutz** (Bausteine/Anforderungen; inkl. B3S/branchenbezogene Standards)
- **ISO‑Normen** (z. B. ISO/IEC 27001, 27002)
- **Industriespezifische Standards** (z. B. SOC 2, TISAX®)
- **Weitere Management‑Systeme** (z. B. ISO 42001 KI‑Management, ISO 9001)
- **Benutzerdefinierte Kataloge** (unternehmensspezifische Anforderungen)
---
### Navigation im Überblick
Beim Öffnen des Moduls sehen Sie die **Katalogübersicht**. Standard‑Kataloge sind **schreibgeschützt** (Stift/Trash ausgegraut).
Die linke Seitenleiste bietet drei Hauptbereiche:
1. **Kataloge** – Verwaltung, Import, Versionierung, Inhalte
2. **Strukturkategorien** – optionale fachliche Gliederung (in der Praxis selten nötig)
3. **Schutzbedarfs‑Fragebögen** – Vorlagen/Erstellung für standardisierte Schutzbedarfsfeststellungen
> **Praxistipp:** Nutzen Sie Fragebögen, um **Schutzbedarf zu standardisieren**. Vorlagen/Best‑Practices stellen wir gern bereit (siehe Hilfebereich „Schutzbedarfsfeststellung“).
---
### Katalogobjekte im Detail
Kataloge bestehen aus verknüpfbaren **Objekttypen**. Das **Bausteinprinzip** dient als thematische Klammer (z. B. „Netzwerksicherheit“) für zusammengehörige Inhalte.
#### 1) Bausteine
**Definition:** Thematische Gruppierung (z. B. „Zugangskontrolle“, „Netzwerksicherheit“).
**Wichtige Felder:**
- **Implementierungsreihenfolge** (Priorisierung)
- **Verantwortlichkeit** (Rollen/Abteilungen)
- **Kategorie** (fachliche Zuordnung)
#### 2) Anforderungen
**Definition:** Konkrete Vorgaben, die erfüllt werden müssen.
**Wichtige Felder:**
- **Verantwortlichkeit laut Katalog** (Framework‑Default)
- **Weitere Verantwortlichkeiten** (intern)
- **Metadaten** (Beschreibung, Umsetzungshinweise, Nachweise)
#### 3) Maßnahmen
**Definition:** Handlungsanweisungen zur Erfüllung von Anforderungen.
**Wichtige Felder:**
- **Lebenszyklus** (Planung → Implementierung → Betrieb → Optimierung)
- **Wirksamkeit** (Schutzwirkung, Evidence)
- **Umsetzungsaufwand** (Zeit/Ressourcen)
#### 4) Gefährdungen
**Definition:** Potenzielle Bedrohungen der Informationssicherheit.
**Typische Kategorien:**
- **Elementarereignisse** (Feuer, Wasser, Strom)
- **Vorsätzliche Handlungen** (Hacking, Sabotage)
- **Organisatorische Mängel** (fehlende Prozesse/Rollen)
- **Technisches Versagen** (Hardware/Software)
#### 5) Schwachstellen
**Definition:** Schwächen, die Gefährdungen ausnutzen können.
**Bewertungskriterien:** Ausnutzbarkeit • Auswirkungspotenzial • Entdeckungswahrscheinlichkeit
#### 6) Schadensszenarien
**Definition:** Beschreiben potenzielle Auswirkungen.
**Kategorisierung nach:** Vertraulichkeit • Integrität • Verfügbarkeit • Compliance
#### 7) Kontrollen
**Definition:** Prüf‑/Überwachungsmechanismen zur Maßnahmenumsetzung.
**Komponenten:** **Kontrollziel** (Soll) • **Zweck** (Warum) • **Guidelines** (Wie)
---
### Praktische Umsetzung
#### Kataloge anlegen
1. **Kataloge** → **Erstellen**
2. Grunddaten pflegen: **Name**, **Beschreibung**, **Katalogtyp**, **Gültigkeitsbereich**
3. **Speichern**
#### Inhalte pflegen
1. Katalog öffnen → **Erstellen**
2. **Objekttyp** wählen (Baustein/Anforderung/Maßnahme/…)
3. **Felder & Metadaten** ausfüllen (inkl. Verantwortlichkeiten/Nachweisen)
> **Best Practice:** Erst **Bausteine** definieren, danach **Anforderungen** und **Maßnahmen** zuordnen.
#### Kataloge zuordnen (z. B. in Risikoanalyse)
1. Modul öffnen → Tab **Kataloge**
2. **Zuordnen** wählen
3. Relevante Kataloge auswählen → Inhalte stehen kontextbezogen zur Verfügung
---
### Schutzbedarfs‑Fragebögen
Der Katalog‑Manager enthält eine integrierte **Fragebogen‑Funktion** für standardisierte Schutzbedarfsfeststellungen.
#### Fragebogen erstellen
1. **Fragebögen** → **Erstellen**
2. **Typ** (Schutzbedarfsfeststellung), **Einheit**, **Name**, **Beschreibung**
#### Fragen & Antworten modellieren
**Fragen (Kernelemente):**
- **Nummer** (ID)
- **Schutzziel** (Vertraulichkeit/Integrität/Verfügbarkeit)
- **Frage** (klar & messbar)
- **Beschreibung** (Erläuterung/Beispiele)
**Antworten (Zuordnung):**
- **Kategorie** (normal/hoch/sehr hoch)
- **Antworttext** (Option)
- **Beschreibung** (Konsequenzen/Begründung)
> **Best Practice:** Pro Schutzziel mindestens **so viele Antwortoptionen**, wie Schutzbedarfskategorien existieren.
#### Beispiel‑Items (Auszug)
| # | Schutzziel | Frage | Bewertung/Leitlinie |
|---|------------|-------|---------------------|
| 1 | Vertraulichkeit | Welche Folgen hätte unbefugter Zugriff auf die verarbeiteten Informationen? | **Normal:** geringe Auswirkungen • **Hoch:** erhebliche rechtliche/finanzielle Folgen • **Sehr hoch:** existenzbedrohend |
| 2 | Verfügbarkeit | Wie lange darf das System/Information maximal ausfallen? | **Normal:** mehrere Tage tolerierbar • **Hoch:** bis 24 h • **Sehr hoch:** nur wenige Stunden |
| 3 | Integrität | Welche Folgen hätten unbemerkte Datenänderungen? | **Normal:** begrenzte Störungen • **Hoch:** erhebliche Prozessfehler • **Sehr hoch:** Sicherheits-/Compliance‑Vorfall |
**Antwortoptionen (Beispiel „Verfügbarkeit“):**
- **Nur wenige Stunden tolerierbar** → geschäftskritisch → **sehr hoch**
- **Maximal 24 Stunden tolerierbar** → erhebliche Beeinträchtigungen → **hoch**
- **Mehrere Tage tolerierbar** → unkritisch → **normal**
#### Fragebogen aktivieren
1. Fragebogen öffnen → **Status**
2. **Aktiv** setzen
---
### Strukturierung & Governance
**Empfehlungen:**
- **Hierarchische Katalogstruktur** (Themen → Unterthemen)
- **Klare Namenskonventionen** (Präfixe, IDs, Versionen)
- **Versionierung & Änderungsjournal** (Nachvollziehbarkeit)
- **Rollen/Owner je Objekt** (Verantwortung & Pflege)
---
### Typische Anwendungsfälle
#### 1) Neue Technologie einführen
1. Relevante Standard‑Kataloge prüfen
2. Spezifische **Gefährdungen/Schwachstellen** ergänzen
3. **Maßnahmen** definieren, **Kontrollen** planen
4. In **Risikoanalyse**/ISMS‑Prozesse integrieren
#### 2) Audit‑Vorbereitung
1. Normenkatalog(e) zuordnen
2. Ist‑Maßnahmen abgleichen
3. Lücken identifizieren & priorisieren
4. Nachweise/Controls bündeln
---
### Kernaussagen auf einen Blick
1. **Zentrale Compliance‑Plattform:** Der Katalog‑Manager vereint BSI, ISO 27001, TISAX® und eigene Kataloge in **einem System**.
2. **Vollständiges Modell:** 7 Objekttypen (Bausteine, Anforderungen, Maßnahmen, Gefährdungen, Schwachstellen, Schadensszenarien, Kontrollen) bilden Compliance ganzheitlich ab.
3. **Flexibel & erweiterbar:** Standard‑Kataloge plus **eigene** Kataloge – inkl. Versionierung und Referenzen.
4. **Standardisierte Schutzbedarfsfeststellung:** Fragebögen beschleunigen und vereinheitlichen die Bewertung.
5. **Nahtlose ISMS‑Integration:** Durchgängige Workflows in der fuentis Suite – von der Modellierung bis zum Audit.
## Report-Modul
Quelle: https://servicehub.fuentis.com/de/support/report-module/
Das Berichtsmodul der fuentis Suite ermöglicht die systematische Dokumentation und Kommunikation Ihres Informationssicherheitsmanagementsystems (ISMS). Berichte sind essenziell für die Nachvollziehbarkeit des ISMS-Status, die Kommunikation mit der Managementebene und die Erfüllung von Compliance-Anforderungen nach ISO 27001 und IT-Grundschutz. Sie schaffen Transparenz über den Fortschritt der einzelnen ISMS-Phasen und dienen als Grundlage für fundierte Entscheidungen.
### Zentrale Konzepte und Anforderungen
> **Praxistipp:** Mit dem ISMS-Modulen Monitoring, Riskoübersicht, den Dashboards und der Möglichkeit alle Tabellen und Informationen auch als .csv oder .pdf Dateien auszugeben liefert die fuentis Suite eine Vielzahl an Auswertungs- und Reportingfunktionen. Sie können oft besser für z.B. Management-Summaries oder Projektupdates nutzen. Sie finden in den entsprechenden Hilfeseiten dieser Funktionen dazu weitere Informationen.
### Navigation
Wenn Sie über die globale Navigation in den Bereich Berichte navigieren gelangen Sie zu folgender Übersichtsseite:
Hier finden Sie alle relevanten Informationen zu den bereits erstellten Berichten. Sie können diese über den Button oben rechts Erstellen. In der Tabelle können Sie die Berichte herunterladen, aus der Software dauerhaft löschen und die Metadaten einsehen.
> **Hinweis:** Sie können in diesem Modul über die linke Navigationsleiste auch direkt auf das Support-Modul Workflows zugreifen. Dieses wird in dieser Anleitung nicht behandelt; Sie finden weitere Informationen auf der zugehörigen Seite im Bereich Support-Module.
#### Berichtstypen und ISMS-Phasen
Die Berichtstypen in der fuentis Suite orientieren sich direkt an den standardisierten Phasen des ISMS-Aufbaus. Jeder Berichtstyp dokumentiert systematisch den Status und die Ergebnisse einer spezifischen Phase:
**Übersicht der Berichtstypen:**
| **Berichtstyp** | **Phase (DE)** | **Phase (EN)** | **Fokus** |
|---|---|---|---|
| A1 | Strukturanalyse | Inventory Analysis | Erfassung aller relevanten IT-Assets, Prozesse und Organisationseinheiten |
| A2 | Schutzbedarfsfeststellung | Protection requirement assessment | Bewertung der Kritikalität von Informationen und Systemen |
| A3 | Modellierung | Security Check | Zuordnung von Sicherheitsmaßnahmen zu den identifizierten Assets |
| A4 | IT-Grundschutz-Check | IT-Grundschutz-Check | Prüfung der Umsetzung von Grundschutz-Anforderungen |
| A5 | Risikoanalyse | Risk analysis | Identifikation und Bewertung von Sicherheitsrisiken |
| RTP (A6) | Realisierungsplan | Realisation plan | Planung und Priorisierung von Maßnahmen zur Risikobehandlung |
#### Geltungsbereich (Scope)
Der Geltungsbereich definiert die organisatorischen und technischen Grenzen des ISMS, für die ein Bericht erstellt wird. Dies kann die gesamte Organisation, einzelne Standorte, Abteilungen oder spezifische IT-Systeme umfassen. Die korrekte Scope-Definition ist entscheidend für:
- Die Aussagekraft und Relevanz des Berichts
- Die Erfüllung regulatorischer Anforderungen
- Die zielgerichtete Kommunikation mit Stakeholdern
#### Zielobjekt-Typen
Zielobjekt-Typen kategorisieren die verschiedenen Elemente innerhalb Ihres ISMS-Scopes:
- **Anwendungen**: Software und Applikationen
- **IT-Systeme**: Server, Arbeitsplätze, Netzwerkkomponenten
- **Räume und Gebäude**: Physische Sicherheitsbereiche
- **Prozesse**: Geschäfts- und IT-Prozesse
- **Netze**: Netzwerksegmente und Kommunikationsverbindungen
- **Personen**: Rollen und Verantwortlichkeiten
### Umsetzung in der Praxis
#### Schritt-für-Schritt-Prozess zur Berichtserstellung
**1. Berichtstyp auswählen**
- Bestimmen Sie die zu dokumentierende ISMS-Phase
- Wählen Sie den entsprechenden Berichtstyp (A1-A6)
- Berücksichtigen Sie den aktuellen Stand Ihres ISMS-Aufbaus
**2. Geltungsbereich festlegen**
- Definieren Sie den organisatorischen Rahmen
- Grenzen Sie technische Systeme ab
- Stellen Sie sicher, dass der Scope mit Ihrer ISMS-Dokumentation übereinstimmt
**3. Berichtskonfiguration**
- **Inhaltsoptionen**: Aktivieren oder deaktivieren Sie spezifische Berichtssektionen
- **Designanpassungen**: Passen Sie das Layout an Ihre Corporate Identity an
- **Zielobjekt-Selektion**: Wählen Sie relevante Objekttypen oder erstellen Sie einen Gesamtbericht
**4. Berichtsvorschau und -erstellung**
- Prüfen Sie die Übersicht vor der finalen Generierung
- Die Erstellung erfolgt automatisiert in wenigen Sekunden
- Der Bericht wird als PDF-Datei generiert
#### Berichtsverwaltung
**Download und Verteilung**
- Berichte werden zentral in der Berichtsübersicht gespeichert
- Download erfolgt über das Download-Symbol
- PDF-Format ermöglicht einfache Weitergabe und Archivierung
**Berichtsdetails einsehen**
- Metadaten wie Erstellungsdatum und -autor
- Verwendete Konfigurationsparameter
- Versionsinformationen für Audit-Zwecke
**Berichte löschen**
- Entfernung über das Löschen-Symbol
- Berücksichtigung von Aufbewahrungsfristen gemäß Compliance-Vorgaben
> **Praxis-Tipp**: Erstellen Sie regelmäßige Berichte zu festgelegten Zeitpunkten (z.B. quartalsweise), um die Entwicklung Ihres ISMS nachvollziehbar zu dokumentieren. Dies erleichtert sowohl interne Reviews als auch externe Audits.
### Best Practices für effektive ISMS-Berichterstattung
#### Zielgruppengerechte Aufbereitung
**Für das Management:**
- Fokus auf Gesamtstatus und kritische Risiken
- Executive Summary mit Handlungsempfehlungen
- Visualisierung von Trends und KPIs
**Für technische Teams:**
- Detaillierte Maßnahmenlisten
- Spezifische technische Anforderungen
- Umsetzungsstatus einzelner Controls
**Für Auditoren:**
- Vollständige Dokumentation aller ISMS-Phasen
- Nachvollziehbare Entscheidungsprozesse
- Lückenlose Audit-Trails
#### Kontinuierliche Verbesserung
- **Regelmäßige Berichtserstellung**: Etablieren Sie einen festen Berichtszyklus
- **Vergleichbarkeit**: Nutzen Sie konsistente Berichtstypen für Zeitvergleiche
- **Feedback-Integration**: Nutzen Sie Rückmeldungen zur Optimierung der Berichtsstruktur
- **Automatisierung**: Planen Sie wiederkehrende Berichte für Effizienzsteigerung
> **Praxis-Tipp**: Definieren Sie Berichtsvorlagen für verschiedene Anlässe (Regelreporting, Incident-Berichte, Audit-Vorbereitung), um konsistente und effiziente Berichtsprozesse zu gewährleisten.
### So unterstützt die fuentis Suite
Die fuentis Suite bietet mit dem Berichtsmodul eine integrierte Lösung für die ISMS-Dokumentation:
**Automatisierung und Effizienz:**
- Automatische Datensammlung aus allen ISMS-Modulen
- Sekundenschnelle Berichtsgenerierung
- Konsistente Formatierung und Struktur
**Compliance-Unterstützung:**
- Vordefinierte Berichtstypen gemäß Standards
- Audit-konforme Dokumentation
- Lückenlose Nachweisführung
**Flexibilität und Anpassung:**
- Konfigurierbare Berichtsinhalte
- Scope-basierte Filterung
- Mehrsprachige Unterstützung (DE/EN)
**Integration und Zusammenarbeit:**
- Nahtlose Integration in den ISMS-Workflow
- Export-Funktionen für externe Stakeholder
- Zentrale Berichtsverwaltung
### Weiterführende Ressourcen
#### Einführungsvideo
Eine visuelle Einführung in das Berichtsmodul finden Sie unter: [https://youtu.be/DTY0I2_Z6Jw](https://youtu.be/DTY0I2_Z6Jw)
### Kernaussagen auf einen Blick
1. **Strukturierte Dokumentation**: Die sechs Berichtstypen (A1-A6) bilden alle ISMS-Phasen systematisch ab und gewährleisten eine vollständige Dokumentation gemäß ISO 27001 und IT-Grundschutz.
2. **Flexible Berichtskonfiguration**: Durch die Auswahl von Scope, Zielobjekt-Typen und Inhaltsoptionen können Berichte zielgruppengerecht aufbereitet werden.
3. **Effiziente Berichtserstellung**: Die automatisierte Generierung in wenigen Sekunden und das PDF-Format ermöglichen schnelle Erstellung und einfache Verteilung.
4. **Compliance-Unterstützung**: Die vordefinierten Berichtstypen erfüllen direkt die Dokumentationsanforderungen relevanter Standards und erleichtern Audits.
5. **Kontinuierliche Verbesserung**: Regelmäßige Berichtserstellung schafft Transparenz über die ISMS-Entwicklung und unterstützt datenbasierte Managemententscheidungen.
## Role-Based Access Control (RBAC)
Quelle: https://servicehub.fuentis.com/de/support/rbac-fuentis-suite-4/
Role-Based Access Control (RBAC) ist das Fundament für eine sichere und effiziente Rechteverwaltung in Informationssicherheitsmanagementsystemen. Die **fuentis Suite 4** implementiert ein umfassendes RBAC-Konzept, das nicht nur regulatorische Anforderungen erfüllt, sondern auch die praktische Arbeit mit unterschiedlichen Organisationsstrukturen und Mandanten ermöglicht.
**Warum ist RBAC relevant?**
- **Compliance-Anforderungen**
- **Minimalprinzip**: Jeder Nutzer erhält nur die Rechte, die er für seine Aufgaben benötigt (Principle of Least Privilege)
- **Auditierbarkeit**: Klare Nachvollziehbarkeit, wer auf welche Informationen zugreifen kann
- **Skalierbarkeit**: Effiziente Verwaltung auch bei komplexen Organisationsstrukturen
### Kernkonzepte des RBAC-Systems
#### Die drei Säulen der Rechteverwaltung
##### 1. **Einheiten (Entities)**
Einheiten bilden die organisatorische Struktur Ihres Unternehmens ab. Sie dienen als:
- **Logische Trennung** von Benutzern und Rollen
- **Organisationsebenen** (z.B. Konzernzentrale, Landesorganisationen, Abteilungen)
- **Basis für Mandantenfähigkeit** (Multi-Tenancy)
> **Praxis-Tipp**: Nutzen Sie eine konsistente Namenskonvention für Einheiten, z.B. `[Ebene]_[Standort]_[Funktion]` wie `HQ_GLOBAL` für die Konzernzentrale oder `UNIT_DE_FINANCE` für die deutsche Finanzabteilung.
##### 2. **Rollen (Roles)**
Das System unterscheidet zwei Rollentypen:
**Globale Rollen**
- Vordefinierte, nicht editierbare Berechtigungssets
- Gelten einheitenübergreifend
- Beispiele aus der fuentis Suite 4:
- `ISMS_INVENTORY_ANALYSIS_ACCESS`: Zugriff auf Inventaranalysen
- `ISMS_RISK_ANALYSIS_ACCESS`: Arbeit mit Risikoanalysen
- `WFM_EDITOR`: Workflow-Bearbeitung
- `TSKM_MANAGER`: Aufgabenverwaltung mit Board-Funktionen
- `CATM_READER/EDITOR`: Katalogverwaltung
- `ASSM_INTEGRATION_MANAGER`: Konfiguration externer Integrationen
**Benutzerdefinierte Rollen**
- Flexibel anpassbare Berechtigungen
- Einheitenspezifisch zuweisbar
- Ideal für Feinabstimmung von Zugriffsrechten
> **Praxis-Tipp**: Definieren Sie Rollenprofile für wiederkehrende Aufgabengebiete. Beispiel: Ein "Risk-Analyst"-Profil könnte die Rollen `ISMS_RISK_ANALYSIS_ACCESS`, `ISMS_GAP_ACCESS` und `REPORTING_ACCESS` kombinieren.
##### 3. **Benutzer (Users)**
Benutzer werden:
- Über **Keycloak** als zentralen Authentifizierungsdienst verwaltet
- Einer oder mehreren Einheiten zugeordnet
- Mit globalen und/oder einheitenspezifischen Rollen versehen
#### Geltungsbereiche und Mandantenfähigkeit
**Geltungsbereiche (Scopes)** erweitern das Konzept der Einheiten:
- Jede Einheit hat mindestens einen Geltungsbereich
- Ermöglichen granulare Trennung innerhalb einer Einheit
- Basis für die Abbildung von Informationsverbünden nach BSI IT-Grundschutz
**Multi-Tenancy (Spaces)** ermöglicht:
- Vollständige **Datenisolation** zwischen Mandanten
- **Individuelle Konfigurationen** pro Mandant
- **Cross-Tenant-Zugriffe** für übergreifende Zusammenarbeit (kontrolliert)
### Praktische Umsetzung des RBAC-Konzepts
#### User Lifecycle Management
##### Onboarding-Prozess
1. **Antragstellung**: Formale Anfrage über IT-Service-Portal
2. **Genehmigungsworkflow**: CISO/ISB-Freigabe erforderlich
3. **Kontoerstellung**:
- Option A: Direkt in Keycloak mit anschließender Synchronisation
- Option B: Über Einheitenverwaltung mit automatischer E-Mail-Benachrichtigung
4. **Rollenzuweisung**: Basierend auf Aufgabenprofil
5. **Schulung & Dokumentation**: Nachweis der Einweisung
##### Offboarding-Prozess
1. **Deaktivierungsantrag**: Bei Ausscheiden/Vertragsende
2. **Sofortiger Zugriffsentzug**: Zum Beendigungsdatum
3. **Monatliche Bereinigung**: Überprüfung inaktiver Konten
#### RACI-Matrix für typische Nutzergruppen
| Rolle | Responsible | Accountable | Consulted | Informed |
|-------|------------|-------------|-----------|----------|
| **CISO** | ✓ | ✓ | ✓ | ✓ |
| **ISB** | ✓ | ✓ | ✓ | ✓ |
| **Externer Auditor** | - | - | ✓ | ✓ |
| **Inventarmanager** | ✓ | - | ✓ | ✓ |
| **Risk Owner** | ✓ | - | ✓ | ✓ |
| **IT Admin** | ✓ | ✓ | - | ✓ |
| **Task Manager** | ✓ | ✓ | ✓ | ✓ |
#### Berechtigungsmatrix der Module
Die fuentis Suite 4 strukturiert Berechtigungen modular:
##### ISMS-Modul
**Strukturanalyse**
- Geltungsbereiche: Lesen (SL), Bearbeiten (SB), Löschen (FA)
- Zielobjekt-Gruppen: Vollzugriff für Administratoren
- Asset-Verknüpfungen: Eingeschränkt editierbar
**Schutzbedarfsanalyse**
- Schutzbedarfswerte: Bearbeitung durch SiKo-Bearbeiter
- Empfehlungen: Nur durch Administratoren nutzbar
- Verteilung: Administratorrecht erforderlich
**Modellierung**
- Bausteine/Anforderungen/Maßnahmen: Lesezugriff für alle, Bearbeitung ab SB
- Custom-Elemente: Erstellung ab SiKo-Bearbeiter-Rolle
- Import/Export: Berechtigung für Bearbeiter und höher
**Risikoanalyse**
- Gefährdungen/Risiken: Vollständige Verwaltung ab SB-Rolle
- Risikomatrizen: Ausschließlich Administratoren
- Kontrollen: Zuweisung durch Bearbeiter, Verwaltung durch Admins
> **Praxis-Tipp**: Definieren Sie Rollenprofile für wiederkehrende Aufgabengebiete. Beispiel: Ein "Risk-Analyst"-Profil könnte die Rollen `ISMS_RISK_ANALYSIS_ACCESS`, `ISMS_GAP_ACCESS` und `REPORTING_ACCESS` kombinieren.
### Best Practices für die RBAC-Implementation
#### 1. Organisationsstruktur sauber abbilden
- **Hierarchische Einheiten** für Konzernstrukturen nutzen
- **Geltungsbereiche** für fachliche Trennung einsetzen
- **Naming Conventions** konsequent anwenden
#### 2. Rollenvergabe optimieren
- **Minimalprinzip** strikt einhalten
- **Regelmäßige Reviews** (quartalsweise) durchführen
- **Überlappende Rollen** vermeiden
- **Stellvertreterregelungen** dokumentieren
#### 3. Externe Nutzer sicher einbinden
- **Separate Rollen** mit `_EXT`-Suffix verwenden
- **Zeitlich begrenzte Zugriffe** einrichten
- **NDAs** vor Zugriffsvergabe sicherstellen
- **Audit-Trail** für externe Zugriffe aktivieren
#### 4. Multi-Mandanten-Umgebungen verwalten
- **Datentrennung** durch separate Spaces gewährleisten
- **Cross-Tenant-Zugriffe** nur gezielt und dokumentiert
- **Mandantenspezifische Workflows** implementieren
#### 5. Monitoring und Compliance
- **Zugriffsprotokolle** regelmäßig auswerten
- **Berechtigungsänderungen** nachvollziehbar dokumentieren
- **Rezertifizierung** von Berechtigungen etablieren
- **Segregation of Duties** (SoD) überwachen
### Technische Umsetzung in der fuentis Suite 4
#### Keycloak-Integration
- **Single Sign-On (SSO)** für alle Module
- **LDAP/Active Directory** Anbindung möglich
- **Zwei-Faktor-Authentifizierung** optional aktivierbar
- **Passwort-Policies** zentral verwaltbar
#### Synchronisation und Konsistenz
- **User-Sync** zwischen Keycloak und fuentis Suite
- **Rollenpropagierung** über alle Module
- **Caching-Mechanismen** für Performance-Optimierung
### Häufige Herausforderungen und Lösungsansätze
#### Problem: Komplexe Konzernstrukturen
**Lösung**: Hierarchische Einheiten mit vererbten Berechtigungen nutzen. Parent-Units können Default-Rollen für Child-Units definieren.
#### Problem: Temporäre Projektzugriffe
**Lösung**: Zeitgesteuerte Rollen mit Ablaufdatum implementieren. Automatische Deaktivierung nach Projektende.
#### Problem: Compliance-Nachweise
**Lösung**: Aktivierung des vollständigen Audit-Logs. Export der Berechtigungsmatrix für Prüfungen.
#### Problem: Performance bei vielen Nutzern
**Lösung**: Rollenbasierte Caching-Strategien. Asynchrone Berechtigungsprüfungen für nicht-kritische Operationen.
### Kernaussagen auf einen Blick
**RBAC ist Pflicht**: Ohne strukturierte Rechteverwaltung keine ISO 27001-Zertifizierung
**Drei-Säulen-Prinzip**: Einheiten + Rollen + Benutzer = vollständige Zugriffskontrolle
**Flexibilität durch Hierarchie**: Globale Rollen für Grundfunktionen, Custom-Rollen für Spezialfälle
**Multi-Tenancy ready**: Vollständige Mandantentrennung bei gleichzeitiger Collaboration-Option
**Compliance by Design**: Automatische Audit-Trails und nachvollziehbare Berechtigungsvergabe
---
**Weiterführende Ressourcen**:
- Video-Tutorial: [RBAC-Einführung](https://youtu.be/u35Mdn8popE)
## Task Management
Quelle: https://servicehub.fuentis.com/de/support/aufgaben-management-fuentis-suite/
Das Aufgaben-Management ist ein zentrales Support-Modul in der fuentis Suite, das die strukturierte Verwaltung und Nachverfolgung aller ISMS-bezogenen Aufgaben ermöglicht. Es bildet das Rückgrat für eine effiziente Zusammenarbeit im Team und gewährleistet, dass alle notwendigen Schritte zur Implementierung und Aufrechterhaltung eines Informationssicherheitsmanagementsystems (ISMS) transparent dokumentiert und fristgerecht umgesetzt werden.
#### Warum ist strukturiertes Aufgaben-Management wichtig?
- **Compliance-Anforderungen**: Ein ISMS fordert nachweisbare Prozesse und deren kontinuierliche Verbesserung
- **Transparenz**: Alle Beteiligten haben jederzeit Einblick in den Status von Maßnahmen und Verantwortlichkeiten
- **Risikominimierung**: Kritische Sicherheitsaufgaben werden priorisiert und termingerecht bearbeitet - Keine Aufgaben mehr die Untergehen
- **Audit-Readiness**: Lückenlose Dokumentation aller durchgeführten Aktivitäten für interne und externe Audits
### Kernkonzepte und Funktionalitäten
#### Aufgabenübersicht und Navigation
Das Modul bietet drei zentrale Ansichten für die Aufgabenverwaltung:
##### 1. Meine Aufgaben
- **Persönlicher Arbeitsbereich** mit allen dem eigenen Nutzer zugewiesenen Aufgaben
- **Filtermöglichkeiten** nach Status (Offen, In Bearbeitung, Abgeschlossen), Priorität und Aufgabenfeld
- **Ansichtsmodi**:
- Listenansicht für detaillierte Übersicht
- Kanban-Board für visuelles Task-Management mit Drag-and-Drop-Funktionalität
##### 2. Alle Aufgaben
- **Gesamtübersicht** über sämtliche Aufgaben im System
- Identische Filter- und Sortierfunktionen wie bei "Meine Aufgaben"
- Ideal für Projektleiter und ISMS-Beauftragte zur Gesamtkoordination
##### 3. Aufgabenfelder (Taskboards)
- **Thematische Gruppierung** von Aufgaben nach ISMS-Phasen oder Projekten
- Zuordnung zu spezifischen Workflows und Organisationseinheiten
- Automatische Benachrichtigungen bei neuen Aufgaben im Feld
#### Aufgabenerstellung und -verwaltung
##### Aufgaben erstellen - Zwei Wege
**1. Direkte Erstellung im Aufgaben-Modul:**
- Klick auf "Erstellen"-Button öffnet Eingabedialog
- Pflichtfelder: Titel, Beschreibung, Zuweisen (Verantwortlicher)
- Optionale Felder: Aufgabenfeld, Priorität, Start-/Enddatum
- Checkbox "Weitere erstellen" für Serienerstellung
**2. Kontextbezogene Erstellung aus ISMS-Phasen:**
- Während der Arbeit in Strukturanalyse, Schutzbedarfsfeststellung, Modellierung oder Risikoanalyse
- Über Drei-Punkte-Menü → "Aufgaben" → "Erstellen"
- Aufgabe wird automatisch mit aktuellem Kontext verknüpft
- Besonders nützlich bei fehlendem Fachwissen oder benötigter Zuarbeit
> **Praxis-Tipp**: Bei der Aufgabenerstellung aus einen Sicherheitsobjekt heraus wird der Kontext (z.B. betroffenes Zielobjekt) automatisch in der Aufgabe hinterlegt. Dies spart Zeit und vermeidet Informationsverluste.
##### Aufgaben bearbeiten
- Klick auf Aufgabe öffnet Detailansicht
- "Bearbeiten"-Button aktiviert Änderungsmodus
- Alle Felder können nachträglich angepasst werden
- Änderungshistorie wird automatisch protokolliert
##### Aufgaben löschen
- In der Detailansicht über "Löschen"-Button
- Nur durch berechtigte Nutzer möglich
- Gelöschte Aufgaben sind endgültig entfernt
#### Aufgabenfelder (Taskboards) - Strukturierte Organisation
##### Erstellung von Aufgabenfeldern
**Pflichtangaben:**
- **Name**: Eindeutige Bezeichnung des Aufgabenfelds
- **Beschreibung**: Zweck und Umfang des Feldes
- **Arbeitsablauf (Workflow)**: Verknüpfung mit definiertem Prozess
- **Einheit**: Zugehörige Organisationseinheit
- **Platzierung**: ISMS-Phase (Strukturanalyse, Schutzbedarfsfeststellung, etc.)
**Optionale Einstellungen:**
- "Reporter benachrichtigen": Automatische Benachrichtigung des Erstellers bei neuen Aufgaben
##### Verwaltung von Aufgabenfeldern
- **Bearbeiten**: Anpassung aller Parameter über Bearbeiten-Symbol
- **Löschen**: Entfernung über Löschen-Symbol (Achtung: Zugeordnete Aufgaben müssen vorher umverteilt werden)
### Umsetzungshilfen und Best Practices
#### Integration in den ISMS-Prozess
**1. Strukturanalyse-Phase:**
- Aufgabenfeld "Inventarisierung" für Asset-Erfassung
- Zuweisung an Fachabteilungen für Detailinformationen
- Deadline-Setzung für vollständige Bestandsaufnahme
**2. Schutzbedarfsfeststellung:**
- Separate Aufgabenfelder pro Schutzziel (Vertraulichkeit, Integrität, Verfügbarkeit)
- Priorisierung nach Kritikalität der Assets
- Eskalationsstufen bei Überschreitung von Fristen
**3. Risikoanalyse:**
- Aufgaben für identifizierte Risiken mit Risikobewertung als Priorität
- Verknüpfung mit Maßnahmenkatalog
- Regelmäßige Review-Aufgaben für Risikoüberwachung
#### Workflow-Integration
> **Praxis-Tipp**: Verknüpfen Sie Aufgabenfelder immer mit einem definierten Workflow aus dem Workflow-Modul. Dies gewährleistet standardisierte Abläufe und erleichtert die Nachvollziehbarkeit.
Empfohlene Workflow-Stadien:
1. **Neu**: Aufgabe wurde erstellt, aber noch nicht begonnen
2. **In Bearbeitung**: Aktive Bearbeitung läuft
3. **Review**: Qualitätssicherung/Vier-Augen-Prinzip
4. **Abgeschlossen**: Aufgabe erfolgreich beendet
5. **Blockiert**: Warten auf externe Faktoren
#### Kanban-Board effektiv nutzen
**Vorteile der Kanban-Ansicht:**
- Visuelle Darstellung des Arbeitsfortschritts
- Schnelle Identifikation von Engpässen
- Einfache Priorisierung durch Drag-and-Drop
- WIP-Limits (Work in Progress) zur Fokussierung
**Empfohlene Spalten-Konfiguration:**
- Backlog → To Do → In Progress → Testing → Done
- Maximal 5-7 Spalten für Übersichtlichkeit
- Farbcodierung nach Priorität oder Aufgabentyp
### So unterstützt die fuentis Suite
Die fuentis Suite bietet durch das integrierte Aufgaben-Management-Modul folgende Mehrwerte:
#### Nahtlose Integration
- **Kontextbezogene Aufgabenerstellung** direkt aus allen ISMS-Phasen
- **Automatische Verknüpfung** mit betroffenen Assets, Risiken oder Maßnahmen
- **Durchgängige Dokumentation** für Audit-Trail und Compliance-Nachweise
#### Collaboration-Features
- **Multi-User-Fähigkeit** mit rollenbasierter Zugriffskontrolle
- **Echtzeit-Updates** bei Änderungen
- **Kommentarfunktion** für asynchrone Kommunikation
### Weiterführende Informationen
#### Schulungsvideos und Tutorials
### Kernaussagen auf einen Blick
1. **Zentrale Verwaltung**: Das Aufgaben-Management-Modul ermöglicht die vollständige Übersicht und Steuerung aller ISMS-relevanten Aufgaben an einem Ort.
2. **Kontextbezogene Integration**: Aufgaben können direkt aus den ISMS-Phasen heraus erstellt werden, wodurch der Bezug zu Assets, Risiken und Maßnahmen automatisch hergestellt wird.
3. **Flexible Visualisierung**: Zwischen Listen- und Kanban-Ansicht wechseln, um je nach Bedarf detaillierte Informationen oder Workflow-Status im Blick zu haben.
4. **Strukturierte Organisation**: Aufgabenfelder ermöglichen die thematische Gruppierung und verbessern die Übersichtlichkeit bei komplexen ISMS-Projekten.
5. **Compliance-Ready**: Durchgängige Dokumentation aller Aktivitäten gewährleistet jederzeit Audit-Bereitschaft und erfüllt die Anforderungen der ISO 27001.
## VTI-Modul
Quelle: https://servicehub.fuentis.com/de/support/vti-threat-vulnerability-management/
Das **VTI-Modul (Vulnerability & Threat Intelligence)** der fuentis Suite 4 ist eine zentrale Komponente für die systematische Identifikation, Bewertung und Verwaltung von Bedrohungen und Schwachstellen im Rahmen des ISMS. Es bildet die Grundlage für eine fundierte Risikoanalyse nach ISO 27001 und BSI IT-Grundschutz, indem es Organisationen ermöglicht, potenzielle Gefährdungen frühzeitig zu erkennen und proaktiv zu behandeln.
> **Hinweis:** Sie können dieses Modul als automatische Funktion im Asset Management erreichen. Sie klicken dazu entweder auf ein Asset und dann auf den Reiter "Schwachstellen (CVE) oder Sie klicken auf das Symbol für Einstellungen (Zahnrad). Hier können Sie nun auf "Schwachstellen (CVE)" klicken.
#### Warum ist VTI wichtig?
In der digitalen Landschaft sind Organisationen einer Vielzahl von Cyber-Bedrohungen ausgesetzt. Das VTI-Modul unterstützt durch:
- **Proaktive Sicherheit**: Früherkennung von Schwachstellen, bevor diese ausgenutzt werden
- **Compliance-Erfüllung**: Nachweisbare Erfüllung regulatorischer Anforderungen (ISO 27001, BSI-Standard 200-3)
- **Risikominimierung**: Systematische Reduzierung der Angriffsfläche durch strukturiertes Schwachstellenmanagement
- **Ressourcenoptimierung**: Priorisierund kritischer Schwachstellen nach tatsächlichem Risiko
**Achtung:** Leider kann unser VTI aktuell noch nicht automatische Patches und damit bereits geschlossene Lücken für Assets identifizieren. Dieses Feature liegt noch auf der Roadmap.
### Kernkonzepte und Definitionen
#### Bedrohung (Threat)
Eine **Bedrohung** ist ein potenzieller Umstand oder Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen beeinträchtigen kann. Im VTI-Kontext unterscheiden wir:
- **Elementare Gefährdungen**: Grundlegende Bedrohungsszenarien aus BSI-Katalogen (z.B. G 0.28 "Software-Schwachstellen oder -fehler")
- **Spezifische Bedrohungen**: Auf die Organisation zugeschnittene Gefährdungen
- **Emerging Threats**: Neu aufkommende Bedrohungen aus aktuellen Threat Intelligence Quellen
#### Schwachstelle (Vulnerability)
Eine **Schwachstelle** ist eine Schwäche in einem System, Prozess oder einer Kontrolle, die von einer Bedrohung ausgenutzt werden kann. Wichtige Aspekte:
- **CVE-basierte Schwachstellen**: Common Vulnerabilities and Exposures aus öffentlichen Datenbanken
- **Konfigurationsschwächen**: Fehlerhafte Systemeinstellungen oder Prozesse
- **Organisatorische Schwachstellen**: Lücken in Richtlinien oder Verfahren
> **Praxis-Tipp**: Eine Bedrohung wird erst dann zur konkreten Gefahr, wenn eine ausnutzbare Schwachstelle vorhanden ist. Ohne Schwachstelle kann kein Risiko entstehen.
