Veröffentlichung und Gültigkeit von VDA ISA 6

Die neue Version 6 des VDA ISA Fragenkatalogs, auf dem die TISAX®-Prüfungen basieren, wurde von einem Expertenteam des Verbands der Automobilindustrie und ENX entwickelt und am 16. Oktober 2023 veröffentlicht. Ihre Gültigkeit erlangt die neue Version ab 01. April 2024. Somit werden Prüfungen, die ab April 2024 beauftragt werden, nach VDA ISA 6 durchgeführt. Hat ein Unternehmen die TISAX®-Prüfung allerdings bereits nach alten VDA ISA-Versionen abgeschlossen, behalten die Labels weiterhin ihre Gültigkeit, solange sie nicht ablaufen. Neue Prüfungen, deren Beauftragung bis Ende März 2024 erfolgt, können nach der alten Version durchgeführt werden.

Was es mit TISAX® und dem VDA ISA Katalog auf sich hat und wie die softwaregestützte Prüfung der Anforderungen aus dem VDA ISA Fragenkatalog mittels ibi systems iris sowohl vom Prüfdienstleister als auch vom Teilnehmer durchgeführt werden kann, lesen Sie in unserem früheren Blogbeitrag. Ergänzend dazu zeigen wir Ihnen am Ende dieses Beitrags, wie die Prüfung zur neuen Version in ibi systems iris durch neue Features optimiert erfolgen kann.

Aufgrund der stark steigenden Anzahl von Ransomware-Angriffen auf Dienstleister und Lieferanten der Automobilhersteller bringt die neue Version einige wesentliche Änderungen mit sich. Welche das genau sind, erfahren Sie im nächsten Abschnitt.

Die wichtigsten Änderungen in der neuen Version von VDA ISA

Fokus auf IT-Verfügbarkeit für produktionsrelevante Lieferanten: Im Bereich Informationssicherheit wurden sechs neue Kontrollfragen eingeführt. Die Verfügbarkeit von Informationen und IT-Assets wird angesichts der zahlreichen Angriffe durch Ransomware immer wichtiger. Es wäre falsch anzunehmen, dass erfolgreiche Angriffe allein durch die Festlegung von Sicherheitskontrollen und Anforderungen vollständig verhindert werden können. Daher hat sich die Expertengruppe nicht nur auf die Prävention von Ransomware-Angriffen konzentriert, sondern auch darauf, die Auswirkungen zu minimieren und eine effiziente Wiederherstellung zu ermöglichen.

• Resilienz: Zum verstärkten Schutz vor Angriffen, hat die Arbeitsgruppe sichergestellt, dass sämtliche relevante Vorgaben aus ISA/IEC 62443-2-1 (“Security for industrial automation and control systems: Security program requirements for IACS asset owners”) im ISA berücksichtigt sind. Des Weiteren hat die Arbeitsgruppe Schlüsselbereiche zur Verhinderung von Ransomware-Angriffen überarbeitet. Dies beinhaltet die Einführung einer neuen Kontrollfrage 1.3.4 sowie neue Anforderungen in den Kontrollfragen 5.2.6 und 5.3.1.

Control 1.3.4: To what extent is it ensured that only evaluated and approved software is used for processing the organization’s information assets?

• Erkennung: Es ist von Bedeutung, dass Angriffe frühzeitig erkannt werden. Daher ist ein Ansatz erforderlich, um die Folgen eines erfolgreichen Angriffs zu minimieren. Durch die Einführung der neuen Kontrollfrage 1.6.1 soll sichergestellt werden, dass klar definiert ist, was gemeldet werden muss und dass angemessene Meldewege eingerichtet sind.

Control 1.6.1: To what extent are information security relevant events or observations reported?

• Reaktion: Auch die Art und Weise, wie Unternehmen auf sicherheitsrelevante Ereignisse reagieren und diese bewältigen, ist von entscheidender Bedeutung. Hierbei ist es wichtig, schnell zu erkennen, um welche Art von Ereignis es sich handelt und wie kritisch dieses ist. Außerdem muss schnell festgestellt werden, wer für das Ereignis eigentlich verantwortlich ist. Diese Person muss umgehend benachrichtigt werden und innerhalb eines angemessenen Zeitrahmens darauf reagieren. Ebenso wichtig ist eine effektive Kommunikation, sobald mehrere Personen betroffen sind. Darüber hinaus sind externe Meldepflichten zu berücksichtigen. Zu diesem Zweck wurde die neue Kontrollfrage 1.6.2 eingeführt.

Control 1.6.2: To what extent are reported security events managed?

• Der Ausfall von IT-Diensten kann sowohl finanzielle als auch betriebliche Konsequenzen mit sich ziehen. Die Auswirkungen von Angriffen können durch eine wirksame Kontinuitätsplanung erheblich reduziert werden. Daher widmet sich die neue Kontrollfrage 5.2.8 dieser Planung.

Control 5.2.8: To what extent is continuity planning for IT services in place?

