Question 1

Wie verbindet Ihr Haus Geschäftsprozess, Informationen, Anwendung und Dienstleister zu einer Abhängigkeitskarte?

Accepted Answer

Eine Abhängigkeitskarte beginnt beim Geschäftsprozess und zeigt von dort, was ihn trägt. Die Strukturanalyse des IT-Grundschutzes fragt in dieser Reihenfolge: welche wichtigen Aufgaben und Geschäftsprozesse es gibt, welche Informationen darin benötigt, bearbeitet oder gespeichert werden und mit welchen Anwendungen in welchem infrastrukturellen Umfeld das geschieht. Je genauer der Informationsverbund so beschrieben ist, desto zielgerichteter lassen sich die Schutzvorkehrungen festlegen.

Der Schutzbedarf folgt derselben Kette. Der Schutzbedarf der Geschäftsprozesse und Informationen vererbt sich auf Anwendungen, IT-Systeme, Räume und Kommunikationsverbindungen. Mehrfachbeziehungen bleiben sichtbar: Der höchste Schutzbedarf aller Anwendungen, die ein IT-System benötigen, lässt sich übernehmen und der Schutzbedarf einer Anwendung überträgt sich auf die Anwendung, die ihr liefert. Für externe Dienstleister empfiehlt sich dieselbe Logik: Sie hängen an der Leistung, die eine Anwendung tatsächlich nutzt und fehlende Zuordnungen bearbeitet das Haus als Datenqualitätsfall.

Question 2

Wie geht Ihr Haus vor, wenn ein geerbter Schutzbedarf nicht zur Anwendung passt?

Accepted Answer

Ein geerbter Wert bleibt nachvollziehbar, wenn er neben dem festgelegten Wert steht. Wir prüfen zuerst die Beziehungen zwischen Prozess, Information und Anwendung und zeigen den geerbten und den festgelegten Wert getrennt an. Jede Differenz gehen wir gezielt durch.

Eine begründete Abweichung kann fachlich richtig sein. Wir dokumentieren sie mit Eigentümer, Begründung und Freigabe und eine Änderung an einem übergeordneten Prozess stößt die Bewertung erneut an. So bleibt der Vererbungsweg jederzeit erkennbar.

Question 3

Wie schließt Ihr Haus festgestellte Sicherheitslücken so, dass am Ende ein belastbarer Nachweis steht?

Accepted Answer

Aus einer Feststellung wird eine geschlossene Kette, wenn jede Lücke ihr Zielobjekt, ihre Maßnahme, ihren Verantwortlichen und ihr Restrisiko trägt. Die Umsetzungsplanung im IT-Grundschutz beginnt damit, die nicht oder nur teilweise erfüllten Anforderungen herauszufiltern und Maßnahmen festzulegen, die diese Sicherheitslücken schließen.

Maßnahmen werden meist nur dann fristgerecht umgesetzt, wenn geklärt ist, wer bis zu welchem Termin zuständig ist. Was danach verbleibt, ist Restrisiko. Ein Risiko kann nur akzeptiert werden, wenn das Haus dieses Restrisiko tragen kann und es zu den festgelegten Risikoakzeptanzkriterien passt. Alle Beschlüsse trägt das Management.

Question 4

Wie ordnet Ihr Haus Informationen so zu, dass die Schutzbedarfsfeststellung belastbar wird?

Accepted Answer

Belastbar wird die Schutzbedarfsfeststellung, wenn die Informationen aus den Geschäftsprozessen abgeleitet werden. Ein Sicherheitskonzept nach der Grundschutz-Methodik soll die wesentlichen Informationen schützen und welche das sind, wird bei einer Betrachtung der Geschäftsprozesse deutlich, wenn Ihr Haus jeden Prozess danach befragt. Gefragt wird, welche Informationen besonderen Geheimhaltungsbedarf haben und welche den Vorgaben des Datenschutzes oder anderen rechtlichen Verpflichtungen unterliegen.

Bewertet wird je Grundwert, also nach Vertraulichkeit, Integrität oder Verfügbarkeit. Das informationelle Selbstbestimmungsrecht ist dabei ein Schadensszenario unter mehreren. Der Schutzbedarf entsteht aus den Folgen einer Verletzung, nicht aus der Datenart allein.

Question 5

Auf welcher Prozessebene legt Ihr Haus den Schutzbedarf fest, damit kritische Teilaktivitäten sichtbar bleiben?