#### Schadensszenario
Ein **Schadensszenario** beschreibt die konkreten Auswirkungen, wenn eine Bedrohung eine Schwachstelle erfolgreich ausnutzt:
- **Primärschäden**: Direkte Auswirkungen (z.B. Datenverlust, Systemausfall)
- **Folgeschäden**: Indirekte Konsequenzen (z.B. Reputationsverlust, rechtliche Konsequenzen)
- **Kaskadeneffekte**: Auswirkungen auf abhängige Systeme und Prozesse
**Hinweis:** Sie können auch den Katalogmanager nutzen um hier weitere Funktionen, wie die Wiederverwendbarkeit zu nutzen.
### Praktische Umsetzung mit der fuentis Suite
#### Asset-Integration
Das VTI-Modul ist eng mit dem Asset Management verknüpft:
1. **Asset-basierte Schwachstellenzuordnung**
- Direkte Verknüpfung von CVEs mit betroffenen IT-Systemen
- Automatische Identifikation verwundbarer Assets basierend auf Software-Inventar
- Priorisierung nach Schutzbedarf der Assets
2. **Zielobjektgruppen-Verknüpfung**
- Gefährdungen werden Zielobjektgruppen zugeordnet
- Vererbung von Schwachstellen entlang der Asset-Hierarchie
- Aggregierte Risikobetrachtung auf Prozessebene
#### CVE-Management und Threat Intelligence
**Datenquellen-Integration**
- **Fuentis CVE Source**: Kuratierte Schwachstellendatenbank mit verifizierten Einträgen
- **NIST NVD Integration**: Automatischer Import aktueller CVE-Daten
- **MITRE ATT&CK Framework**: Mapping von Threats zu Angriffstechniken
**Automatisierte Prozesse**
```
1. Täglicher Import neuer CVEs aus konfigurierten Quellen
2. Matching gegen Asset-Inventar (Software, Versionen, Konfigurationen)
3. Automatische Risikobewertung basierend auf CVSS-Scores
4. Generierung von Handlungsempfehlungen und Tasks
```
#### Workflow-Integration
**Schwachstellen-Lebenszyklus**
1. **Identifikation**: Automatische Erkennung oder manueller Import
2. **Bewertung**: CVSS-Scoring und Kontextbewertung
3. **Priorisierung**: Risk-Based Vulnerability Management (RBVM)
4. **Remediation**: Maßnahmenplanung und -umsetzung
5. **Verifikation**: Überprüfung der Wirksamkeit
6. **Dokumentation**: Audit-konforme Nachweisführung
#### Risikoanalyse-Integration
Das VTI-Modul speist direkt in die Risikoanalyse ein:
**Risikoidentifikation**
- Threats und Vulnerabilities werden in Risiko-Objekten verknüpft
- Automatische Vorschläge basierend auf Asset-Typ und -Konfiguration
- Kontextbezogene Gefährdungsauswahl aus Katalogen
**Risikobewertung**
- Eintrittswahrscheinlichkeit basierend auf:
- CVSS-Exploitability Score
- Threat Intelligence Indikatoren
- Historische Vorfallsdaten
- Schadensauswirkung abgeleitet aus:
- Asset-Schutzbedarf
- Business Impact Analysis
- Abhängigkeitsanalyse
### Best Practices und Implementierungshilfen
#### Strukturierter Aufbau
1. **Katalog-Setup**
- Importieren Sie relevante Bedrohungskataloge (BSI, ISO, branchenspezifisch)
- Erstellen Sie organisationsspezifische Threats für unique Risiken
- Pflegen Sie Vulnerability-Templates für wiederkehrende Schwachstellentypen
2. **Asset-Vorbereitung**
- Vollständige Software-Inventarisierung (Name, Version, Patch-Level)
- Dokumentation von Systemabhängigkeiten
- Klassifizierung nach Kritikalität und Schutzbedarf
3. **Prozess-Etablierung**
- Definieren Sie klare Verantwortlichkeiten (Threat Owner, Vulnerability Manager)
- Etablieren Sie regelmäßige Review-Zyklen
- Implementieren Sie Eskalationspfade für kritische Findings
#### Metriken und KPIs
> **Praxis-Tipp**: Nutzen Sie das Dashboard-Modul der fuentis Suite zur Visualisierung dieser KPIs. Erstellen Sie separate Views für Management und operative Teams.
#### Integration mit anderen Modulen
**ISMS-Modul**
- Direkter Input für Risikoregister
- Basis für Maßnahmenableitung
- Nachweisführung für ISO 27001 Audits
**Task Management**
- Automatische Task-Generierung für kritische Vulnerabilities
- Workflow-basierte Remediation-Prozesse
- SLA-Tracking und Eskalation
**Reporting**
- Vulnerability Assessment Reports
- Threat Landscape Übersichten
- Compliance-Nachweise für Auditoren
**Catalog Manager**
- Verwaltung eigener Threat-Kataloge
- Import externer Gefährdungsdatenbanken
- Pflege von Vulnerability-Kategorien
### Häufige Anwendungsfälle
#### Use Case 1: Patch Management Integration
**Szenario**: Monatlicher Microsoft Patch Tuesday
1. Automatischer Import neuer CVEs über VTI-Service
2. Matching gegen Windows-Assets im Asset Management
3. Risikobewertung basierend auf Asset-Kritikalität
4. Task-Generierung für IT-Operations mit Priorisierung
5. Tracking und Reporting der Patch-Compliance
#### Use Case 2: Zero-Day Response
**Szenario**: Kritische Zero-Day Vulnerability (z.B. Log4Shell)
1. Sofortiger manueller Import der CVE
2. Automatische Identifikation betroffener Systeme
3. Impact Assessment über Abhängigkeitsanalyse
4. Notfall-Tasks mit höchster Priorität
5. Management-Reporting und Kommunikation
#### Use Case 3: Compliance Audit Vorbereitung
**Szenario**: ISO 27001 Rezertifizierung
1. Export aller behandelten Vulnerabilities der letzten 12 Monate
2. Nachweis der systematischen Threat-Überwachung
3. Dokumentation der Risk Treatment Decisions
4. KPI-Dashboard für Auditor-Präsentation
### Kernaussagen auf einen Blick
**Ganzheitlicher Ansatz**: VTI integriert Threat Intelligence und Vulnerability Management in einem kohärenten System, das nahtlos mit Asset Management und Risikoanalyse verzahnt ist.
**Automatisierung als Schlüssel**: Durch automatisierten CVE-Import, Asset-Matching und Task-Generierung reduziert sich der manuelle Aufwand erheblich bei gleichzeitig verbesserter Reaktionszeit.
**Risk-Based Prioritization**: Nicht jede Schwachstelle ist gleich kritisch - die Kontextbewertung basierend auf Asset-Kritikalität und Business Impact ermöglicht fokussierte Ressourcenallokation.
**Kontinuierliche Verbesserung**: Durch Metriken und KPIs wird die Effektivität des Vulnerability Managements messbar und kann systematisch optimiert werden.
## Workflow Management
Quelle: https://servicehub.fuentis.com/de/support/workflow-management/
Die Workflow-Funktionalität der fuentis Suite ermöglicht es Organisationen, ihre ISMS-Prozesse individuell zu gestalten und zu automatisieren. Statt starrer Abläufe bietet das System flexible, anpassbare Prozessmodelle für unterschiedliche Anforderungen – von der Schutzbedarfsfeststellung nach BSI-Grundschutz bis zum allgemeinen Aufgabenmanagement.
**Kernnutzen der Workflow-Automatisierung:**
- Standardisierung wiederkehrender Prozesse
- Transparente Nachvollziehbarkeit von Zuständen und Übergängen
- Compliance-konforme Dokumentation von Genehmigungsschritten
- Reduzierung manueller Fehler durch definierte Prozessschritte
- Integration in bestehende ISMS-Phasen
> **Praxis-Tipp:** Beginnen Sie mit einfachen Workflows und erweitern Sie diese schrittweise. Ein initialer Standard-Workflow ist bereits vorhanden und kann als Ausgangsbasis dienen.
### Workflow-Kategorien und ihre Anwendungsbereiche
#### 1. Allgemeine Workflows
**Einsatzbereich:** Support-Modul "Aufgaben" (Tasks)
**Hauptmerkmale:**
- Grundlage für das Aufgabenmanagement
- Jedem Aufgabenfeld wird ein Workflow zugeordnet
- Standardzustände: To Do, In Progress, Done
- Flexible Erweiterung um beliebige Zwischenzustände möglich
**Typische Anwendungsfälle:**
- Incident Management
- Change Requests
- Projektaufgaben
- Audit-Maßnahmen
#### 2. Workflows für Schutzbedarfsfeststellung
**Einsatzbereich:** ISMS-Phase "Schutzbedarfsfeststellung"
**Hauptmerkmale:**
- Spezialisiert auf BSI-Grundschutz-Anforderungen
- Integration in den Schutzbedarfsanalyse-Prozess
- Dokumentation von Überprüfungsschritten
- Nachvollziehbare Genehmigungskette
**Typische Anwendungsfälle:**
- Bewertung von Zielobjekt-Gruppen
- Freigabeprozesse für Schutzbedarfe
- Vier-Augen-Prinzip bei kritischen Assets
### Aufbau und Struktur von Workflows
#### Grundelemente eines Workflows
##### 1. **Zustände**
Jeder Workflow besteht aus definierten Zuständen, die ein Objekt durchlaufen kann:
- **To Do (Zu erledigen):** Initialer Zustand, Aufgabe wartet auf Bearbeitung
- **In Progress (In Bearbeitung):** Aktive Bearbeitung läuft
- **Done (Abgeschlossen):** Finaler Zustand, Prozess beendet
- **Benutzerdefinierte Zustände:** Beliebig erweiterbar (z.B. "Review", "Waiting for Approval")
##### 2. **Übergänge**
Verbindungen zwischen Zuständen definieren mögliche Prozessschritte:
- **Unidirektionale Übergänge:** Nur Vorwärtsbewegung möglich
- **Bidirektionale Übergänge:** Vor- und Rückwärtsbewegung erlaubt
- **Bedingte Übergänge:** Abhängig von Berechtigungen oder Kriterien
##### 3. **Aufgabentypen**
- **Überprüfung (Review):** Für Freigabeprozesse und Qualitätssicherung
- **Aufgabenverwaltung (Task Management):** Für operative Tätigkeiten
#### Visualisierung im Editor
Der grafische Workflow-Editor ermöglicht:
- Drag-and-Drop-Positionierung von Zuständen
- Visuelle Verbindung durch Klick-Aktionen
- Farbcodierung nach Kategorien
- Export/Import von Workflow-Definitionen
> **Best Practice:** Dokumentieren Sie komplexe Workflows zusätzlich in einem Prozesshandbuch, um die Geschäftslogik hinter den technischen Abläufen zu erläutern.
### Workflow-Erstellung: Schritt-für-Schritt-Anleitung
#### Phase 1: Workflow-Grundkonfiguration
1. **Navigation zum Support-Modul "Arbeitsablauf"**
2. **Klick auf "Erstellen"-Button** (oben rechts)
3. **Prozesszuordnung wählen:**
- "Allgemein" für Task-Management
- "Schutzbedarfsfeststellung" für ISMS-Prozesse
4. **Aufgabentyp festlegen:**
- "Überprüfung" für Review-Prozesse
- "Aufgabenverwaltung" für operative Tasks
5. **Beschreibung hinzufügen** (optional aber empfohlen)
6. **Aktivierung:** Checkbox "Aktiv" für sofortige Verwendung
#### Phase 2: Einheiten-Zuordnung
1. **Wechsel zum Tab "Einheit"**
2. **"Einheit hinzufügen" klicken**
3. **Organisationseinheit auswählen:**
- Abteilung/Team
- Standort
- Geschäftsbereich
#### Phase 3: Workflow-Design im Editor
##### Zustände erstellen:
1. **"+"-Symbol klicken** für neuen Zustand
2. **Zustand benennen** (z.B. "SBF ausstehend")
3. **Kategorie wählen** (To Do/In Progress/Done)
4. **Farbe anpassen** (optional)
5. **"Startet"-Checkbox** für initialen Zustand
6. **Speichern**
##### Übergänge definieren:
1. **Blaue Verbindungspunkte** am Ausgangszustand anklicken
2. **Zielzustand** durch Klick auf dessen Verbindungspunkt wählen
3. **Übergang benennen** (z.B. "SBF beginnen")
4. **Beschreibung ergänzen** (optional)
5. **Speichern**
##### Positionen sichern:
- **"Zustandspositionen speichern"** vor Verlassen des Editors
> **Wichtiger Hinweis:** Bei Aktivierung eines benutzerdefinierten Workflows gehen alle vorherigen Zustände der betroffenen Objekte verloren. Planen Sie Migrationen sorgfältig!
### Integration in ISMS-Prozesse
#### Schutzbedarfsfeststellung mit Workflows
**Ablauf der Integration:**
1. **ISMS-Modul öffnen**
2. **Phase "Schutzbedarfsfeststellung" wählen**
3. **Zielobjekt-Gruppe selektieren**
4. **Status entspricht Workflow-Startzustand**
5. **"Genehmigung" für Zustandsübergang**
**Praktisches Beispiel:**
```
Startzustand: "SBF ausstehend"
↓ [SBF beginnen]
Zwischenzustand: "SBF in Arbeit"
↓ [SBF abschließen]
Endzustand: "SBF fertiggestellt"
↓ [Erneute Prüfung] (optional)
Startzustand: "SBF ausstehend"
```
#### Aufgabenmanagement mit Workflows
**Kanban-Board-Integration:**
- Visuelle Darstellung der Workflow-Zustände als Spalten
- Drag-and-Drop von Aufgaben zwischen Zuständen
- Filterung nach Aufgabenfeldern
- Berechtigungsgesteuerte Übergänge
**Voraussetzungen:**
1. Aufgabenfeld mit Workflow-Zuordnung erstellen
2. Aufgaben dem Aufgabenfeld zuweisen
3. Kanban-Ansicht aktivieren
4. Aufgabenfeld-Filter setzen
### Best Practices für effektive Workflows
#### 1. Workflow-Design-Prinzipien
**Keep it Simple:**
- Maximal 5-7 Zustände pro Workflow
- Klare, selbsterklärende Bezeichnungen
- Vermeidung redundanter Übergänge
**Vollständigkeit sicherstellen:**
- Alle realistischen Szenarien abbilden
- Rücksprünge für Korrekturen ermöglichen
- Eskalationspfade definieren
> **Praxis-Tipp:** Führen Sie Workflow-Änderungen zunächst in einer Testumgebung durch und simulieren Sie kritische Prozesse, bevor Sie diese produktiv schalten.
### Häufige Herausforderungen und Lösungsansätze
#### Problem 1: Fehlende Rücksprungmöglichkeiten
**Symptom:** Aufgaben können nicht in vorherige Zustände zurückgesetzt werden
**Lösung:**
- Editor öffnen
- Bidirektionale Übergänge ergänzen
- Verbindungen in beide Richtungen erstellen
#### Problem 2: Workflow-Aktivierung schlägt fehl
**Mögliche Ursachen:**
- Kein Startzustand definiert
- Fehlende Einheiten-Zuordnung
- Konflikte mit anderen aktiven Workflows
**Lösungsschritte:**
1. Startzustand-Checkbox prüfen
2. Einheiten-Tab kontrollieren
3. Andere Workflows für gleiche Einheit deaktivieren
### Weiterführende Ressourcen
### Kernaussagen auf einen Blick
✓ **Zwei Workflow-Typen:** Allgemeine Workflows für Aufgabenmanagement und spezialisierte Workflows für die Schutzbedarfsfeststellung
✓ **Grafischer Editor:** Intuitive Workflow-Erstellung durch Drag-and-Drop mit visueller Zustandsmodellierung
✓ **ISMS-Integration:** Nahtlose Einbindung in bestehende ISMS-Prozesse mit Compliance-konformer Dokumentation
✓ **Flexibilität:** Vollständig anpassbare Zustände und Übergänge für individuelle Geschäftsprozesse
✓ **Best Practice:** Start mit einfachen Workflows, schrittweise Erweiterung und Testung vor Produktivschaltung
# Standards
## C5-Testat – Standards und Umsetzungshilfen für sichere Cloud-Dienste
Quelle: https://servicehub.fuentis.com/de/standards/c5-testat-standards-sichere-cloud-dienste/
Der **Cloud Computing Compliance Criteria Catalogue (C5)** ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelter Prüfkatalog für Cloud-Dienste. Er legt Mindestanforderungen für sichere Cloud-Systeme fest und richtet sich an professionelle Cloud-Anbieter, deren Auditoren und Kunden.
#### Warum ist C5 relevant?
- **Erstveröffentlichung 2016**, umfassende Überarbeitung 2019
- **Breite Akzeptanz** bei großen und kleinen Anbietern
- **Orientierung für Risikomanagement** bei Cloud-Kunden
- **Gesetzliche Pflicht im Gesundheitswesen** seit 2024 (§ 393 SGB V)
> **Wichtig für das Gesundheitswesen:** Bis 30. Juni 2025 reicht ein C5-Typ-1-Testat. Ab 1. Juli 2025 ist ein C5-Typ-2-Testat oder gleichwertiger Standard verpflichtend.
### Die 17 Anforderungsbereiche des C5-Katalogs
Der aktuelle **C5:2020 Katalog** orientiert sich an ISO 27001 und umfasst folgende Kernbereiche:
#### Organisatorische Anforderungen
- **Organisation der Informationssicherheit**
Planung, Umsetzung und kontinuierliche Verbesserung eines Rahmens zur Informationssicherheit
- **Sicherheitsrichtlinien & Arbeitsanweisungen**
Bereitstellung klarer Richtlinien und Anweisungen für den Sicherheitsanspruch
- **Personal**
Sicherstellen, dass Mitarbeitende ihre sicherheitsrelevanten Aufgaben verstehen und Assets auch bei Aufgabenwechsel geschützt werden
- **Asset-Management**
Identifizieren und angemessener Schutz von Assets über den gesamten Lebenszyklus
#### Technische Sicherheitsanforderungen
- **Physische Sicherheit**
Schutz vor unberechtigtem Zugang und physischen Schäden
- **Regelbetrieb**
Sicherer operativer Betrieb mit Kapazitätsplanung, Malware-Schutz, Protokollierung, Schwachstellen-Management und Incident-Handling
- **Identitäts- & Berechtigungsmanagement**
Absicherung der Autorisierung und Authentifizierung privilegierter Benutzer
- **Kryptographie & Schlüsselmanagement**
Wirksamer Einsatz von Verschlüsselung zum Schutz der Vertraulichkeit, Integrität und Authentizität
- **Kommunikationssicherheit**
Schutz von Informationen in Netzen und Systemen
#### Cloud-spezifische Anforderungen
- **Portabilität & Interoperabilität**
Sicherstellung, dass Daten nach Vertragsende exportiert und beim Anbieter gelöscht werden können
- **Produktsicherheit**
Bereitstellung sicherer Konfigurationen, Informationen zu Schwachstellen und Mechanismen zur Fehlerbehandlung sowie Authentisierung und Autorisierung für Kunden
#### Prozessuale Anforderungen
- **Entwicklung & Änderung von Informationssystemen**
Informationssicherheit in Entwicklungs- und Änderungsprozessen
- **Dienstleister- & Lieferantenmanagement**
Absicherung der Informationsverarbeitung bei Subdienstleistern und Überwachung der vereinbarten Sicherheitsanforderungen
- **Incident Management**
Konsistentes Verfahren zur Erfassung, Bewertung und Behandlung von Sicherheitsvorfällen
- **Geschäftskontinuität & Notfallmanagement**
Planung und Testen von Maßnahmen zur Geschäftskontinuität und zum Notfallmanagement
#### Compliance und Governance
- **Compliance**
Einhaltung gesetzlicher, regulatorischer und vertraglicher Anforderungen zur Informationssicherheit
- **Umgang mit Ermittlungsanfragen staatlicher Stellen**
Angemessene Behandlung behördlicher Ermittlungsersuchen
### Typen von C5-Testaten im Detail
#### Typ-1-Testat
**Eigenschaften:**
- Prüft das **Design der internen Maßnahmen** am Stichtag
- Keine Aussage zur Wirksamkeit der Kontrollen
- Geeignet für Erstprüfungen oder wenn operative Daten noch nicht vorliegen
- Kann als Übergangslösung dienen
**Einsatzgebiete:**
- Neue Cloud-Dienste ohne Betriebshistorie
- Übergangszeit im Gesundheitswesen (bis 30.06.2025)
- Vorbereitung auf Typ-2-Zertifizierung
#### Typ-2-Testat
**Eigenschaften:**
- Beurteilt **Design UND Wirksamkeit** der Maßnahmen
- Prüfung über einen definierten Zeitraum (meist 6-12 Monate)
- Nachweis des wirksamen Betriebs erforderlich
- Gilt als Standard für C5
**Einsatzgebiete:**
- Regulärer Betrieb etablierter Cloud-Dienste
- Verpflichtend im Gesundheitswesen ab 01.07.2025
- Aussagekräftige Basis für Risikomanagement
### Prüfprozess und Berichtsstandards
#### ISAE 3000 (Revised) als Grundlage
C5-Prüfungen folgen dem international anerkannten Standard für Assurance-Engagements:
- **Prüfungsstandard:** ISAE 3000 (Revised)
- **Berichtsformat:** SOC-2-Bericht mit C5-spezifischen Ergänzungen
- **Zusätzliche Standards:** ISAE 3402, SOC 2 werden analog angewendet
#### Qualitätskriterien für C5-Testate
Cloud-Kunden sollten bei der Prüfung eines C5-Testats folgende Punkte beachten:
1. **Qualifizierung des Prüferteams**
- Prüfung nach ISAE 3000 durchgeführt
- Informationen zum gesamten Prüferteam vorhanden
2. **Berichtsgrundsätze**
- Relevanz
- Vollständigkeit
- Zuverlässigkeit
- Neutralität
- Verständlichkeit
3. **Art des Prüfurteils**
- **Unbeschränkt (unqualified):** Vollständige Erfüllung aller Kriterien
- **Qualifiziert/eingeschränkt:** Abweichungen vorhanden, müssen bewertet werden
4. **Aktualität**
- Testat sollte aktuell sein (i.d.R. jährliche Erneuerung)
- Geprüfter Zeitraum klar ausgewiesen
### C5:2025 – Die nächste Generation
Die BSI-Arbeitsgruppe entwickelt derzeit C5:2025 mit wichtigen Neuerungen:
#### Internationale Harmonisierung
- **EUCS-Integration:** Assurance-Stufe "Substantial" des European Cloud Certification Scheme
- **ISO/IEC 27001:2022:** Anpassung an aktuelle Version
- **NIS2-Richtlinie:** Integration der EU-Anforderungen
- **CSA Cloud Controls Matrix v4:** Kompatibilität mit internationalen Standards
#### Neue technische Themen
- **Container-Management**
- **Supply-Chain-Sicherheit**
- **Post-Quantum-Kryptographie**
- **Confidential Computing**
- **Verschärfte Mandantentrennung**
- **Digitale Souveränität**
#### Strukturelle Verbesserungen
- Aufteilung in Unterkriterien für bessere Auditierbarkeit
- Kategorisierung neuer Kriterien:
- "Additional Sharpen" (verschärft)
- "Additional Complement" (ergänzend)
### Beziehungen zu anderen Standards
#### ISO 27001 / ISO 27017
- Viele C5-Kriterien stammen aus ISO 27001 Anhang A
- Vorhandenes ISMS nach ISO 27001 als solide Basis nutzbar
- Statement of Applicability (SoA) ermöglicht Abgleich mit C5
#### SOC 2 / ISAE 3000
- C5-Prüfberichte werden als SOC-2-Berichte erstellt
- SOC 2 deckt Trust-Service-Prinzipien ab
- C5 ergänzt cloud-spezifische Kriterien:
- Transparenz
- Mandantentrennung
- Behördliche Ermittlungsanfragen
#### C5-Äquivalenz-Verordnung
Für die Übergangszeit können folgende Zertifikate als temporärer Ersatz dienen:
- **ISO 27001:2022**
- **BSI-IT-Grundschutz**
- **CSA CCM v4**
**Voraussetzungen:**
- Zusätzliche Maßnahmenplanung für verbleibende Lücken
- Maximal 18 Monate Übergangsfrist
- Besonders für kleine Anbieter gedacht
### Umsetzungshilfen und Best Practices
#### Phase 1: Risikobasierte Planung und Vorbereitung
##### Management-Commitment sichern
- Relevanz des C5-Testats auf Führungsebene verankern
- Ausreichende Ressourcen bereitstellen
- Verantwortlichkeiten klar definieren
##### Scope festlegen
- Betroffene Cloud-Dienste identifizieren
- Regionen und Kundendaten definieren
- Gesetzliche Vorgaben berücksichtigen (z.B. SGB V)
- Scope-Entscheidungen dokumentieren
##### Risikomanagement etablieren
- Asset-Inventar erstellen
- Bedrohungen und Schwachstellen analysieren
- Eintrittswahrscheinlichkeiten bewerten
- Etablierte Methoden aus ISO 27005 nutzen
##### Readiness-Assessment durchführen
- Voraudit (z.B. SOC 2 + C5 readiness)
- Lücken in bestehenden Kontrollen identifizieren
- Konkreten Umsetzungsplan entwickeln
#### Phase 2: Implementierung der C5-Kontrollen
##### Kontrollen auswählen und anpassen
- Relevante C5-Kriterien für eigene Dienste identifizieren
- Überschneidungen mit ISO 27001 nutzen:
- Zugangskontrolle
- Incident Response
- Cloud-spezifische Kontrollen implementieren:
- Mandantentrennung
- Portabilität
- Behördliche Ermittlungsanfragen
##### Dokumentation und Nachweise
- Richtlinien und Prozesse erstellen
- Nachweise zu allen Kontrollen sammeln
- Für Typ-2-Berichte: Betriebsnachweise bereitstellen
- Logfiles
- Change-Management-Protokolle
- Audit-Trails
##### Subdienstleister einbinden
- C5-Konformität von Subdienstleistern sicherstellen
- Vergleichbare Zertifikate akzeptieren
- Zertifikate in eigene Prüfung einbinden
##### Kontinuierliche Überwachung
- Regelmäßige interne Audits
- Management-Reviews durchführen
- Wirksamkeit der Kontrollen prüfen
- Fortlaufendes internes Monitoring
### Praxis-Tipps für die Umsetzung
> **Praxis-Tipp 1: Übergangsregelungen nutzen**
> Kleine Anbieter können die C5-Äquivalenz-Verordnung für maximal 18 Monate nutzen. Ein ISO 27001:2022- oder IT-Grundschutz-Zertifikat dient als temporärer Ersatz für ein C5-Typ-1-Testat. Zusätzlich ist eine Maßnahmenplanung für verbleibende Lücken erforderlich. Nutzen Sie diese Frist zur Vorbereitung eines vollständigen C5-Typ-2-Testats.
> **Praxis-Tipp 2: Mandantentrennung präzise umsetzen**
> Ein Schwerpunkt in C5:2025 ist die strikte Mandantentrennung. Prüfen Sie, ob Ihre Cloud-Plattform Mandantendaten technisch trennt. Dokumentieren Sie Mechanismen wie Tenant-Isolation und Verschlüsselung per Mandant nachvollziehbar.
> **Praxis-Tipp 3: Supply-Chain-Sicherheit stärken**
> Neue Kriterien erfordern verstärkte Kontrolle von Lieferketten und Subdienstleistern. Integrieren Sie Third-Party-Risk-Management in Ihr ISMS. Überprüfen Sie SLAs und verlangen Sie Sicherheitsnachweise von allen Partnern.
> **Praxis-Tipp 4: Post-Quantum-Kryptographie vorbereiten**
> C5:2025 berücksichtigt post-quantum-Kryptographie. Evaluieren Sie frühzeitig kryptographische Verfahren, die gegen Quantenangriffe resistent sind – besonders für langfristig vertrauliche Daten.
### So unterstützt die fuentis Suite
Die fuentis Suite bietet umfassende Unterstützung bei der Einführung und dem Betrieb eines C5-konformen Sicherheitsmanagements:
#### Risikomanagement-Modul
- Strukturierte Risikobewertung nach ISO 27005
- Zentrales Risikoregister mit Asset-Verknüpfung
- C5-spezifische Risiken (Mandantentrennung, Lieferketten) individuell abbildbar
- Maßnahmentracking und Wirksamkeitsprüfung
#### Asset-Management
- Detailliertes Asset-Inventar mit Klassifizierung
- Zuordnung zu Eigentümern und Verantwortlichen
- Erfüllung der C5-Asset-Management-Anforderungen
- Lifecycle-Management von der Beschaffung bis zur Entsorgung
#### Compliance-Management
- Vorlagen für ISO 27001 und ISO 27017
- Anpassbare Kriterienkataloge für C5
- Integration von C5-Kontrollen in bestehende Strukturen
- Statement of Applicability (SoA) Generation
- Umsetzungsstatus-Dokumentation
#### Audit- und Review-Module
- Unterstützung interner Audits
- Management-Review-Prozesse
- Nachverfolgung von Nichtkonformitäten
- Zentrale Sammlung von Betriebsnachweisen für Typ-2-Testate
- Zuordnung von Nachweisen zu Kontrollen
#### Dokumentenmanagement (DMS)
- Versionierte Ablage von Richtlinien und Prozessen
- Testat-Berichte zentral verwalten
- Genehmigungsworkflows
- Audit-Trail für Nachvollziehbarkeit
- Automatische Dokumentenverteilung
#### Online-Assessment
- Webbasierte Fragebögen zur Selbsteinschätzung
- Automatische Ermittlung des Compliance-Status
- Gap-Analyse für C5-Vorbereitung
- Maßnahmengenerierung aus Assessments
### Kernaussagen auf einen Blick
✅ **C5 definiert Mindestanforderungen für sichere Cloud-Dienste** basierend auf 17 Anforderungsbereichen, die sich an ISO 27001 orientieren und cloud-spezifische Aspekte ergänzen.
✅ **Typ-2-Testate belegen die Wirksamkeit der Kontrollen** über einen Prüfzeitraum und werden im Gesundheitswesen ab 1. Juli 2025 verpflichtend; Typ-1-Testate gelten nur als Übergangslösung.
✅ **C5-Prüfungen basieren auf ISAE 3000/SOC 2** – Cloud-Kunden sollten unbeschränkte, aktuelle Berichte anfordern und die Einbindung von Subdienstleistern prüfen.
✅ **C5:2025 bringt wichtige Neuerungen** wie Container-Management, Supply-Chain-Sicherheit, Post-Quantum-Kryptographie und stärkere Ausrichtung an EUCS, ISO 27001:2022 und NIS2.
✅ **Strukturierte Umsetzung mit passenden Tools** wie der fuentis Suite ermöglicht effizientes Management von Risiken, Assets, Compliance-Kontrollen und Audits für eine praxisnahe C5-Implementierung.
## COBIT - IT-Governance und Management Framework
Quelle: https://servicehub.fuentis.com/de/standards/cobit-it-governance-framework-de/
**COBIT (Control Objectives for Information and Related Technologies)** ist ein international anerkanntes Framework für IT-Governance und IT-Management, das von der ISACA entwickelt wurde. In einer zunehmend digitalisierten Geschäftswelt unterstützt COBIT Organisationen dabei, ihre IT-Prozesse strukturiert zu planen, zu steuern und zu überwachen – mit dem Ziel, verlässliche, sichere und wertschöpfende Informationssysteme zu etablieren.
**Warum ist COBIT relevant?** IT-Governance ist heute entscheidend für den Unternehmenserfolg. COBIT bietet den notwendigen Rahmen, um IT-Investitionen zu rechtfertigen, Risiken zu managen und Compliance-Anforderungen zu erfüllen.
### Die 5 Grundprinzipien von COBIT
#### 1. Bedürfnisse der Stakeholder erfüllen
IT soll gezielt Mehrwert für das Unternehmen schaffen und gleichzeitig Risiken sowie Ressourceneinsatz optimieren. Jede IT-Entscheidung sollte auf Geschäftsziele ausgerichtet sein.
#### 2. Ganzheitliche Unternehmensbetrachtung
COBIT bezieht nicht nur die IT-Abteilung ein, sondern das gesamte Unternehmen – inklusive Strategie, Unternehmenskultur und Organisationsstrukturen.
#### 3. Einheitliches integriertes Framework
COBIT konsolidiert andere Standards und Methodologien (wie ISO 27001, ITIL, NIST) in ein konsistentes Gesamtframework und vermeidet damit Silodenken.
#### 4. Ganzheitlicher Steuerungsansatz (Enabler)
Erfolgreiche IT-Governance basiert auf sieben Kategorien von Enablern:
- Prozesse
- Organisationsstrukturen
- Informationen
- Menschen, Fähigkeiten und Kompetenzen
- Kultur, Ethik und Verhalten
- Technologien
- Dienstleistungen, Infrastruktur und Anwendungen
#### 5. Trennung von Governance und Management
COBIT unterscheidet klar zwischen:
- **Governance**: Zielsetzung, Richtungsvorgabe und Kontrolle durch das Management
- **Management**: Planung, Aufbau, Umsetzung und Überwachung von Aktivitäten
### Das COBIT-Prozessmodell
COBIT strukturiert IT-Governance in **40 Governance- und Managementziele**, die in fünf Domänen organisiert sind:
#### EDM - Evaluate, Direct and Monitor (5 Ziele)
- Strategische Ausrichtung und Überwachung der IT-Governance
- Sicherstellung von Nutzen und Wertbeitrag
- Risikomanagement auf Governance-Ebene
#### APO - Align, Plan and Organize (14 Ziele)
- Strategische Planung und Ausrichtung
- Architektur- und Innovationsmanagement
- Personal- und Beziehungsmanagement
#### BAI - Build, Acquire and Implement (11 Ziele)
- Entwicklung und Beschaffung von IT-Lösungen
- Programm- und Projektmanagement
- Change Management und Systemintegration
#### DSS - Deliver, Service and Support (6 Ziele)
- Service Management und Betrieb
- Kontinuitäts- und Verfügbarkeitsmanagement
- Sicherheits- und Problem-Management
#### MEA - Monitor, Evaluate and Assess (4 Ziele)
- Performance-Messung und -Bewertung
- Compliance-Überwachung
- Interne Kontrollen und Audit
### COBIT und Risikomanagement
COBIT stärkt das organisationsweite Risikomanagement durch:
- **Systematische Risikoidentifikation** in allen IT-Bereichen und Geschäftsprozessen
- **Risikobewertung** hinsichtlich Eintrittswahrscheinlichkeit und Geschäftsauswirkung
- **Kontrollziele und -maßnahmen** zur Risikominimierung
- **Integration von IT-Risiken** in die gesamte Unternehmenssteuerung
- **Kontinuierliches Monitoring** und Anpassung bei sich ändernden Anforderungen
**Praxis-Tipp:** Nutzen Sie die COBIT-Risikomanagement-Guidance zusammen mit ISO 27001 für eine umfassende Informationssicherheitsstrategie.
### COBIT in der Praxis: Umsetzungsempfehlungen
#### Erfolgsfaktoren für die COBIT-Implementierung:
- **Stakeholder-Engagement**: Frühe Einbindung aller relevanten Interessensgruppen bei Zieldefinition und Priorisierung
- **Rahmenwerk-Verständnis**: Solide Schulung in COBIT-Prinzipien und -Methoden
- **Maßgeschneiderte Anpassung**: Skalierung entsprechend Unternehmensgröße, Branche und Reifegrad
- **Management-Commitment**: Starker Rückhalt der Führungsebene und klare Verantwortlichkeiten
- **Ressourcenplanung**: Ausreichende Kapazitäten für Umsetzung, Monitoring und kontinuierliche Weiterbildung
- **Iterative Verbesserung**: Regelmäßige Reviews zur Prozessaktualisierung und -optimierung
#### Integration mit anderen Standards
COBIT harmoniert besonders gut mit:
- **ISO 27001**: Informationssicherheits-Management
- **ITIL**: Service Management
- **NIST Cybersecurity Framework**: Cybersecurity-Governance
- **TOGAF**: Enterprise Architecture
### COBIT 2019 vs. COBIT 5
**COBIT 2019** bringt signifikante Verbesserungen gegenüber COBIT 5:
- **Aktualisierte Governance- und Managementziele** basierend auf aktuellen IT-Trends
- **Flexiblere Performance- und Capability-Modelle** für bessere Anpassbarkeit
- **Design-Faktoren** (z.B. Risikoprofil, Unternehmensstrategie, IT-Rolle) für individuellere Implementierung
- **Verbesserte Integration** mit anderen Frameworks und Standards
- **Detailliertere Implementierungsleitfäden** und praktische Werkzeuge
- **Focus Areas** für spezifische Herausforderungen wie Cybersecurity oder DevOps
### Bezug zur fuentis Suite
Die **fuentis Suite** unterstützt COBIT-konforme IT-Governance durch:
- **Strukturierte Dokumentation** aller COBIT-Prozesse und -Kontrollen
- **Risikomanagement-Module** für systematische Risikoidentifikation und -bewertung
- **Compliance-Tracking** zur Überwachung der Umsetzung von COBIT-Zielen
- **Integrierte Berichterstattung** für Management und Stakeholder
- **Workflow-Management** für COBIT-Prozesse und Genehmigungsverfahren
### Kernaussagen auf einen Blick
1. **COBIT ist ein umfassendes Framework** für IT-Governance und -Management, das IT-Aktivitäten mit Geschäftszielen verknüpft und Risikomanagement integriert.
2. **Die 5 COBIT-Prinzipien** (Stakeholder-Orientierung, ganzheitliche Betrachtung, integriertes Framework, Enabler-Ansatz, Governance/Management-Trennung) bilden die konzeptionelle Grundlage.
3. **40 strukturierte Ziele** in 5 Domänen (EDM, APO, BAI, DSS, MEA) bieten konkrete Orientierung für IT-Governance-Aktivitäten.
4. **COBIT 2019 erweitert** das Framework um Design-Faktoren und verbesserte Integration mit anderen Standards wie ISO 27001.
5. **Erfolgreiche Implementierung** erfordert starkes Management-Commitment, maßgeschneiderte Anpassung und kontinuierliche Verbesserung der Prozesse.
## CSA STAR – Sicherheit, Vertrauen und Transparenz in der Cloud
Quelle: https://servicehub.fuentis.com/de/standards/csa-star-cloud-security/
Immer mehr sensible Informationen werden in der Cloud gespeichert – und genau deshalb ist **Vertrauen in die Sicherheitsmaßnahmen von Cloud-Anbietern** heute wichtiger denn je. Das **CSA STAR-Programm** (Security Trust Assurance and Risk) der **Cloud Security Alliance (CSA)** gilt weltweit als einer der anerkanntesten Standards für Cloud-Security-Zertifizierungen.
Das STAR-Programm basiert auf den Prinzipien **Transparenz**, **Strenge in der Prüfung** und **Integration etablierter Standards**. Es unterstützt Cloud-Anbieter dabei, ihren Sicherheitsstatus gegenüber Kunden, Partnern und Auditoren glaubwürdig zu belegen – und gibt Cloud-Nutzern ein zuverlässiges Instrument zur Risikobewertung an die Hand.
> **Praxis-Tipp**: CSA STAR kann als zentrales Sicherheits- und Compliance-System dienen und hilft, Doppelarbeiten zu vermeiden, Risiken zu reduzieren und bestehende Zertifizierungen um Cloud-relevante Inhalte zu erweitern.