• Im Extremfall kann ein Angriff zu einer erheblichen Beeinträchtigung des Geschäftsbetriebs führen, sodass die üblichen Unternehmensprozesse nicht mehr ausreichen. Eine solche Situation wird im ISA 6 als Krise bezeichnet. Die Einführung der neuen Kontrollfrage 1.6.3 zielt darauf ab, dass die Organisation angemessen auf Krisensituationen reagiert.

Control 1.6.3: To what extent is the organization prepared to handle crisis situations?

• Wiederherstellung: Nach einem erfolgreichen Angriff – unabhängig davon, ob dieser zu einer Krise eskaliert ist oder nicht – wird eine Wiederherstellung erforderlich sein, um den Schaden zu minimieren. Die neue Kontrollfrage 5.2.9 soll sicherstellen, dass Unternehmen über effiziente Backup- und Wiederherstellungskonzepte verfügen. Darüber hinaus sollten Backups regelmäßig durchgeführt und getestet werden.

Control 5.2.9: To what extent is the backup and recovery of data and IT services guaranteed?

Führende Version in englischer Sprache: Der VDA ISA 6 wurde erstmals von einem internationalen Expertenteam entwickelt, weshalb die führende Version nun englischsprachig ist. Dies bringt Vorteile mit sich. Zum einen werden potenzielle Unklarheiten aufgrund unpräziser Übersetzungen vermieden, da im Zweifelsfall immer auf die englische Version zurückgegriffen werden kann. Zum anderen fällt die Anforderung weg, dass die Expertengruppe die Übersetzungen persönlich prüfen und freigeben muss, da nun die englische Version als Originalversion vorliegt. Aus diesem Grund können für den VDA ISA 6 in Zukunft mehr Übersetzungen angeboten werden. Bisher sind folgende Sprachen geplant:

• Deutsch
• Französisch
• Italienisch
• Spanisch
• Portugiesisch
• Japanisch
• Koreanisch
• Chinesisch

Referenzierung auf andere Standards: Sowohl der ISA als auch andere Standards werden ständig weiterentwickelt. Durch die internationale Expertengruppe geriet der Fokus auf das NIST Cybersecurity Framework. Die Version 6 verweist daher auf das NIST CSF Version 1.1. Da der ISA ein Prüfkatalog zur Umsetzung eines ISMS ist, wird auch der Standard referenziert, der eine solche Umsetzung beschreibt – die ISO/IEC 27001. Die Referenzierung erfolgt hierbei bereits auf die im Jahr 2022 neu veröffentlichte ISO 27001. Weitere Referenzierungen erfolgen über die in ISA 6 eingeführte Spalte Referenz zu Umsetzungshilfen. Hier wird beispielsweise auf den BSI IT-Grundschutz verwiesen.

Überarbeiteter Datenschutzkatalog: Anstelle der bisherigen 4 Kontrollfragen enthält der Datenschutzkatalog nun insgesamt 12 Kontrollen.

Erweitere Hilfestellungen: Die frühere Version VDA ISA 5 enthielt bereits für einige Kontrollen unverbindliche Hinweise und Beispiele. Diese wurden mit der Version 6 erweitert und für eine Vielzahl weiterer Kontrollfragen ergänzt.

Einführung neuer TISAX®-Labels

Im Bereich der Informationssicherheit wurden die bisherigen 8 Prüfziele bzw. TISAX®-Labels auf 10 erweitert. Die bisherige Unterscheidung in die Schutzniveaus Info High und Info Very High wird beibehalten, allerdings gibt es in der neuen Version beide Niveaus sowohl für die Vertraulichkeit als auch für die Verfügbarkeit. Damit werden aus den 2 Labels die 4 Labels Confidential, Strictly Confidential, High Availability und Very High Availability. Diese Anpassung unterstreicht den oben genannten erweiterten Fokus des VDA ISA 6 auf die Verfügbarkeit.

Da es sich bei den neuen TISAX®-Labels um eine Untermenge der bisherigen Info High und Info Very High Labels handelt, ergeben sich durch die neue Aufteilung keine Änderungen oder neuen Anforderungen. Daraus folgt, dass ein Unternehmen, das bisher bereits das Label Info High erhalten hat, automatisch auch die neuen Labels High Availability und Confidential erhält. Gleichermaßen werden bei bestehendem Label Info Very High auch die Labels Very High Availability und Strictly Confidential vergeben, weshalb kein zusätzlicher Prüfungsaufwand notwendig ist.

Wenn ein Unternehmen noch nicht über die beiden bisherigen Labels verfügt, müssen die folgenden Anforderungen im Rahmen der neuen Prüfziele erfüllt werden, um die neuen Labels zu erhalten:

Zum Erhalt der 4 Labels müssen immer alle Basisanforderungen sowie die relevanten Zusatzanforderungen erfüllt werden. Die relevanten Zusatzanforderungen werden durch die Buchstaben A für die beiden Labels zur Verfügbarkeit und C für die beiden Labels zur Vertraulichkeit in Klammern hinter den Anforderungen gekennzeichnet.