Accepted Answer

Sichtbar bleiben Teilaktivitäten, wenn die Bewertungsebene fein genug ist, um unterschiedlichen Schutzbedarf zu zeigen. Wer Komponenten zusammenfasst, die unterschiedlichen Schutzbedarf haben, riskiert Sicherheitslücken und das gilt für Prozesse ebenso wie für Systeme.

Für jeden Geschäftsprozess vermerkt die Methodik die dafür Verantwortlichen und die wichtigen Anwendungen, die der Prozess benötigt. Die Bewertungsebene knüpft so an Verantwortliche und Anwendungen an. Auch die kritische oder wichtige Funktion wird über Aktivitäten, Dienstleistungen, Prozesse oder Vorgänge bestimmt, sodass die Ebene der Prozesskarte in die spätere Funktionsbewertung eingeht.

Question 6

Wie vererbt sich der Schutzbedarf von Informationen und Prozessen auf Anwendungen und Systeme?

Accepted Answer

Nach der Methodik des IT-Grundschutzes hängt der Schutzbedarf eines Objekts vom Schutzbedarf der Geschäftsprozesse und Informationen ab, für deren Bearbeitung es benötigt wird. Zunächst wird deshalb der Schutzbedarf der Geschäftsprozesse und zugehörigen Informationen bestimmt, danach vererbt er sich auf Anwendungen, Systeme, Räume und Kommunikationsverbindungen.

In vielen Fällen lässt sich der höchste Schutzbedarf aller Anwendungen übernehmen (Maximumprinzip). Die Methodik kennt aber Ausnahmen: Beim Kumulationseffekt liegt der Wert des Systems über dem der einzelnen Anwendungen, beim Verteilungseffekt darunter. Abhängigkeiten übertragen den Wert auf die liefernde Anwendung. Tragfähig wird die Vererbung, wenn jeder übernommene Wert sein Schutzziel und seine Herkunft trägt.

Question 7

Auf welchen Ebenen stellt Ihr Haus den Schutzbedarf eigenständig fest?

Accepted Answer

Die Feststellung im IT-Grundschutz beginnt bei Geschäftsprozessen und Informationen. Deren Schutzbedarf vererbt sich auf Anwendungen, Systeme, Räume und Kommunikationsverbindungen. Eine eigene Feststellung kommt dort in Betracht, wo der geerbte Wert die tatsächliche Lage verfehlt: Der Kumulationseffekt hebt den Wert eines Systems über den der einzelnen Anwendungen.

Bei Anwendungen bezieht Ihr Haus die Verantwortlichen und die Benutzer ein, denn diese wissen meist sehr genau, welche Schäden bei falschen Daten oder bei einem Ausfall auftreten. Kommt kein Konsens zustande, entscheidet das Management. Jede Feststellung erhält eine Begründung, die auch die Leitung später nachvollziehen und korrigieren kann.

Question 8

Wann übernimmt Ihr Haus einen geerbten Schutzbedarf unverändert und wann braucht es eine neue Freigabe?

Accepted Answer

Eine unveränderte Übernahme trägt, solange Quelle, Zuordnung, Nutzung und Bewertungsmaßstab noch gelten und der zuständige Verantwortliche sie bestätigt. Ändert sich ein vorgelagerter Prozess, eine Informationskategorie, eine Anwendung oder die Leistungsbeziehung, findet eine Wirkungsanalyse alle davon betroffenen nachgelagerten Feststellungen im Bestand.

So gehen wir vor: Wir speichern den geerbten Stand beim Start der Bearbeitung getrennt vom freigegebenen Zielwert. In Folgesysteme und Berichte fließt erst die genehmigte Feststellung. Eine Abweichung erhält Begründung, Gegenprüfung und eindeutige Gültigkeit. Ein technischer Neu-Export ersetzt die fachliche Freigabe nicht.

Question 9

Wer erstellt, prüft und gibt eine Schutzbedarfsfeststellung frei?

Accepted Answer

Klare Rollen machen eine Feststellung freigabefähig. Wir ordnen jedem Bewertungsobjekt verbindlich den fachlich Verantwortlichen, den Informations- und gegebenenfalls den technischen Eigentümer sowie die unabhängige Sicherheitsprüfung zu. Ein Autor bereitet Daten vor, entscheidet aber nicht automatisch über Schadensfolgen oder Risikoakzeptanz.