### Kernkonzepte und Anforderungen
#### Die drei Säulen von CSA STAR
CSA STAR baut auf drei fundamentalen Komponenten auf:
**1. Cloud Controls Matrix (CCM)**
- Der De-facto-Standard für Cloud-Sicherheitskontrollen
- Beschreibt umfassend, was ein sicherer Cloud-Dienst leisten muss
- Definiert 197 Kontrollobjekte in 17 Domänen
- Mapping zu wichtigen Standards wie ISO 27001, NIST, SOX
**2. CAIQ – Consensus Assessments Initiative Questionnaire**
- Umfangreicher Fragenkatalog mit 295 Fragen
- Systematische Bewertung der CCM-Umsetzung bei Cloud-Anbietern
- Standardisierte Methodik für Due-Diligence-Prüfungen
- Ermöglicht einheitliche Vergleiche zwischen Anbietern
**3. Code of Conduct für DSGVO-Compliance**
- Praktische Auslegungshilfe für Datenschutzgrundverordnung in der Cloud
- Brücke zwischen allgemeinen DSGVO-Anforderungen und Cloud-Spezifika
- Unterstützung bei der Dokumentation angemessener Schutzmaßnahmen
#### Die drei Stufen der CSA STAR-Zertifizierung
Das CSA STAR-Programm bietet drei Zertifizierungsstufen, die sich je nach Sicherheitsbedarf und gewünschtem Transparenzgrad unterscheiden:
##### Level 1 – Selbstauskunft (Self-Assessment)
**Zielgruppe**: Organisationen mit vergleichsweise geringem Risikoprofil
**Verfahren**:
- Eigenständige Beantwortung des CAIQ-Fragenkatalogs
- Veröffentlichung der Ergebnisse im CSA STAR Registry
- Fokus auf Transparenz durch freiwillige Selbstauskunft
- Keine externe Prüfung erforderlich
**Nutzen**:
- Kosteneffiziente Markteintrittsmöglichkeit
- Erste Sichtbarkeit im globalen Registry
- Strukturierte Selbstreflexion der Sicherheitsmaßnahmen
##### Level 2 – Drittanbieter-Audit (Third-Party Assessment)
**Zielgruppe**: Unternehmen in mittleren bis hohen Risikoumgebungen
**Verfahren**:
- Externes Audit durch akkreditierte Auditoren
- Häufig in Kombination mit bestehenden Zertifizierungen (ISO 27001, SOC 2, GB/T22080)
- Veröffentlichung der geprüften Ergebnisse im CSA STAR Registry
- Jährliche Re-Zertifizierung erforderlich
**Nutzen**:
- Starker Vertrauensnachweis für Kunden und Partner
- Wettbewerbsvorteile bei Ausschreibungen
- Integration mit bestehenden Compliance-Programmen
- Reduzierte Audit-Redundanzen
##### Level 3 – Kontinuierliche Auditierung (Continuous Auditing)
**Zielgruppe**: Full-Service-Cloud-Anbieter in besonders sensiblen oder regulierten Bereichen
**Verfahren**:
- Kontinuierliche Überwachung und Nachweisführung
- Echtzeit-Monitoring der Sicherheitskontrollen
- Regelmäßige Prüfprozesse und Updates
- Höchste Transparenz- und Sicherheitsanforderungen
**Nutzen**:
- Maximum an Vertrauen und Glaubwürdigkeit
- Geeignet für hochregulierte Industrien
- Proaktive Risikominimierung
- Automatisierte Compliance-Nachweise
#### Warum CSA STAR?
Ein Eintrag im **CSA STAR Registry** signalisiert:
- **Vertrauen & Kompetenz** in Cloud-Sicherheit
- **Globale Sichtbarkeit** in einem anerkannten Anbieterregister
- **Verkürzte Verkaufszyklen** durch standardisierte Sicherheitsnachweise
- **Nahtlose Integration** mit bestehenden Standards (ISO 27001, SOC 2, NIST)
- **Wettbewerbsvorteile** bei der Anbieterauswahl
### Umsetzungshilfen und Best Practices
#### Vorbereitung auf CSA STAR
**1. Scope-Definition**
- Klare Abgrenzung: Welche Services und Systeme werden abgedeckt?
- Berücksichtigung von Datenflüssen und Schnittstellen
- Abstimmung mit bestehenden Zertifizierungsscopes
- Dokumentation der Systemarchitektur und -grenzen
**2. CAIQ beantworten & CCM implementieren**
- Systematischer Aufbau eines vollständigen Kontrollsystems
- Mapping bestehender Kontrollen zur Cloud Controls Matrix
- Gap-Analyse und Identifikation von Verbesserungsbedarfen
- Implementierung fehlender Sicherheitsmaßnahmen
**3. Nachweise strukturieren**
- Zentrale Sammlung aller relevanten Dokumente
- Zuordnung von Richtlinien und technischen Maßnahmen zu CCM-Kontrollen
- Automatisierung der Nachweisführung wo möglich
- Regelmäßige Aktualisierung der Evidenzbasis
**4. Audit vorbereiten (für Level 2 oder 3)**
- Auswahl qualifizierter und akkreditierter Auditoren
- Readiness-Checks und interne Vorab-Assessments
- Schulung der beteiligten Teams
- Etablierung von Audit-Management-Prozessen
**5. Veröffentlichung im STAR Registry**
- Strategische Kommunikation der Zertifizierung
- Nutzung für Marketing und Vertrieb
- Regelmäßige Updates und Erneuerungen
- Integration in die Unternehmenskommunikation
> **Praxis-Tipp**: Beginnen Sie mit Level 1, um erste Erfahrungen zu sammeln und interne Prozesse zu etablieren, bevor Sie zu höheren Levels übergehen.
#### Integration mit bestehenden Standards
**ISO 27001-Integration:**
- Viele CCM-Kontrollen überschneiden sich mit ISO 27001-Anforderungen
- STAR kann als Cloud-spezifische Erweiterung des ISMS fungieren
- Synergien bei Audit-Vorbereitung und -durchführung
- Gemeinsame Nutzung von Dokumentation und Nachweisen
**SOC 2-Harmonisierung:**
- Parallele Durchführung von SOC 2 und STAR Level 2 möglich
- Überschneidende Kontrollen reduzieren Audit-Aufwand
- Einheitliche Governance-Struktur für beide Standards
**NIST-Framework-Alignment:**
- CCM mappt zu NIST Cybersecurity Framework
- Nutzung bestehender NIST-Implementierungen
- Ergänzung um Cloud-spezifische Aspekte
#### Besonders geeignet für:
- **Cloud Service Provider (CSP)** aller Größen
- **SaaS-Anbieter** mit hohem Sicherheitsanspruch
- **Managed Service Provider** mit Cloud-Fokus
- **Unternehmen mit bestehenden ISO 27001 oder SOC 2-Zertifizierungen**
- **Organisationen in regulierten Branchen** (Finanz, Gesundheit, öffentlicher Sektor)
### Unterstützung durch die fuentis Suite
Die **fuentis Suite** kann die CSA STAR-Implementierung gezielt unterstützen:
**Asset- und Service-Management:**
- Zentrale Erfassung aller Cloud-Services im Scope
- Zuordnung von Kontrollen zu spezifischen Assets und Services
- Automatische Aktualisierung bei Änderungen der IT-Landschaft
- Visualisierung von Abhängigkeiten und Datenflüssen
**Risikomanagement:**
- Cloud-spezifische Risikoanalysen und -bewertungen
- Integration von CCM-Kontrollen in das Risikomanagement
- Automatisierte Berichterstattung für Management und Auditoren
- Kontinuierliches Monitoring von Risikoindikatoren
**Audit- und Assessment-Module:**
- Strukturierte Vorbereitung auf STAR-Audits
- Zentrale Sammlung und Verwaltung aller Evidenzen
- Automatisierte Generierung von Audit-Reports
- Nachverfolgung von Audit-Findings und Korrekturmaßnahmen
**Dokumentenmanagement:**
- Zentrale Ablage aller STAR-relevanten Dokumente
- Versionierung und Genehmigungsworkflows
- Automatische Verknüpfung zu entsprechenden CCM-Kontrollen
- CAIQ-Fragebogen als interaktives Tool
### Verortung in der Compliance-Landschaft
#### Beziehung zu anderen Standards
**Ergänzung zu ISO 27001:**
- CSA STAR erweitert allgemeine ISMS-Anforderungen um Cloud-Spezifika
- Nutzt bestehende ISO 27001-Dokumentation als Basis
- Ermöglicht nahtlose Integration in etablierte Managementsysteme
**Abgrenzung zu SOC 2:**
- SOC 2 fokussiert auf interne Kontrollen, STAR auf Cloud-ökosystem
- STAR bietet mehr Transparenz durch öffentliches Registry
- Beide Standards können parallel oder integriert umgesetzt werden
**Synergie mit GDPR/DSGVO:**
- Code of Conduct unterstützt DSGVO-Compliance in der Cloud
- Strukturierte Herangehensweise an Auftragsverarbeitung
- Nachweis angemessener technischer und organisatorischer Maßnahmen
#### Regulatorische Anerkennung
- **Europäische Union**: Zunehmende Anerkennung in öffentlichen Ausschreibungen
- **USA**: Etabliert bei Bundesbehörden und Fortune 500-Unternehmen
- **Asien-Pazifik**: Starke Verbreitung in Singapur, Australien, Japan
- **Finanzsektor**: Anerkennung durch verschiedene Finanzaufsichtsbehörden
#### Glossar
**Cloud Controls Matrix (CCM)**: Umfassender Kontrollkatalog mit 197 Sicherheitskontrollen in 17 Domänen, der als Referenz für Cloud-Sicherheit dient.
**CAIQ**: Consensus Assessments Initiative Questionnaire – standardisierter Fragenkatalog mit 295 Fragen zur Bewertung von Cloud-Sicherheitsmaßnahmen.
**CSA STAR Registry**: Öffentlich zugängliche Datenbank aller STAR-zertifizierten Cloud-Anbieter mit deren Sicherheitsnachweisen.
**Continuous Auditing**: Höchste STAR-Zertifizierungsstufe mit kontinuierlicher Überwachung und Echtzeit-Nachweisführung.
**Code of Conduct**: Praktische Leitlinien für GDPR-konforme Cloud-Services und Auftragsverarbeitung.
**Third-Party Assessment**: Externe Prüfung durch akkreditierte Auditoren im Rahmen von STAR Level 2.
### Kernaussagen auf einen Blick
1. **Führende Cloud-Security-Zertifizierung**: CSA STAR gilt weltweit als einer der anerkanntesten Standards für Cloud-Sicherheit und bietet drei Zertifizierungsstufen von Selbstauskunft bis kontinuierlicher Überwachung.
2. **Umfassender Kontrollrahmen**: Die Cloud Controls Matrix (CCM) mit 197 Kontrollen und der CAIQ-Fragenkatalog schaffen einen strukturierten, standardisierten Ansatz für Cloud-Sicherheitsbewertungen.
3. **Nahtlose Integration**: STAR harmoniert optimal mit bestehenden Standards wie ISO 27001 und SOC 2, reduziert Audit-Redundanzen und ermöglicht effiziente Multi-Standard-Ansätze.
4. **Wettbewerbsvorteile durch Transparenz**: Die Veröffentlichung im CSA STAR Registry schafft Vertrauen, verkürzt Verkaufszyklen und bietet Differenzierung im umkämpften Cloud-Markt.
5. **Tool-unterstützte Effizienz**: Moderne Plattformen wie die fuentis Suite automatisieren wesentliche Teile der STAR-Implementierung und -Wartung, von der Gap-Analyse bis zur kontinuierlichen Compliance-Überwachung.
## DORA - Digital Operational Resilience Act
Quelle: https://servicehub.fuentis.com/de/standards/dora-digital-operational-resilience-act/
**DORA (Digital Operational Resilience Act)** ist eine EU-Verordnung (Regulation (EU) 2022/2554), die am 17. Januar 2025 in Kraft getreten ist und unmittelbar in allen EU-Mitgliedstaaten gilt. Sie zielt darauf ab, die digitale Betriebsresilienz von Finanzunternehmen zu stärken und sicherzustellen, dass diese ICT-Störungen standhalten, darauf reagieren und sich davon erholen können.
**Warum ist DORA relevant?** In einer zunehmend digitalisierten Finanzwelt sind Cyberangriffe und Systemausfälle existenzielle Bedrohungen. DORA harmonisiert die Vorgaben zur digitalen Betriebsresilienz EU-weit und schafft einheitliche Standards für das ICT-Risikomanagement im Finanzsektor.
**Besondere Relevanz für Deutschland:** BaFin-regulierte Institute sind seit dem 17. Januar 2025 verpflichtet, DORA umzusetzen. Die Verordnung ersetzt schrittweise die bisherigen deutschen IT-Rundschreiben (BAIT/VAIT/ZAIT/KAIT) und wird durch das Finanzmarktdigitalisierungsgesetz (FinmadiG) auch auf weitere Institute ausgedehnt.
### Die 5 Säulen der DORA-Verordnung
DORA strukturiert die digitale Betriebsresilienz in fünf Kernbereiche, die an eine robuste Governance gekoppelt sind:
#### 1. ICT-Risikomanagement
**Umfassendes und proaktives Risikomanagement** für alle ICT-Systeme und -Prozesse:
##### Governance und Organisation
- Das Management trägt die Verantwortung für die Definition und Überwachung von ICT-Risikomanagement-Rahmenwerken
- Klare Rollen und Verantwortlichkeiten müssen definiert und dokumentiert sein
- Regelmäßige Berichterstattung an die Geschäftsleitung ist erforderlich
##### Schutz und Prävention
- Implementierung von Richtlinien und Verfahren zum Schutz kritischer ICT-Systeme
- Regelmäßige Aktualisierung von Sicherheitsmaßnahmen
- Kontinuierliche Risikoanalysen und Mitarbeitersensibilisierung
- Asset-Management und Klassifizierung kritischer Systeme
##### Erkennung, Reaktion und Wiederherstellung
- Frühzeitige Erkennung von ICT-Vorfällen durch Monitoring-Systeme
- Definierte Reaktionspläne und Eskalationsverfahren
- Backup- und Recovery-Prozesse für Business Continuity
- Regelmäßige Tests der Wiederherstellungsverfahren
##### Vereinfachte Vorgaben für kleine Finanzunternehmen
DORA erlaubt ein vereinfachtes ICT-Risikomanagement gemäß Artikel 16 und den technischen Standards (CDR 2024/1774) für kleinere Institute.
**Praxis-Tipp:** Viele deutsche Institute verfügen bereits über BAIT-/VAIT-Risikomanagement. Führen Sie eine Gap-Analyse durch, um Lücken zwischen Ihrem bestehenden Rahmenwerk und den DORA-Anforderungen zu identifizieren.
#### 2. Meldung und Klassifizierung von ICT-Vorfällen
**Standardisiertes Incident-Management** für alle Finanzunternehmen:
##### Incident-Management-Prozess
- Implementierung von Prozessen zur Erfassung, Überwachung und Klassifizierung von ICT-Zwischenfällen
- Strukturierte Dokumentation aller Vorfälle und Bedrohungen
- Klare Kategorisierung nach Schweregrad und Auswirkung
##### Meldepflichten
- **Initiale Meldung**: Binnen 4 Stunden nach Feststellung eines schwerwiegenden Vorfalls
- **Zwischenbericht**: Regelmäßige Updates während der Bearbeitung
- **Abschlussbericht**: Vollständige Analyse mit Lessons Learned
- **Kundenmitteilung**: Information betroffener Kunden bei schwerwiegenden Vorfällen
##### Meldeinhalte
- Zeitpunkt und Dauer des Vorfalls
- Betroffene Systeme und Services
- Auswirkungen auf Geschäftstätigkeiten
- Ergriffene Sofortmaßnahmen
- Geschätzte Wiederherstellungszeit
**Praxis-Tipp:** Stellen Sie sicher, dass Vorfallsdaten strukturiert erfasst werden und Ihre Meldeprozesse mit den Aufsichtsfristen kompatibel sind. Trainieren Sie Mitarbeitende für schnelle Eskalationen.
#### 3. Digitale Betriebsresilienz-Tests
**Regelmäßige Tests** zur Prüfung der ICT-Resilienz:
##### Umfassendes Testprogramm
- **Jährliche Tests** aller kritischen ICT-Systeme
- Schwachstellenanalysen und Penetrationstests
- Performance-Tests und Kapazitätsprüfungen
- Szenario-basierte Übungen und Disaster-Recovery-Tests
##### Threat-Led Penetration Testing (TLPT)
- **Mindestens alle drei Jahre** für größere Institute
- Simulation realer Angreifer-Techniken und -Taktiken
- Durchführung durch qualifizierte externe Dienstleister
- Umfassende Dokumentation und Follow-up-Maßnahmen
##### Dokumentation und Nachbereitung
- Detaillierte Dokumentation aller Testergebnisse
- Ableitung konkreter Verbesserungsmaßnahmen
- Integration der Erkenntnisse in das Risikomanagement
- Regelmäßige Überprüfung der Umsetzung
**Praxis-Tipp:** Planen Sie Resilienz-Tests langfristig und stimmen Sie diese mit internen und externen Prüfern ab. Integrieren Sie Lessons Learned systematisch in Ihr Risikomanagement.
#### 4. ICT-Drittanbieterrisikomanagement
**Strenge Vorgaben** für den Umgang mit externen ICT-Dienstleistern:
##### Strategie und Governance
- Entwicklung einer Strategie und Richtlinie für ICT-Drittanbieter
- Risikobewertung und Klassifizierung von Dienstleistern
- Definition von Exit-Strategien und Notfallplänen
- Regelmäßige Überprüfung der Drittanbieter-Landschaft
##### Due Diligence und Vertragsgestaltung
- **Vorab-Beurteilung** vor Vertragsabschluss
- Bewertung von Sicherheitszertifikaten und Zuverlässigkeit
- **Mindestvertragsinhalte** gemäß Artikel 30:
- Zugriffssicherheit und Datenklassifizierung
- Audit-Rechte und Compliance-Überwachung
- Service-Level-Agreements und Performance-Indikatoren
- Exit-Vorkehrungen und Datenrückgabe
- Subunternehmer-Management
##### Register of Information
- Aktuelles Register über alle ICT-Drittanbieter
- Dokumentation von Leistungen und Vertragslaufzeiten
- Klassifizierung kritischer Funktionen
- Regelmäßige Aktualisierung und Validierung
##### EU-weite Aufsicht kritischer Drittanbieter
- Lead Overseer kann Untersuchungen durchführen
- Möglichkeit von Sanktionen bei Verstößen
- Harmonisierte Aufsicht über systemrelevante Anbieter
**Praxis-Tipp:** Vergleichen Sie bestehende Outsourcing-Verträge mit den DORA-Mindestanforderungen. Führen Sie ein zentrales Drittanbieterregister und definieren Sie klare Exit-Strategien.
#### 5. Informationsaustausch und Kooperation
**Förderung des sicheren Austauschs** von Cyber-Threat-Informationen:
##### Threat-Intelligence-Sharing
- Austausch von Informationen zu Cyber-Bedrohungen zwischen Finanzinstitutionen
- Schaffung eines gemeinsamen Lagebilds
- Koordination durch nationale und europäische Stellen
- Beachtung von Datenschutzregeln und internen Prozessen
### Anwendbarkeit und Durchsetzung in Deutschland
#### Zeitlicher Rahmen
- **Inkrafttreten**: 17. Januar 2025 - unmittelbar gültig
- **Aufhebung nationaler Rundschreiben**: BaFin hebt VAIT/ZAIT/KAIT am 16. Januar 2025 auf
- **BAIT-Übergang**: Bleibt bis Ende 2026 bestehen, wird sukzessive durch DORA ersetzt
- **Erweiterung**: FinmadiG erweitert Anwendungsbereich ab 2027 auf weitere Institute
#### Betroffene Institute
- Banken und Kreditinstitute
- Versicherungsunternehmen
- Investmentfirmen und Asset-Manager
- Zahlungsinstitute und E-Geld-Institute
- Ab 2027: Auch nicht-CRR-Institute wie Förderbanken
#### Sanktionen und Bußgelder
- **Finanzunternehmen**: Bis zu 2% des weltweiten Jahresumsatzes
- **Kritische Drittanbieter**: Bis zu 5 Mio. Euro oder 1% des Jahresumsatzes
- Durchsetzung durch Europäische Aufsichtsbehörden
### Umsetzungshilfen und Best Practices
#### Organisatorische Vorbereitung
##### 1. Gap-Analyse durchführen
- Vergleich bestehender IT-Regelungen (BAIT/VAIT/KAIT) mit DORA-Anforderungen
- Identifikation von Anpassungsbedarfen
- Entwicklung eines strukturierten Umsetzungsplans
- Priorisierung kritischer Maßnahmen
##### 2. Management-Commitment sicherstellen
- Sensibilisierung der Geschäftsleitung für DORA-Anforderungen
- Klärung der Management-Verantwortlichkeiten
- Bereitstellung ausreichender Ressourcen
- Regelmäßige Berichterstattung etablieren
##### 3. Verantwortlichkeiten definieren
- Benennung eines DORA-Programmleiter
- Definition von Rollen für Risiko-, Incident- und Compliance-Management
- Klärung der Drittanbieter-Verantwortlichkeiten
- Etablierung von Koordinationsmechanismen
#### Umsetzung des ICT-Risikomanagements
##### Rahmenwerk etablieren
- Nutzung bestehender ISO 27001-Strukturen
- Anpassung der Risikobewertungsmethodik an DORA
- Integration von Schutz, Erkennung, Reaktion und Wiederherstellung
- Berücksichtigung der vereinfachten Vorgaben für kleinere Institute
##### Dokumentation optimieren
- Pflege aktueller Richtlinien und Prozesse
- Erstellung und Wartung eines Asset-Registers
- Dokumentation von Risikoanalysen und Maßnahmen
- Verwendung der BaFin-Dokumentationsanforderungen als Leitfaden
##### Kontinuierliche Verbesserung
- Etablierung eines PDCA-Zyklus
- Nutzung von Lessons Learned aus Vorfällen und Tests
- Regelmäßige Überprüfung und Anpassung der Prozesse
- Integration von Feedback aus Audits und Prüfungen
#### Incident-Management optimieren
##### Prozesse definieren
- Festlegung klarer Meldewege und Eskalationsstufen
- Definition von Verantwortlichkeiten und Kompetenzen
- Sicherstellung der Berichtsfähigkeit an Aufsicht und Kunden
- Integration mit bestehenden ISMS-Prozessen
##### Technische Überwachung
- Implementierung von SIEM-Systemen
- Deployment von Monitoring-Tools
- Automatisierung der Vorfallserkennung
- Integration verschiedener Datenquellen
##### Schulungen und Training
- Regelmäßige Schulungen für Mitarbeitende
- Übungen zur Incident-Response
- Training der Meldepflichten und -verfahren
- Sensibilisierung für neue Bedrohungen
#### Resilienz-Tests durchführen
##### Testplanung
- Erstellung eines mehrjährigen Testplans
- Abstimmung des Umfangs mit der BaFin
- Integration in den Prüfungskalender
- Koordination mit Business-Einheiten
##### Testdurchführung
- Verwendung realitätsnaher Szenarien
- Einsatz automatisierter Tools
- Dokumentation aller Ergebnisse
- Nachverfolgung von Maßnahmen
##### Integration ins Risikomanagement
- Verwendung von Testergebnissen für Risikoupdates
- Anpassung von Kontrollen basierend auf Erkenntnissen
- Regelmäßige Überprüfung der Testeffektivität
- Benchmarking mit Branchenstandards
#### Drittanbieter-Management verstärken
##### Due Diligence intensivieren
- Durchführung von Sicherheits- und Compliance-Prüfungen
- Bewertung von Zertifizierungen und Standards
- Prüfung der finanziellen Stabilität
- Assessment von Notfallplänen und Business Continuity
##### Vertragsgestaltung optimieren
- Ergänzung um DORA-Mindestklauseln
- Definition klarer Service-Level-Agreements
- Vereinbarung von Audit-Rechten
- Festlegung von Exit-Strategien und Übergabeverfahren
##### Register und Überwachung
- Aufbau eines zentralen Drittanbieterregisters
- Automatisierte Überwachung von Vertragsänderungen
- Regelmäßige Risikobewertungen
- Durchführung von Lieferanten-Audits
### Bezug zu anderen Standards und Frameworks
#### Integration mit ISO 27001
- DORA ergänzt bestehende ISMS-Strukturen
- Risikomanagementsysteme können erweitert werden
- Incident-Management-Prozesse sind kompatibel
- Continuous Improvement-Ansätze harmonieren
#### Abgrenzung zu BAIT/VAIT
- DORA ersetzt schrittweise nationale Rundschreiben
- Höhere Anforderungen an Drittanbieter-Management
- Detailliertere Vorgaben für Resilienz-Tests
- EU-weite Harmonisierung der Standards
#### Verzahnung mit NIS2
- Überschneidungen bei Cybersecurity-Anforderungen
- Komplementäre Ansätze für kritische Infrastrukturen
- Koordinierte Meldepflichten und Incident-Response
- Harmonisierte EU-Cybersecurity-Strategie
### Unterstützung durch die fuentis Suite
Die **fuentis Suite** kann die DORA-Compliance umfassend unterstützen:
#### Risikomanagement-Module
- **Asset-Management**: Erfassung und Klassifizierung aller ICT-Assets
- **Risikoregister**: Dokumentation von Bedrohungen, Schwachstellen und Kontrollen
- **Maßnahmenplanung**: Tracking von Risikominderungsmaßnahmen
- **Reporting**: Automatisierte Berichte für Management und Aufsicht
#### Incident-Management-System
- **Vorfallserfassung**: Strukturierte Dokumentation von ICT-Zwischenfällen
- **Klassifizierung**: Automatische Kategorisierung nach DORA-Kriterien
- **Meldewesen**: Integrierte Schnittstellen zur BaFin-Meldung
- **Workflow-Management**: Automatisierte Eskalation und Bearbeitung
#### Third-Party-Management (Road Map)
- **Lieferantenregister**: Zentrale Verwaltung aller ICT-Drittanbieter
- **Due Diligence**: Strukturierte Bewertungsverfahren
- **Vertragsmanagement**: Dokumentation von DORA-Mindestklauseln
- **Risikobewertung**: Kontinuierliche Überwachung von Lieferantenrisiken
#### Compliance-Management (Road Map)
- **DORA-Templates**: Vorgefertigte Dokumente und Checklisten
- **Gap-Analyse**: Automatisierte Bewertung des Umsetzungsstands
- **Audit-Trails**: Vollständige Nachverfolgbarkeit aller Aktivitäten
- **Regulatory Mapping**: Verknüpfung mit anderen Compliance-Anforderungen
#### Test- und Audit-Module (Road Map)
- **Testplanung**: Verwaltung von Resilienz-Tests und TLPT
- **Ergebnisdokumentation**: Strukturierte Erfassung von Testergebnissen
- **Maßnahmenverfolgung**: Tracking von Verbesserungsmaßnahmen
- **Management-Review**: Automated Reporting für Geschäftsleitung
### Kernaussagen auf einen Blick
1. **DORA ist seit 17. Januar 2025 unmittelbar gültig** und ersetzt schrittweise deutsche IT-Rundschreiben. BaFin-regulierte Institute müssen die Verordnung sofort umsetzen.
2. **Die 5 DORA-Säulen** (ICT-Risikomanagement, Incident-Reporting, Resilienz-Tests, Drittanbieter-Management, Informationsaustausch) bilden einen umfassenden Rahmen für digitale Betriebsresilienz.
3. **Management-Verantwortung ist zentral** - die Geschäftsleitung trägt die Verantwortung für ICT-Risiken und muss geeignete Governance-Strukturen etablieren.
4. **Drittanbieter-Risiken erhalten besondere Aufmerksamkeit** mit strengen Due-Diligence-Anforderungen, Mindestvertragsklauseln und EU-weiter Aufsicht kritischer Anbieter.
5. **Bestehende BAIT/VAIT-Strukturen können erweitert werden** - eine Gap-Analyse hilft dabei, Anpassungsbedarfe zu identifizieren und vorhandene Compliance-Investitionen zu nutzen.
## Grundschutz++ - Digitale Transformation des IT-Grundschutzes
Quelle: https://servicehub.fuentis.com/de/standards/grundschutz-plusplus/
**Grundschutz++** ist die umfassende Modernisierung des etablierten IT-Grundschutzes des Bundesamts für Sicherheit in der Informationstechnik (BSI). Ab dem 1. Januar 2026 wird das bisherige PDF- und Excel-basierte Kompendium durch eine weitgehend digitalisierte, prozessorientierte und maschinenlesbare Version abgelöst.
**Warum ist Grundschutz++ relevant?** Die digitale Transformation bringt neue Technologien wie Cloud-Services, Künstliche Intelligenz (KI) und Internet of Things (IoT) mit sich, die neue Sicherheitsanforderungen und Bedrohungsszenarien schaffen. Gleichzeitig steigt der Bedarf nach automatisierten Compliance-Prozessen und besserer Integration in bestehende ISMS-Tools. Grundschutz++ antwortet auf diese Herausforderungen mit einem fundamental modernisierten Ansatz, der die bewährten Grundschutz-Prinzipien beibehält, aber deren Anwendung erheblich vereinfacht und flexibilisiert.
### Die Revolution: Von PDF zu OSCAL/JSON
#### Maschinenlesbares Format als Paradigmenwechsel
Der größte Umbruch in Grundschutz++ ist der Wechsel von statischen PDF- und Excel-Dokumenten zu einem **maschinenlesbaren Format** basierend auf der **Open Security Controls Assessment Language (OSCAL)**. Diese Transformation ermöglicht:
- **Automatisierte Compliance-Prüfungen** durch direkte Tool-Integration
- **Konsistente Datenqualität** durch Single-Source-of-Truth-Prinzip
- **Dynamische Updates** ohne manuelle Übertragungsfehler
- **API-basierte Integration** in bestehende ISMS-Landschaften
- **Echtzeit-Synchronisation** zwischen BSI-Vorgaben und Organisations-Tools
**Praxis-Tipp:** Das BSI wird weiterhin Excel-Exports anbieten, die direkt aus den OSCAL-Daten generiert werden. Organisationen sollten jedoch frühzeitig auf OSCAL/JSON-kompatible Tools setzen, um den vollen Nutzen der Digitalisierung zu realisieren.
#### Technische Grundlagen von OSCAL
**OSCAL (Open Security Controls Assessment Language)** ist ein vom NIST entwickelter Standard zur strukturierten Modellierung von:
- Sicherheitsanforderungen und -kontrollen
- Compliance-Informationen und Assessment-Ergebnisse
- Risikobewertungen und Remediation-Pläne
- System-Security-Pläne und Autorisierungsdokumente
Die JSON-Strukturierung ermöglicht es Tool-Herstellern und Anwendern, direkten Zugriff auf die BSI-Quelldaten zu erhalten und diese nahtlos in ihre Sicherheitsarchitekturen zu integrieren.
### Konzeptuelle Neuerungen und Strukturwandel
#### Modulare, prozessorientierte Architektur
**Weg von starren Bausteinen, hin zu flexiblen Praktiken:**
Grundschutz++ ersetzt die bisherigen "Bausteine" durch **Praktiken** - wiederverwendbare Prozesse oder Sicherheitsmaßnahmen, die flexibel kombiniert und an spezifische Organisationsstrukturen angepasst werden können.
##### Neue Anforderungsstruktur
**Standardisierte Satzschablonen** sorgen für Klarheit und Konsistenz:
```
{Praktik} [für {Zielobjekt}] {MODALVERB} {Handlungswort}
```
**Beispiel:**
- **Praktik**: "Backup-Verfahren"
- **Zielobjekt**: "kritische Geschäftsdaten"
- **Modalverb**: "MUSS"
- **Ergebnis**: "wiederherstellbare Kopien"
- **Handlungswort**: "erstellen"
→ "*Backup-Verfahren für kritische Geschäftsdaten MUSS wiederherstellbare Kopien erstellen.*"
#### Hierarchische Priorisierung der Umsetzung
Grundschutz++ führt ein **6-stufiges Priorisierungsmodell** (Stufe 0-5) ein:
##### Stufe 0: Zwingende Grundlagen
- **Muss-Anforderungen** für ISO 27001-Kompatibilität
- **Fundamentale Governance-Praktiken**
- **Rechtliche Mindestanforderungen**
##### Stufe 1: Quick-Wins (≈ 1 Tag Aufwand)
- **Sofort umsetzbare Maßnahmen**
- **Geringe Kosten, hoher Sicherheitsgewinn**
- **Bewusstseinsbildung und Sensibilisierung**
##### Stufe 2: Kurze Projekte (≈ 1 Woche Aufwand)
- **Richtlinien und Verfahrensdokumentation**
- **Grundlegende technische Schutzmaßnahmen**
- **Erste Monitoring-Implementierungen**
##### Stufe 3: Mittelfristige Projekte (≈ 1 Monat Aufwand)
- **Umfassende technische Implementierungen**
- **Prozessoptimierungen und Automatisierung**
- **Erweiterte Monitoring- und Detection-Systeme**
##### Stufe 4: Langfristige Transformationen (≈ 1 Quartal Aufwand)
- **Strukturelle Organisationsveränderungen**
- **Komplexe technische Infrastrukturprojekte**
- **Umfassende Integration und Harmonisierung**
##### Stufe 5: Erhöhter Schutzbedarf
- **Zusätzliche Anforderungen** für kritische Infrastrukturen
- **Spezialisierte Sicherheitsmaßnahmen**
- **Erweiterte Monitoring- und Response-Kapazitäten**
**Praxis-Tipp:** Beginnen Sie immer mit Stufe 0 und arbeiten Sie sich systematisch durch die Stufen. Diese Priorisierung ermöglicht es, auch mit begrenzten Ressourcen schnell ein solides Sicherheitsniveau zu erreichen.
#### Leistungskennzahlen (KPIs) für messbare Sicherheit
**Quantifizierung des Sicherheitsgewinns:**
Jede Anforderung in Grundschutz++ erhält **drei Kennzahlen** entsprechend den klassischen Schutzzielen:
- **C (Confidentiality/Vertraulichkeit)**: Schutz vor unbefugter Offenlegung
- **I (Integrity/Integrität)**: Schutz vor unbefugter Veränderung
- **A (Availability/Verfügbarkeit)**: Schutz vor Ausfall oder Beeinträchtigung
##### Funktionsweise der Kennzahlen
- **Punktwerte** zeigen, wie stark eine Maßnahme das jeweilige Risiko reduziert
- **Summierung** aller implementierten Maßnahmen ergibt den Gesamtscore
- **Schwellwerte** definieren das gewünschte Sicherheitsniveau
- **Objective Messbarkeit** des ISMS-Erfüllungsgrads
##### Vorteile für die Praxis
- **Ressourcenoptimierung**: Fokus auf Maßnahmen mit dem besten Kosten-Nutzen-Verhältnis
- **Kontinuierliche Verbesserung**: Systematische Identifikation von Sicherheitslücken
- **Stakeholder-Kommunikation**: Objektive Darstellung des Sicherheitsniveaus
- **Benchmark-Vergleiche**: Positionierung gegenüber Branchenstandards
**Praxis-Tipp:** Nutzen Sie die Kennzahlen für eine datengetriebene Sicherheitsstrategie. Definieren Sie organisationsspezifische Schwellwerte und verfolgen Sie deren Entwicklung über Zeit.
### Integration und Harmonisierung
#### Stärkere ISO 27001-Kompatibilität
Grundschutz++ wurde konzipiert, um eine **nahtlose Harmonisierung** mit ISO 27001 zu ermöglichen:
##### Strukturelle Angleichung
- **Control-Mapping**: Direkte Zuordnung von Grundschutz++-Praktiken zu ISO 27001-Controls
- **Annex A-Kompatibilität**: Vollständige Abdeckung der ISO 27001 Annex A-Anforderungen
- **ISMS-Prozess-Integration**: Harmonisierung der Governance-Zyklen
- **Audit-Synergie**: Gemeinsame Assessment-Zyklen für beide Standards
##### Praktische Vorteile
- **Reduzierter Aufwand** für Dual-Zertifizierungen
- **Konsistente Dokumentation** für beide Standards
- **Einheitliche Risk-Assessment-Methodik**
- **Gemeinsame KPI-Dashboards**
#### Modulare Erweiterbarkeit
Die neue Architektur ermöglicht **flexible Integration** zusätzlicher Compliance-Kataloge:
##### Verfügbare und geplante Module
- **KRITIS-Erweiterungen**: Zusätzliche Anforderungen für kritische Infrastrukturen
- **NIS2-Compliance**: EU-weite Cybersecurity-Anforderungen
- **C5-Attestierung**: Cloud-Security-Standards
- **Cloud-Security-Module**: Spezifische Cloud-Governance und -Security
- **KI-Sicherheit**: Anforderungen für AI/ML-Systeme
- **IoT-Security**: Schutzmaßnahmen für vernetzte Geräte
**Praxis-Tipp:** Planen Sie Ihre ISMS-Architektur modular, um zukünftige Compliance-Anforderungen flexibel integrieren zu können, ohne die Grundstruktur zu verändern.
### Bewährte Methodik bleibt bestehen
**Kontinuität trotz Revolution:**
Trotz aller technischen und strukturellen Neuerungen bleibt die **bewährte IT-Grundschutz-Methodik** grundsätzlich unverändert:
#### Die 6 Phasen des IT-Grundschutzes
1. **Geltungsbereich festlegen (Scope Definition)**
- Definition der zu schützenden Geschäftsprozesse
- Abgrenzung der IT-Systeme und Anwendungen
- Berücksichtigung von Cloud- und Hybrid-Infrastrukturen
2. **Strukturanalyse durchführen**
- Erfassung aller Zielobjekte und deren Abhängigkeiten
- Mapping von Datenflüssen und Systeminteraktionen
- Dokumentation der IT-Architektur
3. **Schutzbedarfsfeststellung**
- Bewertung der Kritikalität von Informationen und Systemen
- Klassifizierung nach Vertraulichkeit, Integrität und Verfügbarkeit
- Berücksichtigung regulatorischer Anforderungen
4. **Modellierung mit Grundschutz++**
- Auswahl und Konfiguration relevanter Praktiken
- Anpassung an organisationsspezifische Gegebenheiten
- Integration zusätzlicher Compliance-Module
5. **Grundschutz-Check**
- Systematische Überprüfung der Umsetzung
- Bewertung anhand der KPIs
- Identifikation von Implementierungslücken
6. **Risikoanalyse**
- Bewertung verbleibender Risiken
- Definition zusätzlicher Maßnahmen
- Dokumentation von Risikoakzeptanz-Entscheidungen
**Praxis-Tipp:** Nutzen Sie die Kontinuität der Methodik als Basis für Ihre Transformation. Bestehende Prozesse können weitgehend beibehalten und lediglich um die neuen digitalen Werkzeuge ergänzt werden.