Systemgestützte Prüfung zum VDA ISA 6

Für die softwaregestützte Durchführung der Prüfung zum Erhalt der verschiedenen Labels stehen in ibi systems iris sowohl das Kompendium als auch die Prüfung zum VDA ISA 6 zur Verfügung.

Zur Beantwortung der einzelnen Kontrollen ist als Ergebnis ein Reifegrad zwischen 0 und 5 anzugeben. Im VDA ISA werden sowohl Zwischenergebnisse als auch ein Gesamtergebnis angegeben. Bei den Zwischenergebnissen handelt es sich um den Durchschnitt der jeweiligen Kontrollergebnisse in einem Prüfblock. Das Gesamtergebnis ist ein Durchschnitt über alle Kontrollergebnisse, mit dem Unterschied, dass das Gesamtergebnis auf den Zielreifegrad gekürzt wird. Da der Zielreifegrad für jede Kontrollfrage 3 ist, kann das Gesamtergebnis den Wert 3 nicht überschreiten. Im Self-Assessment muss hier ein Reifegrad von 3 erreicht werden. Die Zwischenergebnisse und das Gesamtergebnis sind ebenfalls in unserer vorgefertigten Prüfvorlage enthalten. Nach dem Ausfüllen der Prüfung werden diese Ergebnisse automatisch berechnet und angezeigt.

Bei der Prüfungsdurchführung mit Hilfe der Software ibi systems iris können die benötigten Prüfziele ausgewählt werden. Da jedes Prüfziel den anwendbaren ISA-Kriterienkatalog, die zu beantwortenden Kontrollfragen und die zu erfüllenden Anforderungen definiert, sind für bestimmte Prüfziele nur Teilmengen der Kontrollfragen und Anforderungen relevant. Mithilfe von Prüfautomationen kann ein dynamischer Prüfinhalt erzeugt werden. Nach Auswahl der Prüfziele in der Prüfung, passt sich diese also individuell danach an.

Ein umfangreiches Reporting ist mit der Software ebenfalls möglich. In ibi systems iris wird ein Bericht zur aktuellen Version 6 bereitgestellt. Darin werden die Ergebnisse nochmals übersichtlich dargestellt und Abweichungen vom angestrebten Reifegrad sind sofort sichtbar.

Mithilfe der Software ibi systems iris können außerdem Prüfaktivitäten angelegt werden. Dadurch ist es möglich, anstehende Prüfungen im Rahmen des VDA ISA 6 bereits im Voraus zu planen. Bei Anlage der Aktivität werden die Prüfungstermine festgelegt und die Prüfungen zum angegebenen Zeitpunkt automatisch aus der Prüfvorlage abgeleitet.

Fazit

Aus der vorgefertigten Prüfvorlage zum VDA ISA Katalog 6 können in ibi systems iris Prüfungen abgeleitet werden. Diese helfen dabei festzustellen, ob der Reifegrad für den Erhalt der benötigten Labels erreicht wird. Hierfür können die abgeleiteten Prüfungen an die gewünschten Prüfziele angepasst werden. Zur regelmäßigen Überprüfung der Labels kann eine Prüfaktivität zum VDA ISA 6 angelegt werden, die in einem bestimmten Zeitintervall automatisch Prüfungen aus der Vorlage erzeugt.

Zurück zur Übersicht

_____________________

Quellen:

ISA Version 6 Nun Verfügbar · ENX Portal

https://www.enx.com/handbook/tisax-teilnehmerhandbuch.html#ID4165

Neue TISAX Labels für Verfügbarkeit · ENX Portal

In der komplexen Welt der Informationssicherheit stehen CISOs vor der Herausforderung, nicht nur die eigenen Systeme, sondern auch die der Lieferanten im Griff zu haben. Daher sind standardisierte Lieferantenprüfungen mithilfe eines Tools für CISOs kein Luxus, sondern eine dringende Notwendigkeit. Denn sie helfen dabei, das unsichtbare Risiko in der Lieferkette sichtbar zu machen und zu minimieren.

Das Dilemma der CISOs: Lieferanten als Risikofaktor

Es ist kein Geheimnis: Der Chief Information Security Officer (CISO) gehört sicher zu den stressigsten Jobs im modernen Business. CISOs jonglieren mit Risikomanagement, Compliance und dem ständigen Druck, alles unter Kontrolle zu haben. Aber seien wir ehrlich: Kontrolle ist eine Illusion. Man kann nicht alle Bereiche des Unternehmens überwachen und stets über jedes Risiko informiert werden. Insbesondere außerhalb der Unternehmensgrenze lässt die Transparenz merklich nach. Zum Beispiel bei den Zulieferern, welche oft Zugang zu sensiblen Daten wie Kundendaten, Finanzinformationen oder geistigem Eigentum haben. Auf einmal wird man abhängig von Sicherheitsstandards und -maßnahmen, die man jedoch kaum beeinflussen kann. Mit gravierenden Folgen: Immer mehr Vorfälle werden durch Schwachstellen bei den Bezugsquellen ausgelöst. Daher wird klar: Standardisierte Lieferantenprüfungen sind nicht nur sinnvoll, sie sind unverzichtbar. Bei deren Umsetzung sind Sie aber nicht allein, sondern können auf die Unterstützung durch effiziente Tools wie ibi systems iris zählen.