Der fachliche Eigentümer bestätigt die Konsequenzen für Prozess und Information. Die technisch Verantwortlichen prüfen Umsetzbarkeit und Abhängigkeiten und die Sicherheitsfunktion prüft die Methode und begründete Abweichungen. Wir legen verbindlich fest, wer bei Ablehnung nacharbeitet, wer vertreten darf und welche Änderungen eine erneute Freigabe auslösen. Rollen, Rechtseinheit, Zeitpunkt, Bewertungsstand und Kommentare speichern wir als Teil des Nachweises.

Question 10

Wie verbindet Ihr Haus jede erlaubte Tätigkeit mit den Prozessen, die sie tragen?

Accepted Answer

Ein Tätigkeitskatalog je Rechtseinheit macht sichtbar, welche Prozesse eine Erlaubnis tragen. Für Banken gilt: Wer Bankgeschäfte betreiben oder Finanzdienstleistungen erbringen will, bedarf der Erlaubnis der Aufsichtsbehörde. Für Versicherer gilt: Versicherungsunternehmen mit Sitz im Inland bedürfen zum Geschäftsbetrieb der Erlaubnis der Aufsichtsbehörde.

Die kritische oder wichtige Funktion knüpft daran an, so bestimmt es Artikel 3 Nummer 22 DORA. Eine Funktion ist kritisch oder wichtig, wenn ihr Ausfall die finanzielle Leistungsfähigkeit oder die Solidität erheblich beeinträchtigen würde oder wenn ihre unterbrochene, fehlerhafte oder unterbliebene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen erheblich beeinträchtigen würde. Die Analyse hat Ähnlichkeiten mit dem Schutzziel der Verfügbarkeit, ist aber damit nicht identisch. Ob die Voraussetzungen vorliegen, entscheidet das Finanzunternehmen im Einzelfall.

Question 11

Wie verbindet Ihr Haus erlaubte Tätigkeiten mit allen Elementen des Informationsverbunds?

Accepted Answer

Ein gerichteter, versionierter Abhängigkeitsgraph macht ihn abfragbar. Wir führen darin Rechtseinheit und erlaubte Tätigkeit, Funktion und Prozess, Informationskategorie, Anwendung, technische Komponente, Infrastruktur, Standort und bezogene Dienstleistung mit Vertrag und Leistungskette. Jede Verbindung nennt die Art der Nutzung oder Unterstützung und hat Quelle, Eigentümer und Gültigkeit.

Mehrfachbeziehungen sind vorgesehen. Ein Prozess nutzt mehrere Informationen, eine Anwendung unterstützt mehrere Prozesse. Vorwärts leiten wir Schutzbedarf und Anforderungen ab. Rückwärts finden wir bei einem Ausfall die betroffenen Tätigkeiten und Rechtseinheiten. Verwaiste Knoten, Zyklen und unbestätigte Kanten behandeln wir als Datenqualitätsfälle.

Question 12

Was prüft Ihr Haus neu, wenn sich Erlaubnis, Prozessmodell oder Leistungskette ändern?

Accepted Answer

Der Vergleich mit der freigegebenen Abhängigkeitskarte zeigt, welche Entscheidungen neu anstehen. Wir ermitteln alle betroffenen Knoten in beide Richtungen: Eine neue oder entfallene erlaubte Tätigkeit berührt Prozessabdeckung und Funktionseinstufung, ein geänderter Prozess berührt Informationskategorien, Business-Impact-Analyse und Schutzbedarf, eine neue Anwendung oder Weiterverlagerung berührt Standorte, Risiken, Vertragsrechte und Ausstieg.

Jede offene Folgeentscheidung erhält einen Eigentümer und einen Termin. Den alten Stand frieren wir als Nachweis ein. Register und Berichte aktualisieren wir erst aus konsistenten, freigegebenen Daten und vorübergehende Lücken dokumentieren wir ausdrücklich.

FAQ: Schutzbedarf und Informationsverbund

Schutzbedarf und Informationsverbund

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

FAQ: Schutzbedarf und Infor­ma­ti­ons­ver­bund

Schutzbedarf und Infor­ma­ti­ons­ver­bund

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

In der Praxis

FAQ: Schutzbedarf und Informationsverbund

Schutzbedarf und Informationsverbund