### Vorbereitung und Umsetzungsstrategien
#### Strategische Vorbereitung
##### Organisatorische Readiness
**1. Projektteam und Governance etablieren**
- **ISB-Rolle stärken**: Klare Zuordnung der Informationssicherheitsbeauftragten-Verantwortlichkeiten
- **Cross-funktionale Teams**: Integration von IT, Compliance, Risk Management und Business
- **Change Management**: Vorbereitung der Organisation auf den Paradigmenwechsel
- **Budget-Planung**: Ressourcenallokation für Tools, Schulungen und externe Unterstützung
**2. Technische Voraussetzungen schaffen**
- **OSCAL/JSON-Kompetenz**: Schulung der Teams in den neuen Datenformaten
- **Tool-Evaluation**: Bewertung OSCAL-kompatibler ISMS-Lösungen
- **API-Integration**: Vorbereitung der IT-Infrastruktur für automatisierte Datenflows
- **Backup-Strategien**: Sicherstellung der Kontinuität während der Migration
**3. Scope und Architektur überdenken**
- **Cloud-First-Ansatz**: Anpassung der Strukturanalyse an moderne IT-Architekturen
- **Prozess-Orientierung**: Umstellung von objekt- auf prozesszentrierte Betrachtung
- **Modulare Planung**: Vorbereitung für zukünftige Compliance-Erweiterungen
#### Implementierungsansatz
##### Phasenweise Migration
**Phase 1: Fundament (Q4 2025)**
- **Tool-Auswahl und -Implementierung**
- **Team-Schulung und -Zertifizierung**
- **Bestehende Dokumentation analysieren und aufbereiten**
- **Pilot-Bereiche für erste Tests identifizieren**
**Phase 2: Kernmigration (Q1-Q2 2026)**
- **Stufe 0-Anforderungen vollständig implementieren**
- **Quick-Wins (Stufe 1) systematisch umsetzen**
- **KPI-Baselines etablieren und messen**
- **Erste Compliance-Checks durchführen**
**Phase 3: Optimierung (Q3-Q4 2026)**
- **Stufen 2-4 nach Priorität und Ressourcen umsetzen**
- **Kontinuierliche Verbesserungsprozesse etablieren**
- **Erweiterte Module (KRITIS, NIS2) integrieren**
- **Audit-Readiness und Zertifizierungsvorbereitung**
**Phase 4: Continuous Improvement (ab 2027)**
- **Regelmäßige KPI-Reviews und Optimierungen**
- **Integration neuer BSI-Module und -Updates**
- **Benchmark-Vergleiche und Best-Practice-Sharing**
- **Strategische Weiterentwicklung des ISMS**
#### Risikobasierter Umsetzungsansatz
##### Prozessorientierte Risikoanalyse
**Methodischer Wandel:**
- **Von objekt- zu prozessorientierter Betrachtung**: Fokus auf End-to-End-Geschäftsprozesse
- **Dynamische Risikobewertung**: Kontinuierliche Anpassung an sich ändernde Bedrohungslagen
- **Integrierte Compliance**: Harmonisierung verschiedener Regulatory-Anforderungen
- **Quantitative Metriken**: Nutzung der KPIs für objektive Risikoquantifizierung
##### KPI-basierte Steuerung
**Datengetriebene Entscheidungen:**
- **Baseline-Establishment**: Definition organisationsspezifischer Sicherheitsziele
- **Continuous Monitoring**: Echtzeit-Überwachung der Sicherheitskennzahlen
- **Trend-Analyse**: Identifikation von Verbesserungs- und Verschlechterungsmustern
- **ROI-Optimierung**: Priorisierung von Maßnahmen mit dem besten Sicherheits-ROI
**Praxis-Tipp:** Nutzen Sie die KPIs nicht nur für Compliance, sondern als strategisches Instrument für die kontinuierliche Optimierung Ihrer Sicherheitsarchitektur. Definieren Sie organizationsspezifische Schwellwerte und etablieren Sie regelmäßige Review-Zyklen.
### Unterstützung durch die fuentis Suite
Die **fuentis Suite** ist optimal auf die Anforderungen von Grundschutz++ vorbereitet und bietet umfassende Unterstützung:
#### OSCAL/JSON-Integration
- **Nativer OSCAL-Support**: Direkte Verarbeitung der BSI-JSON-Datenstrukturen
- **Automatische Updates**: Synchronisation mit BSI-Releases ohne manuelle Intervention
- **API-basierte Integration**: Nahtlose Anbindung an bestehende IT-Service-Management-Tools
- **Versionskontrolle**: Nachverfolgung aller Änderungen und Updates
#### Prozessorientiertes Risikomanagement
- **End-to-End-Prozess-Mapping**: Visualisierung kompletter Geschäftsprozesse
- **KPI-Dashboard**: Echtzeit-Monitoring der C/I/A-Kennzahlen
- **Dynamische Risikobewertung**: Kontinuierliche Anpassung an neue Bedrohungen
- **Schwellwert-Management**: Konfigurierbare Alarme und Eskalationen
#### Asset- und Zielobjekt-Management
- **Zentrale CMDB**: Umfassende Inventarisierung aller Zielobjekte
- **Dependency-Mapping**: Visualisierung von Systemabhängigkeiten und Datenflüssen
- **Cloud-Integration**: Spezielle Unterstützung für hybride und Multi-Cloud-Umgebungen
- **IoT-Device-Management**: Erfassung und Verwaltung vernetzter Geräte
#### Modulares Compliance-Management
- **Multi-Standard-Support**: Parallele Verwaltung von Grundschutz++, ISO 27001, NIS2, KRITIS
- **SoA-Generator**: Automatische Erstellung von Statement of Applicability-Dokumenten
- **Gap-Analysis**: Kontinuierliche Identifikation von Compliance-Lücken
- **Audit-Trail**: Vollständige Nachverfolgung aller Änderungen und Entscheidungen
#### Automatisierte Assessment-Workflows
- **Grundschutz-Check-Automation**: Systematische Überprüfung der Praktiken-Umsetzung
- **KPI-Berechnung**: Automatische Summierung und Bewertung der Sicherheitskennzahlen
- **Report-Generation**: Standardisierte und individuelle Compliance-Reports
- **Stakeholder-Dashboards**: Rollenbasierte Sichten für verschiedene Zielgruppen
#### Integration und Interoperabilität
- **SIEM-Integration**: Anbindung an Security Information and Event Management-Systeme
- **Ticketing-System-Konnektoren**: Integration in bestehende Service-Management-Workflows
- **Business-Intelligence-Export**: Datenexport für strategische Analysen
- **Mobile-First-Design**: Vollständige Funktionalität auf allen Endgeräten
### Brücke zu anderen Standards und Frameworks
#### ISO 27001-Harmonisierung
- **Dual-Compliance**: Simultane Erfüllung beider Standards mit minimalem Zusatzaufwand
- **Control-Mapping**: Direkte Zuordnung zwischen Grundschutz++-Praktiken und ISO-Controls
- **Gemeinsame Governance**: Integrierte Management-Reviews und Audit-Zyklen
- **Risk-Treatment-Alignment**: Harmonisierte Risikobehandlungsstrategien
#### NIST-Framework-Integration
- **CSF-Kompatibilität**: Mapping zu NIST Cybersecurity Framework-Funktionen
- **OSCAL-Synergy**: Nutzung gemeinsamer Datenstrukturen und -formate
- **Maturity-Model-Alignment**: Abgleich mit NIST-Reifegradmodellen
#### EU-Compliance-Standards
- **NIS2-Readiness**: Vorbereitung auf EU-Cybersecurity-Anforderungen
- **GDPR-Integration**: Berücksichtigung datenschutzrechtlicher Aspekte
- **Digital-Operational-Resilience**: Alignment mit DORA-Anforderungen für Finanzsektor
### Kernaussagen auf einen Blick
1. **Digitale Revolution ab 2026**: Grundschutz++ ersetzt das PDF-basierte Kompendium durch ein maschinenlesbares OSCAL/JSON-Format, das automatisierte Compliance-Prozesse und nahtlose Tool-Integration ermöglicht.
2. **Prozessorientierte Modernisierung**: Die neue modulare Struktur mit Praktiken statt Bausteinen, standardisierten Satzschablonen und 6-stufiger Priorisierung (0-5) macht die Umsetzung flexibler und effizienter.
3. **Quantifizierbare Sicherheit durch KPIs**: Jede Anforderung erhält Kennzahlen für Vertraulichkeit, Integrität und Verfügbarkeit (C, I, A), die objektive Messbarkeit des Sicherheitsniveaus und datengetriebene Optimierung ermöglichen.
4. **Nahtlose ISO 27001-Integration**: Grundschutz++ wurde für maximale Harmonisierung mit ISO 27001 konzipiert und ermöglicht Dual-Compliance mit minimalem Zusatzaufwand bei gemeinsamen Audit-Zyklen.
5. **Frühzeitige Vorbereitung essentiell**: Organisationen sollten bereits 2025 mit der strategischen Vorbereitung beginnen, da eine automatisierte Migration nicht möglich ist und umfassende Schulungen sowie Tool-Anpassungen erforderlich sind.
## ISO 27001 - Umfassender Leitfaden für ISMS
Quelle: https://servicehub.fuentis.com/de/standards/iso-27001-leitfaden/
ISO 27001 ist der weltweit führende Standard für Informationssicherheitsmanagementsysteme (ISMS). Diese Wissensseite vereint alle wichtigen Aspekte - von Grundlagen über Implementierung bis hin zur erfolgreichen Audit-Vorbereitung.
### Was ist ISO 27001 und warum ist es relevant?
ISO 27001:2022 ist ein international anerkannter Standard, der Organisationen aller Größen und Branchen dabei unterstützt, Informationssicherheitsrisiken systematisch zu identifizieren, zu bewerten und zu behandeln. Ein funktionierendes ISMS nach ISO 27001 schützt nicht nur sensible Daten, sondern stärkt auch das Vertrauen von Kunden, Partnern und Aufsichtsbehörden.
#### Warum ISO 27001 implementieren?
**Geschäftliche Vorteile:**
- Nachweisbare Sicherheit und Professionalität gegenüber Stakeholdern
- Wettbewerbsvorteile durch Zertifizierung
- Reduzierung von Audit-Fatigue bei Geschäftspartnern
- Schutz der Reputation bei Sicherheitsvorfällen
- Grundlage für weitere Compliance-Anforderungen (DSGVO, NIS2, SOC 2)
**Sicherheitsnutzen:**
- Systematischer Schutz von Kunden-, Mitarbeiter- und Unternehmensdaten
- Proaktive Risikoidentifikation und -behandlung
- Etablierung einer Sicherheitskultur im Unternehmen
- Bessere Vorbereitung auf Cyberbedrohungen
### Wichtige Neuerungen: ISO 27001:2022 + Amendment 1
Die aktuelle Version wurde im Februar 2024 um **Amendment 1** erweitert, das Unternehmen verpflichtet, **Klimawandelrisiken** auf ihre Informationssicherheit zu prüfen und bei Relevanz in das ISMS zu integrieren.
**Betroffene Bereiche:**
- Kontextanalyse der Organisation (Kapitel 4.1)
- Risikobewertung (Kapitel 6.1.2)
- Stakeholder-Engagement (Kapitel 4.2)
Dies stellt einen wichtigen Schritt hin zu nachhaltiger und verantwortungsbewusster Informationssicherheit dar.
### Kernkonzepte und Anforderungen
#### Das PDCA-Modell (Plan-Do-Check-Act)
ISO 27001 basiert auf dem kontinuierlichen Verbesserungszyklus:
- **Plan**: Risikobewertung und ISMS-Planung
- **Do**: Implementierung der Kontrollen und Prozesse
- **Check**: Monitoring, interne Audits und Management-Review
- **Act**: Korrekturmaßnahmen und kontinuierliche Verbesserung
#### Zentrale Anforderungen im Überblick
**Kapitel 4: Kontext der Organisation**
- Verstehen interner und externer Faktoren
- Identifikation relevanter Stakeholder
- Definition des ISMS-Geltungsbereichs
**Kapitel 5: Führung**
- Management-Commitment und Verantwortlichkeiten
- Informationssicherheitspolitik
- Organisatorische Rollen und Befugnisse
**Kapitel 6: Planung**
- Risiko- und Chancenmanagement
- Informationssicherheitsrisikobewertung und -behandlung
- Sicherheitsziele und Umsetzungsplanung
**Kapitel 7: Unterstützung**
- Ressourcenbereitstellung und Kompetenzmanagement
- Bewusstseinsbildung und Kommunikation
- Dokumentierte Informationen
**Kapitel 8: Betrieb**
- Operative Planung und Steuerung
- Durchführung von Risikobewertung und -behandlung
**Kapitel 9: Bewertung der Leistung**
- Überwachung, Messung und Analyse
- Interne Audits
- Management-Review
**Kapitel 10: Verbesserung**
- Behandlung von Nichtkonformitäten
- Korrekturmaßnahmen und kontinuierliche Verbesserung
#### Anhang A: Die 93 Sicherheitskontrollen
Anhang A enthält 93 Kontrollziele in vier Kategorien:
- **Organisatorische Maßnahmen** (37 Kontrollen)
- **Menschenbezogene Kontrollen** (8 Kontrollen)
- **Physische und umgebungsbezogene Sicherheit** (14 Kontrollen)
- **Technologische Kontrollen** (34 Kontrollen)
**Wichtig**: Nicht jede Kontrolle muss implementiert werden, aber jede muss im Statement of Applicability (SoA) bewertet und begründet werden.
### Schritt-für-Schritt Implementierung
#### Phase 1: Vorbereitung und Planung
**1. Management-Commitment sicherstellen**
- Aktive Unterstützung der Geschäftsleitung
- Bereitstellung ausreichender Ressourcen
- Benennung eines ISMS-Verantwortlichen
**2. Geltungsbereich definieren**
- Festlegung der abzudeckenden Geschäftsbereiche, Systeme und Daten
- Berücksichtigung gesetzlicher und regulatorischer Anforderungen
- Dokumentation der Scope-Entscheidung
**3. Projektteam aufbauen**
- Interdisziplinäres Team aus IT, Compliance, Risk Management
- Klare Rollen und Verantwortlichkeiten
- Projektplan mit Meilensteinen
#### Phase 2: Risikomanagement etablieren
**1. Risikobewertungsmethodik entwickeln**
- Festlegung von Risikokategorien und Bewertungskriterien
- Definition von Akzeptanzschwellen
- Dokumentation der Methodik
**2. Asset-Inventar erstellen**
- Identifikation aller informationsverarbeitenden Assets
- Bewertung der Kritikalität
- Zuordnung von Verantwortlichkeiten
**3. Risikobewertung durchführen**
- Systematische Identifikation von Bedrohungen und Schwachstellen
- Bewertung von Eintrittswahrscheinlichkeit und Auswirkungen
- Dokumentation im Risikoregister
#### Phase 3: Kontrollen implementieren
**1. Relevante Kontrollen auswählen**
- Risiko-basierte Auswahl aus Anhang A
- Berücksichtigung bereits vorhandener Maßnahmen
- Priorisierung nach Risikobewertung
**2. Implementierungsplan erstellen**
- Zeitplan für Kontroll-Implementierung
- Ressourcenzuteilung und Verantwortlichkeiten
- Quick Wins identifizieren
**3. Statement of Applicability (SoA) entwickeln**
- Begründung für jede Kontrolle aus Anhang A
- Dokumentation der Implementierungsentscheidungen
- Verknüpfung mit Risikobewertung
#### Phase 4: Dokumentation und Nachweise
**Pflichtdokumente erstellen:**
- ISMS-Politik und -Geltungsbereich
- Risikobewertungsmethodik
- Risk Treatment Plan (RTP)
- Statement of Applicability (SoA)
- Interne Audit-Verfahren
- Management-Review-Verfahren
**Nachweise sammeln:**
- Schulungsunterlagen und Teilnahmenachweise
- Incident-Response-Dokumentation
- Monitoring- und Messergebnisse
- Korrekturmaßnahmen-Nachweise
### Audit-Vorbereitung und Zertifizierung
#### Interne Audits als Vorbereitung
**Zielsetzung:**
- Überprüfung der ISMS-Wirksamkeit
- Identifikation von Verbesserungspotenzialen
- Vorbereitung auf externe Audits
**Vorgehen:**
- Audit-Programm und -plan entwickeln
- Qualifizierte interne Auditoren einsetzen
- Systematische Prüfung aller ISMS-Bereiche
- Dokumentation von Nichtkonformitäten
- Korrekturmaßnahmen ableiten und umsetzen
#### Der externe Zertifizierungsprozess
**Stage 1 Audit (Dokumentenprüfung)**
- Überprüfung der ISMS-Dokumentation
- Vor-Ort-Bewertung der Bereitschaft
- Identifikation möglicher Schwachstellen
- Vorbereitung auf Stage 2
**Stage 2 Audit (Implementierungsprüfung)**
- Umfassende Bewertung der praktischen Umsetzung
- Interviews mit Schlüsselpersonen
- Prüfung von Prozessen und Kontrollen
- Bewertung der Wirksamkeit
**Behandlung von Abweichungen:**
- **Major Nonconformity**: Kritische Mängel, die eine Zertifizierung verhindern
- **Minor Nonconformity**: Kleinere Abweichungen, Zertifikat wird unter Auflagen erteilt
- **Opportunity for Improvement (OFI)**: Empfehlungen zur Optimierung
#### Nach der Zertifizierung
**Überwachungsaudits (Jahre 2 & 3):**
- Jährliche Überprüfung der ISMS-Aufrechterhaltung
- Stichprobenartige Kontrollen
- Überprüfung von Korrekturmaßnahmen
**Re-Zertifizierung (nach 3 Jahren):**
- Vollständige Neubewertung des ISMS
- Berücksichtigung von Änderungen und Verbesserungen
- Aktualisierung auf neue Standard-Versionen
### Best Practices für erfolgreiche Implementierung
#### Organisatorische Erfolgsfaktoren
**Top-Management-Engagement**
- Sichtbare Unterstützung durch die Geschäftsleitung
- Regelmäßige Kommunikation der Sicherheitsprioritäten
- Bereitstellung ausreichender Ressourcen
**Change Management**
- Frühzeitige Einbindung aller Stakeholder
- Kommunikation von Nutzen und Notwendigkeit
- Schulung und Sensibilisierung der Mitarbeiter
**Pragmatisches Vorgehen**
- Fokus auf wesentliche Risiken
- Aufbau auf vorhandenen Strukturen
- Iterative Verbesserung statt Perfektion von Beginn an
#### Häufige Stolpersteine vermeiden
**Zu breiter Scope**
- Risiko: Komplexität und Kosten steigen überproportional
- Lösung: Realistischen Geltungsbereich wählen, später erweitern
**Unvollständige Risikobewertung**
- Risiko: Wichtige Bedrohungen werden übersehen
- Lösung: Systematisches Vorgehen mit bewährten Methoden
**Mangelnde Dokumentation**
- Risiko: Audit-Schwierigkeiten und fehlende Nachweise
- Lösung: Kontinuierliche Dokumentation während der Implementierung
**Vernachlässigung der Mitarbeiter**
- Risiko: Fehlende Akzeptanz und mangelnde Wirksamkeit
- Lösung: Intensive Awareness-Programme und Schulungen
### Unterstützung durch die fuentis Suite
Die fuentis Suite bietet umfassende Unterstützung bei der ISO 27001-Implementierung:
#### Risikomanagement-Modul
- Strukturierte Risikobewertung mit anpassbaren Methoden
- Automatisierte Risikoregister-Führung
- Verknüpfung mit Assets und Kontrollen
- Erinnerungen für regelmäßige Reviews
#### Asset-Management
- Zentrales Asset-Inventar
- Verantwortlichkeiten und Klassifizierungen
- Verknüpfung mit Risiken und Kontrollen
#### Compliance-Management
- Vorgefertigte ISO 27001-Templates
- Statement of Applicability (SoA) Generator
- Gap-Analysen und Reifegrad-Bewertungen
- Automatisches Reporting
#### Audit- und Review-Module
- Interne Audit-Planung und -durchführung
- Nichtkonformitäten-Management
- Management-Review-Unterstützung
- Korrekturmaßnahmen-Tracking
#### Dokumentenmanagement (DMS)
- Zentrale Verwaltung aller ISMS-Dokumente
- Versionskontrolle und Genehmigungsworkflows
- Automatische Erinnerungen für Reviews
- Audit-Trail für alle Änderungen
#### Online-Assessment
- Fragebogen-basierte Datenerhebung
- Automatisierte Auswertung
- Visualisierung von Compliance-Status
- Integration in Risikobewertung
### Integration mit anderen Standards
ISO 27001 harmoniert gut mit anderen Compliance-Anforderungen:
**DSGVO/GDPR**
- Überschneidungen bei Datenschutz-Kontrollen
- Gemeinsame Risikobewertungsansätze
- Integrierte Incident-Response-Prozesse
**SOC 2**
- Ähnliche Kontrollziele im Bereich Sicherheit
- Kombinierte Audit-Strategien möglich
- Gemeinsame Evidenz-Sammlung
**NIST Framework**
- Komplementäre Ansätze für Cybersecurity
- Mapping zwischen Frameworks
- Integrierte Risikomanagement-Strategien
**Branchenstandards (TISAX, etc.)**
- ISO 27001 als Basis für spezifische Anforderungen
- Reduzierung von Audit-Aufwand
- Konsistente Sicherheitsarchitektur
### Kontinuierliche Verbesserung
#### Monitoring und Messung
**Key Performance Indicators (KPIs)**
- Anzahl und Schwere von Sicherheitsvorfällen
- Zeit bis zur Behebung von Schwachstellen
- Mitarbeiter-Awareness-Level
- Compliance-Rate der Kontrollen
**Regelmäßige Bewertungen**
- Quartalsweise Risiko-Reviews
- Jährliche ISMS-Effektivitätsbewertung
- Kontinuierliche Bedrohungslandschaft-Analyse
- Stakeholder-Feedback-Zyklen
#### Anpassung an Veränderungen
**Technologische Entwicklungen**
- Cloud-Migration und neue Services
- Emerging Technologies (AI, IoT, etc.)
- Neue Bedrohungsszenarien
- Regulatorische Änderungen
**Organisatorische Veränderungen**
- Geschäftserweiterungen oder -akquisitionen
- Neue Geschäftsmodelle
- Strukturelle Reorganisationen
- Stakeholder-Anforderungen
### Kernaussagen auf einen Blick
**Die 5 wichtigsten Erfolgsfaktoren für ISO 27001:**
1. **Management-Commitment**: Ohne aktive Unterstützung der Geschäftsleitung ist eine erfolgreiche ISMS-Implementierung nicht möglich
2. **Risiko-basierter Ansatz**: Fokussierung auf die wesentlichen Informationssicherheitsrisiken statt Gießkannenprinzip
3. **Pragmatische Scope-Definition**: Realistischer Geltungsbereich, der später erweitert werden kann
4. **Kontinuierliche Verbesserung**: ISO 27001 ist kein einmaliges Projekt, sondern ein fortlaufender Prozess
5. **Mitarbeiter-Einbindung**: Erfolgreiche Informationssicherheit ist Teamarbeit und erfordert geschulte, sensibilisierte Mitarbeiter
**Warum ISO 27001 mehr ist als nur Compliance:**
ISO 27001 ist ein strategisches Werkzeug zur Stärkung der organisatorischen Resilienz, Optimierung von Geschäftsprozessen und Aufbau von Stakeholder-Vertrauen. Mit der richtigen Herangehensweise und modernen Tools wie der fuentis Suite wird die Zertifizierung zu einem nachhaltigen Wettbewerbsvorteil.
## ISO/IEC 42001 – Standards für KI-Managementsysteme
Quelle: https://servicehub.fuentis.com/de/standards/iso-42001-ki-managementsysteme/
Künstliche Intelligenz (KI) durchdringt immer mehr Produkte und Dienstleistungen und erzeugt dabei neue ethische, sicherheitstechnische und regulatorische Herausforderungen. Um Organisationen einen strukturierten Rahmen zu geben, wurde Ende 2023 mit **ISO/IEC 42001** der weltweit erste Standard für Artificial-Intelligence-Management-Systeme (AIMS) veröffentlicht.
Der Standard legt Anforderungen an den Aufbau, die Implementierung, die Aufrechterhaltung und die kontinuierliche Verbesserung eines Managementsystems fest, das die verantwortungsbewusste Entwicklung, Bereitstellung und Nutzung von KI-Systemen unterstützt. ISO/IEC 42001 richtet sich an Organisationen jeder Größe und Branche, die KI-Produkte oder -Services entwickeln, bereitstellen oder nutzen.
> **Praxis-Tipp**: Ein AIMS nach ISO 42001 schafft Vertrauen in KI-Anwendungen, fördert Transparenz und Nachvollziehbarkeit und hilft Unternehmen, Risiken und Chancen systematisch zu managen.
### Kernkonzepte und Anforderungen
#### Aufbau des Standards
ISO 42001 ist als Managementsystem-Standard aufgebaut und orientiert sich an der bewährten High-Level-Structure von ISO 27001 und ISO 9001. Die Hauptabschnitte (Clauses) bilden einen kontinuierlichen Verbesserungsprozess:
**Clause 4 – Kontext der Organisation**
- Analyse interner und externer Faktoren
- Festlegung des AIMS-Geltungsbereichs
- Verständnis der Stakeholder-Erwartungen
**Clause 5 – Führung**
- Verpflichtung des Top-Managements
- Festlegung einer KI-Policy
- Definition von Rollen und Verantwortlichkeiten
**Clause 6 – Planung**
- Ermittlung von Risiken und Chancen für KI
- Festlegung von Zielen und Planung von Änderungen
- **Besonderheit**: Kombination aus AI-Risk-Assessments und AI-System-Impact-Assessments
**Clause 7 – Unterstützung**
- Bereitstellung von Ressourcen und Kompetenzen
- Awareness und Kommunikation
- Dokumentierte Informationen
**Clause 8 – Betrieb**
- Operative Steuerung
- Regelmäßige Durchführung von Risiko- und Impact-Assessments
- Umsetzung der ausgewählten Kontrollen
**Clause 9 – Leistungsbewertung**
- Monitoring und Messung der AIMS-Performance
- Interne Audits und Management-Reviews
**Clause 10 – Verbesserung**
- Kontinuierliche Verbesserung des AIMS
- Umgang mit Nichtkonformitäten und Korrekturmaßnahmen
#### Annexes (Anhänge A–D)
Die Annexes bieten detaillierte Leitlinien und Kontrollen:
**Annex A – Referenzkontrollziele und Kontrollen**
- Liste von KI-spezifischen Kontrollzielen
- Bereiche: Policies, Governance, Datenmanagement, AI-Lebenszyklus, System-Impact-Kontrollen
- Organisationen wählen risikobasiert aus, welche Kontrollen sie implementieren
**Annex B – Implementation Guidance**
- Praktische Umsetzungshilfen für die Kontrollen
- Beispiele: KI-Policy schreiben, Verantwortlichkeiten festlegen, AI-Risk-Assessments durchführen
**Annex C – AI-bezogene Organisationsziele und Risikofaktoren**
- Beispiele für KI-spezifische Ziele und Risiken
- Verweis auf ISO/IEC 23894 für detailliertes KI-Risikomanagement
**Annex D – Nutzung des AIMS in verschiedenen Sektoren**
- Branchenspezifische Anwendungshinweise
- Förderung eines holistischen Ansatzes
#### Rollen im KI-Ökosystem
ISO 42001 unterscheidet zwischen verschiedenen Akteuren:
- **AI Provider**: Stellen KI-Systeme bereit
- **AI Producer**: Entwerfen, entwickeln und testen KI-Produkte
- **AI User**: Nutzen KI-Produkte oder -Services im eigenen Geschäftsprozess
Die Rollen bestimmen spezifische Pflichten und Kontrollen innerhalb des AIMS.
#### Risiko- und Impact-Assessments
Ein zentraler Unterschied zu anderen Managementsystem-Standards ist die Kombination aus zwei Bewertungstypen:
**AI-Risk-Assessment:**
- Analysiert technische Bedrohungen und Schwachstellen
- Bewertet Eintrittswahrscheinlichkeiten für das KI-System
- Fokus auf Systemsicherheit und -zuverlässigkeit
**AI-System-Impact-Assessment:**
- Bewertet potenzielle Auswirkungen auf Individuen, Gruppen oder die Gesellschaft
- Berücksichtigt ethische und soziale Faktoren
- Hilft bei der Integration von Fairness, Transparenz und Ethik
- Bewertet Diskriminierungsrisiken und potenzielle Schäden
> **Praxis-Tipp**: Die Kombination beider Assessments ermöglicht eine ganzheitliche Betrachtung von KI-Risiken – sowohl technisch als auch gesellschaftlich.
### Umsetzungshilfen und Best Practices
#### Management-Engagement und Scope
Ein erfolgreiches AIMS benötigt starke Führungsunterstützung:
- **Top-Management-Commitment**: Verabschiedung einer KI-Policy und Bereitstellung von Ressourcen
- **Realistische Scope-Definition**: Fokus auf relevante KI-Produkte, -Services oder Abteilungen
- **Klare Governance-Struktur**: Definition von Rollen und Verantwortlichkeiten
#### Risikobasierte Planung
**Systematische Bewertung:**
- Kombination aus technischen Risikobewertungen und gesellschaftlichen Impact-Analysen
- Identifikation von Bedrohungen (Datenlecks, Modellmanipulationen)
- Analyse ethischer Aspekte und Diskriminierungsrisiken
**Kontrollauswahl:**
- Risikobasierte Auswahl der Annex-A-Kontrollen
- Dokumentation im Statement of Applicability (SoA)
- Begründung für implementierte und ausgeschlossene Kontrollen
#### Implementierung wichtiger Kontrollen
**Policies & Governance (A.2):**
- Entwicklung einer übergeordneten KI-Policy
- Regelmäßige Überprüfung und Abstimmung mit bestehenden Richtlinien
- Integration in die Unternehmensstrategie
**Rollen & Verantwortlichkeiten (A.3):**
- Klare Verantwortlichkeiten für KI-Entwicklung, Betrieb und Überwachung
- Prozesse für das Melden von Bedenken und Vorfällen
- Cross-funktionale Teams und Eskalationswege
**Information für interessierte Parteien (A.8):**
- Transparente Kommunikation über KI-Fähigkeiten und -Einschränkungen
- Aufklärung über Risiken und Nutzungsbedingungen
- Einrichtung von Feedback-Kanälen für Nutzer
**Drittparteien & Kunden (A.10):**
- Festlegung von Verantwortlichkeiten bei Lieferanten und Kunden
- Faire Risikoallokation entlang der Wertschöpfungskette
- Vertragsgestaltung mit KI-spezifischen Klauseln
#### Dokumentation, Monitoring und Training
**Umfassende Dokumentation:**
- Policies, Prozesse und Risikobewertungen
- Impact-Analysen und Kontrollnachweise
- Versionierung und Änderungshistorie
**Kontinuierliches Monitoring:**
- Systematische Überwachung der KI-Performance
- Regelmäßige interne Audits und Management-Reviews
- Leistungskennzahlen und Trend-Analysen
**Schulungen und Awareness:**
- KI-spezifische Trainings für Entwickler und Anwender
- Sensibilisierung für ethische und rechtliche Aspekte
- Regelmäßige Updates zu neuen Entwicklungen
#### Verbindung zum EU AI Act
ISO 42001 unterstützt die Compliance mit kommenden Regulierungen:
- **Proaktives Risikomanagement**: Strukturierte Governance für KI-Risiken
- **Transparenz und Dokumentation**: Nachweisbare Compliance-Prozesse
- **Wiederholbare Verfahren**: Skalierbare Ansätze für verschiedene KI-Systeme
> **Praxis-Tipp**: Unternehmen können mit ISO 42001 proaktiv Risiken managen und sind besser auf gesetzliche Anforderungen wie den EU AI Act vorbereitet.
### Unterstützung durch die fuentis Suite
Die **fuentis Suite** kann bei der Umsetzung eines AIMS gezielt unterstützen:
**Risikomanagement-Modul:**
- Strukturierte Erfassung von KI-Risiken und Impact-Analysen
- Automatisches Risikoregister mit Verknüpfung zu Assets und Kontrollen
- Templates für AI-Risk-Assessments und AI-System-Impact-Assessments
- Integration verschiedener Bewertungsmethoden
**Asset-Management:**
- Verwaltung von Datenquellen, Modellen und KI-Systemen als Assets
- Zuordnung von Verantwortlichen und Klassifizierungen
- Lifecycle-Management für KI-Komponenten
- Nachverfolgung von Abhängigkeiten und Schnittstellen
**Compliance-Management:**
- Vorgefertigte Templates für ISO 42001-Kontrollen
- Automatisierte Erstellung des Statement of Applicability
- Gap-Analysen und Reifegradbewertungen
- Mapping zu anderen Standards (ISO 27001, EU AI Act)
**Audit- und Review-Module:**
- Planung und Durchführung von internen AIMS-Audits
- Nachverfolgung von Nichtkonformitäten und Korrekturmaßnahmen
- Automatisierte Reporting-Funktionen
- Management-Dashboard für KPIs
**Dokumentenmanagement:**
- Zentrale Ablage aller KI-Policies und Risikobewertungen
- Versionierung und Genehmigungsprozesse
- Impact-Analysen und Audit-Protokolle
- Integrierte Workflow-Unterstützung
### Integration mit anderen Standards
ISO 42001 harmoniert mit bestehenden Compliance-Rahmen:
**ISO 27001 / ISO 27701:**
- Gemeinsame High-Level-Structure erleichtert Integration
- Fokus auf Risikomanagement als verbindendes Element
- Viele Kontrollen lassen sich kombinieren und aufeinander abstimmen
**NIST AI Risk Management Framework (AI RMF):**
- ISO 42001 kann als Komplement zum NIST-Framework genutzt werden
- Beide zielen auf verantwortungsbewusste KI-Entwicklung ab
- Synergien bei Risikobewertung und Governance
**EU AI Act:**
- ISO 42001 bietet eine solide Grundlage für regulatorische Compliance
- Wird voraussichtlich als Benchmark für KI-Managementsysteme dienen
- Unterstützt Nachweis der "angemessenen Sorgfalt"
**Branchen- und Datenschutzstandards:**
- Kombination mit DSGVO und ISO 27701 für Datenschutz
- Integration mit branchenspezifischen Anforderungen (Gesundheitswesen, Finanzsektor)
- Effiziente Audit-Strategien durch gemeinsame Kontrollen
#### Glossar
**Artificial-Intelligence-Management-System (AIMS)**: Managementsystem bestehend aus miteinander verknüpften Elementen (Policies, Ziele, Prozesse) zur verantwortungsbewussten Entwicklung, Bereitstellung und Nutzung von KI-Systemen.
**AI-Risk-Assessment**: Systematische Identifikation und Bewertung von technischen Risiken (Bedrohungen, Schwachstellen, Eintrittswahrscheinlichkeiten) für KI-Systeme.
**AI-System-Impact-Assessment**: Bewertung der potenziellen Auswirkungen der Nutzung oder des Missbrauchs eines KI-Systems auf Individuen, Gruppen oder die Gesellschaft, einschließlich ethischer und sozialer Faktoren.
**Statement of Applicability (SoA)**: Dokument, das beschreibt, welche Kontrollen aus Annex A implementiert oder ausgeschlossen werden und warum.
**AI-Policy**: Übergeordnete Richtlinie einer Organisation für die Entwicklung und Nutzung von KI-Systemen; definiert Prinzipien, Ziele und Verantwortlichkeiten.
**Kontrollziel**: Zweck einer Kontrolle (z.B. Sicherstellung von Transparenz oder Zuweisung von Verantwortlichkeiten).
### Kernaussagen auf einen Blick
1. **Erster KI-Management-Standard**: ISO/IEC 42001 ist der weltweit erste Standard für AIMS und bietet einen strukturierten Rahmen für die verantwortungsvolle Entwicklung und Nutzung von KI-Systemen.
2. **Ganzheitlicher Risikoansatz**: Neben klassischen Risikobewertungen verlangt der Standard Impact-Assessments, um gesellschaftliche und ethische Auswirkungen von KI-Systemen systematisch zu berücksichtigen.
3. **Flexible Kontrollauswahl**: Annex A listet KI-spezifische Kontrollen, die organisationsspezifisch ausgewählt und im Statement of Applicability begründet werden – maßgeschneiderte Umsetzung je nach Kontext.
4. **Synergie mit bestehenden Standards**: ISO 42001 harmoniert mit ISO 27001, ISO 27701 und NIST AI RMF und bietet zugleich eine solide Grundlage für die Einhaltung des EU AI Acts.
5. **Tool-Unterstützung als Erfolgsfaktor**: Moderne Plattformen wie die fuentis Suite unterstützen durch spezialisierte Module für Risikomanagement, Asset-Inventar, Compliance-Management und Audit-Funktionen den effizienten Aufbau eines AIMS.
## NIS2 - Europäische Cybersicherheitsrichtlinie
Quelle: https://servicehub.fuentis.com/de/standards/nis2-leitfaden/
Die NIS2-Richtlinie (EU 2022/2555) markiert einen Paradigmenwechsel in der europäischen Cybersicherheitsgesetzgebung. Sie erweitert den Anwendungsbereich erheblich und verpflichtet alle EU-Mitgliedstaaten, ein hohes gemeinsames Sicherheitsniveau für Netz- und Informationssysteme zu schaffen. Deutschland setzt die Richtlinie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) um.
### Was ist NIS2 und warum ist es relevant?
NIS2 löst die ursprüngliche NIS-Richtlinie von 2016 ab und erweitert den Geltungsbereich dramatisch: von bisher rund 4.500 Betreibern kritischer Infrastrukturen auf voraussichtlich 29.000 betroffene Unternehmen in Deutschland. Diese massive Ausweitung reflektiert die Realität, dass Cyberangriffe mittlerweile alle Branchen treffen und die Wirtschaft als Ganzes resilient werden muss.
#### Warum NIS2 implementieren?
**Rechtliche Notwendigkeit:**
- Vermeidung erheblicher Bußgelder (bis zu 20 Mio. EUR oder 2% des weltweiten Umsatzes)
- Erfüllung gesetzlicher Compliance-Anforderungen
- Schutz vor persönlicher Haftung der Geschäftsführung
- Rechtssicherheit in regulierten Märkten
**Geschäftliche Vorteile:**
- Wettbewerbsvorteil durch frühzeitige Compliance
- Vertrauen bei Kunden, Partnern und Behörden
- Erleichterter Zugang zu öffentlichen Aufträgen
- Synergien mit bestehenden Standards (ISO 27001, IT-Grundschutz)
**Sicherheitsnutzen:**
- Risikobasierte Steuerung der Cybersicherheit
- Proaktive Incident-Response-Prozesse
- Stärkung der Lieferkettensicherheit
- Verankerung von Cybersicherheit auf Führungsebene
**Praxis-Tipp: Timing nutzen**
Obwohl Deutschland die EU-Umsetzungsfrist verpasst hat, können sich Unternehmen einen Vorsprung verschaffen, indem sie bereits jetzt mit der Vorbereitung beginnen. Das Gesetz wird voraussichtlich Anfang 2026 in Kraft treten.
### Status der deutschen Umsetzung
#### Aktueller Zeitplan
**Verzögerte Umsetzung:**
- EU-Frist: 17. Oktober 2024 (verpasst)
- Kabinettsbeschluss: 30. Juli 2025
- Geplantes Inkrafttreten: Anfang 2026
- Registrierungsfrist: 3 Monate nach Inkrafttreten
**Rechtliche Konsequenzen:**
- EU-Kommission erließ begründete Stellungnahme (7. Mai 2025)
- Vertragsverletzungsverfahren droht
- Keine lange Übergangsfrist für Unternehmen
#### Zuständige Behörde
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wird als zentrale Aufsichtsbehörde fungieren mit erweiterten Befugnissen:
- Registrierung und Überwachung der Unternehmen
- Anordnung und Durchsetzung von Maßnahmen
- Verhängung von Bußgeldern
- Koordination der Incident-Response
### Geltungsbereich und betroffene Unternehmen
#### Drei Kategorien von Einrichtungen
##### 1. Betreiber kritischer Einrichtungen (KRITIS)
- Behalten bestehende KRITIS-Pflichten
- Schwellenwerte bleiben unverändert (z.B. Versorgung ≥ 500.000 Personen)
- Zusätzliche NIS2-Anforderungen
- Obligatorische Audits alle drei Jahre
##### 2. Besonders wichtige Einrichtungen (Essential Entities)
**Größenkriterien:**
- ≥ 250 Beschäftigte ODER
- Jahresumsatz > 50 Mio. EUR UND Bilanzsumme > 43 Mio. EUR
**Betroffene Sektoren:**
- Energie und Wasserwirtschaft
- Transport und Verkehr
- Bankwesen und Finanzmarktinfrastrukturen
- Gesundheitswesen
- Digitale Infrastruktur
- Öffentliche Verwaltung
**Größenunabhängig erfasst:**
- Top-Level-Domain-Register
- DNS-Anbieter
- Telekommunikationsnetze
- Cloud-Computing-Dienste
##### 3. Wichtige Einrichtungen (Important Entities)
**Größenkriterien:**
- ≥ 50 Beschäftigte ODER
- Jahresumsatz > 10 Mio. EUR UND Bilanzsumme > 10 Mio. EUR
**Zusätzliche Sektoren:**
- Post- und Kurierdienste
- Abfallwirtschaft
- Chemische Industrie
- Lebensmittelproduktion
- Verarbeitendes Gewerbe
- Digitale Dienste
- Forschungsorganisationen
#### Sanktionen und Bußgelder
| Kategorie | Bußgeld | Bemessungsgrundlage |
|-----------|---------|--------------------|
| **Besonders wichtige Einrichtungen** | bis zu 20 Mio. EUR | oder 2% des weltweiten Jahresumsatzes |
| **Wichtige Einrichtungen** | bis zu 10 Mio. EUR | oder 1,4% des weltweiten Jahresumsatzes |
**Persönliche Haftung:** Geschäfts- und Vorstandsmitglieder haften persönlich für Pflichtverletzungen bei der Umsetzung und Überwachung der Maßnahmen.