Die Unsichtbarkeit des Risikos

Das Problem mit Zulieferern ist, dass sie häufig unsichtbare Risikofaktoren sind. Sie sind nicht täglich präsent, und doch könnten sie jederzeit eine Schwachstelle in der Sicherheitsarchitektur eines Unternehmens darstellen. Es ist wie ein unsichtbares Damoklesschwert, das ständig über den Auftraggebern schwebt. Dies wird noch verstärkt durch die Komplexität moderner Lieferketten. In einer globalisierten Welt ist es nicht ungewöhnlich, dass ein Lieferant selbst mehrere Unterlieferanten hat, die wiederum ihre eigenen Lieferanten haben – die sogenannten „Fourth Parties“. Und seien Sie ehrlich, kennen Sie zum Beispiel jeden Sub-(Sub-(Sub-)) Lieferanten für die Anwendungen Ihres Unternehmens? Jede dieser Beziehungen birgt potenzielle Risiken, die sich wie ein Spinnennetz durch die gesamte Lieferkette ziehen.

Die Lösung: Softwaregestützte standardisierte Lieferanten-Assessments

Wenn Sie als CISO ruhig schlafen wollen, kommen Sie um toolgestützte, standardisierte Prüfungen ihrer Lieferanten nicht herum, die Transparenz in das Dunkel der Beziehungen bringen. Sie bieten eine strukturierte, vergleichbare Grundlage, um Sicherheitsmaßnahmen in der Lieferkette zu bewerten. Und das ist Gold wert. Die Schönheit einer solchen Prüfung liegt in seiner Konsistenz. Es ermöglicht Ihnen, Äpfel mit Äpfeln zu vergleichen. Sie können die Sicherheitsmaßnahmen verschiedener Bezugsquellen auf der gleichen Skala bewerten und so eine fundierte Entscheidung treffen.

In ibi systems iris haben Sie die Möglichkeit, entweder eigene Prüfkataloge anzulegen oder vorgefertigte Prüfkataloge zu nutzen, die eine einheitliche Basis für Ihre Lieferantenprüfungen bilden. Alle daraus abgeleiteten Prüfungen für Ihre Lieferanten beinhalten die gleichen Kontrollen sowie Bewertungsmöglichkeiten. Sie können die Prüfkataloge jedoch variabel gestalten, indem Sie beispielsweise eine Auswahl von Prüfkatalogen mit einer unterschiedlichen Anzahl an Fragen definieren.

Die Anzahl der Fragen ist somit zum Beispiel abhängig vom Schutzbedarf der während der Lieferantenbeziehung verwendeten Informationen. Das bedeutet, dass ein Lieferant, der lediglich mit öffentlichen Informationen, welche keine besonderen Anforderungen an die Verfügbarkeit oder Integrität haben, nur sehr wenige Fragen beantworten muss. Wohingegen ein kritischer Lieferant einer kompletten Prüfung unterzogen wird. Durch dieses Vorgehen wird dafür gesorgt, dass der Aufwand und somit ggf. die Frustration bei Lieferanten möglichst gering bleiben.

Bei der Prüfungsdurchführung können zu den einzelnen Kontrollen sowohl identifizierte Feststellungen, Risiken oder Maßnahmen direkt aufgenommen als auch Kommentare und Dokumente hinterlegt werden. Bezüglich der Risiken können sowohl Risikobewertungen durchgeführt als auch eine Risikobehandlungsstrategie inkl. Maßnahmen festgelegt werden. Die Maßnahmen können jederzeit gesteuert und überwacht werden.

Wenn Sie die Prüfung regelmäßig durchführen, kann die Veränderung im Zeitverlauf verfolgt und proaktiv gehandelt werden, bevor aus kleinen Problemen große Krisen entstehen. Zudem lässt sich feststellen, an welchen Punkten der Zulieferer noch keinen ausreichenden Schutz ergriffen hat und wo gemeinsam Maßnahmen zur Abhilfe festgelegt werden müssen.

Auch bei der regelmäßigen Durchführung der Prüfung unterstützt Sie ibi systems iris mithilfe der Funktionalität der Prüfaktivitäten. Hierbei kann festgelegt werden, auf Basis welcher Prüfkataloge in welchem Zeitintervall automatisch Prüfungen erstellt werden sollen. Und das Beste daran: Sie können gleich für mehrere Lieferanten die zeitgesteuerte, automatische Erstellung von Prüfungen planen.