### Kernkonzepte und Anforderungen
#### Risikomanagement-Ansatz
NIS2 fordert ein systematisches Risikomanagement basierend auf dem "State of the Art" unter Berücksichtigung von Risiken, Unternehmensgröße und Kosten.
##### Technische und organisatorische Maßnahmen
**Grundlegende Sicherheitsmaßnahmen:**
- Risikobewertung und IT-Sicherheitskonzepte
- Incident-Response und Business-Continuity-Management
- Backup-Management und Disaster Recovery
- Lieferkettensicherheit und Vendor Management
- Sichere Entwicklung, Beschaffung und Wartung
- Vulnerability Management und Security Assessments
**Technische Kontrollen:**
- Kryptographie und Schlüsselmanagement
- Zugangsmanagement und Multi-Faktor-Authentifizierung
- Sichere Kommunikation (Sprach-, Video-, Textkommunikation)
- Notfallkommunikationssysteme
**Organisatorische Kontrollen:**
- Cyber-Hygiene und Mitarbeiterschulungen
- Management-Schulungen zu Cyber-Risiken
- Dokumentation und Nachweisverwaltung
##### Erweiterte Anforderungen für besonders wichtige Einrichtungen
**Zusätzliche technische Maßnahmen:**
- Einsatz von Angriffserkennungssystemen (SzA)
- Erweiterte Monitoring- und Logging-Systeme
- Regelmäßige Penetrationstests
**Audit-Pflichten:**
- Alle drei Jahre Nachweis der Maßnahmenumsetzung
- Audits, Inspektionen oder Zertifikate als Nachweismittel
- Stichprobenartige BSI-Audits möglich
#### Melde- und Registrierungspflichten
##### Registrierung beim BSI
**Selbstidentifikation:**
Unternehmen müssen eigenständig prüfen, ob sie unter NIS2 fallen, und sich binnen drei Monaten registrieren.
**Erforderliche Angaben:**
- Firmenname und Rechtsform
- Kontaktdaten und Ansprechpartner
- IP-Adressbereiche
- Branchenzuordnung
- EU-Länder der Geschäftstätigkeit
- Jährliche Aktualisierung der Daten
##### Incident-Response-Verfahren
**Drei-Stufen-Meldung für erhebliche Sicherheitsvorfälle:**
| Stufe | Zeitfrist | Inhalt |
|-------|-----------|--------|
| **Erstmeldung** | 24 Stunden | Grundlegende Informationen zum Vorfall |
| **Folgemeldung** | 72 Stunden | Detaillierte Analyse und erste Maßnahmen |
| **Abschlussbericht** | 1 Monat | Vollständige Aufarbeitung und Lessons Learned |
**Zusätzliche Meldepflichten:**
- BSI kann Zwischenberichte anfordern
- Öffentliche Information bei erheblichen Auswirkungen
- Kundenwarnungen in bestimmten Sektoren (Finanz, ICT, digitale Dienste)
#### Governance und Führungsverantwortung
**Management-Verantwortung:**
- Persönliche Haftung der Geschäftsführung
- Genehmigung und Überwachung der Sicherheitsmaßnahmen
- Verpflichtende Schulungen zu Cyber-Risiken
- Integration in strategische Unternehmensplanung
**BSI-Aufsichtsbefugnisse:**
- Umfassende Prüf- und Anordnungsbefugnisse
- Verhängung von Bußgeldern und Sanktionen
- Stichprobenartige Audits basierend auf Risikoprofilen
- Anordnung zusätzlicher Sicherheitsmaßnahmen
### Integration mit bestehenden Standards
#### Synergien mit ISO 27001
NIS2-Anforderungen decken sich weitgehend mit etablierten ISMS-Standards:
**Überschneidende Bereiche:**
- Risikomanagement und Risikobehandlung
- Incident-Response und Business Continuity
- Zugangskontrollen und Authentifizierung
- Lieferantenmanagement und Outsourcing
- Mitarbeiterschulungen und Awareness
- Dokumentation und Nachweisverwaltung
**NIS2-spezifische Erweiterungen:**
- Meldepflichten innerhalb 24/72 Stunden/1 Monat
- Management-Haftung und -Schulungen
- BSI-Registrierung und -Überwachung
- Branchenspezifische Anforderungen
#### Kompatibilität mit IT-Grundschutz
Der BSI IT-Grundschutz bietet eine solide Basis für NIS2-Compliance:
- Baustein-orientierte Umsetzung
- Strukturierte Risikobewertung
- Etablierte Sicherheitsmaßnahmen
- Bewährte Audit-Verfahren
**Praxis-Tipp: Standards kombinieren**
Unternehmen mit ISO 27001-Zertifizierung oder IT-Grundschutz-Umsetzung haben bereits eine gute Ausgangsbasis. Die bestehenden Prozesse müssen nur um NIS2-spezifische Elemente erweitert werden.
### Umsetzungsstrategien und Best Practices
#### Phasenweise Implementierung
##### Phase 1: Betroffenheit klären
**Schwellenwert-Analyse:**
- Prüfung der Branchenzugehörigkeit
- Bewertung der Unternehmensgröße (Mitarbeiter, Umsatz, Bilanzsumme)
- Identifikation kritischer Geschäftsbereiche
- Berücksichtigung von Tochterunternehmen und Konzernstrukturen
**Besondere Beachtung für:**
- DNS-, Cloud- oder TLD-Dienstleister (größenunabhängig)
- Unternehmen mit gemischten Geschäftsbereichen
- Internationale Konzernstrukturen
##### Phase 2: ISMS aufbauen oder erweitern
**Risikomanagement etablieren:**
- Systematische Bedrohungs- und Schwachstellenanalyse
- Definition von Schutzzielen und Akzeptanzschwellen
- Implementierung risikobasierter Kontrollen
- Kontinuierliche Überwachung und Verbesserung
**Alle NIS2-Themenbereiche abdecken:**
- Business Continuity und Disaster Recovery
- Lieferkettensicherheit und Vendor Management
- Vulnerability Management und Patch-Prozesse
- Schulungsprogramme für alle Mitarbeiterebenen
##### Phase 3: Operative Umsetzung
**Meldeprozesse definieren:**
- Klare Verantwortlichkeiten und Eskalationswege
- Vorlagen für Erst-, Folge- und Abschlussmeldungen
- Integration in bestehende Incident-Response-Prozesse
- Regelmäßige Übungen und Tests
**Dokumentation sicherstellen:**
- Alle Sicherheitsmaßnahmen und Risikobewertungen
- Schulungsnachweise und Management-Trainings
- Audit-Ergebnisse und Verbesserungsmaßnahmen
- Lieferantenbewertungen und Verträge
#### Häufige Implementierungsfehler vermeiden
**Unzureichende Scope-Definition:**
- Übersehen von Tochterunternehmen oder Geschäftsbereichen
- Falsche Einschätzung der Größenkriterien
- Unvollständige Erfassung digitaler Dienste
**Mangelnde Management-Einbindung:**
- Behandlung als rein IT-technisches Thema
- Fehlende Schulungen der Führungsebene
- Unzureichende Ressourcenbereitstellung
**Unvollständige Lieferkettenanalyse:**
- Vernachlässigung von Cloud-Dienstleistern
- Fehlende Vertragsanpassungen mit Lieferanten
- Unzureichende Überwachung von Drittanbietern
### Unterstützung durch die fuentis Suite
Die fuentis Suite bietet umfassende Unterstützung bei der NIS2-Umsetzung:
#### ISMS-Compliance-Modul
- Vorkonfigurierte Anforderungen nach § 30 BSIG-E
- Automatische Betroffenheitsprüfung nach Größenkriterien
- Gap-Analyse zu bestehenden ISMS-Standards
- Compliance-Dashboard mit Umsetzungsstand
#### Risikomanagement
- Strukturierte Erfassung aller NIS2-relevanten Risiken
- Verknüpfung mit Assets und Geschäftsprozessen
- Automatische Risikobewertung und -priorisierung
- Integration mit bestehenden Risikomanagement-Prozessen
#### Incident-Management
- Abbildung der drei-stufigen Meldeprozesse
- Automatische Erinnerungen an Meldefristen
- Templates für BSI-Meldungen
- Dokumentation und Nachverfolgung von Vorfällen
#### Asset-Management
- Zentrale Erfassung aller informationsverarbeitenden Assets
- Zuordnung von Verantwortlichkeiten und Kritikalitäten
- Überwachung von Änderungen und Updates
- Integration mit Configuration Management
#### Lieferantenmanagement (On Roadmap)
- Bewertung und Überwachung von Dienstleistern
- Verwaltung von Sicherheitsanforderungen und -nachweisen
- Audit-Planung und -durchführung
- Vertragsmanagement mit Sicherheitsklaluseln
#### Audit- und Review-Funktionen (On Roadmap)
- Planung und Durchführung interner Audits
- Verfolgung von Nichtkonformitäten und Maßnahmen
- Management-Review-Unterstützung
- Automatisierte Berichtserstellung für BSI-Audits
### Vorbereitung auf BSI-Audits
#### Audit-Typen und -Verfahren
**KRITIS-Audits (alle 3 Jahre):**
- Vollständige Überprüfung aller Maßnahmen
- Vor-Ort-Audits oder Remote-Assessments
- Alternative: Anerkannte Zertifizierungen (ISO 27001, IT-Grundschutz)
**Stichprobenartige BSI-Audits:**
- Risikobasierte Auswahl der Unternehmen
- Fokus auf spezifische Schwachstellen oder Vorfälle
- Kurze Ankündigungsfristen
#### Audit-Vorbereitung
**Dokumentationsanforderungen:**
- Vollständige ISMS-Dokumentation
- Nachweise für alle implementierten Maßnahmen
- Risikobewertungen und -behandlungsstrategien
- Incident-Response-Pläne und -Nachweise
- Schulungsunterlagen und -zertifikate
**Praktische Tipps:**
- Regelmäßige interne Audits als Vorbereitung
- Kontinuierliche Aktualisierung der Dokumentation
- Klare Verantwortlichkeiten und Ansprechpartner
- Übung von Audit-Situationen mit dem Team
### Zukunftsperspektiven und Entwicklungen
#### Europäische Harmonisierung
**Trends in der EU:**
- Weitere Harmonisierung der nationalen Umsetzungen
- Verstärkte grenzüberschreitende Zusammenarbeit
- Integration mit anderen EU-Cybersecurity-Initiativen
- Mögliche Verschärfung der Anforderungen
#### Technologische Entwicklungen
**Neue Herausforderungen:**
- Künstliche Intelligenz und maschinelles Lernen
- IoT und Industrial IoT Security
- 5G-Netze und Edge Computing
- Quantum Computing und Post-Quantum-Kryptographie
**Anpassung der Anforderungen:**
- Regelmäßige Updates der technischen Standards
- Berücksichtigung neuer Bedrohungsszenarien
- Evolution der "State of the Art"-Definition
### Kernaussagen auf einen Blick
**Die 5 wichtigsten Erfolgsfaktoren für NIS2-Compliance:**
1. **Frühzeitige Betroffenheitsprüfung**: Klären Sie umgehend, ob Ihr Unternehmen unter NIS2 fällt - die Größenkriterien sind komplex und erfassen deutlich mehr Organisationen als bisher
2. **ISMS als Compliance-Grundlage**: Ein etabliertes Informationssicherheitsmanagementsystem nach ISO 27001 oder IT-Grundschutz bildet die beste Basis für NIS2-Compliance
3. **Management-Commitment sichern**: Die persönliche Haftung der Geschäftsführung macht Cybersicherheit zur Chefsache - Management-Schulungen und -Involvement sind unverzichtbar
4. **Incident-Response-Fähigkeiten aufbauen**: Die 24-Stunden-Meldepflicht erfordert etablierte Prozesse, klare Verantwortlichkeiten und geübte Abläufe
5. **Lieferketten systematisch absichern**: Supply-Chain-Risiken sind ein zentrales NIS2-Thema - bewerten und überwachen Sie alle kritischen Dienstleister und Lieferanten
**Warum NIS2 mehr ist als nur Compliance:**
NIS2 markiert den Übergang von freiwilliger zu verpflichtender Cybersicherheit für weite Teile der Wirtschaft. Unternehmen, die NIS2 proaktiv umsetzen, schaffen nicht nur Rechtssicherheit, sondern auch einen nachhaltigen Wettbewerbsvorteil durch erhöhte Resilienz, Kundenvertrauen und operative Exzellenz in der digitalen Transformation.
## OT-Sicherheitsstandards – Grundlagen, Anforderungen und praktische Umsetzung
Quelle: https://servicehub.fuentis.com/de/standards/ot-sicherheitsstandards-grundlagen/
Operational Technology (OT) steuert und überwacht physische Prozesse – von Wasserpumpen über Produktionsanlagen bis zu Verkehrssystemen. Durch die zunehmende Vernetzung mit IT-Systemen steigt die Angriffsfläche: Ransomware, Insider-Threats und Cyber-Spionage sind auch in OT ein reales Risiko.
OT-Standards wie ISO/IEC 27001, ISA/IEC 62443, NIST SP 800-82 und NERC CIP helfen Unternehmen, diese Risiken zu beherrschen und die Sicherheit von industriellen Steuerungs- und Automationssystemen systematisch zu stärken.
### Kernkonzepte und Anforderungen der wichtigsten OT-Standards
#### ISO/IEC 27001 (ISMS)
**Überblick:** Weltweit anerkannter Standard für Informationssicherheits-Managementsysteme; kann auf IT- und OT-Umgebungen angewendet werden.
**Zentrale Anforderungen:**
- Systematische Risikoanalyse für alle Assets
- Definition klarer Sicherheitsziele und -richtlinien
- Implementierung von Kontrollen basierend auf Risikobewertung
- Umfassende Dokumentation aller Prozesse
- Regelmäßige interne und externe Audits
- Kontinuierliche Verbesserung des Managementsystems
**Nutzen:** Durch Zertifizierung wird Vertrauen bei Kunden und Partnern gestärkt und Compliance-Aufwand reduziert.
#### ISA/IEC 62443 (Industrielle Automatisierung und Steuerung)
**Zielsetzung:** Spezifischer Schutz von Industrial Automation and Control Systems (IACS) und anderen OT-Systemen.
**Kernkonzept - Layered Defense:** Anlagen werden in Sicherheitszonen segmentiert; Verbindungen zwischen Zonen laufen über überwachte "Conduits".
**Die vier Hauptteile:**
1. **General:** Begriffe und Konzepte
2. **Policies und Procedures:** Programmstruktur, Patch-Management und operative Umsetzung
3. **System:** Assessment-Methoden, Security-Levels und technische Grundlagen
4. **Component:** Sicherheitsanforderungen für einzelne Geräte und Software
**Wichtige Dokumente:**
- 62443-1-1: Terminologie und Konzepte
- 62443-2-4: Security-Programm für Service-Provider
- 62443-3-2: Risikobewertung und Systempartitionierung
- 62443-3-3: System-Security-Requirements
- 62443-4-1/4-2: Secure Development und Komponenten-Sicherheit
**Praktische Anwendung:**
- OT-spezifische Risikoanalysen durchführen
- IACS-Security-Teams einrichten
- Konsequentes Patch- und Konfigurationsmanagement
- Security in Produkt-Lebenszyklen einbetten
#### NIST SP 800-82 (Guide to OT Security)
**Fokus:** Praxisorientierte Leitlinien zur Sicherung von OT-Systemen unter Berücksichtigung besonderer Leistungs-, Zuverlässigkeits- und Sicherheitsanforderungen.
**Abgedeckte Systeme:** Umfasst eine große Bandbreite programmierbarer Systeme, die direkt mit der physischen Umwelt interagieren:
- Industriesteuerungen
- Gebäudeautomations-Systeme
- Transportsysteme
- Kritische Infrastrukturen
**Inhalte:** Die Publikation beschreibt typische Bedrohungen und Schwachstellen und empfiehlt geeignete Gegenmaßnahmen für verschiedene OT-Umgebungen.
#### NERC CIP (Critical Infrastructure Protection)
**Anwendungsbereich:** Verbindliche Sicherheitsstandards für Unternehmen, die Teile des nordamerikanischen Stromnetzes betreiben.
**Ziele:** Sicherung des Bulk Electric System (BES) vor physischen und cyberbezogenen Bedrohungen. Verstöße führen zu Geldstrafen und Reputationsschäden.
**Ausgewählte Standards:**
- **CIP-002:** Asset Identification und Kategorisierung (High, Medium, Low Impact)
- **CIP-003:** Security Management Controls (Richtlinien, Risikobewertungen, Rollen)
- **CIP-005:** Electronic Security Perimeter (Schutz kritischer Assets)
- **CIP-007:** System Security Management (Patch-Management, Port-/Service-Management, Malware-Prävention)
- **CIP-008 bis CIP-013:** Incident Response, Recovery, Change Management und Supply-Chain-Security
#### Weitere branchen- oder domänenspezifische Standards
- **ISO/IEC 80001:** Risikomanagement für IT-Netzwerke mit medizinischen Geräten (Gesundheitswesen)
- **IEC 63154:** Spezielle Anforderungen für maritime Systeme (Schifffahrt)
- **IEC 62645/62859:** Anforderungen für Nuklearanlagen
- **NIST Cybersecurity Framework:** Fünf Funktionen (Identify, Protect, Detect, Respond, Recover) – flexibel auch in OT anwendbar
### Umsetzungshilfen und Best Practices
#### Risikobasierter Ansatz
**Systematische Risikobewertung:**
- Assets erfassen und kategorisieren
- Bedrohungen und Schwachstellen identifizieren
- Eintrittswahrscheinlichkeit und Auswirkung bewerten
- Risiken priorisieren und behandeln
**Sicherheitszonen und -conduits:**
- OT-Netze segmentieren
- Angriffe isolieren können
- Überwachte Verbindungen zwischen Zonen
**Security-Levels definieren:**
- Für jede Zone geeignete Kontrollen festlegen
- Orientierung an IEC 62443-3-3
- Gradueller Schutz je nach Kritikalität
#### Governance und Organisation
**Management-Engagement:**
- Führungskräfte müssen OT-Security als Unternehmensziel verankern
- Ausreichende Ressourcen bereitstellen
- Regelmäßige Reviews und Entscheidungen
**Rollen und Verantwortlichkeiten:**
- OT-Security-Beauftragte benennen
- Cross-funktionale Teams etablieren
- Verbindung von Engineering, IT und Produktion sicherstellen
**Praxis-Tipp:** Definieren Sie klare Policies für Patch-Management, Zugriffskontrolle und Incident Response basierend auf Standards wie CIP-003 und CIP-008.
#### Technische Maßnahmen
**Netzsegmentierung und Zugriffskontrollen:**
- Netzwerkzonen definieren
- Firewalls und Zugriffsregeln einsetzen
- Multi-Factor-Authentication implementieren
- Prinzip der minimalen Berechtigung
**Patch- und Konfigurationsmanagement:**
- Regelmäßige Updates für Steuerungsgeräte und SCADA-Systeme
- Dokumentierte Änderungskontrollen (CIP-007, CIP-010)
- Test-Umgebungen für kritische Updates
**Monitoring und Incident Response:**
- Kontinuierliche Überwachung aller OT-Systeme
- Log-Analyse und Anomalieerkennung
- Schnelle Reaktion auf Sicherheitsvorfälle
- Regelmäßige Tests des Incident-Response-Plans
#### Mitarbeiter und Kultur
**Awareness und Schulung:**
- OT-spezifische Sicherheitstrainings
- Sensibilisierungskampagnen
- Regelmäßige Auffrischungen
**Kontinuierliche Verbesserung:**
- Regelmäßige Reviews der Sicherheitsmaßnahmen
- Lessons Learned aus Vorfällen
- Anpassung an aktuelle Bedrohungen
### Unterstützung durch die fuentis Suite
Die fuentis Suite unterstützt OT-Sicherheitsprogramme umfassend:
**Risikomanagement-Modul:**
- Strukturierte Erfassung von Assets (auch OT-Geräten)
- Bewertung von Bedrohungen und Schwachstellen
- Automatisierte Risikoregister
**Compliance-Management:**
- Mapping von IEC 62443-Kontrollen
- NIST-Empfehlungen und CIP-Anforderungen
- Gap-Analysen und SoA-Generator
**Asset-Management:**
- Zentrales Verzeichnis aller OT-Assets
- Verantwortlichkeiten und Verknüpfung zu Risiken
- Integration mit Kontrollen
**Audit- und Review-Module:** (Auf Roadmap)
- Planung interner Audits
- Nachverfolgung von Korrekturmaßnahmen
- Unterstützung bei NERC-CIP- oder IEC-Zertifizierungen
**Dokumentenmanagement:** (Auf Roadmap)
- Verwaltung von Policies und Prozessbeschreibungen
- Versionierung und Genehmigungs-Workflows
- Zentrale Nachweisführung
### Kernaussagen auf einen Blick
1. **Branchenübergreifende Standards:** ISO/IEC 27001, ISA/IEC 62443, NIST SP 800-82 und NERC CIP decken unterschiedliche Aspekte der OT-Security ab – vom Managementsystem über technische Kontrollen bis zur Energieversorgung.
2. **Layered Defense ist zentral:** IEC 62443 empfiehlt segmentierte Zonen und überwachte Conduits, um Angriffe einzudämmen.
3. **Risikobasierter Ansatz:** Alle Standards fordern eine systematische Risikoanalyse und die Priorisierung kritischer Assets.
4. **Regulatorische Pflichten:** NERC CIP ist in Nordamerika verpflichtend und dient zunehmend als Vorlage für globale OT-Regelwerke.
5. **Tool-Unterstützung:** Software wie die fuentis Suite erleichtert Risikomanagement, Compliance-Mapping und Audit-Vorbereitung, was den Implementierungsaufwand spürbar reduziert.
## PCI DSS - Payment Card Industry Data Security Standard
Quelle: https://servicehub.fuentis.com/de/standards/pci-dss-leitfaden/
Der Payment Card Industry Data Security Standard (PCI DSS) ist ein weltweit anerkannter Sicherheitsstandard für den Schutz von Kreditkartendaten. Er wurde entwickelt, um Organisationen bei der sicheren Verarbeitung, Speicherung und Übertragung von Karteninhaberdaten zu unterstützen und das Risiko von Datenpannen und Kreditkartenbetrug zu minimieren.
### Was ist PCI DSS und warum ist er relevant?
PCI DSS wurde vom PCI Security Standards Council entwickelt, einer Organisation, die von den größten Kreditkartenunternehmen wie Visa, MasterCard, American Express und Discover gegründet wurde. Der Standard richtet sich an alle Organisationen, die Kreditkartendaten verarbeiten, speichern oder übertragen - unabhängig von Größe oder Branche.
#### Warum PCI DSS implementieren?
**Geschäftliche Notwendigkeit:**
- Schutz vor finanziellen Verlusten durch Datenpannen
- Vermeidung von Strafzahlungen und Schadensersatzforderungen
- Erhaltung des Kundenvertrauens und der Markenreputation
- Erfüllung vertraglicher Verpflichtungen gegenüber Zahlungsdienstleistern
**Sicherheitsnutzen:**
- Systematischer Schutz sensibler Karteninhaberdaten
- Reduzierung des Risikos von Identitätsdiebstahl und Betrug
- Etablierung robuster Sicherheitskontrollen
- Nachweis angemessener Sicherheitsmaßnahmen
**Praxis-Tipp: Compliance als Wettbewerbsvorteil**
Nutzen Sie PCI DSS nicht nur als Pflicht, sondern als Chance zur Differenzierung. Kunden vertrauen Unternehmen mehr, die nachweislich hohe Sicherheitsstandards einhalten.
### Kernkonzepte und Anforderungen
#### Die 6 Sicherheitsziele und 12 Anforderungen
PCI DSS 4.0.1 (veröffentlicht im Juni 2024) strukturiert die Anforderungen in sechs übergeordnete Sicherheitsziele:
##### 1. Aufbau und Pflege sicherer Netzwerke und Systeme
**Anforderung 1:** Installation und Wartung von Firewall-Konfigurationen
- Schutz von Karteninhaberdaten durch Netzwerksegmentierung
- Kontrolle des Datenverkehrs zwischen vertrauenswürdigen und nicht vertrauenswürdigen Netzwerken
- Dokumentation und regelmäßige Überprüfung der Firewall-Regeln
**Anforderung 2:** Verzicht auf herstellerseitige Standardpasswörter
- Änderung aller Standard-Passwörter und Sicherheitsparameter
- Härtung von Systemen durch Entfernung unnötiger Dienste
- Implementierung sicherer Konfigurationsstandards
##### 2. Schutz von Karteninhaberdaten
**Anforderung 3:** Schutz gespeicherter Karteninhaberdaten
- Minimierung der Datenspeicherung auf das Notwendige
- Verschlüsselung gespeicherter Daten mit starken Algorithmen
- Sichere Schlüsselverwaltung und -rotation
**Anforderung 4:** Verschlüsselung bei Übertragung über öffentliche Netzwerke
- Verwendung starker Kryptographie (TLS 1.2 oder höher)
- Schutz vor Man-in-the-Middle-Angriffen
- Sichere Übertragung auch bei mobilen Anwendungen
##### 3. Schwachstellenmanagement-Programm
**Anforderung 5:** Schutz vor Malware
- Einsatz aktueller Anti-Malware-Lösungen
- Regelmäßige Updates und Scans
- Monitoring und Incident Response bei Malware-Erkennungen
**Anforderung 6:** Entwicklung sicherer Systeme und Anwendungen
- Schwachstellenmanagement und Patch-Management
- Sichere Entwicklungspraktiken (Secure Coding)
- Regelmäßige Sicherheitstests und Code-Reviews
##### 4. Starke Zugangskontrollen
**Anforderung 7:** Beschränkung des Zugriffs nach dem Need-to-Know-Prinzip
- Rollenbasierte Zugriffskontrollen (RBAC)
- Prinzip der minimalen Berechtigung
- Regelmäßige Zugriffsüberprüfungen
**Anforderung 8:** Identifikation und Authentifizierung von Benutzern
- Eindeutige Benutzer-IDs für alle Personen
- Starke Authentifizierungsmechanismen
- Multi-Faktor-Authentifizierung für privilegierte Zugriffe
**Anforderung 9:** Beschränkung des physischen Zugangs
- Physische Sicherheitsmaßnahmen für Rechenzentren
- Zugangskontrollen und Besucherprotokollierung
- Sichere Entsorgung von Datenträgern
##### 5. Regelmäßige Überwachung und Tests
**Anforderung 10:** Verfolgung und Überwachung aller Zugriffe
- Umfassende Protokollierung sicherheitsrelevanter Ereignisse
- Zentrale Log-Sammlung und -Analyse
- Schutz der Log-Daten vor Manipulation
**Anforderung 11:** Regelmäßige Sicherheitstests
- Schwachstellen-Scans durch zugelassene Anbieter (ASV)
- Penetrationstests bei kritischen Änderungen
- Intrusion Detection und Prevention Systeme
##### 6. Informationssicherheits-Politik
**Anforderung 12:** Informationssicherheitsrichtlinie
- Umfassende Sicherheitsrichtlinien für alle Mitarbeiter
- Regelmäßige Schulungen und Sensibilisierung
- Incident Response und Business Continuity Pläne
### PCI DSS-Validierungsstufen und Compliance-Anforderungen
#### Die vier Merchant-Level
Die Validierungsanforderungen richten sich nach dem jährlichen Transaktionsvolumen:
| **Level** | **Transaktionsvolumen** | **Validierungsmethode** | **Häufigkeit** |
|-----------|-------------------------|-------------------------|------------------|
| **Level 1** | > 6 Millionen | On-Site Audit durch QSA | Jährlich |
| **Level 2** | 1-6 Millionen | Self-Assessment (SAQ) | Jährlich |
| **Level 3** | 20.000-1 Million (E-Commerce) | Self-Assessment (SAQ) | Jährlich |
| **Level 4** | < 20.000 (E-Commerce) oder < 1 Million | Self-Assessment (SAQ) | Jährlich |
#### Self-Assessment Questionnaire (SAQ)
Für die meisten Organisationen ist das SAQ die primäre Validierungsmethode:
- **SAQ A:** Kartenabwicklung ausschließlich durch Drittanbieter
- **SAQ B:** Manuelle Terminals oder Standalone-Geräte
- **SAQ C:** Webbasierte Zahlungsanwendungen
- **SAQ D:** Alle anderen Händler-Umgebungen
#### Externe Schwachstellen-Scans (ASV)
Alle Merchant-Level benötigen vierteljährliche Scans durch einen Approved Scanning Vendor (ASV):
- Überprüfung aller öffentlich zugänglichen IP-Adressen
- Identifikation und Bewertung von Schwachstellen
- Bestätigung der Behebung kritischer Schwachstellen
### Umsetzungsstrategien und Best Practices
#### Dreistufiger Compliance-Ansatz
**1. Bewerten (Assess)**
- Vollständige Inventarisierung aller Systeme mit Karteninhaberdaten
- Datenflussanalyse und Scope-Definition
- Gap-Analyse gegen PCI DSS-Anforderungen
- Risikobewertung identifizierter Schwachstellen
**2. Beheben (Remediate)**
- Priorisierte Umsetzung fehlender Kontrollen
- Reduzierung des PCI-Scope durch Datenminimierung
- Implementierung kompensierender Kontrollen wo erforderlich
- Dokumentation aller Sicherheitsmaßnahmen
**3. Berichten (Report)**
- Erstellung der erforderlichen Compliance-Berichte
- Übermittlung an Acquiring Bank oder Zahlungsdienstleister
- Kontinuierliche Überwachung und Maintenance
#### Scope-Reduzierung als Schlüsselstrategie
**Praxis-Tipp: Minimierung der Card Data Environment (CDE)**
- Verwenden Sie Tokenisierung zur Reduzierung gespeicherter Kartendaten
- Implementieren Sie Point-to-Point-Verschlüsselung (P2PE)
- Nutzen Sie gehostete Zahlungslösungen (Payment Service Provider)
- Segmentieren Sie Netzwerke strikt zwischen CDE und anderen Systemen
#### Häufige Implementierungsfehler vermeiden
**Datenspeicherung:**
- Niemals Speicherung des CVV/CVC-Codes
- Keine vollständigen Kartennummern in Logs oder Backups
- Sichere Löschung nicht mehr benötigter Daten
**Netzwerksicherheit:**
- Unzureichende Segmentierung zwischen CDE und Corporate Network
- Schwache oder fehlende Firewall-Regeln
- Verwendung unsicherer Protokolle (z.B. veraltete TLS-Versionen)
**Zugangskontrollen:**
- Geteilte oder generische Benutzerkonten
- Fehlende Multi-Faktor-Authentifizierung für Remote-Zugriffe
- Unzureichende Überwachung privilegierter Zugriffe
### Integration mit anderen Compliance-Frameworks
#### Synergien mit ISO 27001
Viele PCI DSS-Anforderungen überschneiden sich mit ISO 27001-Kontrollen:
- **Zugangskontrollen:** ISO 27001 A.9 ergänzt PCI DSS Anforderungen 7-8
- **Kryptographie:** ISO 27001 A.10 unterstützt PCI DSS Anforderungen 3-4
- **Betriebssicherheit:** ISO 27001 A.12 deckt PCI DSS Anforderungen 5-6 ab
- **Incident Management:** ISO 27001 A.16 ergänzt PCI DSS Anforderung 12
#### SOC 2 und PCI DSS
Beide Standards können parallel implementiert werden:
- Gemeinsame Kontrollen für Sicherheit und Verfügbarkeit
- Ähnliche Anforderungen an Monitoring und Logging
- Kombinierte Audit-Strategien zur Effizienzsteigerung
#### GDPR-Kompatibilität
PCI DSS ergänzt GDPR-Anforderungen im Zahlungsbereich:
- Technische und organisatorische Maßnahmen zum Datenschutz
- Incident Response und Breach Notification
- Privacy by Design und by Default
### Unterstützung durch die fuentis Suite
Die fuentis Suite bietet umfassende Unterstützung für PCI DSS-Compliance:
#### Asset- und Scope-Management
- Zentrale Verwaltung der Card Data Environment
- Automatische Datenflussanalyse
- Scope-Visualisierung und -Dokumentation
- Change Management für CDE-relevante Änderungen
#### Risiko- und Schwachstellenmanagement
- Integration mit ASV-Scan-Ergebnissen
- Priorisierung von Schwachstellen nach PCI-Relevanz
- Tracking von Remediation-Maßnahmen
- Kompensierender Kontrollen-Management
#### Compliance-Reporting
- Compliance-Dashboards und KPIs
- Audit-Trail und Evidenz-Management
- Terminverwaltung für wiederkehrende Assessments
### Kontinuierliche Compliance und Monitoring
#### Ongoing-Compliance-Strategie
**Quartalsweise Aktivitäten:**
- ASV-Schwachstellen-Scans
- Review der Firewall-Regeln und Zugangskontrollen
- Überprüfung der Log-Monitoring-Konfiguration
- Update der Risikobewertung
**Jährliche Compliance-Validation:**
- Vollständige SAQ-Erstellung oder QSA-Audit
- Penetrationstests bei Level 1-3 Merchants
- Review und Update der Sicherheitsrichtlinien
- Mitarbeiterschulungen und Awareness-Programme
#### Change Management
**PCI-relevante Änderungen verwalten:**
- Bewertung aller Änderungen auf Scope-Auswirkungen
- Sicherheitstests vor Produktionseinführung
- Dokumentation von Kompensierenden Kontrollen
- Kommunikation mit QSA oder ASV bei kritischen Änderungen
#### Key Performance Indicators (KPIs)
**Monitoring der PCI-Compliance:**
- Anzahl offener kritischer Schwachstellen
- Zeit bis zur Behebung identifizierter Schwachstellen
- Anzahl PCI-bezogener Sicherheitsvorfälle
- Compliance-Rate bei internen Assessments
- Vollständigkeit der erforderlichen Dokumentation
#### Emerging Threats und Anpassungen
**Aktuelle Bedrohungslandschaft:**
- Ransomware und Advanced Persistent Threats
- Supply Chain Attacks
- Zero-Day-Schwachstellen in weit verbreiteten Systemen
- Social Engineering und Insider Threats
### Kernaussagen auf einen Blick
**Die 5 wichtigsten Erfolgsfaktoren für PCI DSS-Compliance:**
1. **Scope-Minimierung als Priorität**: Reduzieren Sie Ihre Card Data Environment durch Tokenisierung, P2PE und gehostete Zahlungslösungen - weniger Scope bedeutet weniger Aufwand und Risiko
2. **Systematische Herangehensweise**: Befolgen Sie den dreistufigen Ansatz (Assess, Remediate, Report) und behandeln Sie PCI DSS als kontinuierlichen Prozess, nicht als einmalige Zertifizierung
3. **Starke Grundlagen schaffen**: Investieren Sie in robuste Netzwerksegmentierung, Zugangskontrollen und Monitoring - diese bilden das Fundament für nachhaltige Compliance
4. **Integration in bestehende Frameworks**: Nutzen Sie Synergien mit ISO 27001, SOC 2 oder anderen Standards zur Effizienzsteigerung und Kostensenkung
5. **Automatisierung und Tools nutzen**: Moderne ISMS-Plattformen wie die fuentis Suite reduzieren manuellen Aufwand und verbessern die Compliance-Qualität erheblich
**Warum PCI DSS mehr ist als nur Compliance:**
PCI DSS ist ein bewährter Rahmen für umfassende Datensicherheit. Organisationen, die PCI DSS ernst nehmen und über Minimum-Compliance hinausgehen, schaffen nicht nur Vertrauen bei Kunden und Partnern, sondern auch eine robuste Sicherheitsgrundlage, die vor modernen Cyber-Bedrohungen schützt.
## SOC 2 Standards – Service Organization Control 2
Quelle: https://servicehub.fuentis.com/de/standards/soc-2-standards-service-organization-control/
**SOC 2** (Service Organization Control 2) ist ein Rahmenwerk zur Bewertung der internen Kontrollen von Service-Unternehmen, die mit Kundendaten umgehen. Es wurde 2010 vom amerikanischen Berufsverband der Wirtschaftsprüfer (American Institute of Certified Public Accountants, AICPA) entwickelt und definiert Kriterien, wie Organisationen ihre Daten sicher und zuverlässig verarbeiten sollen.
Anders als bei streng vorgegebenen Regelwerken wie PCI DSS stellt SOC 2 keinen starren Katalog dar. Vielmehr entwirft jede Organisation ihre eigenen Kontrollen, die ein unabhängiger Wirtschaftsprüfer prüft. Das Ziel ist, Vertrauen zu schaffen, indem Kunden, Partner und Aufsichtsbehörden nachvollziehen können, wie ein Anbieter die Verfügbarkeit, Integrität und Vertraulichkeit sensibler Daten sicherstellt.
**Warum ist SOC 2 relevant?**
- **Kundenvertrauen:** Insbesondere für Cloud-Dienstleister und SaaS-Unternehmen ist SOC 2 ein wichtiges Verkaufsargument
- **Marktanforderung:** Viele US-amerikanische Kunden fordern SOC 2-Berichte als Nachweis der Sicherheitskompetenz
- **Flexibilität:** Im Gegensatz zu starren Zertifizierungen können Unternehmen ihre Kontrollen auf ihre spezifischen Services abstimmen
---
### Kernkonzepte und Anforderungen
#### Trust Services Criteria (TSC)
SOC 2 basiert auf fünf Trust Services Criteria (TSC). Die Sicherheitskriterien sind **Pflicht**; die übrigen vier können je nach Dienstleistung optional in den Prüfungsumfang aufgenommen werden. Jede Kategorie umfasst Kontrollpunkte (Points of Focus), die eine Organisation erfüllen oder begründen muss.