Warum ein Tool unverzichtbar ist

Können diese Prüfungen und die Steuerung aller Lieferanten auch manuell durchgeführt werden? Theoretisch ja, praktisch ist es jedoch ineffizient und führt häufig zu kleineren Fehlern. Ein Tool bietet hier eine Effizienz und Genauigkeit, die manuell einfach nicht zu erreichen ist. So können mit der ISMS- und GRC-Software ibi systems iris Lieferanten nicht nur initial geprüft werden, sondern die Software vereinfacht auch die Überwachung von Lieferanten, identifizierten Risiken und festgelegten Maßnahmen. Das Tool ermöglicht es somit, Prüfungen zu skalieren, Risiken zu priorisieren und schnelle Entscheidungen zu treffen. Und in einer Welt, in der Zeit oft gleichbedeutend mit Sicherheit ist, sollten diese Argumente nicht unterschätzt werden.

Fazit

Wenn Sie als CISO mehr Kontrolle über Ihre Lieferanten erhalten möchten, dann führt kein Weg an softwaregestützten, standardisierten Lieferantenprüfungen vorbei. Sie sind der Schlüssel zu einer effektiven, transparenten und sicheren Lieferkette. Und in einer Welt voller Risiken ist das kein Luxus, sondern eine Notwendigkeit.

Sie sind CISO und wollen ihre Lieferkette absichern, um die Kontrolle zurückzugewinnen? Dann informieren Sie sich jetzt über die Möglichkeiten standardisierter Lieferantenprüfungen mit ibi systems iris. Wir können Ihnen die Umsetzung dieses Use Cases gemeinsam mit unserem Partner, der metafinanz Informationssysteme GmbH, anbieten. Dadurch können wir Sie mit unserem spezialisierten Know-how sowohl fachlich als auch funktional bestens unterstützen. Wie der Gesamtprozess rund um die Lieferantenprüfung bei Ihnen aussehen könnte, sehen Sie in folgender Grafik.

Zurück zur Übersicht

_____________________

BSI-Standard 200-4 und Anforderungskatalog

Pünktlich zum 3. IT-Grundschutz-Tag wurde am 14.06.2023 der neue BSI-Standard 200-4 für den Aufbau und die Etablierung eines Business Continuity Management Systems (BCMS) final freigegeben. In einem früheren Blogbeitrag haben wir bereits über den Inhalt und die generelle Umsetzung des Standards in der Software ibi systems iris berichtet. Dieser Beitrag konzentriert sich ergänzend dazu auf den Anforderungskatalog, der dem Standard als Hilfsmittel beiliegt.

Der Anforderungskatalog bietet einen komprimierten Überblick aller Anforderungen des Standard-BCMS und unterstützt die Anwender dabei, sich nach dem Standard auszurichten. Die Anforderungen sind dabei in MUSS- und SOLLTE-Kriterien untergliedert und sowohl den entsprechenden Kapiteln des Standards als auch der ISO 22301:2019 zugeordnet. Von der Struktur und Sortierung her folgt der Anforderungskatalog, wie auch der BSI-Standard 200-4, dem BCMS-Prozess. 

Systemgestützte Prüfung der Anforderungen

Wir haben den Anforderungskatalog in iris implementiert, so dass dieser im Rahmen einer strukturierten Prüfung genutzt werden kann. Hierbei kann für die einzelnen Anforderungen jeweils der Erfüllungsgrad (ja, teilweise, nein) angegeben werden und die Umsetzung gegebenenfalls durch das Anhängen relevanter Dokumente nachgewiesen werden. Werden bei der Prüfungsdurchführung Risiken, Feststellungen oder notwendige Maßnahmen identifiziert, können diese direkt bei den einzelnen Anforderungen aufgenommen werden. Mithilfe der Prüfautomationen können Maßnahmen sogar automatisch vorgeschlagen werden, entweder für einzelne Anforderungen oder die gesamte Prüfung.

Um einen Überblick über den Erfüllungsgrad mehrerer oder aller Anforderungen zu erhalten, können Sie sich beispielweise den durchschnittlichen Erfüllungsgrad automatisch in Prozent berechnen lassen. Zudem ist ein umfangreiches Reporting über Berichte und Dashboards mit der Software möglich. Dadurch werden die Ergebnisse übersichtlich dargestellt.

Mit einer einmaligen Prüfung ist es jedoch meist nicht getan, da ein BCMS in regelmäßigen Abständen daraufhin überprüft werden muss, ob es angemessen, wirksam und effizient ist. Um Ihr BCMS beispielsweise jährlich zu evaluieren, können Sie unsere sogenannten Prüfaktivitäten nutzen. Dank dieser haben Sie die Möglichkeit, Prüfungen bereits im Voraus zu planen und festzulegen, wann diese automatisch anhand einer Prüfvorlage erstellt werden sollen. Hierbei können sowohl statische als auch dynamische Datensatzinhalte bestimmt werden, die in den erzeugten Prüfungen automatisch belegt werden. Alle bereits automatisch erstellten Prüfungen sind direkt auf der Übersichtsseite der Prüfaktivität zu sehen.

Fazit

Der Anforderungskatalog des BSI-Standards 200-4 bietet einen schnellen Überblick über die verschiedenen Anforderungen an ein BCMS. Mithilfe der Prüfung zum Anforderungskatalog in iris werden Sie dabei unterstützt, Ihr BCMS regelmäßig zu evaluieren und Ihren aktuellen Leistungsstand zu überprüfen.