##### Die fünf Trust Services Criteria im Detail
**1. Security (Common Criteria)** – *Pflichtkriterium*
- **Zweck:** Schutz von Informationen vor unbefugtem Zugriff und Missbrauch
- **Wichtige Aspekte:**
- Zugangskontrollen und Berechtigungsmanagement
- Authentifizierungsverfahren (z.B. Multi-Faktor-Authentifizierung)
- Netzwerk-Firewalls und Intrusion-Detection-Systeme
- Physische Sicherheitsmaßnahmen
- Schutz vor Malware und anderen Bedrohungen
**2. Availability** – *Optional*
- **Zweck:** Sicherstellung, dass Systeme und Services für Mitarbeiter und Kunden verfügbar sind
- **Wichtige Aspekte:**
- Ausfallsicheres Design und Redundanzen
- Disaster-Recovery-Pläne und Business Continuity Management
- Performance- und Netzwerkmonitoring
- Service-Level-Agreements (SLAs)
- Kapazitätsplanung und Skalierbarkeit
**3. Processing Integrity** – *Optional*
- **Zweck:** Nachweis, dass Systeme ihre Funktionen korrekt, vollständig und rechtzeitig ausführen
- **Wichtige Aspekte:**
- Klare Spezifikation und Überwachung von Eingaben, Verarbeitung und Ausgaben
- Schutz vor unbeabsichtigter Manipulation
- Datenvalidierung und Fehlerbehandlung
- Transaktionsintegrität
- Qualitätssicherungsprozesse
**4. Confidentiality** – *Optional*
- **Zweck:** Schutz vertraulicher Informationen durch begrenzten Zugriff, Speicherung und Verwendung
- **Wichtige Aspekte:**
- Verschlüsselung bei Transport und Speicherung (TLS, AES)
- Prinzip der minimalen Rechtevergabe (Least Privilege)
- Vertraulichkeitsvereinbarungen (NDAs)
- Sichere Löschung von Daten
- Klassifizierung von Informationen
**5. Privacy** – *Optional*
- **Zweck:** Regelung der Erhebung, Nutzung, Speicherung und Entsorgung personenbezogener Daten gemäß den Generally Accepted Privacy Principles (GAPP)
- **Wichtige Aspekte:**
- Definition, was als personenbezogene Information gilt
- Umsetzung von Kontrollen zum Schutz dieser Daten
- Einwilligungsmanagement
- Betroffenenrechte (Auskunft, Löschung, Berichtigung)
- Datenschutzrichtlinien und -verfahren
> **Praxis-Tipp:** Die meisten Unternehmen beginnen mit den Security-Kriterien und fügen je nach Kundenanforderungen weitere TSC hinzu. Cloud-Anbieter wählen oft zusätzlich "Availability" und "Confidentiality".
#### Arten von SOC 2-Berichten
SOC 2 bietet zwei Berichtstypen, die sich in Umfang und Aussagekraft unterscheiden:
##### Type I Report – Design der Kontrollen
- **Prüfungsgegenstand:** Bewertet, ob die Gestaltung der Kontrollen zu einem bestimmten Zeitpunkt geeignet ist
- **Zeitrahmen:** Momentaufnahme (Stichtag)
- **Geeignet für:** Unternehmen, die gerade erst ein Kontrollsystem aufbauen
- **Vorteil:** Schneller zu erlangen (3-6 Monate Vorbereitung)
- **Nachteil:** Geringere Aussagekraft für Kunden
##### Type II Report – Design und Wirksamkeit
- **Prüfungsgegenstand:** Untersucht zusätzlich die Wirksamkeit der Kontrollen über einen definierten Zeitraum
- **Zeitrahmen:** Meist 3-12 Monate (typisch: 6 oder 12 Monate)
- **Geeignet für:** Etablierte Unternehmen mit funktionierenden Kontrollen
- **Vorteil:** Goldstandard – höchster Assurance-Grad für Kunden
- **Nachteil:** Längere Vorbereitungszeit und höhere Kosten
#### Unterschiede zu anderen SOC-Berichten
##### SOC 1
- **Fokus:** Service-Organisationen, deren Kontrollen die Finanzberichterstattung ihrer Kunden beeinflussen
- **Beispiele:** Payroll-Dienstleister, Zahlungsabwickler, Buchhaltungs-Services
- **Standard:** SSAE 18 (USA) / ISAE 3402 (International)
##### SOC 3
- **Fokus:** Öffentlicher Bericht basierend auf SOC 2-Prüfung
- **Besonderheit:** Ohne detaillierte Testbeschreibungen – für Marketing und öffentliche Kommunikation
- **Verwendung:** Website-Siegel, Verkaufsunterlagen, allgemeine Vertrauensbildung
---
### Abgrenzung zu ISO 27001
SOC 2 und ISO 27001 decken sich zu etwa **80%** in ihren Anforderungen. Beide Rahmen verlangen eine externe Prüfung und adressieren Prinzipien wie Sicherheit, Integrität und Verfügbarkeit von Informationen.
#### Hauptunterschiede
| Aspekt | SOC 2 | ISO 27001 |
|--------|-------|------------|
| **Zielmarkt** | US-amerikanischer Standard | International anerkannt |
| **Flexibilität** | Freie Wahl aus 5 TSC, eigene Kontrollen | 93 verpflichtende Kontrollen aus Anhang A |
| **Berichtsform** | Attestationsbericht durch CPA | Zertifikat durch akkreditierte Stelle |
| **Gültigkeit** | Jährliche Erneuerung | 3 Jahre mit jährlichen Überwachungsaudits |
| **Kosten** | Tendenziell günstiger | Höhere Initialkosten |
| **Dokumentation** | System Description | ISMS-Dokumentation |
#### Synergien nutzen
Viele Organisationen kombinieren SOC 2 und ISO 27001:
- **Gemeinsame Kontrollen:** Etwa 80% der Anforderungen überschneiden sich
- **Kombinierte Audits:** Einige Prüfer bieten integrierte Assessments an
- **Internationale Abdeckung:** ISO 27001 für globale Märkte, SOC 2 für US-Kunden
- **Effizienzsteigerung:** Ein ISMS nach ISO 27001 erleichtert die SOC 2-Vorbereitung erheblich
---
### Umsetzungshilfen und Praxis
#### Projektvorbereitung und Scoping
##### 1. Scoping und Auswahl der TSC
- **Umfang definieren:** Welche Services, Systeme und Standorte sollen geprüft werden?
- **TSC auswählen:** Security ist Pflicht – welche weiteren Kriterien fordern Ihre Kunden?
- **Unterstützende Systeme einbeziehen:** Ticketing-Tools, Change-Management, Incident-Tracking
- **Ausschlüsse dokumentieren:** Klar begründen, warum bestimmte Bereiche nicht im Scope sind
##### 2. Type I oder Type II bestimmen
- **Startpunkt Type I:** Wenn Sie noch keine etablierten Kontrollen haben
- **Direkt zu Type II:** Bei vorhandenen Kontrollen und Prozessen (z.B. aus ISO 27001)
- **Kundenerwartungen:** Viele Kunden akzeptieren nur Type II-Berichte
##### 3. Gap-Analyse durchführen
**Selbst-Assessment in vier Schritten:**
1. **IST-Zustand erfassen:** Welche Kontrollen existieren bereits?
2. **SOLL-Zustand definieren:** Was fordern die gewählten TSC?
3. **Lücken identifizieren:** Wo fehlen Kontrollen oder Nachweise?
4. **Maßnahmenplan erstellen:** Priorisierung nach Risiko und Aufwand
> **Praxis-Tipp:** Nutzen Sie die AICPA Trust Services Criteria als Checkliste. Die Points of Focus geben konkrete Beispiele für wirksame Kontrollen.
##### 4. Lücken schließen
**Typische Maßnahmen:**
- **Richtlinien erstellen:** Informationssicherheitsrichtlinie, Zugangskontrollen, Incident Response
- **Technische Kontrollen:** MFA aktivieren, Verschlüsselung implementieren, Logging einrichten
- **Prozesse dokumentieren:** Change Management, Vulnerability Management, Backup & Recovery
- **Schulungen durchführen:** Security Awareness, Datenschutz, Clean Desk Policy
- **Verträge anpassen:** Lieferantenvereinbarungen, NDAs, Auftragsverarbeitungsverträge
##### 5. Readiness-Assessment
**Vor der offiziellen Prüfung:**
- **Interne Audits:** Testen Sie die Wirksamkeit Ihrer Kontrollen
- **Mock-Audit:** Lassen Sie einen externen Berater eine Probeprüfung durchführen
- **Nachweise sammeln:** Screenshots, Logs, Berichte, Verfahrensdokumentationen
- **Management Review:** Geschäftsführung in die Vorbereitung einbeziehen
#### Best Practices für eine erfolgreiche SOC 2-Prüfung
##### Organisatorische Erfolgsfaktoren
**1. Zuständigkeiten klären**
- Benennen Sie einen erfahrenen Projektverantwortlichen (z.B. CISO, Compliance Manager)
- Definieren Sie klare Rollen und Verantwortlichkeiten im Projektteam
- Etablieren Sie regelmäßige Status-Meetings
**2. Stakeholder einbeziehen**
- **Geschäftsführung:** Budget und Ressourcen sichern
- **IT-Abteilung:** Technische Kontrollen implementieren
- **DevOps:** CI/CD-Pipeline absichern, Code Reviews
- **Rechtsabteilung:** Verträge und Datenschutz
- **HR:** Mitarbeiterschulungen und Hintergrundprüfungen
**3. Risiken und Schwachstellen kennen**
- Dokumentieren Sie Datenflüsse und Speicherorte
- Führen Sie regelmäßige Vulnerability Scans durch
- Melden Sie Sicherheitsvorfälle transparent
- Implementieren Sie ein Risikomanagement-System
##### Technische und prozessuale Empfehlungen
**Kritische Kontrollen für SOC 2:**
- **Zugangskontrollen:** Role-Based Access Control (RBAC), regelmäßige Berechtigungsreviews
- **Verschlüsselung:** TLS 1.2+ für Übertragung, AES-256 für Speicherung
- **Monitoring:** SIEM-System, Log-Aggregation, Alerting
- **Backup & Recovery:** 3-2-1-Regel, regelmäßige Recovery-Tests
- **Patch Management:** Monatliche Updates, kritische Patches binnen 30 Tagen
- **Incident Response:** Dokumentierter Prozess, Eskalationskette, Post-Mortem-Analysen
**Dokumentation und Nachweise:**
- **Versionskontrolle:** Alle Richtlinien und Verfahren versioniert ablegen
- **Audit-Trails:** Lückenlose Protokollierung von Änderungen
- **Evidence-Management:** Zentrale Ablage für Prüfungsnachweise
- **Metriken:** KPIs für Verfügbarkeit, Incident-Response-Zeiten, Patch-Level
> **Praxis-Tipp:** Implementieren Sie ein Compliance-Management-Tool zur zentralen Verwaltung Ihrer SOC 2-Dokumentation und Kontrollnachweise. Dies erleichtert die Audit-Vorbereitung erheblich und minimiert manuelle Arbeit.
#### Auswahl des richtigen Wirtschaftsprüfers
**Kriterien für die Auswahl:**
- **CPA-Lizenz:** Nur lizenzierte CPAs dürfen SOC 2-Berichte ausstellen
- **Branchenerfahrung:** Kenntnis Ihrer spezifischen Industrie und Technologie
- **Referenzen:** Erfolgreiche SOC 2-Prüfungen bei vergleichbaren Unternehmen
- **Beratungsansatz:** Balance zwischen Strenge und pragmatischen Lösungen
- **Kosten:** Type I: 10.000-30.000 USD, Type II: 20.000-60.000 USD (je nach Scope)
---
### Integration mit anderen Frameworks
SOC 2 lässt sich gut mit anderen Sicherheitsstandards kombinieren:
#### Kombinationsmöglichkeiten
**ISO 27001 + SOC 2**
- Nutzen Sie das ISMS als Basis für SOC 2-Kontrollen
- Gemeinsame Audits durch qualifizierte Prüfer möglich
- Etwa 80% Überschneidung in den Anforderungen
**NIST CSF + SOC 2**
- NIST Cybersecurity Framework als Struktur für Kontrollen
- Mapping der NIST-Funktionen zu TSC möglich
- Besonders relevant für US-Regierungsaufträge
**HIPAA + SOC 2**
- Für Healthcare-Anbieter und Business Associates
- SOC 2 + HIPAA-Kriterien in einem Bericht möglich
- Nachweis der Compliance für Gesundheitsdaten
**GDPR/DSGVO + SOC 2**
- Privacy-TSC deckt viele DSGVO-Anforderungen ab
- Technische und organisatorische Maßnahmen (TOMs) dokumentieren
- Auftragsverarbeitungsverträge als Teil der Prüfung
---
### Unterstützung durch die fuentis Suite
Die fuentis Suite bietet umfassende Unterstützung für den SOC 2-Prozess und kann die Effizienz Ihrer Compliance-Bemühungen erheblich steigern:
#### Risikomanagement-Modul
- **Risikoidentifikation:** Systematische Erfassung aller relevanten Risiken für die gewählten TSC
- **Risikobewertung:** Priorisierung nach Eintrittswahrscheinlichkeit und Auswirkung
- **Maßnahmenplanung:** Verknüpfung von Risiken mit Kontrollen und Maßnahmen
- **Automatische Reviews:** Erinnerungen für regelmäßige Risikobewertungen
- **Audit-Trail:** Lückenlose Dokumentation aller Änderungen
#### Asset-Management
- **Zentrales Inventar:** Erfassung aller IT-Assets und Informationswerte
- **Klassifizierung:** Kategorisierung nach Schutzbedarf und Kritikalität
- **Verantwortlichkeiten:** Klare Zuordnung von Asset-Ownern
- **Lifecycle-Management:** Von der Beschaffung bis zur sicheren Entsorgung
#### Compliance-Management
- **SOC 2-Vorlagen:** Vordefinierte Templates für alle fünf TSC
- **Kontrolllisten:** Points of Focus als prüfbare Checklisten
- **System Description:** Strukturierte Erfassung Ihrer Systemumgebung
- **Evidence-Register:** Zentrale Verwaltung aller Prüfungsnachweise
- **Gap-Analyse:** Automatischer Abgleich IST vs. SOLL
#### Audit-Module
- **Audit-Planung:** Jahresplanung für interne Audits
- **Durchführung:** Digitale Checklisten und Bewertungen
- **Nichtkonformitäten:** Erfassung und Tracking von Findings
- **Korrekturmaßnahmen:** Workflow für Umsetzung und Wirksamkeitsprüfung
- **Berichtswesen:** Automatisierte Audit-Reports
#### Dokumentenmanagement
- **Versionskontrolle:** Alle Richtlinien und Verfahren versioniert
- **Genehmigungsworkflows:** Digitale Freigabeprozesse
- **Verteilung:** Automatische Benachrichtigung bei Updates
- **Lesebestätigungen:** Nachweis der Kenntnisnahme
- **Audit-Trails:** Vollständige Historie aller Dokumentänderungen
#### Monitoring & Reporting
- **Dashboards:** Echtzeit-Überblick über Compliance-Status
- **KPI-Tracking:** Verfügbarkeit, Response-Zeiten, Patch-Level
- **Trend-Analysen:** Entwicklung der Sicherheitslage über Zeit
- **Management-Reports:** Aufbereitung für Geschäftsführung
- **Prüfer-Zugang:** Readonly-Access für externe Auditoren
---
### Kernaussagen auf einen Blick
1. **Flexibles Rahmenwerk:** SOC 2 basiert auf fünf Trust Services Criteria, wobei nur das Security-Kriterium obligatorisch ist. Unternehmen wählen weitere Kriterien je nach Kundenanforderungen und können ihre eigenen Kontrollen entwerfen.
2. **Type II als Goldstandard:** Während Type I-Berichte das Design von Kontrollen bewerten, prüft Type II zusätzlich deren Wirksamkeit über einen Zeitraum. Ein Type II-Bericht bietet Kunden deutlich mehr Vertrauen und gilt als Industriestandard.
3. **Strukturierte Vorbereitung ist entscheidend:** Eine sorgfältige Scope-Definition, systematische Gap-Analyse und gezielte Remediation sind die Grundlagen für einen erfolgreichen Audit. Planen Sie 6-12 Monate für die Vorbereitung ein.
4. **Dokumentation und Nachweise sind kritisch:** Dokumentierte Richtlinien, implementierte technische Sicherheitsmaßnahmen und umfassende Nachweise (Logs, Screenshots, Berichte) erleichtern die Prüfung erheblich und stärken die Sicherheitskultur.
5. **Synergien mit ISO 27001 nutzen:** SOC 2 und ISO 27001 überschneiden sich zu etwa 80%. Durch geschickte Kombination können Unternehmen Aufwand reduzieren und sowohl internationale als auch US-amerikanische Kunden gleichzeitig bedienen.
## TISAX® – Standards für die Automobilindustrie
Quelle: https://servicehub.fuentis.com/de/standards/tisax-standards-automobilindustrie/
TISAX® (Trusted Information Security Assessment Exchange) ist ein branchenspezifischer Standard, der speziell für die Automobilindustrie entwickelt wurde, um den vertraulichen Austausch von Entwicklungs-, Konstruktions- und Produktionsdaten in komplexen Lieferketten abzusichern. Der Standard basiert auf der ISO 27001, ergänzt diese jedoch um automobilspezifische Anforderungen wie Prototypenschutz und spezielle Datenklassifizierungen.
Entwickelt wurde TISAX vom Verband der Automobilindustrie (VDA) und der ENX Association. Mit dem im Oktober 2023 veröffentlichten ISA 6.0 wurden die Anforderungen grundlegend aktualisiert und zum 1. April 2024 zum Pflichtstandard erhoben.
### Warum TISAX® relevant ist
Die zunehmende Digitalisierung und Vernetzung der Automobilindustrie führt zu massiven Mengen sensibler Daten. OEMs und Zulieferer tauschen kontinuierlich Entwicklungspläne, Software-Quellcodes, Prototypendaten und personenbezogene Informationen aus. Ohne klar definierte Sicherheitsanforderungen würde jede Organisation ihre eigenen Audits durchführen müssen.
**TISAX schafft hier einen gemeinsamen Standard:**
- Reduziert den Audit-Aufwand in der gesamten Lieferkette
- Ermöglicht transparenten Nachweis des Sicherheitsniveaus
- Schafft Wettbewerbsvorteile durch anerkannte Zertifizierung
- Harmonisiert Sicherheitsanforderungen branchenweit
> **Praxis-Tipp:** Unternehmen mit TISAX-Label signalisieren ihren Partnern ein hohes Maß an Informationssicherheit und erfüllen damit oft eine Grundvoraussetzung für Aufträge in der Automobilindustrie.
### Kernkonzepte und Anforderungen
#### Der TISAX®-Prozess in drei Schritten
Der TISAX-Prozess folgt einem klar strukturierten Ablauf:
##### 1. Registrierung
- Online-Anmeldung über das ENX-Portal
- Definition des Geltungsbereichs (Scope)
- Gebührenpflichtige Registrierung als Voraussetzung
##### 2. Assessment
- **Selbstbewertung:** Durchführung anhand des ISA-Katalogs
- **Externe Prüfung:** Audit durch akkreditierten Provider
- **Level-Auswahl:** Entsprechend dem Schutzbedarf (AL 1-3)
##### 3. Exchange
- Erstellung des TISAX-Reports nach erfolgreichem Audit
- Kontrolliertes Teilen mit ausgewählten Partnern
- Gültigkeit: 3 Jahre (danach Re-Assessment erforderlich)
#### Assessment Levels und Schutzbedarf
Die Prüftiefe richtet sich nach dem Schutzbedarf der verarbeiteten Informationen:
| Assessment Level | Beschreibung | Typische Anwendung |
|-----------------|--------------|--------------------|
| **AL 1** | Reine Selbstauskunft ohne externe Verifikation | Interne Bestätigung, selten im TISAX-Kontext verwendet |
| **AL 2** | Plausibilitätsprüfung mit Dokumentenreview und Remote-Interviews | Grundlegende Informationssicherheit, normaler Schutzbedarf |
| **AL 2.5** | Vollständiges Remote-Audit, Übergangsoption zu AL 3 | Flexibler Einstieg mit Upgrade-Möglichkeit |
| **AL 3** | Vollständiges Vor-Ort-Audit mit umfassender Verifikation | Höchste Schutzstufe für Prototypen, personenbezogene Daten |
#### Schutzbedarfsstufen und Assessment Objectives
Mit ISA 6.0 wurden die Schutzbedarfsstufen neu strukturiert:
- **Confidential** (ersetzt "Info High")
- **Strictly Confidential** (ersetzt "Info Very High")
- **High/Very High Availability** (Verfügbarkeitsanforderungen)
- **Proto Parts/Proto Vehicles** (Prototypenschutz)
### ISA 6.0 – Die aktuelle Version
#### Wichtigste Neuerungen (gültig ab 1. April 2024)
##### Inhaltliche Änderungen
- **Verstärkter Fokus auf IT-/OT-Verfügbarkeit:** Betriebskontinuität und Systemverfügbarkeit rücken in den Vordergrund
- **Überarbeiteter Datenschutzteil:** Vollständige Neustrukturierung der datenschutzrelevanten Kontrollen
- **Neue Incident-Management-Kontrollen:** Erweiterte Anforderungen an Krisenmanagement und Reaktionsfähigkeit
##### Strukturelle Anpassungen
- **Englisch als Leitsprache:** Die englische Version ist maßgeblich
- **Neue Mapping-Tabellen:** Referenzierung von ISO/IEC 27001:2022 und NIST CSF 1.1
- **Erweiterte Leitlinien:** Integration von BSI IT-Grundschutz und DSGVO
##### Spezifische neue Kontrollen
- Funktionierendes Reporting-System für Sicherheitsvorfälle
- IT-Servicekontinuitätsplanung mit definierten RTO/RPO
- Solide Backup-/Restore-Konzepte mit regelmäßigen Tests
- Sicheres Management von Client-Software und Updates
> **Wichtig:** Bestehende Assessments behalten ihre Gültigkeit. Neue Audits ab 1. April 2024 müssen zwingend ISA 6.0 verwenden.
### Vergleich TISAX® vs. ISO 27001
#### Gemeinsamkeiten
- Beide basieren auf einem systematischen ISMS-Ansatz
- Risikobasierte Herangehensweise
- Kontinuierliche Verbesserung (PDCA-Zyklus)
- Viele Kontrollen aus ISO 27001 Anhang A finden sich in TISAX wieder
#### Unterschiede
| Aspekt | ISO 27001 | TISAX® |
|--------|-----------|--------|
| **Geltungsbereich** | Branchenunabhängig, international | Automobilspezifisch |
| **Governance** | ISO-Organisation, längere Update-Zyklen | ENX Association, jährliche Updates möglich |
| **Audit-Varianten** | Einheitlicher Zertifizierungsprozess | Drei Assessment Levels mit unterschiedlicher Prüftiefe |
| **Spezialanforderungen** | Generische Kontrollen | Zusätzliche Kontrollen für Prototypen, Testfahrzeuge |
| **Zertifikatsgültigkeit** | 3 Jahre mit jährlichen Überwachungsaudits | 3 Jahre ohne Zwischenaudits |
> **Praxis-Tipp:** Unternehmen mit etabliertem ISO 27001-ISMS haben einen deutlichen Vorteil: Viele vorhandene Kontrollen, Prozesse und Dokumentationen können für TISAX wiederverwendet werden.
### Umsetzungshilfen und Best Practices
#### Vorbereitung und Planung
##### 1. Scope-Definition
- **Geschäftsbereiche:** Welche Abteilungen sind betroffen?
- **Standorte:** Welche Lokationen müssen einbezogen werden?
- **Informationsarten:** Welche Datenklassifikationen sind relevant?
- **Kundenanforderungen:** Welches Assessment Level wird gefordert?
##### 2. Gap-Analyse durchführen
- ISA-Katalog als Checkliste nutzen
- Vorhandene Maßnahmen dokumentieren
- Lücken identifizieren und priorisieren
- Maßnahmenplan mit Zeitschiene erstellen
##### 3. Audit-Provider auswählen
Akkreditierte Prüfdienstleister sind z.B.:
- TÜV (Nord, Süd, Rheinland)
- DEKRA
- SGS
- Bureau Veritas
- PwC, KPMG, EY, Deloitte
#### Durchführung des Assessments
##### Interne Vorbereitung
- **Management-Commitment:** Sichtbare Unterstützung der Geschäftsführung
- **Ressourcen bereitstellen:** Zeit, Budget und Personal einplanen
- **Interne Audits:** Probelauf vor dem externen Assessment
- **Dokumentation:** Alle Nachweise strukturiert vorbereiten
##### Stakeholder-Einbindung
Folgende Bereiche sollten frühzeitig involviert werden:
- IT-Security und IT-Betrieb
- Datenschutzbeauftragter
- Entwicklung und Produktion
- Facility Management (bei Prototypenschutz)
- HR (für Awareness und Schulungen)
##### Bei Assessment Level 3
- Vor-Ort-Termine koordinieren
- Interviewpartner briefen
- Begehungsrouten planen
- Technische Demonstrationen vorbereiten
#### Nach dem Assessment
##### Ergebnisse managen
1. **TISAX-Label erhalten:** Nach bestandener Prüfung
2. **Freigabesteuerung:** Gezieltes Teilen mit Partnern
3. **Nicht-Konformitäten:** Systematisch abarbeiten
4. **Lessons Learned:** Erkenntnisse dokumentieren
##### Kontinuierliche Verbesserung
- Regelmäßige Management-Reviews
- Interne Audits mindestens jährlich
- Risikobewertungen aktualisieren
- ISA-Updates verfolgen und umsetzen
#### Integration mit der fuentis Suite
Die fuentis Suite unterstützt den gesamten TISAX-Prozess durch integrierte Module:
##### Risikomanagement-Modul
- Strukturierte Risikobewertung nach ISA-Vorgaben
- Automatisierte Risikomatrix
- Maßnahmenverfolgung und -controlling
- Risikoreporting für Management und Auditoren
##### Compliance-Modul
- Vorgefertigte ISA 6.0-Templates
- Automatische Nachweisführung
- Reifegradbewertung pro Kontrolle
- Gap-Analyse und Maßnahmenableitung
##### Asset-Management
- Inventarisierung aller Informationswerte
- Klassifizierung nach Schutzbedarf
- Verantwortlichkeitszuordnung
- Lifecycle-Management
##### Dokumentenmanagement
- Zentrale Ablage aller TISAX-Dokumente
- Versionierung und Freigabeworkflows
- Automatische Archivierung
- Audit-Trail für Nachvollziehbarkeit
##### Audit- und Review-Module
- Planung interner Audits
- Checklistenbasierte Durchführung
- Finding-Management
- Wirksamkeitsprüfung von Maßnahmen
> **Praxis-Tipp:** Die Integration aller TISAX-relevanten Prozesse in einer Plattform reduziert den Verwaltungsaufwand erheblich und schafft Transparenz für alle Beteiligten.
### Praktische Tipps für die Umsetzung
#### Häufige Stolpersteine vermeiden
1. **Unterschätzung des Aufwands:** AL 3 erfordert 6-12 Monate Vorbereitung
2. **Fehlende Dokumentation:** Ohne Nachweise kein erfolgreiches Audit
3. **Scope zu groß gewählt:** Lieber fokussiert starten und später erweitern
4. **Prototypenschutz vernachlässigt:** Physische Sicherheit ist oft die größte Herausforderung
5. **Keine Testläufe:** Interne Audits sind essentiell für den Erfolg
#### Erfolgsfaktoren
1. **Frühzeitige Planung:** Mindestens 6 Monate vor geplantem Audit starten
2. **Projektmanagement:** Dedizierter TISAX-Projektleiter mit klarem Mandat
3. **Pragmatischer Ansatz:** Nicht übertreiben, aber Anforderungen ernst nehmen
4. **Lernen von anderen:** Erfahrungsaustausch mit TISAX-zertifizierten Unternehmen
5. **Tool-Unterstützung:** Digitale Lösungen wie fuentis Suite nutzen
##### Nutzen
- Marktzugang in der Automobilindustrie
- Reduzierte Audit-Anfragen von Kunden
- Verbesserte Sicherheitskultur
- Effizientere Prozesse
- Wettbewerbsvorteil bei Ausschreibungen
### Kernaussagen auf einen Blick
1. **Branchenstandard der Automobilindustrie:** TISAX® ist der de-facto Standard für Informationssicherheit in der automobilen Lieferkette, basierend auf ISO 27001 mit spezifischen Zusatzanforderungen.
2. **Dreistufiger Prozess mit flexiblen Assessment Levels:** Registrierung, Assessment und Exchange bilden den strukturierten Ablauf. Die Prüftiefe (AL 1-3) richtet sich nach dem Schutzbedarf der Informationen.
3. **ISA 6.0 als aktuelle Grundlage:** Seit April 2024 ist der überarbeitete Katalog mit verstärktem Fokus auf Verfügbarkeit, Incident Management und Datenschutz verpflichtend.
4. **Synergie mit ISO 27001:** Bestehende ISMS-Implementierungen nach ISO 27001 bilden eine solide Basis und reduzieren den TISAX-Aufwand erheblich.
5. **Wettbewerbsvorteil und Marktzugang:** Das TISAX-Label ist oft Voraussetzung für Aufträge in der Automobilindustrie und signalisiert professionelles Sicherheitsmanagement.
# Wissen
## Alles über ISMS-Wissen
Quelle: https://servicehub.fuentis.com/de/wissen/isms-wissen/
Herzlich willkommen in der Wissenssektion der fuentis Suite. Hier finden Sie umfassende Informationen, Leitfäden und Best Practices rund um Informationssicherheitsmanagement nach aktuellen Standards und Frameworks.
### Was Sie hier finden
Unsere Wissenssammlung deckt alle wichtigen Aspekte des Informationssicherheitsmanagements ab - von grundlegenden Konzepten bis hin zu spezialisierten Umsetzungshilfen. Die Inhalte sind praxisorientiert aufbereitet und zeigen Ihnen, wie Sie mit der fuentis Suite effizient und nachhaltig Compliance erreichen.
#### Verfügbare Themenbereiche
**ISO 27001 - Der internationale Standard für ISMS**
- Grundlagen und Überblick zu ISO 27001:2022
- Schritt-für-Schritt Umsetzungshilfen
- Audit-Vorbereitung und -durchführung
- Praktische Tipps für die Zertifizierung
**IT-Grundschutz - Das BSI-Rahmenwerk**
- Einführung in den IT-Grundschutz-Kompendium
- Bausteine und Gefährdungen verstehen
- Umsetzung in der fuentis Suite
**Weitere Standards und Frameworks**
- SOC 2 Compliance
- NIST Framework
- TISAX Automotive Standard
- Branchenspezifische Anforderungen
**Compliance und Governance**
- Datenschutz (DSGVO/GDPR)
- NIS2-Richtlinie
- Regulatory Compliance
- GRC-Ansätze (Governance, Risk & Compliance)
**Praktische Umsetzung**
- Risikomanagement und -analyse
- Notfallmanagement und Business Continuity
- Awareness-Programme
- Incident Response
- Continuous Monitoring
### Aktualisierung und Qualität
Unsere Wissensinhalte werden kontinuierlich aktualisiert, um neueste Entwicklungen, Standard-Updates und regulatorische Änderungen zu berücksichtigen. Alle Inhalte durchlaufen einen Qualitätssicherungsprozess und werden von Fachexperten geprüft.
### Feedback und Verbesserungen
Wir arbeiten kontinuierlich daran, unsere Wissenssammlung zu verbessern. Haben Sie Anregungen, Ergänzungswünsche oder Feedback zu bestimmten Inhalten? Kontaktieren Sie uns gerne - Ihr Input hilft uns dabei, die Ressourcen noch praxisnaher und hilfreicher zu gestalten.
**Navigation:** Nutzen Sie die Suchfunktion oder browsen Sie durch die Kategorien, um gezielt nach relevanten Inhalten zu suchen. Jede Seite enthält Verweise auf verwandte Themen und praktische Anwendungsbeispiele in der fuentis Suite.
## Best Practice Informationssicherheitsleitlinie
Quelle: https://servicehub.fuentis.com/de/wissen/best-practice-informationssicherheitsleitlinie/
### Informationssicherheitsleitlinie: Das strategische Fundament Ihres ISMS
### Was ist eine Informationssicherheitsleitlinie?
Die __Informationssicherheitsleitlinie__ ist das zentrale __strategische Grundlagendokument__ eines jeden Informationssicherheitsmanagementsystems (ISMS). Sie definiert auf höchster Ebene die Ziele, Verantwortlichkeiten und Rahmenbedingungen für Informationssicherheit in Ihrer Organisation.
Die Leitlinie wird von der __Geschäftsführung verabschiedet und unterzeichnet__ und dokumentiert damit das Commitment der Unternehmensleitung zur Informationssicherheit. Sie ist verbindlich für alle Mitarbeiter und bildet die Grundlage für alle weiteren Sicherheitsmaßnahmen.
#### Typische Merkmale
* Umfang: 3 bis 8 Seiten
* Ebene: Strategisch (keine technischen Details)
* Geltungsbereich: Gesamte Organisation
* Aktualisierung: Alle 1-5 Jahre
* Freigabe: Geschäftsführung
---
### Abgrenzung zu anderen Sicherheitsdokumenten
Die Informationssicherheitsleitlinie wird häufig mit anderen Sicherheitsdokumenten verwechselt. Hier die wichtigsten Unterschiede:
#### Informationssicherheitsleitlinie vs. Informationssicherheitskonzept
Das __Informationssicherheitskonzept__ (IS-Konzept) ist das zentrale *technische* Dokument des ISMS und beschreibt:
* Schutzbedarfsfeststellung für alle Assets
* Risikoanalyse und Risikobewertung
* Konkrete Sicherheitsmaßnahmen (technisch und organisatorisch)
* Umsetzungsplanung und Priorisierung
Die __Leitlinie__ hingegen definiert den strategischen Rahmen, unter dem das IS-Konzept erstellt wird. Sie beantwortet das *"Warum"* und *"Was"*, während das IS-Konzept das *"Wie"* beantwortet.
__Faustregel:__ Die Leitlinie können Sie jedem Mitarbeiter zeigen - das IS-Konzept nur dem Fachpersonal.
---
### Abgrenzung: Informationssicherheitsleitlinie vs. Sicherheitsrichtlinie
#### Übersicht: Zwei Ebenen der Steuerung
Die **Informationssicherheitsleitlinie** (IS-Leitlinie) und **Sicherheitsrichtlinien** (z.B. Passwortrichtlinie) sind unterschiedliche Dokumententypen im ISMS, die sich ergänzen, aber klar abgrenzbare Funktionen haben:
- Die **IS-Leitlinie** definiert das strategische "WAS" und "WARUM"
- Die **Sicherheitsrichtlinie** definiert das konkrete "WIE"
---
#### Vergleich im Detail
| Merkmal | Informationssicherheitsleitlinie | Sicherheitsrichtlinie (z.B. Passwortrichtlinie) |
|---------|----------------------------------|------------------------------------------------|
| **Ebene** | Strategisch | Taktisch |
| **Zweck** | Commitment zur IS, Ziele und Verantwortlichkeiten | Konkrete Verhaltensregeln für ein bestimmtes Thema |
| **Gültigkeit** | Gesamte Organisation | Themenspezifisch (z.B. alle Authentisierungsvorgänge) |
| **Zielgruppe** | Alle Mitarbeiter und Geschäftsführung | Alle Passwortnutzer (kann auch spezifischer sein) |
| **Freigabe** | Geschäftsführung | Informationssicherheitsbeauftragter (ISB), IT-Leitung |
| **Detailgrad** | Prinzipien und Rahmen | Konkrete Regeln und Anforderungen |
| **Umfang** | 3-8 Seiten | 2-5 Seiten |
| **Aktualisierung** | Alle 1-5 Jahre | Alle 1-3 Jahre, bei technischen Änderungen früher |
| **Verbindlichkeit** | Übergeordnetes Commitment-Dokument | Direkt durchsetzbare Anweisungen |
| **Fragestellung** | "Was wollen wir erreichen?" | "Wie verhalten sich Mitarbeiter konkret?" |
---
### Warum ist eine Informationssicherheitsleitlinie wichtig?
#### 1. NIS2-Konformität und Geschäftsführerhaftung
Die [NIS2-Richtlinie](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/NIS2/nis2_node.html) bringt eine __fundamentale Änderung__: Die __persönliche Haftung der Geschäftsführung__ für Cybersicherheit.
__Was bedeutet das konkret?__
* Die Geschäftsführung ist *persönlich verantwortlich* für angemessene Cybersicherheitsmaßnahmen
* Bußgelder bei Verstößen: Bis zu __10 Millionen Euro__ oder __2% des weltweiten Jahresumsatzes__
* __Persönliche Haftung__ der Geschäftsführer möglich
* Pflicht zur Teilnahme an Cybersicherheitsschulungen
Eine Informationssicherheitsleitlinie ist daher __unerlässlich__, um:
1. __Verantwortlichkeiten klar zu definieren__ (wer ist wofür zuständig?)
2. __Commitment der Geschäftsführung zu dokumentieren__ (Nachweis gegenüber Behörden)
3. __Rechtssicherheit zu schaffen__ (im Fall von Prüfungen oder Vorfällen)
4. __Compliance nachzuweisen__ (gegenüber BSI, Aufsichtsbehörden, Kunden)
> __Wichtig:__ Ohne klare Leitlinie können Geschäftsführer im Schadensfall nicht nachweisen, dass sie ihrer Sorgfaltspflicht nachgekommen sind.
#### 2. Basis für ISO 27001 und IT-Grundschutz-Zertifizierung
Sowohl [ISO/IEC 27001](https://www.iso.org/standard/27001) als auch der [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html) *fordern explizit* eine Informationssicherheitsleitlinie. Ohne dieses Dokument ist keine Zertifizierung möglich.
#### 3. Vertrauen von Kunden und Geschäftspartnern
In Ausschreibungen wird zunehmend eine Informationssicherheitsleitlinie gefordert. Sie signalisiert:
* Professionelles Sicherheitsmanagement
* Klare Verantwortlichkeiten
* Commitment der Unternehmensleitung
#### 4. Interne Klarheit und Verbindlichkeit
Die Leitlinie schafft für alle Mitarbeiter Klarheit über:
* Sicherheitsziele der Organisation
* Ihre Rolle und Verantwortung
* Grundlegende Sicherheitsgrundsätze
* Konsequenzen bei Verstößen
---
### Was muss in einer Informationssicherheitsleitlinie stehen?
Eine vollständige IS-Leitlinie enthält folgende Themen:
| Abschnitt | Muss / Sollte | Inhalt |
|-----------|---------------|--------|
| __1. Einleitung & Geltungsbereich__ | __Muss__ | Zweck des Dokuments, wer ist betroffen (Mitarbeiter, Standorte, Systeme) |
| __2. Stellenwert der Informationssicherheit__ | __Muss__ | Bedeutung für die Organisation, Abhängigkeit von IT, Bedrohungsszenarien |
| __3. Sicherheitsziele__ | __Muss__ | Vertraulichkeit, Integrität, Verfügbarkeit + organisationsspezifische Ziele |
| __4. Verantwortlichkeiten__ | __Muss__ | Geschäftsführung, ISB, IT-Leitung, Mitarbeiter - wer macht was? |
| __5. Einhaltung von Gesetzen__ | __Muss__ | DSGVO, BDSG, HGB, GoBD, NIS2, branchenspezifische Vorgaben |
| __6. Organisation des ISMS__ | __Muss__ | Rollen (ISB, IT-Leitung, ISMS-Team), Aufgaben, Berichtslinien |
| __7. Sicherheitsstrategie__ | Sollte | ISMS-Ansatz (ISO 27001, IT-Grundschutz), Risikoanalyse, PDCA-Zyklus |
| __8. Grundsätze__ | Sollte | Minimalprinzip (Need-to-Know), Maximalprinzip (angemessener Schutz) |
| __9. Folgen von Zuwiderhandlungen__ | Sollte | Arbeitsrechtliche und ggf. strafrechtliche Konsequenzen |
| __10. Kontinuierliche Verbesserung__ | __Muss__ | Überprüfungsintervalle, Verantwortlichkeiten für Updates |
| __11. Inkrafttreten__ | __Muss__ | Datum, Unterschrift der Geschäftsführung |
#### Besonders wichtig für NIS2-betroffene Organisationen
* __Klare Benennung des Informationssicherheitsbeauftragten (ISB)__
* __Ressourcenzusage der Geschäftsführung__ (Personal, Budget, Zeit)
* __Jährliche Überprüfung durch die Geschäftsführung__ (Management Review)
* __Verpflichtung zu Schulungen__ (für Geschäftsführung und Mitarbeiter)
---
### Best Practice Beispiele
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Land Nordrhein-Westfalen stellen praxisnahe Beispiele zur Verfügung:
#### BSI Best Practice: RECPLAST GmbH
Ein ausgezeichnetes Beispiel für mittelständische Unternehmen und industrielle Betriebe.
[📄 BSI RECPLAST Musterleitlinie herunterladen](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Recplast/A01_Sicherheitsleitlinie.pdf?__blob=publicationFile&v=2)
#### Ministerium für Schule und Bildung NRW
Ein Beispiel aus der öffentlichen Verwaltung mit Fokus auf dezentrale Strukturen.
[📄 NRW Informationssicherheitsleitlinie herunterladen](https://www.schulministerium.nrw/system/files/media/document/file/informationssicherheitsleitlinie_msb_221219.pdf)
---
### Tipps für Ihre Leitlinie
__Vermeiden Sie diese häufigen Fehler:__
* **Zu generisch** → Bauen Sie organisationsspezifische Elemente ein (Branche, konkrete Geschäftsprozesse, spezifische Bedrohungen)
* **Zu technisch** → Bleiben Sie auf strategischer Ebene, verständlich für alle Mitarbeiter - nicht nur für IT-Experten
* **Keine Management-Unterschrift** → Ohne Unterschrift der Geschäftsführung fehlt die Verbindlichkeit
* **Unrealistische Ziele** → Setzen Sie messbare, erreichbare Ziele statt "100% Sicherheit" oder "Zero Downtime"
* **"Papiertiger"-Dokument** → Leben Sie die Leitlinie aktiv: Kommunizieren, schulen, bei Verstößen sanktionieren
* **Nie aktualisiert** → Legen Sie feste Review-Intervalle fest (mindestens jährlich) und halten Sie diese ein
* **Unklare Verantwortlichkeiten** → Benennen Sie konkret: Wer ist ISB? Wer ist verantwortlich für welche Bereiche?
---
### Nächste Schritte
#### 1. Analyse
Verstehen Sie Ihre Organisation: Geschäftsprozesse, IT-Landschaft, rechtliche Anforderungen (NIS2-Status prüfen!)
#### 2. Entwurf
Nutzen Sie die BSI- oder NRW-Vorlage als Ausgangspunkt und passen Sie sie an Ihre Organisation an.
#### 3. Abstimmung
Holen Sie Feedback von IT-Leitung, Datenschutzbeauftragtem, Rechtsabteilung und Betriebsrat ein.
#### 4. Verabschiedung
Lassen Sie die Leitlinie von der Geschäftsführung unterzeichnen und setzen Sie ein Inkrafttretensdatum.
#### 5. Kommunikation
Machen Sie die Leitlinie allen Mitarbeitern bekannt (Intranet, Schulungen, Onboarding).
#### 6. Leben
Die Leitlinie ist kein "Papiertiger" - leben Sie die Inhalte und überprüfen Sie sie regelmäßig (mindestens jährlich).
---
## Business Continuity Management nach BSI Standard 200-4
Quelle: https://servicehub.fuentis.com/de/wissen/business-continuity-management-bsi-200-4/
Business Continuity Management (BCM) ist ein systematischer Ansatz zur Sicherstellung der Geschäftskontinuität in Notfall- und Krisensituationen. Nach BSI Standard 200-4 ermöglicht BCM Organisationen, zeitkritische Geschäftsprozesse auch bei schwerwiegenden Störungen aufrechtzuerhalten und damit Schäden zu minimieren. Die Relevanz steigt kontinuierlich durch zunehmende Cyber-Bedrohungen, Naturkatastrophen und komplexe Infrastruktur-Abhängigkeiten.
### Das BSI-Stufenmodell für BCMS
#### Reaktiv-BCMS - Schneller Einstieg
Das **Reaktiv-BCMS** richtet sich an Organisationen, die schnell handlungsfähig werden möchten:
- **Zielgruppe**: Institutionen ohne Vorerfahrung im BCM
- **Ansatz**: Nutzung vorhandener Sicherheitsmaßnahmen und bestehender Mittel
- **Umfang**: Schutz ausgewählter zeitkritischer Geschäftsprozesse
- **Limitation**: Stark vereinfachte Einstiegsstufe, die nach einem BCM-Zyklus weiterentwickelt werden muss
- **Vorteil**: Schnelle Etablierung einer Notfallreaktionsfähigkeit
#### Aufbau-BCMS - Strukturierte Entwicklung
Das **Aufbau-BCMS** ermöglicht eine schrittweise BCMS-Implementierung:
- **Zielgruppe**: Organisationen mit begrenzten Ressourcen oder geringer BCM-Erfahrung
- **Ansatz**: Fokus auf eingeschränkten GP-Umfang mit den zeitkritischsten Prozessen
- **Vorteil**: Graduelle Ressourcenplanung und Anpassung basierend auf Erfahrungen
- **Entwicklungspfad**: Fundament für erfolgreichen Übergang zum Standard-BCMS
- **Effektivität**: Deutlich besserer Schutz als Reaktiv-BCMS
#### Standard-BCMS - Vollständige Reife
Das **Standard-BCMS** repräsentiert die vollständige BCM-Implementierung:
- **Umfang**: Analyse aller Geschäftsprozesse im BCMS-Geltungsbereich
- **Schutzmaßnahmen**: Risikoadäquate Absicherung zeitkritischer Prozesse
- **Zertifizierungsfähigkeit**: Erreicht notwendige Reife für ISO 22301-Zertifizierung
- **Stakeholder**: Erfüllt Anforderungen aller relevanten Interessengruppen
> **Praxis-Tipp**: Beginnen Sie mit dem Aufbau-BCMS, wenn Sie über BCM-Grundkenntnisse verfügen. Das Reaktiv-BCMS eignet sich nur als absoluter Notfall-Einstieg.
### Organisationsstrukturen im Krisenfall
#### Besondere Aufbauorganisation (BAO)
Die normale Aufbauorganisation (AAO) ist für Krisensituationen oft ungeeignet, da komplexe Abstimmungswege schnelle Entscheidungen verhindern. Die BAO löst dieses Problem durch:
**Drei-Ebenen-Struktur:**
- **Strategische Ebene**: Definition von Zielen und Prioritäten
- **Taktische Ebene**: Lageanalyse, Maßnahmenbeschluss und Überwachung
- **Operative Ebene**: Umsetzung der Maßnahmen und Rückmeldung
**Krisenstab-Eigenschaften:**
- Agiert außerhalb der regulären Organisationsstrukturen
- Verfügt über vordefinierte Entscheidungsgewalt
- Besetzt mit Fachexperten für verschiedene Bereiche
- Jede Rolle mit mindestens einer stellvertretenden Person
**Infrastruktur-Anforderungen:**
- Sicherer und ausgestatteter Krisenstabsraum
- Backup-Raum für Ausweichszenarien
- Kommunikationstechnik und Alarmierungssysteme
#### Rollen und Verantwortlichkeiten
**Business Continuity Manager (BCM):**
- Planung und Durchführung der Business Impact Analyse
- Koordination der BCM-Prozesse
- Entwicklung von Notfallplänen
**BC-Beauftragter:**
- Übergreifende Koordination
- Fachliche Unterstützung des BCM
- Schnittstelle zur Organisationsleitung
### Notfall- und Krisenmanagement
#### Begriffsdefinitionen
**Störung:** Kurzfristige Unterbrechung mit geringem Schaden, behebbar im Normalbetrieb
**Notfall:** Nicht tolerierbare Unterbrechung zeitkritischer Prozesse mit erheblichem Schaden; erfordert Notfallpläne und BAO
**Krise:** Schwerwiegende Unterbrechung ohne bestehende Pläne oder bei unwirksamen Maßnahmen; benötigt erweiterte Krisenmanagementstruktur
#### Melde- und Eskalationsprozess
**Zentrale Meldestelle:**
- Annahme und Dokumentation aller Vorfallsmeldungen
- Kategorisierung als Störung, Notfall oder Krise
- Verwaltung von Kontaktinformationen und Prioritäten
**Eskalationskriterien:**
- Sofortige BAO-Aktivierung bei Notfällen und Krisen
- 24/7-Erreichbarkeitsregelungen außerhalb Geschäftszeiten
- Klare, präzise Alarmierung mit Handlungsanweisungen
**Notfallpläne:**
- **Business Continuity Plans (BCP)**: Aufrechterhaltung kritischer Prozesse
- **Wiederanlaufpläne**: Integration ausgefallener Ressourcen
- **Wiederherstellungspläne**: Rückkehr zum Normalbetrieb
### Business Impact Analyse (BIA)
#### Zielsetzung und Nutzen
Die BIA bildet das Fundament des BCM durch:
- **Identifikation** unternehmenskritischer Geschäftsprozesse
- **Bestimmung** des Leistungsniveaus in Normal- und Notbetrieb
- **Ermittlung** maximal tolerierbarer Ausfallzeiten (MTPD)
- **Transparenz** über Prozessabhängigkeiten
#### BIA-Methodik
**Vorscoping:**
- Hierarchische Prozessidentifikation in der Prozess-Ebenen-Pyramide
- Informationssammlung durch Interviews, Workshops oder Umfragen
- Dokumentation von Prozesseigenschaften und Verantwortlichkeiten
**Schadensperioden (standardisiert):**
- ≤1 Stunde bis ≤14 Tage
- Einheitliche Bewertungsgrundlage für alle Geschäftsbereiche
- Berücksichtigung zeitgebundener Prozesse (Jahresabschluss, Gehaltsabrechnungen)
**MTPD-Ermittlung:**
- Zuordnung von Schadenskritikalitäten (1-4) zu Schadensperioden
- Automatisierte Berechnung über vordefinierte Formeln
- Manuelle Erfassung für zeitkritische Sonderfälle
**Abhängigkeitsanalyse:**
- **Zwingend**: Keine Alternative vorhanden
- **Bestehend, nicht zwingend**: Ersetzbar innerhalb der Schadensperiode
- **Keine Abhängigkeit**: Alternative bereits im Regelbetrieb
- Unterscheidung zwischen internen und externen Abhängigkeiten
#### Ressourcenbetrachtung
Analyse folgender Ressourcenkategorien:
- **Informationstechnik (IT)**: Server, Netzwerke, Anwendungen
- **Personal**: Fachkräfte, Kernkompetenzen
- **Gebäude**: Standorte, Arbeitsplätze
- **Services**: Dienstleistungen, Lieferungen, Bauleistungen
- **Infrastruktur**: Produktionsmittel, Versorgungseinrichtungen
### Umsetzung mit der fuentis Suite
Die fuentis Suite unterstützt das BCM durch:
**Prozessmanagement:**
- Zentrale Erfassung und Verwaltung von Geschäftsprozessen
- Automatisierte BIA-Durchführung und -Auswertung
- Abhängigkeitsmodellierung und -visualisierung
**Krisenmanagement:**
- Vordefinierte Alarmierungsketten und Eskalationspfade
- Mobile Krisenstab-Kommunikation
- Dokumentation und Nachverfolgung von Maßnahmen
**Compliance und Reporting:**
- Automatisierte Berichte für Management und Aufsichtsbehörden
- Kontinuierliche Überwachung von BCM-KPIs
- Vorbereitung auf ISO 22301-Zertifizierung
### Best Practices für erfolgreiches BCM
#### Organisatorische Verankerung
- **Top-Management-Commitment**: Sichtbare Unterstützung durch die Geschäftsleitung
- **Klare Verantwortlichkeiten**: Eindeutige Rollendefinition und Ressourcenzuteilung
- **Regelmäßige Übungen**: Praxistest der Notfallpläne und BAO-Strukturen
#### Kontinuierliche Verbesserung
- **Lessons Learned**: Systematische Auswertung nach jedem Vorfall
- **Regelmäßige BIA-Updates**: Anpassung an organisatorische Veränderungen
- **Stakeholder-Integration**: Einbindung aller relevanten internen und externen Partner
#### Technische Umsetzung
- **Redundanzen schaffen**: Backup-Systeme und alternative Standorte
- **Automatisierung nutzen**: Reduzierung manueller Eingriffe in kritischen Situationen
- **Testing und Monitoring**: Kontinuierliche Überprüfung der BCM-Maßnahmen
> **Praxis-Tipp**: Starten Sie mit einer kleinen Pilotgruppe zeitkritischer Prozesse und erweitern Sie schrittweise den BCM-Umfang. So sammeln Sie wertvolle Erfahrungen und können das System iterativ verbessern.
### Rechtliche und regulatorische Aspekte
#### KRITIS-Relevanz
- Besondere Anforderungen für Betreiber kritischer Infrastrukturen
- Meldepflichten bei Sicherheitsvorfällen
- Erhöhte Dokumentations- und Nachweispflichten
#### ISO 22301-Zertifizierung
- Internationale Anerkennung des BCM-Reifegrads
- Anforderungen an kontinuierliche Verbesserung
- Externe Audits und regelmäßige Rezertifizierung
#### Integration in das ISMS
- Verknüpfung mit ISO 27001-Anforderungen
- Gemeinsame Risikobetrachtung und -behandlung
- Synergienutzung bei Dokumentation und Prozessen
### Kernaussagen auf einen Blick
1. **Stufenweiser Aufbau**: Nutzen Sie das BSI-Stufenmodell für eine risikoorientierte BCM-Implementierung - vom Reaktiv-BCMS über das Aufbau-BCMS zum Standard-BCMS.
2. **Organisatorische Flexibilität**: Etablieren Sie eine Besondere Aufbauorganisation (BAO) mit klaren Entscheidungsstrukturen, die in Krisen schnell und effektiv handeln kann.
3. **Fundament Business Impact Analyse**: Führen Sie eine systematische BIA durch, um zeitkritische Prozesse zu identifizieren und maximal tolerierbare Ausfallzeiten zu bestimmen.
4. **Klare Begriffstrennung**: Unterscheiden Sie präzise zwischen Störungen, Notfällen und Krisen, um angemessene Reaktionsmechanismen zu aktivieren.
5. **Kontinuierliche Verbesserung**: Implementieren Sie BCM als lebendigen Prozess mit regelmäßigen Übungen, Lessons Learned und Anpassungen an sich ändernde Rahmenbedingungen.
## Grundlagen der Informationssicherheit
Quelle: https://servicehub.fuentis.com/de/wissen/grundlagen-informationssicherheit/
Informationssicherheit ist ein komplexes Fachgebiet mit einer Vielzahl spezifischer Begriffe, Methoden und Standards. Diese Wissensseite bietet eine zentrale Übersicht über die wichtigsten Terminologien aus ISO 27001, BSI IT-Grundschutz und ISMS-Management. Sie dient als Nachschlagewerk für eine einheitliche Begriffsverwendung und schnelle Orientierung in der täglichen Sicherheitsarbeit.
Eine konsistente Terminologie ist essentiell für effektive Kommunikation zwischen Fachbereichen, IT und Management sowie für die erfolgreiche Umsetzung von Sicherheitsmaßnahmen.
### Zentrale Konzepte der Informationssicherheit
#### Die drei Grundwerte (Schutzziele)
Die Informationssicherheit basiert auf drei fundamentalen Schutzzielen:
- **Vertraulichkeit (Confidentiality)**: Schutz vor unberechtigtem Zugriff auf Informationen
- **Integrität (Integrity)**: Schutz vor unautorisierter Veränderung von Daten und Systemen
- **Verfügbarkeit (Availability)**: Sicherstellung, dass Informationen und Services wie gefordert bereitgestellt werden können
Diese Grundwerte bilden das CIA-Dreieck und sind in allen Sicherheitsstandards zentral verankert.
#### ISMS (Informationssicherheits-Managementsystem)
Ein ISMS ist die Gesamtheit von Regelungen, Prozessen und Maßnahmen zur systematischen Steuerung der Informationssicherheit. Es folgt dem kontinuierlichen PDCA-Zyklus (Plan-Do-Check-Act) und gewährleistet:
- Strukturierte Herangehensweise an Sicherheitsrisiken
- Kontinuierliche Verbesserung der Sicherheitslage
- Nachweisbare Compliance mit Standards und Vorgaben
- Systematische Überwachung und Anpassung von Maßnahmen
#### IT-Grundschutz vs. ISO 27001
**IT-Grundschutz** ist die vom BSI entwickelte Vorgehensweise zur Identifikation und Umsetzung angemessener Sicherheitsmaßnahmen. Er bietet:
- Modulare Bausteine mit konkreten Maßnahmenempfehlungen
- Bewährte Praxis für typische IT-Umgebungen
- Grundlage für ISO 27001-Zertifizierung "auf Basis IT-Grundschutz"
**ISO 27001** definiert die internationalen Anforderungen an ein ISMS und ist:
- Risikobasiert und flexibel anpassbar
- International anerkannter Zertifizierungsstandard
- Rahmenwerk, das durch konkrete Methodiken wie IT-Grundschutz ausgefüllt wird
### Schutzbedarfsfeststellung und Risikoanalyse
#### Methodisches Vorgehen
Die Schutzbedarfsfeststellung erfolgt systematisch:
1. **Prozessanalyse**: Identifikation geschäftskritischer Prozesse
2. **Schadensszenarien**: Bewertung möglicher Auswirkungen bei Verletzung der Schutzziele
3. **Kategorisierung**: Einstufung in "normal", "hoch" oder "sehr hoch"
4. **Vererbung**: Übertragung des Schutzbedarfs auf abhängige Systeme und Komponenten
#### Vererbungsprinzipien
- **Maximumprinzip**: Der höchste Schutzbedarf bestimmt den Gesamtschutzbedarf
- **Kumulationseffekt**: Schutzbedarf steigt durch kumulierte Schäden bei Mehrfachverarbeitung
- **Verteilungseffekt**: Reduktion des Schutzbedarfs durch Verteilung auf mehrere Systeme
**Praxis-Tipp**: Dokumentieren Sie die Vererbung transparent und nachvollziehbar. Dies erleichtert spätere Audits und Anpassungen erheblich.
### ISMS in der Praxis
#### Phasen der ISMS-Einführung
1. **Strukturanalyse**: Erfassung des Informationsverbunds
2. **Schutzbedarfsfeststellung**: Bewertung der Kritikalität
3. **Modellierung**: Zuordnung von Bausteinen zu Zielobjekten
4. **Grundschutz-Check**: Soll-/Ist-Vergleich der Maßnahmen
5. **Risikoanalyse**: Bewertung zusätzlicher Risiken
6. **Maßnahmenumsetzung**: Implementation der erforderlichen Kontrollen
#### Modellierung und Bausteine
Die Modellierung ordnet IT-Grundschutz-Bausteine den identifizierten Zielobjekten zu. Jeder Baustein enthält:
- **Beschreibung**: Zweck und Anwendungsbereich
- **Gefährdungslage**: Relevante Bedrohungen
- **Anforderungen**: Konkrete Sicherheitsmaßnahmen
- **Weiterführende Informationen**: Umsetzungshinweise
#### Absicherungsansätze
- **Basis-Absicherung**: Breite Erstabsicherung über alle Prozesse als Einstieg
- **Kern-Absicherung**: Fokus auf besonders gefährdete Prozesse und Assets
- **Standard-Absicherung**: Klassische, umfassende BSI-Vorgehensweise
### Umsetzungshilfen und Best Practices
#### Konsistente Terminologie
- Verwenden Sie "Informationsverbund" in IT-Grundschutz-Kontexten
- Nutzen Sie "Scope" in ISO-/internationalen Kontexten
- Halten Sie die Unterscheidung zwischen "Datenschutz" (personenbezogene Daten) und "Datensicherheit" (technischer Schutz) ein
#### Rollenklarstellung
Definieren Sie klare Verantwortlichkeiten:
- **ISB/CISO**: Strategische Führung des ISMS
- **Risk Owner**: Verantwortung für spezifische Risiken
- **Werteverantwortlicher**: Schutz spezifischer Assets
- **Governance-Gruppe**: Strategische Entscheidungen und Richtlinien
**Praxis-Tipp**: Nutzen Sie RACI-Matrizen zur eindeutigen Rollenzuordnung (Responsible, Accountable, Consulted, Informed).
#### Dokumentation und Nachweise
- Führen Sie alle Nachweisdokumente versionsgeführt und unveränderlich
- Dokumentieren Sie Entscheidungen und deren Begründungen
- Stellen Sie sicher, dass Prüfpfade nachvollziehbar sind
#### Kontinuierliche Verbesserung
- Evaluieren Sie Sicherheitskonzepte mindestens alle 2 Jahre
- Stellen Sie spätestens nach 3 Jahren eine aktualisierte ISMS-Version bereit
- Führen Sie regelmäßige interne Audits durch
**Praxis-Tipp**: Nutzen Sie die Katalogfunktionen der fuentis Suite für eine konsistente Anwendung der IT-Grundschutz-Bausteine und automatisierte Compliance-Checks.
### Kernaussagen auf einen Blick
1. **Einheitliche Terminologie ist fundamental** für erfolgreiche Informationssicherheit und effektive Kommunikation zwischen allen Beteiligten im ISMS.
2. **Die drei Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit** bilden das Fundament aller Sicherheitsmaßnahmen und Standards.
3. **IT-Grundschutz und ISO 27001 ergänzen sich optimal**: IT-Grundschutz liefert bewährte Praxis, ISO 27001 den internationalen Rahmen für Zertifizierung.
4. **Strukturierte Phasen vom Strukturanalyse bis zur kontinuierlichen Verbesserung** gewährleisten systematischen ISMS-Aufbau und nachhaltige Sicherheit.
5. **Klare Rollen, konsistente Dokumentation und regelmäßige Überprüfung** sind Erfolgsfaktoren für wirksame Informationssicherheit in der Praxis.
## IT-Grundschutz - Systematische Informationssicherheit
Quelle: https://servicehub.fuentis.com/de/wissen/it-grundschutz-leitfaden/
Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist eine bewährte Methodik zur systematischen Absicherung von Informationen und IT-Systemen. Er bietet einen strukturierten Ansatz für Organisationen aller Größen, um Informationssicherheit effizient und nachvollziehbar zu implementieren.
### Was ist IT-Grundschutz?
IT-Grundschutz ist ein ganzheitlicher Ansatz zur Informationssicherheit, der auf dem Baustein-Prinzip basiert. Im Gegensatz zu rein risikobasierten Ansätzen bietet er vordefinierte Sicherheitsmaßnahmen für typische IT-Komponenten und Geschäftsprozesse. Dies macht ihn besonders attraktiv für Organisationen, die eine solide Sicherheitsgrundlage schaffen möchten, ohne aufwändige individuelle Risikoanalysen für jeden Bereich durchführen zu müssen.
#### Warum IT-Grundschutz implementieren?
**Praktische Vorteile:**
- Strukturierter, erprobter Ansatz mit konkreten Maßnahmenempfehlungen
- Reduzierung des Analysaufwands durch vordefinierte Bausteine
- Kombinierbar mit anderen Standards wie ISO 27001
- Umfangreiche BSI-Unterstützung und kostenlose Ressourcen
- Besonders geeignet für deutsche Organisationen und rechtliche Anforderungen
**Compliance-Nutzen:**
- Erfüllung gesetzlicher Anforderungen (z.B. KRITIS, NIS2)
- Nachweis angemessener technischer und organisatorischer Maßnahmen
- Grundlage für IT-Sicherheitszertifizierungen
- Vertrauen bei Geschäftspartnern und Behörden
### Kernkonzepte des IT-Grundschutzes
#### Das Baustein-Prinzip
Der IT-Grundschutz arbeitet mit modularen **Bausteinen**, die typische IT-Komponenten, Anwendungen und Geschäftsprozesse abdecken. Jeder Baustein enthält:
- **Beschreibung** des Anwendungsbereichs
- **Gefährdungen** und deren Auswirkungen
- **Anforderungen** zur Risikominimierung
- **Weiterführende Informationen** zur praktischen Umsetzung
**Bausteinarten:**
- **ISMS-Bausteine:** Informationssicherheitsmanagementsystem
- **ORP-Bausteine:** Organisation und Personal
- **CON-Bausteine:** Konzepte und Vorgehensweisen
- **OPS-Bausteine:** Betrieb
- **DER-Bausteine:** Detektion und Reaktion
- **SYS-Bausteine:** IT-Systeme
- **APP-Bausteine:** Anwendungen
- **NET-Bausteine:** Netze und Kommunikation
- **INF-Bausteine:** Infrastruktur
- **IND-Bausteine:** Industrielle IT
#### Schutzbedarfsfeststellung
Die **Schutzbedarfsfeststellung** bestimmt, wie schutzbedürftig Informationen und IT-Systeme sind. Sie unterscheidet drei Schutzbedarfskategorien:
- **Normal:** Schadenauswirkungen sind begrenzt und überschaubar
- **Hoch:** Schadenauswirkungen können beträchtlich sein
- **Sehr hoch:** Schadenauswirkungen können ein existenziell bedrohliches Ausmaß erreichen
Die Bewertung erfolgt für die drei Grundwerte der Informationssicherheit:
- **Vertraulichkeit:** Schutz vor unbefugter Preisgabe
- **Integrität:** Schutz vor unbefugter Veränderung
- **Verfügbarkeit:** Sicherstellung der Zugänglichkeit und Nutzbarkeit
#### Modellierung
Bei der **Modellierung** wird die IT-Landschaft der Organisation systematisch erfasst und den entsprechenden IT-Grundschutz-Bausteinen zugeordnet. Dieser Prozess umfasst:
- **Strukturanalyse:** Erfassung von Geschäftsprozessen, Anwendungen und IT-Systemen
- **Schutzbedarfsfeststellung:** Bewertung der Schutzbedürftigkeit
- **Auswahl und Anpassung der Bausteine:** Zuordnung relevanter IT-Grundschutz-Bausteine
- **Erstellen des Informationsverbunds:** Gesamtbild der zu schützenden Assets
### Vorgehensweise bei der IT-Grundschutz-Implementierung
#### Phase 1: Initiierung und Vorbereitung
**Management-Commitment sicherstellen**
- Unterstützung der Geschäftsleitung für IT-Grundschutz-Projekt
- Benennung eines IT-Sicherheitsbeauftragten
- Definition von Zielen und Ressourcen
**ISMS aufbauen**
- Entwicklung einer Sicherheitsleitlinie
- Aufbau der Organisationsstruktur für Informationssicherheit
- Etablierung von Sicherheitsprozessen
#### Phase 2: Strukturanalyse und Schutzbedarfsfeststellung
**Strukturanalyse durchführen**
- Erfassung aller Geschäftsprozesse
- Identifikation von Anwendungen und IT-Systemen
- Dokumentation der Netzarchitektur
- Erhebung von Räumlichkeiten und Personal
**Schutzbedarf ermitteln**
- Bewertung kritischer Geschäftsprozesse
- Klassifizierung von Informationen
- Bestimmung des Schutzbedarfs für IT-Systeme
- Dokumentation der Bewertungsergebnisse
#### Phase 3: Modellierung
**Bausteine auswählen**
- Zuordnung relevanter IT-Grundschutz-Bausteine
- Berücksichtigung des ermittelten Schutzbedarfs
- Anpassung an organisationsspezifische Gegebenheiten
**Anforderungen kompilieren**
- Zusammenstellung aller relevanten Anforderungen
- Priorisierung nach Schutzbedarf
- Erstellung eines Maßnahmenkatalogs
#### Phase 4: IT-Grundschutz-Check
Der **IT-Grundschutz-Check** ist die systematische Überprüfung der Umsetzung von Sicherheitsmaßnahmen:
**Vorbereitung**
- Überprüfung der Voraussetzungen (Strukturanalyse, Modellierung)
- Identifikation der richtigen Ansprechpartner
- Terminplanung und Koordination
- Sichtung vorhandener Dokumentation
**Durchführung**
- Systematischer Soll-Ist-Vergleich durch Interviews
- Dokumentensichtung und Nachweisprüfung
- Bewertung des Umsetzungsgrads je Anforderung
- Identifikation von Schwachstellen und Lücken
**Nachbereitung**
- Analyse der Prüfungsergebnisse
- Erstellung von Handlungsempfehlungen
- Definition von Maßnahmenplänen
- Dokumentation von Lessons Learned
### Soll-Ist-Vergleich: Systematische Bewertung der Maßnahmenumsetzung
#### Bewertungskriterien
Für jede IT-Grundschutz-Anforderung wird der Umsetzungsgrad systematisch bewertet:
| Umsetzungsgrad | Bedeutung | Kriterien |
|---|---|---|
| **Ja** | Vollständig umgesetzt | Alle Maßnahmenziele erfüllt, wirksam und angemessen |
| **Teilweise** | Teilweise umgesetzt | Einige Aspekte fehlen oder sind unvollständig |
| **Nein** | Nicht umgesetzt | Maßnahmenziele sind nicht erfüllt |
| **Entbehrlich** | Nicht erforderlich | Höherwertige Kontrollen oder Irrelevanz |
#### Dokumentation und Nachvollziehbarkeit
**Strukturierte Erfassung**
- Verwendung einheitlicher Bewertungskriterien
- Dokumentation von Begründungen für jede Bewertung
- Referenzierung relevanter Nachweisdokumente
- Sicherstellung der Nachvollziehbarkeit für Dritte
**Kontinuierliche Aktualisierung**
- Zentrale Dokumentation zur Vermeidung von Redundanzen
- Regelmäßige Überprüfung und Aktualisierung
- Integration in bestehende Compliance-Prozesse
### Spezielle IT-Grundschutz-Ansätze
#### WIBA - Weg in die Basis-Absicherung
**Zielgruppe:** Kleine und mittlere Unternehmen, Vereine, Kommunen
**Merkmale:**
- Vereinfachter Einstieg in den IT-Grundschutz
- Pragmatischer Weg zum Basis-Absicherungsgrad
- Reduzierter initialer Aufwand
- Schrittweises Vorgehen bei begrenzten Ressourcen
#### IT-Grundschutz-Profile
**Anwendungsfälle:**
- Vorkonfigurierte Bausteinauswahl für spezifische Organisationstypen
- Einsatz in Schulen, Kommunen oder besonderen Szenarien
- Basis für schnelle Implementierung in Standardumgebungen
#### B3S - Branchenspezifische Sicherheitsstandards
**Relevanz für KRITIS:**
- Erfüllung der Anforderungen nach § 8a BSIG
- Branchenspezifische Ausgestaltung der IT-Sicherheit
- BSI-Anerkennung als Nachweis angemessener Sicherheit
- Sektorspezifische Umsetzung für kritische Infrastrukturen
#### C5 - Cloud Computing Compliance
**Anwendungsbereich:**
- Prüfstandard für professionelle Cloud-Dienste
- Erhöhte Transparenz und Auditierbarkeit
- Berücksichtigung deutscher rechtlicher Rahmenbedingungen
- Integration mit ISO/IEC 27001
### Best Practices für die IT-Grundschutz-Implementierung
#### Organisatorische Erfolgsfaktoren
**Praxis-Tipp: Strukturierte Herangehensweise**
- Beginnen Sie mit der Basisabsicherung wichtiger Systeme
- Nutzen Sie vorhandene Dokumentation und Prozesse
- Implementieren Sie schrittweise statt alles auf einmal
- Binden Sie Fachbereiche frühzeitig ein
**Change Management**
- Sensibilisierung der Mitarbeiter für Informationssicherheit
- Schulungen zu neuen Prozessen und Anforderungen
- Kommunikation von Nutzen und Notwendigkeit
- Aufbau einer Sicherheitskultur
#### Effiziente Umsetzung
**Ressourcenoptimierung**
- Nutzung von BSI-Hilfsmitteln und Templates
- Automatisierung wiederkehrender Prüfprozesse
- Integration in bestehende Management-Systeme
- Bündelung von Maßnahmen nach Verantwortlichkeiten
**Qualitätssicherung**
- Regelmäßige interne Audits
- Kontinuierliche Überwachung der Maßnahmenwirksamkeit
- Anpassung an technologische Entwicklungen
- Lessons Learned aus der praktischen Umsetzung
### Unterstützung durch die fuentis Suite
Die fuentis Suite bietet umfassende Unterstützung für die IT-Grundschutz-Implementierung:
#### ISMS-Modul
- Vorgefertigte BSI-Bausteine und Anforderungen
- Automatisierte Modellierung von IT-Landschaften
- Strukturierte Schutzbedarfsfeststellung
- Unterstützung bei der Bausteinauswahl
#### Compliance-Management
- Soll-Ist-Vergleich mit automatisierter Bewertung
- Fortschrittstracking und Dashboard-Visualisierung
- Integration mit anderen Standards (ISO 27001, TISAX)
- Maßnahmenplanung und -verfolgung
#### Audit- und Review-Funktionen
- IT-Grundschutz-Check-Unterstützung
- Interview-Management und Terminplanung
- Strukturierte Dokumentation von Prüfungsergebnissen
- Automatisierte Berichtserstellung
#### Asset- und Risikomanagement
- Zentrale Verwaltung des Informationsverbunds
- Verknüpfung von Assets mit IT-Grundschutz-Bausteinen
- Risikoregister für ergänzende Sicherheitsanalysen
- Change Management für IT-Landschaftsänderungen
### Integration mit anderen Standards
IT-Grundschutz lässt sich effektiv mit anderen Sicherheitsstandards kombinieren:
**ISO 27001**
- IT-Grundschutz als Basis-Absicherung, ISO 27001 für Risikomanagement
- Gemeinsame ISMS-Struktur und Management-Prozesse
- Kombinierte Audit-Strategien
- Effiziente Ressourcennutzung
### Kontinuierliche Verbesserung und Monitoring
#### Regelmäßige Überprüfung
**Monitoring-Zyklen**
- Quartalsweise Überprüfung kritischer Maßnahmen
- Jährlicher vollständiger IT-Grundschutz-Check
- Ereignisbasierte Anpassungen bei Änderungen
- Integration in Management-Review-Prozesse
#### Anpassung an Veränderungen
**Technologische Entwicklungen**
- Integration neuer IT-Systeme und Anwendungen
- Berücksichtigung von Cloud-Computing und Digitalisierung
- Anpassung an neue Bedrohungsszenarien
- Updates des IT-Grundschutz-Kompendiums
**Organisatorische Veränderungen**
- Anpassung bei Geschäftsprozessänderungen
- Integration von Akquisitionen oder Ausgliederungen
- Berücksichtigung regulatorischer Änderungen
- Weiterentwicklung der Sicherheitsorganisation
### Kernaussagen auf einen Blick
**Die 5 wichtigsten Erfolgsfaktoren für IT-Grundschutz:**
1. **Systematisches Vorgehen**: Strukturanalyse, Schutzbedarfsfeststellung und Modellierung bilden das Fundament für eine effektive IT-Grundschutz-Implementierung
2. **Baustein-orientierte Umsetzung**: Die modulare Struktur ermöglicht eine pragmatische und nachvollziehbare Absicherung ohne aufwändige Einzelrisikoanalysen
3. **Kontinuierlicher Soll-Ist-Vergleich**: Regelmäßige IT-Grundschutz-Checks decken Schwachstellen auf und stellen die Wirksamkeit der Maßnahmen sicher
4. **Integration in bestehende Prozesse**: IT-Grundschutz funktioniert am besten als Teil eines ganzheitlichen Informationssicherheitsmanagements
5. **Praktische Umsetzungshilfen nutzen**: BSI-Ressourcen, Profile und moderne ISMS-Tools wie die fuentis Suite beschleunigen die Implementierung erheblich
**Warum IT-Grundschutz mehr ist als nur Compliance:**
IT-Grundschutz bietet einen bewährten, praxiserprobten Weg zu systematischer Informationssicherheit. Er verbindet deutsche Gründlichkeit mit internationaler Standards-Kompatibilität und ermöglicht Organisationen, Sicherheit nicht nur zu "haben", sondern zu leben und kontinuierlich zu verbessern.
## Systematischer Aufbau eines ISMS
Quelle: https://servicehub.fuentis.com/de/wissen/isms-implementierung-systematischer-aufbau/
Die Einführung eines **Informationssicherheits-Managementsystems (ISMS)** nach ISO 27001 ist ein systematischer Ansatz zum Schutz der wertvollsten Unternehmensressource: Information. Ein ISMS bietet nicht nur technische Lösungen, sondern etabliert eine ganzheitliche Governance-Struktur für Informationssicherheit, die Risiken minimiert, Compliance sicherstellt und das Vertrauen von Kunden und Partnern stärkt.
Der strukturierte Aufbau eines ISMS folgt bewährten Methoden und Standards wie ISO 27001, BSI-Grundschutz und TISAX. Dabei stehen nicht nur die technischen Aspekte im Fokus, sondern vor allem die organisatorischen Prozesse, die Einbindung von Stakeholdern und die kontinuierliche Verbesserung der Sicherheitslage.
> **Praxis-Tipp**: Ein erfolgreiches ISMS benötigt starkes Management-Commitment und eine systematische Herangehensweise. Die Implementierung sollte phasenweise erfolgen, um Überforderung zu vermeiden und nachhaltigen Erfolg zu gewährleisten.