Zurück zur Übersicht

_____________________

Quelle:

https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-4-Business-Continuity-Management/bsi-standard-200-4_Business_Continuity_Management_node.html

Datenschutz nach EU-DSGVO

In einem früheren Blogbeitrag haben wir bereits Inhalt und Anforderungen die mit der Europäischen Datenschutzgrundverordnung (EU-DSGVO) einhergehen vorgestellt. In diesem Blogbeitrag wollen wir die Unterstützungsmöglichkeiten genauer betrachten, die Ihnen die Software ibi systems iris hinsichtlich der EU-DSGVO bietet. Hierzu legen wir den Fokus auf zwei zentrale Bestandteile, die nach dem europäischen Gesetz bei der Implementierung des Datenschutzmanagements nicht fehlen sollten. Die Erstellung des Verfahrensverzeichnisses und die Durchführung einer Datenschutzfolgenabschätzung.

Softwaregestützte Erstellung des Verfahrensverzeichnisses

Nach Art. 30 der EU-DSGVO soll jeder Verantwortliche und gegebenenfalls sein Vertreter ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen führen. Welche Angaben dieses Verzeichnis beinhaltet, wird in der Verordnung aufgeführt. Das Verzeichnis aller Verarbeitungstätigkeiten wird auch als „Verfahrensverzeichnis“ bezeichnet.

In ibi systems iris lassen sich die Verarbeitungstätigkeiten als „Prozesse“ anlegen. Zu jedem dieser Prozesse kann dann eine Checkliste (in iris „Prüfung“) angelegt und befüllt werden, die die erforderlichen Informationen zur Erfassung der Verarbeitungstätigkeiten nach Datenschutzgrundverordnung enthält. Diese Prüfung kann dabei entweder an die verschiedenen Prozessverantwortlichen zugewiesen und durchgeführt werden oder diese Schritte werden von wenigen Personen an zentraler Stelle übernommen.

Diese Prüfungen stellen zusammen schließlich das Verfahrensverzeichnis nach EU-DSGVO dar und können in verschiedenen Formaten (z.B. Word, Excel, PDF) exportiert werden.

Datenschutzfolgenabschätzung (oder auch: Risikomanagement) mit ibi systems iris

In Art. 35 (1) der EU-DSGVO heißt es: „Hat eine Form der Verarbeitung, […] voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch.“ Ebenso wird unter dem Art. 35 (7) festgelegt, was für eine Folgenabschätzung mindestens enthalten sein soll:

1. Beschreibung der geplanten Verarbeitungsvorgänge und Zwecke der Verarbeitung
2. Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck
3. Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen
4. Die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen

Punkt 1 und 2 aus obiger Liste sind bereits im Verfahrensverzeichnis enthalten und können alternativ auch im Feld „Beschreibung“ eines Prozesses in ibi systems iris angegeben werden.

Bewertung der Risiken

Hinsichtlich Punkt 3 sind die Risiken in ibi systems iris zuerst anzulegen und mit den betroffenen Prozessen (= betrachtete Verarbeitungstätigkeiten) zu verknüpfen. Dadurch ist ein Risiko genauer beschrieben und in den semantischen Kontext der Organisation eingebettet. Über den Verknüpfungspfad und geeignete Filter lassen sich so die Zusammenhänge jederzeit, schnell erkennen und darstellen.

Sobald das Risiko textuell und mit Hilfe der erforderlichen Verknüpfungen beschrieben wurde, ist die Bewertung hinsichtlich Eintrittswahrscheinlichkeit und Schadensauswirkung vorzunehmen. Hierzu stehen mehrere Alternative Bewertungsmethoden zur Verfügung (Einfach, kategoriebasierte Bewertung mit Durchschnitt bzw. Maximalwert).

Nachdem die erste (IST-)Bewertung vorgenommen wurde, ist eine geeignete Risikobehandlungsstrategie (z.B. Risikotransfer) inklusive zugehöriger Maßnahme(n) (z.B. Abschließen einer Versicherung) zu definieren. Danach kann noch eine zugehörige SOLL-Bewertung angegeben werden, die die beabsichtigte Risikoentwicklung abbildet und im Wesentlichen dieselben Möglichkeiten bietet wie die IST-Bewertung. Die SOLL-Bewertung ist hier ein rein kalkulatorischer Wert (z.B. „Risikotransfer“ mit der zugehörigen Maßnahme „Abschließen einer Versicherung“ soll zu einer Minderung der Schadenauswirkung führen).

Die tatsächliche Neubewertung (neue IST-Bewertung) findet dann nach abgeschlossener Risikobehandlung bzw. umgesetzter Maßnahme statt. Dieser iterative Vorgang wiederholt sich so lange, bis das Risiko ein Niveau erreich, welches so akzeptiert werden kann (Risikobehandlung = Risikoakzeptanz).