### Kernkonzepte und Anforderungen
#### Phasenmodell der ISMS-Implementierung
Die ISMS-Einführung folgt einem strukturierten **Vier-Phasen-Modell**, das auf den bewährten PDCA-Zyklus (Plan-Do-Check-Act) aufbaut:
##### Phase 1: Initialisierung
**Zentrale Aktivitäten:**
- Kick-off-Meeting mit allen relevanten Stakeholdern
- Zusammenstellung relevanter Dokumente und Ressourcen
- Erstellung einer umfassenden Stakeholder-Liste
- Definition des ISMS-Scopes und der Sicherheitsleitlinie
- Festlegung der Governance-Strukturen und Verantwortlichkeiten
- Entwicklung von Projekt-Charter und Projektplan
**Wichtige Dokumentengrundlagen:**
- Vorhandene Prozessbeschreibungen und IT-Sicherheitsrichtlinien
- Bestehende Zertifizierungen (ISO 9001/27001, TISAX, BSI-Grundschutz)
- Datenschutzkonzepte und TOM-Dokumentationen (DSGVO)
- IT-Betriebsdokumentationen und Systemlandschaften
- Verträge mit Dienstleistern und SLAs
- Notfallhandbücher und Wiederanlaufpläne
##### Phase 2: Planung (Plan)
**Systematische Analyse und Bewertung:**
- **Strukturanalyse**: Erfassung der IT-Landschaft und Assets
- **Schutzbedarfsanalyse**: Bewertung der Kritikalität von Geschäftsprozessen
- **Business Impact Analyse (BIA)**: Ermittlung der Auswirkungen von Sicherheitsvorfällen
- **Risikoanalyse**: Systematische Identifikation und Bewertung von Risiken
- **Gap-Analyse**: Vergleich zwischen Ist- und Soll-Zustand
**Zentrale Ergebnisse:**
- Risikoregister mit bewerteten Bedrohungsszenarien
- Statement of Applicability (SoA)
- Maßnahmenplan mit priorisierten Sicherheitskontrollen
- ISMS-Roadmap mit Zeitplänen und Meilensteinen
- Reifegradbewertung der IT-Sicherheit
##### Phase 3: Umsetzung (Do)
**Implementierung der Maßnahmen:**
- Umsetzung der identifizierten Sicherheitsmaßnahmen
- Überarbeitung und Einführung von Sicherheitsrichtlinien
- Durchführung von Schulungen und Awareness-Kampagnen
- Operationalisierung der Prozesse
- Integration in bestehende Organisationsstrukturen
- Durchführung von Tests und Proof-of-Concepts
##### Phase 4: Abschluss und Übergabe
**Finalisierung und Nachhaltigkeit:**
- Abnahme aller Projektartefakte
- Übergabe an die Betriebsorganisation
- Durchführung von Lessons-Learned-Sessions
- Etablierung kontinuierlicher Verbesserungsprozesse
#### Kritische Erfolgsfaktoren
##### Stakeholder-Management
Ein ISMS erfordert die aktive Einbindung aller relevanten Akteure. Das Stakeholder-Management folgt einem **strukturierten Reifegradmodell**:
1. **Kenntnis**: Stakeholder kennen das Projekt und ihre Rolle
2. **Verständnis**: Verstehen von Nutzen und Herausforderungen
3. **Akzeptanz**: Reduktion innerer Widerstände
4. **Übernahme**: Aktives Engagement für Projektziele
5. **Verantwortung**: Proaktiver Einsatz für Projekterfolg
**Systematische Stakeholder-Einbindung:**
- **Phase 1 – Identifikation**: Erfassung und Gruppierung aller Stakeholder
- **Phase 2 – Einstufung**: Einordnung nach Einfluss und Interesse
- **Phase 3 – Kommunikation**: Entwicklung gezielter Kommunikationsstrategien
##### Prozessbasierter Ansatz
Das ISMS baut auf **sechs Kernprozessen** auf, die systematisch entwickelt und implementiert werden:
#### 1. Risikoanalyse und -bewertung
**Strukturiertes Vorgehen:**
**Vorbedingungen:**
- Liste kritischer Geschäftsprozesse
- Ermittelte Schadenskritikalität
- Einbindung von Entscheidungsträgern und Prozessverantwortlichen
- Definition von Risikotoleranzgrenzen
**Bedrohungskategorien:**
- Elementare Gefährdungen (Naturkatastrophen, Umwelteinflüsse)
- Höhere Gewalt (unvorhersehbare Ereignisse)
- Organisatorische Mängel (Prozessschwächen, fehlende Kontrollen)
- Menschliche Fehlhandlungen (Bedienungsfehler, Nachlässigkeit)
- Technisches Versagen (Hardware-/Software-Ausfälle)
- Vorsätzliche Handlungen (Cyberangriffe, Sabotage)
**Bewertungsmethodik:**
- Ermittlung von Schadensausmaß und Eintrittswahrscheinlichkeit
- Bewertung der Ausnutzbarkeit von Schwachstellen
- Durchführung durch Interviews und Workshops
- Einbeziehung von Prozessverantwortlichen und Risikomanagement
#### 2. Prozesserfassung und -dokumentation
**Systematische Herangehensweise:**
**Vorbereitungsphase:**
- Sichtung bestehender Dokumente (Sicherheitskonzepte, Organigramme)
- Anpassung der Dokumentationsvorlagen an Unternehmenssprache
- Terminplanung und Koordination mit Stakeholdern
**Durchführungsphase:**
- Strukturierte Interviews mit Prozessverantwortlichen
- Gemeinsame Ausfüllung der Prozesssteckbriefe
- Respektvolle und partnerschaftliche Kommunikation
- Fokus auf Ist-Zustand ohne Bewertung
**Nachbearbeitung:**
- Qualitätssicherung der erfassten Informationen
- Klärung offener Fragen mit Ansprechpartnern
- Finalisierung und Übergabe an Projektleitung
#### 3. Schulungs- und Sensibilisierungsplanung
**Erfolgsfaktoren für nachhaltiges Lernen:**
**Klare Zieldefinition:**
- Vermittlung grundlegender IS- und Datenschutzkenntnisse
- Förderung aktiver Beteiligung und Sensibilisierung
- Entwicklung methodischer und technischer Fähigkeiten
- Ableitung von Maßnahmen aus IS-Zielen
**Zielgruppenspezifischer Ansatz:**
- Homogene Gruppierung nach fachlichen Aufgaben
- Bedarfsermittlung durch Interviews und Analysen
- Modularer Aufbau der Schulungsprogramme
- Berücksichtigung unterschiedlicher Lernstile
**Methodenvielfalt:**
- **Präsenzschulungen**: Direkte Interaktion und Gruppendynamik
- **E-Learning**: Flexibilität in Zeit und Ort
- **Blended Learning**: Kombination verschiedener Ansätze
- **Awareness-Kampagnen**: Kontinuierliche Sensibilisierung
**Nachhaltigkeit:**
- Regelmäßige Aktualisierung der Inhalte
- Einbindung der Führungsebene
- Evaluation und kontinuierliche Verbesserung
- Integration in Onboarding-Prozesse
#### 4. Datensicherung und Business Continuity
**Umfassende Backup-Strategie:**
**Verantwortlichkeitsmatrix:**
- **Gesamtverantwortung**: Geschäftsleitung
- **Datenablage**: IT-Benutzer/Dateneigentümer
- **Backup-Durchführung**: Administratoren
- **Wiederherstellungsentscheidungen**: Gestufte Befugnisse
- **Tests und Überprüfung**: Informationssicherheitsbeauftragter
**Mehrstufiges Backup-Konzept:**
- **Kurzfristige Sicherung**: Tägliche Backups auf Festplattenspeicher (30 Tage)
- **Langfristige Sicherung**: Wöchentliche Band-Sicherung
- Wöchentliche Backups: 4 Wochen Aufbewahrung
- Monatliche Backups: 12 Monate Aufbewahrung
- Jährliche Backups: 5 Jahre Aufbewahrung
**Wiederherstellungstests:**
- Tägliche Wiederherstellung einzelner Dateien
- Vierteljährliche Testwiederherstellung in Testumgebung
- Dokumentation und Bewertung der Testergebnisse
- Integration in Notfallmanagement-Übungen
#### 5. Maßnahmenpriorisierung
**Strategische Herangehensweise:**
**Kategorisierung von Maßnahmen:**
1. **ISMS-Prozessmaßnahmen**: Etablierung systematischer Sicherheitsprozesse
2. **Operative Sicherheitsmaßnahmen**: Konkrete technische und organisatorische Schutzmaßnahmen
**Priorisierungskriterien:**
- **Ressourcenverfügbarkeit**: Sofortige Umsetzung vs. Ressourcenbeschaffung
- **Sicherheitsgewinn**: Nutzen-Aufwand-Relation der Maßnahmen
- **Maßnahmenkategorie**:
- Organisatorische Maßnahmen (höchste Priorität)
- Technische Maßnahmen (mittlere Priorität)
- Bauliche Maßnahmen (aufwendigste Umsetzung)
**Reifegrad-orientierte Umsetzung:**
- Bestimmung des Ziel-Reifegrads für ISMS-Prozesse
- Berücksichtigung von Prozessabhängigkeiten
- Minimierung des Betriebsaufwands bei maximaler Zielerreichung
#### 6. Steuerung von Sicherheitsvorgaben
**Systematisches Dokumentenmanagement:**
**Lebenszyklus-Management:**
- **Entwicklung**: Erstellung neuer Sicherheitsvorgaben
- **Freigabe**: Strukturierter Genehmigungsprozess
- **Ausrollung**: Kommunikation und Schulung
- **Pflege**: Versionskontrolle und Änderungsmanagement
- **Archivierung**: Kontrollierte Aufbewahrung und Löschung
**Kontinuierliche Verbesserung:**
- Regelmäßige Überprüfung der Wirksamkeit
- Integration von Feedback aus Audits und Vorfällen
- Anpassung an veränderte Bedrohungslandschaft
- Kennzahlen zur Messung der Dokumentenqualität
### Umsetzungshilfen und Best Practices
#### Erfolgsfaktoren für die ISMS-Implementierung
**Management-Commitment sicherstellen:**
- Frühe Einbindung der Geschäftsführung in Konzeption und Umsetzung
- Klare Kommunikation von Nutzen und Notwendigkeit
- Bereitstellung ausreichender Ressourcen und Budget
- Regelmäßige Erfolgsmessung und Berichterstattung
**Pragmatischen Ansatz wählen:**
- Start mit einem realistischen Scope und schrittweise Erweiterung
- Fokus auf kritische Geschäftsprozesse und Assets
- Nutzung bestehender Strukturen und Prozesse
- Vermeidung von Über-Engineering und zu hohen Reifegraden
**Stakeholder aktiv einbinden:**
- Regelmäßige Kommunikation und Feedback-Runden
- Schulungen und Sensibilisierungsmaßnahmen
- Berücksichtigung fachlicher Expertise
- Schaffung von Ownership und Verantwortlichkeit
> **Praxis-Tipp**: Beginnen Sie mit einem "Minimal Viable ISMS" und bauen Sie systematisch aus. Dies reduziert Komplexität und Überforderung, während gleichzeitig schnelle Erfolge erzielt werden.
#### Integration in bestehende Managementsysteme
**Synergie mit anderen Standards:**
- **ISO 9001**: Gemeinsame Nutzung von Dokumentationsprozessen
- **ISO 14001**: Überschneidungen bei Risikomanagement und Audits
- **TISAX**: Spezielle Anforderungen der Automobilindustrie
- **DSGVO**: Integrierte Betrachtung von Datenschutz und -sicherheit
**Effiziente Multi-Standard-Ansätze:**
- Gemeinsame Governance-Strukturen etablieren
- Integrierte Audit-Planung und -durchführung
- Harmonisierte Dokumentations- und Berichtssysteme
- Übergreifende Schulungs- und Awareness-Programme
### Unterstützung durch die fuentis Suite
Die **fuentis Suite** bietet umfassende Unterstützung für alle Phasen der ISMS-Implementierung:
#### Verfügbare Funktionen
**Risiko- und Maßnahmenmanagement:**
- Erstellung und Verwaltung von Risikomethodiken (Matrix-basiert)
- Strukturierte Risikobewertung mit automatischen Berechnungen
- Risikobehandlungsplan (RTP) mit Status-Tracking
- Zuweisung von ISO 27001-Kontrollen zu identifizierten Risiken
- Automatisierte Berichte zu RTP und SoA
**Asset-Management:**
- Zentrale Erstellung und Verwaltung des Asset-Inventars
- Kategorisierung nach Schutzbedarfen und Kritikalität
- Verknüpfung mit Risiken und Sicherheitsmaßnahmen
- Lifecycle-Management für IT-Assets
**Compliance-Management:**
- Durchführung strukturierter Gap-Analysen
- Automatisierte Erstellung des Statement of Applicability
- Mapping zu verschiedenen Standards (ISO 27001, BSI-Grundschutz, TISAX)
- Sammlung und Verwaltung von Compliance-Belegen
**Monitoring und Dashboards:**
- Echtzeit-Überwachung von Kontrollen und Maßnahmen
- Aufgaben-Management mit Termin- und Verantwortlichkeits-Tracking
- Risiko-Dashboards mit grafischen Auswertungen
- Vorfalls-Management und -Tracking
#### Geplante Erweiterungen
Die fuentis Suite wird kontinuierlich um weitere ISMS-relevante Funktionen erweitert:
**Scope- und Initiierungsmanagement:**
- Digitale Unterstützung der Scope-Definition
- ISMS-Profil-Auswahl und Standardmapping
- Stakeholder-Management und Kommunikationsplanung
- Projekt-Dashboards für ISMS-Implementierung
**Policy-Management:**
- Zentrale Erstellung und Verwaltung von Sicherheitsrichtlinien
- Genehmigungs-Workflows und Versionskontrolle
- Automatische Verteilung und Schulungsnachweis
- Wirksamkeitsüberprüfung und Aktualisierungszyklen
**Audit-Management:**
- Planung und Durchführung interner ISMS-Audits
- Audit-Checklisten und Fragenkataloge
- Findings-Management und Korrekturmaßnahmen-Tracking
- Audit-Berichte und Management-Reviews
**Erweiterte Nachweisführung:**
- Vorfallmanagement mit Kategorisierung und Eskalation
- Lieferantenbewertung und Supply-Chain-Risiken
- Incident Response Workflows
- Automatisierte Reporting für Regulatoren und Auditoren
> **Praxis-Tipp**: Nutzen Sie die fuentis Suite bereits in der Planungsphase, um von Beginn an strukturiert zu arbeiten. Das Asset-Management und die Risikobewertung schaffen eine solide Grundlage für alle weiteren ISMS-Aktivitäten.
### Verortung in der Compliance-Landschaft
#### Normbezug und Standards
**ISO 27001 als Rahmenwerk:**
- Internationale Anerkennung und Zertifizierungsmöglichkeit
- Klare Anforderungen an Managementsysteme
- Integration mit anderen ISO-Standards
- Regelmäßige Updates und Weiterentwicklung
**BSI-Grundschutz-Integration:**
- Detaillierte Baustein-Bibliothek für konkrete Umsetzung
- Behördlich anerkannte Methodik in Deutschland
- Modularer Aufbau ermöglicht schrittweise Implementierung
- Verbindung zwischen strategischer Planung und operativer Umsetzung
**Branchenspezifische Erweiterungen:**
- **TISAX**: Automotive-spezifische Anforderungen
- **KRITIS**: Besondere Pflichten für kritische Infrastrukturen
- **Cloud-Security**: Ergänzende Standards wie CSA STAR
- **Finanzsektor**: Integration von MaRisk und anderen Finanzregulatorien
#### Rechtliche und regulatorische Anforderungen
**DSGVO-Compliance:**
- Technische und organisatorische Maßnahmen (TOM)
- Dokumentationspflichten und Nachweisführung
- Datenschutz-Folgenabschätzungen (DSFA)
- Integration in ISMS-Risikomanagement
**Weitere Compliance-Anforderungen:**
- **NIS-2-Richtlinie**: Erweiterte Sicherheitsanforderungen
- **Cyber Resilience Act**: Produktsicherheit und Lifecycle-Management
- **EU-Taxonomie**: Nachhaltigkeitsaspekte der IT-Sicherheit
- **Sektorspezifische Regulierung**: Je nach Branche und Tätigkeitsfeld
#### Glossar
**ISMS**: Informationssicherheits-Managementsystem – systematischer Ansatz zum Management der Informationssicherheit in einer Organisation.
**SoA**: Statement of Applicability – Dokument, das angibt, welche Sicherheitskontrollen ausgewählt und implementiert wurden.
**RTP**: Risikobehandlungsplan – dokumentierte Strategie zur Behandlung identifizierter Risiken.
**BIA**: Business Impact Analysis – Bewertung der Auswirkungen von Betriebsstörungen auf kritische Geschäftsprozesse.
**Gap-Analyse**: Systematischer Vergleich zwischen Ist-Zustand und gewünschtem Soll-Zustand der Sicherheitsmaßnahmen.
**Stakeholder**: Alle Personen oder Gruppen, die von der ISMS-Implementierung betroffen sind oder Einfluss darauf haben.
**PDCA-Zyklus**: Plan-Do-Check-Act – kontinuierlicher Verbesserungsprozess für Managementsysteme.
### Kernaussagen auf einen Blick
1. **Strukturierter Phasenansatz**: Die ISMS-Implementierung folgt einem bewährten Vier-Phasen-Modell (Initialisierung, Planung, Umsetzung, Abschluss), das systematisch von der Scope-Definition bis zur Betriebseinführung führt.
2. **Stakeholder-Management als Erfolgsfaktor**: Die aktive Einbindung aller relevanten Akteure durch ein strukturiertes Reifegradmodell (Kenntnis, Verständnis, Akzeptanz, Übernahme, Verantwortung) ist entscheidend für den nachhaltigen ISMS-Erfolg.
3. **Sechs Kernprozesse als Fundament**: Risikoanalyse, Prozesserfassung, Schulungsplanung, Datensicherung, Maßnahmenpriorisierung und Steuerung von Sicherheitsvorgaben bilden das operative Rückgrat eines funktionsfähigen ISMS.
4. **Pragmatische Umsetzung vor Perfektion**: Ein "Minimal Viable ISMS" mit realistischem Scope und angemessenem Reifegrad ist erfolgreicher als perfektionistische Ansätze, die zu Komplexität und Überforderung führen.
5. **Tool-unterstützte Effizienz**: Die fuentis Suite automatisiert wesentliche ISMS-Prozesse von der Risikobewertung bis zum Asset-Management und schafft die Grundlage für nachhaltiges und effizientes Sicherheitsmanagement.
## Unterschied zwischen ISO 27001 und BSI IT-Grundschutz
Quelle: https://servicehub.fuentis.com/de/wissen/difference-iso-grundschutz/
### ISO 27001 vs. BSI IT-Grundschutz — **Wann nutze ich was (und wie kombiniere ich beides)**
> Praxisorientierter Entscheidungs-Guide für ISO-Praktiker:innen, die über den Tellerrand schauen wollen. Kurz, klar, umsetzbar.
---
### TL;DR – Schnellauswahl
| Situation | Wahl | Warum | Erste Artefakte |
|---|---|---|---|
| Globale Kunden, gemischte Jurisdiktionen, schneller Nachweis nötig | **ISO 27001** | International anerkannt, schlankere Doku, flexibel | Scope, Risikomethodik, Risikoregister, **SoA (Annex A)**, Ziele & KPIs |
| Deutsche Behörde/KRITIS, Vergaben erwarten BSI | **IT-Grundschutz** | Deutsch geprägt, preskriptive Maßnahmen, hohe Akzeptanz | Strukturanalyse, Schutzbedarf (CIA), Modellierung, **GS-Check** |
| Innovative/atypische IT-Landschaft | **ISO** (+ ausgewählte BSI-Bausteine) | Frei maßschneidern, risikobasiert | ISO-Risiko-Prozess + BSI-Härtung für heikle Bereiche |
| KMU, kleines Team, schnelle Erfolge | **ISO (lean)** | MV-ISMS möglich | **ISO 90-Tage-Starter** (unten) |
| Reifes ISO-ISMS, braucht mehr „Grip“ | **ISO + Grundschutz** | ISO-Cert behalten, BSI-Tiefe dort, wo’s zählt | Asset-Mapping → BSI-Bausteine für Hochrisiken |
| Sie müssen ein *Sicherheitsniveau* nachweisen | **Grundschutz** | Zertifikat zeigt Absicherungsgrad | GS-Check mit Evidenzen |
---
### Entscheidungsbaum (schnell)
1. **Deutsche Behörde/KRITIS im Scope?**
→ Ja: *Grundschutz oder Hybrid* → **Hybrid-Rezept**.
→ Nein: weiter.
2. **Brauchen Sie schnell ein international anerkanntes Zertifikat?**
→ Ja: *ISO zuerst* → **ISO 90-Tage-Starter**.
→ Nein/unklar: weiter.
3. **Überwiegt Standard-IT (Windows, AD, LAN, Office)?**
→ Ja: *Grundschutz passt gut*.
→ Nein (Cloud-native, Data/OT/IoT-Mix): *ISO-Kern + gezielte BSI-Bausteine*.
---
### Praktischer Unterschied (nur das Relevante)
- **ISO 27001** = **Managementsystem** + **risikobasierte** Controls (Annex A). Zertifiziert **das System**, nicht ein fixes Niveau.
- **Grundschutz** = **Maßnahmenkatalog** (Bausteine) + **Modellierung**. Zertifizierung spiegelt **Absicherungsgrad**.
**ISO** für **Tempo, Flexibilität, globale Anerkennung**.
**Grundschutz** für **konkrete Tiefe & deutsche Akzeptanz**.
---
### ISO 90-Tage-Starter (schlank, aber zertifizierungsfähig)
**Ziel:** Minimal Viable ISMS, das skaliert.
**Must-haves:** Scope (§4.3), Kontext & Stakeholder, Risiko-Methode & Kriterien, **Risikoregister**, **SoA (Annex A:2022, 93 Controls)**, IS-Ziele+KPIs, Auditplan, Management-Review-Takt.
**Zeitplan**
- **Woche 1–3:** Scope, RACI, Risikomethode; Top-20 Assets/Prozesse inventarisieren; schnelle CIA-Bewertung.
- **Woche 4–7:** Risiko-Workshops; Controls wählen; **SoA** entwerfen; Behandlungsplan (Owner/Fristen).
- **Woche 8–10:** Top-10 High-Impact-Controls umsetzen (IDM, Backup, Vuln-Mgmt, Incident-Flow, Logging).
- **Woche 11–12:** Internes Audit (Stichprobe), KPI-Baseline, Mgmt-Review #1; Lücken schließen.
> **Tipp:** **BSI punktuell** nutzen (Windows/AD, Netzwerk, Backup-Härtung), aber ISO-zentriert bleiben.
---
### Grundschutz Fast-Track (für ISO-Leute)
**Denke anders als ISO:** erst **Struktur → Schutzbedarf → Modellierung**, dann Risiko.
Controls kommen aus **Bausteinen** (Basis/Standard/Hoch). **GS-Check** zeigt Absicherungsgrad.
**Minimalpfad**
1. **Strukturanalyse**: TOGs bilden (Server, Clients, Netz, Apps, Standorte).
2. **Schutzbedarf (CIA)**: normal/hoch/sehr hoch; **Vererbung** nutzen (Prozess → App → System, Kumulation beachten).
3. **Modellierung**: Bausteine zuordnen, Abweichungen dokumentieren.
4. **GS-Check**: Lücken schließen; bei „hoch“ **ergänzende Risikoanalyse**.
5. **Nachweise**: Umsetzung, Zuständigkeiten, Evidenzen.
> **Tipp:** ISO-Risikoregister weiterverwenden und Einträge auf **Bausteine** taggen → kein Doppelaufwand.
---
### Hybrid-Rezept (Best of both)
1. **ISO als Rahmen**: Scope, Governance, Risiko, **SoA**, KPIs, Audits.
2. **BSI für Tiefe**: Bausteine nur für High-Impact-TOGs (AD/Entra ID, Server, Netz, Backup, Remote).
3. **Ein Register**: Risiken & Controls in *einem* Katalog; Tags `ISO:A.x` / `BSI:`.
4. **SoA + GS-Check**: gleiche Datenbasis, zwei Sichten.
5. **Zertifizierungspfad**: zuerst ISO (Tempo), dann Grundschutz, wenn gefordert.
---
### Wann nutze ich was — nach Szenario
- **ÖV/KRITIS:** **Grundschutz oder Hybrid** (BSI-Sprache, Baustein-Evidenzen).
- **Internationaler Konzern/Lieferkette:** **ISO** (Auditoren weltweit, Anerkennung).
- **MSP/MSSP:** **ISO-Baseline**; **BSI-Tiefe** für AD, Backup, Remote-Admin.
- **Startups/Scaleups:** **ISO (lean)**; BSI-Checklisten für schnelle Härtung.
- **OT/IoT:** **ISO** als Risiko-Motor + **BSI**-Bausteine für OT-Kontrollen.
---
### Kontrollen pragmatisch auswählen
**ISO-first?**
- **SoA** mit Annex A aufbauen; **N/A** sauber risikobasiert begründen.
- Wo **dünn**, BSI-Maßnahmen importieren (Härtung/Checklisten).
**Grundschutz-first?**
- Baustein-Anforderungen als Default-Controls.
- Wo BSI **still** oder **zu allgemein** (z. B. spezielle SaaS-Tenants), ISO-Risiko-Kontrollen ergänzen.
---
### Dokumentation, die Sie wirklich brauchen (ohne Ballast)
| Bereich | ISO-Artefakt | BSI-Artefakt | Hybrid-Abkürzung |
|---|---|---|---|
| Scope & Kontext | Scope, Stakeholder/Issues | Geltungsbereich im Strukturmodell | Ein Scope-Doc, zwei Kurz-Summarys |
| Risiko | Methode, Kriterien, Register, Plan | Ergänzende Risikoanalyse (bei „hoch“) | Ein Prozess, BSI-Zusatzabschnitt |
| Controls | **SoA (Annex A)** | Baustein-Umsetzung & **GS-Check** | Ein Katalog mit Cross-Refs |
| Evidenz | KPIs, Audits, Mgmt-Review | Maßnahmennachweise, GS-Check-Protokoll | Gemeinsame Evidenz-Ablage |
---
### Häufige Stolpersteine (und Abhilfe)
- **Papier-ISMS (ISO) ohne echte Controls** → **Jedes Top-Risiko** an getestete Maßnahme + Evidenz koppeln; KPIs früh.
- **Dokuschwemme (Grundschutz)** → TOGs grob bündeln; GS-Lücken **risikobasiert** priorisieren; iterieren.
- **Zwei Welten** (ISO vs. BSI) → **Eine** Taxonomie (Assets, Risiken, Controls) mit Tags.
- **SoA/GS-Check veralten** → Update bei **jedem** Change-Fenster; Control-Owner mit Termin.
---
### KPIs, die Wirkung belegen (beide Welten)
Patch-SLA (%), Backup-Erfolg (%), Incident-MTTR, Abschlusszeit Zugriffsreviews, Phishing-Fail-Rate, Log-Abdeckung (% kritischer Systeme), Recovery-Test-Erfolg.
## Verantwortlichkeiten im ISMS
Quelle: https://servicehub.fuentis.com/de/wissen/verantwortlichkeiten-im-isms/
### Überblick
Ein funktionierendes Informationssicherheitsmanagementsystem (ISMS) benötigt klar definierte Rollen und Verantwortlichkeiten. Die Anforderungen unterscheiden sich je nach anwendbarem Standard:
* **ISO 27001** und **BSI IT-Grundschutz**: Grundlegende ISMS-Rollen
* **NIS2-Richtlinie**: Zusätzliche Pflichten, insbesondere für Geschäftsführung
---
### Pflicht-Rollen nach ISO 27001 & BSI IT-Grundschutz
Diese Rollen sind __zwingend erforderlich__ für jedes ISMS:
#### 1. Geschäftsführung / Institutionsleitung
**Verantwortlichkeiten:**
* Gesamtverantwortung für Informationssicherheit
* Freigabe der Informationssicherheitsleitlinie
* Bereitstellung von Ressourcen (Budget, Personal, Zeit)
* Ernennung des Informationssicherheitsbeauftragten
* Jährliches Management Review
**Referenz:**
* ISO 27001: Clause 5.1 (Leadership and commitment)
* BSI IT-Grundschutz: ORP.1.A1
---
#### 2. Informationssicherheitsbeauftragter (ISB)
**Verantwortlichkeiten:**
* Zentrale Koordination des ISMS
* Beratung der Geschäftsführung in Sicherheitsfragen
* Erstellung und Pflege der Sicherheitsdokumentation
* Monitoring der Umsetzung von Sicherheitsmaßnahmen
* Ansprechpartner für alle Sicherheitsfragen
**Referenz:**
* ISO 27001: Clause 5.3
* BSI IT-Grundschutz: ORP.1.A15
**Typischer Zeitaufwand:** 20-50% einer Vollzeitstelle (je nach Organisationsgröße)
---
#### 3. IT-Leitung / IT-Betrieb
**Verantwortlichkeiten:**
* Technische Umsetzung von Sicherheitsmaßnahmen
* Konfiguration und Betrieb von IT-Systemen
* Patch-Management und Updates
* Incident Response (technische Ebene)
* Backup und Recovery
**Referenz:**
* ISO 27001: Clause 8 (Operation)
* BSI IT-Grundschutz: OPS.1.1.2
---
#### 4. Asset Owner
**Verantwortlichkeiten:**
* Verantwortung für spezifische Informationswerte (Assets)
* Klassifizierung des Schutzbedarfs
* Freigabe von Zugriffsberechtigungen
* Überwachung der ordnungsgemäßen Nutzung
**Beispiele:** Leiter Finanzbuchhaltung (Owner der Finanzdaten), Produktionsleiter (Owner der Steuerungssysteme)
**Referenz:**
* ISO 27001: Annex A.5.9 (Inventory of information and other associated assets)
* BSI IT-Grundschutz: ORP.4
---
#### 5. Prozess Owner
**Verantwortlichkeiten:**
* Verantwortung für die Sicherheit eines Geschäftsprozesses
* Integration von Sicherheitsanforderungen in den Prozess
* Business Impact Analysis (BIA) für den Prozess
* Freigabe von prozessspezifischen Sicherheitsmaßnahmen
**Beispiele:** Vertriebsleiter (Owner des Vertriebsprozesses), Leiter Produktion (Owner des Produktionsprozesses)
**Referenz:**
* ISO 27001: Clause 6.1.2 (Information security risk assessment)
* BSI IT-Grundschutz: ORP.1
---
#### 6. Datenschutzbeauftragter (DSB)
**Besonderheit:** Pflicht für öffentliche Stellen und bestimmte private Organisationen nach DSGVO Art. 37
**Verantwortlichkeiten:**
* Überwachung der DSGVO-Compliance
* Beratung zu Datenschutzfragen
* Schulung und Sensibilisierung
* Ansprechpartner für Aufsichtsbehörden
**Referenz:**
* DSGVO: Art. 37-39
* ISO 27001: Annex A.5.2 (Information security roles and responsibilities)
---
### Zusätzliche Pflicht-Rollen für NIS2
Die __NIS2-Richtlinie__ stellt zusätzliche Anforderungen an betroffene Organisationen (wesentliche und wichtige Einrichtungen):
#### Erweiterte Pflichten der Geschäftsführung
**Neu durch NIS2:**
* ⚠️ **Persönliche Haftung** bei Verstößen (Art. 20 Abs. 2)
* ✅ **Schulungspflicht** zur Cybersicherheit (nachweispflichtig!)
* ✅ **Aktive Überwachung** der Risikomanagementmaßnahmen
* ✅ **Dokumentierte Verantwortung** (nicht delegierbar!)
> __Wichtig:__ Bußgelder bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes möglich!
---
#### Incident Response Team
**Warum Pflicht für NIS2:**
* Meldepflichten an Behörden (Frühwarnung: 24h, Meldung: 72h)
* Koordinierte Reaktion auf Sicherheitsvorfälle erforderlich
**Verantwortlichkeiten:**
* Erkennung und Bewertung von Sicherheitsvorfällen
* Sofortmaßnahmen zur Schadensbegrenzung
* Meldung an zuständige Behörde (CERT/CSIRT)
* Forensik und Ursachenanalyse
* Dokumentation und Lessons Learned
**Referenz:**
* NIS2: Art. 23 (Meldepflichten)
* BSI IT-Grundschutz: DER.2.1
---
#### Lieferanten-Manager (Supply Chain Security)
**Warum Pflicht für NIS2:**
* Art. 21 Abs. 2 (e) fordert explizit "Sicherheit in den Lieferketten"
**Verantwortlichkeiten:**
* Identifikation kritischer Lieferanten
* Risikobewertung von Lieferanten
* Sicherheitsanforderungen in Verträgen
* Überwachung der Lieferanten-Compliance
* Incident Management bei Lieferanten-Vorfällen
**Referenz:**
* NIS2: Art. 21 Abs. 2 (e)
* ISO 27001: Annex A.5.19 (Information security in supplier relationships)
---
### Best Practice Rollen (Optional, empfohlen für größere Organisationen)
Diese Rollen sind nicht zwingend vorgeschrieben, werden aber **dringend empfohlen**, insbesondere bei:
* Mehr als 100 Mitarbeitern
* Komplexen IT-Landschaften
* Regulierten Branchen (Finanz, Gesundheit, Energie)
---
#### Business Continuity Manager (BCM)
**Empfohlen weil:**
* NIS2 fordert "Maßnahmen zur Gewährleistung der Geschäftskontinuität"
* ISO 27001 Annex A.5.29 (Information security during disruption)
**Verantwortlichkeiten:**
* Business Impact Analysis (BIA)
* Erstellung von Business Continuity Plänen (BCP)
* Disaster Recovery Planung (DRP)
* Notfallübungen und Tests
* Wiederanlaufplanung nach Vorfällen
**Typischer Zeitaufwand:** 20-50% einer Vollzeitstelle
---
#### Personalabteilung (HR Security)
**Empfohlen weil:**
* Mitarbeiter sind das größte Sicherheitsrisiko
* On-/Offboarding-Prozesse kritisch für Sicherheit
**Verantwortlichkeiten:**
* Sicherheitsrelevante Klauseln in Arbeitsverträgen
* Koordination von Hintergrundprüfungen (soweit zulässig)
* Onboarding: Schulungen, Verpflichtungserklärungen
* Offboarding: Zugangsrechte entziehen, Rückgabe von Assets
* Disziplinarmaßnahmen bei Sicherheitsverstößen
**Referenz:**
* ISO 27001: Annex A.6.1-6.4 (People controls)
* BSI IT-Grundschutz: ORP.2
---
#### Compliance Officer
**Empfohlen weil:**
* Überlappende Anforderungen (DSGVO, NIS2, Branchenstandards)
* Zentrale Koordination verhindert Doppelarbeit
**Verantwortlichkeiten:**
* Überblick über alle Compliance-Anforderungen
* Koordination zwischen DSB, ISB, Geschäftsführung
* Risikomanagement (übergreifend)
* Audit-Management und Nachverfolgung
* Reporting an Geschäftsführung
**Typischer Zeitaufwand:** 30-100% einer Vollzeitstelle
---
#### Change Advisory Board (CAB)
**Empfohlen weil:**
* Änderungen sind häufige Ursache für Sicherheitsvorfälle
* Strukturiertes Change Management reduziert Risiken
**Verantwortlichkeiten:**
* Bewertung von Changes hinsichtlich Sicherheitsrisiken
* Freigabe oder Ablehnung von Changes
* Priorisierung von Changes
* Post-Implementation-Review
**Mitglieder:** IT-Leitung, ISB, betroffene Fachbereiche
**Referenz:**
* ISO 27001: Annex A.8.32 (Change management)
* BSI IT-Grundschutz: OPS.1.2.1
---
#### Security Awareness Koordinator
**Empfohlen weil:**
* NIS2 fordert "Schulungen zur Cybersicherheitshygiene"
* Mitarbeiter-Awareness ist kostengünstigste Sicherheitsmaßnahme
**Verantwortlichkeiten:**
* Planung und Durchführung von Awareness-Kampagnen
* Erstellung von Schulungsmaterialien
* Phishing-Simulationen
* Messung der Awareness (z.B. Klickraten bei Phishing-Tests)
* Reporting an ISB und Geschäftsführung
**Typischer Zeitaufwand:** 10-30% einer Vollzeitstelle
**Referenz:**
* ISO 27001: Annex A.6.3 (Information security awareness, education and training)
* BSI IT-Grundschutz: ORP.3
---
#### Internal Audit
**Empfohlen weil:**
* ISO 27001 fordert interne Audits (Clause 9.2)
* Unabhängige Kontrolle erhöht Qualität des ISMS
**Verantwortlichkeiten:**
* Planung und Durchführung interner ISMS-Audits
* Identifikation von Nonkonformitäten
* Nachverfolgung von Korrekturmaßnahmen
* Vorbereitung auf externe Zertifizierungsaudits
**Besonderheit:** Muss unabhängig sein (nicht eigene Arbeit prüfen!)
**Referenz:**
* ISO 27001: Clause 9.2 (Internal audit)
* BSI IT-Grundschutz: ORP.5
---
### Zusammenfassung nach Organisationsgröße
#### Kleine Organisationen (< 50 Mitarbeiter)
**Minimum:**
* ✅ Geschäftsführung
* ✅ ISB (20-30%, ggf. extern)
* ✅ IT-Betrieb (kann Personalunion mit ISB sein, wenn externe Kontrolle vorhanden)
* ✅ Asset/Prozess Owner (Geschäftsführung + Bereichsleiter)
**Zusätzlich bei NIS2:**
* ✅ Incident Response (kann ISB + IT-Betrieb sein)
* ✅ Lieferanten-Manager (kann ISB sein)
---
#### Mittelgroße Organisationen (50-250 Mitarbeiter)
**Zusätzlich zu oben:**
* ✅ Dedizierter ISB (50-100%)
* ✅ Klare Trennung IT-Betrieb ↔ ISB
* ✅ HR Security (Teil der Personalabteilung)
* ✅ BCM-Manager (20-50%, kann ISB sein)
---
#### Große Organisationen (> 250 Mitarbeiter)
**Zusätzlich zu oben:**
* ✅ CISO (Vollzeit)
* ✅ Security-Team (mehrere Personen)
* ✅ Compliance Officer (Vollzeit)
* ✅ Dediziertes Incident Response Team
* ✅ Internal Audit
* ✅ Security Awareness Koordinator
---
### Häufige Fehler vermeiden
❌ **"Das macht die IT"** → Informationssicherheit ist Querschnittsaufgabe, nicht nur IT-Thema!
❌ **"Der ISB macht alles alleine"** → ISB koordiniert, Verantwortung liegt bei Asset/Prozess Ownern
❌ **"Keine Zeit für ISMS-Aufgaben"** → Zeitbudget realistisch einplanen (sonst funktioniert es nicht)
❌ **"Rollen nur mündlich vergeben"** → Unbedingt schriftlich dokumentieren!
❌ **"Bei NIS2 reicht ISB-Benennung"** → Nein! Geschäftsführung hat persönliche Schulungs- und Überwachungspflicht
---
### Nächste Schritte
1. **Prüfen Sie Ihren NIS2-Status** → Sind Sie betroffen?
2. **Rollen zuweisen** → Welche Rollen benötigen Sie? Wer übernimmt sie?
3. **Dokumentieren** → Erstellen Sie ein "Rollen & Verantwortlichkeiten"-Dokument
4. **Schulen** → Insbesondere Geschäftsführung (bei NIS2 Pflicht!)
5. **Ressourcen bereitstellen** → Realistische Zeitbudgets festlegen
6. **Regelmäßig überprüfen** → Mindestens jährlich
---
# Release Notes
## Release Notes fuentis Suite 4 - Trust Plattform
Quelle: https://servicehub.fuentis.com/de/release-notes/fuentis-suite-4-release-notes-oct-2025/
_Aktualisiert: 12. Oktober 2025 · Version: 4.0 · Status: Produktion_
fuentis Suite 4.0 - trust platform setzt auf spürbare Verbesserungen in der Bedienung und den zentralen GRC‑Abläufen. Das Release liefert eine erneuerte UI/UX, eine erste Version des Datenschutz‑Moduls, ein Incident‑Modul mit Portal, Massenbearbeitung für die Modellierung, ein zentrales Risk‑Portal, eine neue ISMS‑Scoping‑Phase mit Profilfunktion sowie anpassbare Endless‑Scroll‑Tabellen.
### Highlights
- **Neue UI & geführte UX** — schnellere Navigation, weniger Kontextsprünge, bessere Kontexthilfen und Schritt‑Menüs.
- **Datenschutz (DPMS)** — Grundmodul für DSGVO‑nahe Verzeichnisse und Workflows.
- **Incident‑Management + Portal** — Erfassung, Triage und Nachverfolgung von Incidents über ein integriertes Portal.
- **Bulk Edit für Modellierung** — Attribute und Relationen mehrerer Objekte in einem Schritt ändern.
- **Risk‑Portal** — zentraler Ort zur Erfassung und Steuerung von Risiken.
- **ISMS‑Scoping (mit Profilen)** — neue Scoping‑Phase mit wiederverwendbaren Scope‑Profilen.
- **Anpassbare Endless‑Scroll‑Tabellen** — Spalten/Layout für große Datenmengen individuell anpassbar.
---
### Details
#### Neue UI & geführte UX
- Verschlankte Navigation mit weniger Kontextwechseln.
- Schritt‑für‑Schritt‑Abläufe für zentrale Aufgaben (geführte Menüs).
- Kontexthilfen dort, wo sie gebraucht werden.
#### Datenschutz (DPMS)
- Grundlage für DSGVO‑nahe Datenverzeichnisse und Prozesse.
- Ausgelegt für die Anbindung an bestehende Prozess‑/Asset‑Daten.
#### Incident‑Management mit Portal
- Incident‑Erfassung über Portal; Basis‑Triage und Nachverfolgung.
- Anschlussfähig an Risiko‑ und Maßnahmenflüsse.
#### Bulk Edit für Modellierung
- Mehrfachauswahl modellierter Objekte und Sammeländerungen.
- Unterstützt Batch‑Updates von Attributen und Relationen.
#### Risk‑Portal
- Ein Ort für Registrierung, Übersicht und Steuerung von Risiken.
- End‑to‑end‑Sicht für Stakeholder.
#### ISMS‑Scoping mit Profilfunktion
- Neue Scoping‑Phase zur frühen Grenzziehung des Geltungsbereichs.
- Profile zur Wiederverwendung und Standardisierung über Projekte hinweg.
#### Anpassbare Endless‑Scroll‑Tabellen
- Effizientes Arbeiten mit großen Listen ohne Seitenwechsel.
- Spalten/Darstellung je nach Rolle und Aufgabe anpassbar.
---