Abhilfemaßnahmen

Wie zuvor beschrieben finden sich also die weiter oben unter Punkt 4 erwähnten Abhilfemaßnahmen zur Bewältigung der Risiken bei den jeweiligen Bewertungen im beschriebenen iterativen Vorgehen wieder. Diese Maßnahmen können von verantwortlichen Personen definiert und zur Umsetzung ggf. auch an andere Personen zugewiesen werden. Die Definition umfasst die Setzung angemessener Fristen und die Beschreibung was getan werden soll. Die Umsetzung wird beinhaltet ein Umsetzungsdatum, ein Ergebnis in Form eines Freitextfeldes und die Möglichkeit Dokumente als Nachweis anzuhängen. All diese so definierten (Abhilfe)Maßnahmen sind in übersichtlicher Art und Weise in Form einer Liste dargestellt und durch geeignete Filter, Reports und Dashboards zu tracken.

Fazit zur EU-DSGVO mit ibi systems iris

Die Software ibi systems iris unterstützt Sie also vor allem bei der Erstellung des Verfahrensverzeichnisses sowie bei der Datenschutzfolgenabschätzung. Falls wir Ihr Interesse geweckt haben, freuen wir uns auf Ihre Anfrage und beantworten Ihnen gerne eventuell offene Fragen.

Zurück zur Übersicht

____________________

Kerninhalte der Versicherungsaufsichtlichen Anforderungen an die IT (VAIT)

Die Versicherungsaufsichtlichen Anforderungen an die IT (VAIT) sind Verwaltungsanweisungen für die sichere Ausgestaltung der IT-Systeme in der Versicherungsbranche. Diese ziehen die zugehörigen Prozesse und die in diesem Zusammenhang stehenden Anforderungen an die IT-Governance mit ein. Die VAIT wurden von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) mit dem Rundschreiben 10/2018 (VA) vom 02. Juli 2018 veröffentlicht und danach im März 2019 erstmals aktualisiert.

In den VAIT ist ein Rahmen für die technisch-organisatorische Ausstattung der Unternehmen formuliert. Hierbei wird insbesondere auf das Management der IT-Ressourcen und das IT-Risikomanagement näher eingegangen. Da die Versicherungsgesellschaften mit zunehmender Häufigkeit IT-Dienstleistungen beziehen, fordert die VAIT nun unabhängig vom Umfang der Dienstleistung (als Teil der Hauptdienstleistung) beispielsweise vorab zwingend eine Risikoanalyse.

Ebenso wird durch die VAIT in der Informationssicherheit gefordert, dass mindestens der aktuelle Stand der Technik umzusetzen ist.

Neuerungen der VAIT-Novelle vom 03. März 2022

Die neuen VAIT sind mit dem Rundschreiben vom 03. März 2022 direkt in Kraft getreten. Die vorherige Version des Rundschreibens vom 20. März 2019 tritt damit gleichzeitig außer Kraft.

Übergangsfristen sind nicht erforderlich, da in die neue VAIT-Novelle keine grundlegend neuen Anforderungen aufgenommen, sondern lediglich bereits zuvor bestehende Anforderung präzisiert wurden.

Insbesondere die operative Informationssicherheit und das IT-Notfallmanagement wurden zusammen mit den anderen Kapitel weiter konkretisiert und finden sich nun in jeweils einem eigenen Kapitel wieder.

Operative Informationssicherheit

Im Bereich Operative Informationssicherheit wird weiter spezifiziert, was konkret darunter zu verstehen ist. Es wird insbesondere erläutert, was bei Informationssicherheitsmaßnahmen, -prozessen und -vorfällen zu berücksichtigen ist. Erwähnt und erläutert ist hier unter anderem die Wichtigkeit des Schwachstellenmanagements, der Dokumentation und Reaktion auf Sicherheitsvorfälle und der Abweichungsanalysen (Gap-Analyse). Letztere sollten für kritische Systeme im Sinne der Überprüfung mindestens jährlich erfolgen. Der Turnus sollte sich dabei insbesondere am tatsächlichen Schutzbedarf orientieren.

IT-Notfallmanagement

Im Bereich IT-Notfallmanagement wird konkretisiert, welche Szenarien im IT-Notfallkonzept mindestens berücksichtigt werden müssen, welche Inhalte IT-Notfallpläne enthalten sollen und wie Risikoanalysen (hinsichtlich IT-Prozessen, Systeme und Ressourcen) auf das IT-Notfallmanagement Einfluss nehmen. IT-Notfallpläne umfassen demnach u. a. Wiederanlauf- und Wiederherstellungspläne sowie alle erforderlichen Informationen für eine effektive Kommunikation im Notfall. Die Risikoanalyse soll bei der Erstellung der IT-Notfallpläne berücksichtigt werden und die Entwicklung geeigneter Maßnahmen ermöglichen, die entweder der Risikoreduzierung oder der Wiederherstellung der Prozesse dienen.

Informationsrisikomanagement und Informationssicherheitsmanagement

Der Bereich Informationsrisikomanagement wurde um folgende Aussage ergänzt: „Die Risikokriterien berücksichtigen die Kritikalität der Geschäftsprozesse und -aktivitäten sowie bekannte Gefährdungen und Vorfälle, welche das Unternehmen bereits in der Vergangenheit beeinflusst haben.“ Der Fokus des Risikomanagements wird demzufolge noch stärker auf die Darstellung der Gesamtzusammenhänge sowie der historischen Risikobetrachtung gerichtet. Neben der reinen Risikoanalyse ist es hierbei insbesondere relevant, die dem Risiko zugrundeliegenden bzw. das Risiko beeinflussenden Prozesse, Vorfälle und Gefährdungen zu berücksichtigen.

Umsetzung mit der Software ibi systems iris

Die Software ibi systems iris unterstützt Sie auch in der neuen Fassung der VAIT vollumfänglich bei der Umsetzung der im vorangegangenen Kapitel erläuterten Anforderungen. Im Folgenden sind diese Bereiche in der Grafik hervorgehoben, kurz beschrieben und in Form von Screenshots weiter veranschaulicht.

Operative Informationssicherheit

Zur Umsetzung der VAIT aus dem Bereich Operative Informationssicherheit unterstützt die ISMS Software ibi systems iris etwa bei der Durchführung einer Abweichungsanalyse (Gap-Analyse) und dem Management der identifizierten Schwachstellen. Gap-Analysen (siehe Screenshot 1) werden mit Hilfe von individuell gestaltbaren Prüfungen durchgeführt. Mit der durch die Software angebotenen Flexibilität kann jede beliebige Checkliste softwaregestützt durchlaufen werden. Im Rahmen der Prüfungsdurchführung können bei Bedarf eine (oder mehrere) Schwachstelle(n) an die jeweilige Kontrolle hinterlegt werden. Im nächsten Schritt erfolgen Definition und Umsetzung von Maßnahmen zur Schließung dieser Schwachstellen. Abhängig davon wird schließlich der Status der Schwachstelle angepasst (z. B. Offen, Geschlossen).

Auch Sicherheitsvorfälle können umfassend im Tool dokumentiert und angemessene Reaktionen (durch Maßnahmen) definiert werden. Zudem können sowohl aus Feststellungen wie auch aus Vorfällen neue Risiken abgeleitet bzw. bestehende Risiken verknüpft werden.

IT-Notfallmanagement

Im Sinne des IT-Notfallmanagement können für alle Prozesse und Assets in ibi systems iris Wiederanlauf- und Wiederherstellungspläne sowie alle erforderlichen Informationen für eine effektive Kommunikation im Notfall angegeben werden. Auf Knopfdruck kann ein komplettes Notfallhandbuch als PDF-Report erstellt werden.

Ein Notfallszenario, welches nach VAIT mindestens betrachtet werden sollte, ist der „Ausfall von Dienstleistern (z. B. Zulieferer, Stromversorger)“. Für diesen Anwendungsfall können neben den Verknüpfungen zu direkt betroffenen Assets und Prozessen auch Prozess- und Asset-unabhängige Aktivitäten im Notfall festgelegt werden. Sobald dieses Szenario tatsächlich eintritt, kann direkt aus dem Szenario heraus ein konkretes Notfallereignis mit detaillierter Beschreibung angelegt werden. Schließlich folgt die Verknüpfung von Maßnahmen um auf das Ereignis angemessen zu reagieren und dieses zu behandeln.

Informationsrisikomanagement und Informationssicherheitsmanagement

Hinsichtlich der VAIT zum Informationsrisikomanagement bzw. Informationssicherheitsmanagement gilt anzumerken, dass mithilfe der Software ibi systems iris Risiken umfangreich beschrieben, bewertet und behandelt werden können und dabei auch vergangene Vorfälle Einfluss auf diesen Prozess nehmen.

Zur Beschreibung eines Risikos gilt es grundlegende Angaben zu machen und u.a. die Verknüpfungen zu Bedrohungen, Schwachstellen und Assets und/oder Prozessen anzugeben. Danach erfolgt die Bewertung des Risikos hinsichtlich Schadenauswirkung und Eintrittswahrscheinlichkeit, wobei dem Anwender hierbei für die Bewertung verschiedene Optionen zur Verfügung stehen. Beispielsweise kann bei Durchführung der Bewertung (je nach konfigurierter Einstellung) die Anzahl und die Schadensumme der Vorfälle aufgelistet werden, die direkt mit dem Risiko verknüpft sind. Diese Informationen stehen dann dem Anwender anschaulich als Bewertungshilfe für die durchzuführende IST- Bewertung des Risikos zur Verfügung. Im nächsten Schritt erfolgen die Angabe und die Definition einer konkreten Risikobehandlungsstrategie inklusive zugehöriger Maßnahmen und einer angestrebten SOLL-Bewertung. Das Risiko kann danach im Zeitverlauf durch eine Iteration des beschriebenen Ablaufs gemanaged werden, bis es akzeptiert werden kann oder nicht mehr existiert.

Das Risiko verbleibt auf diese Art und Weise perfekt dokumentiert im Tool. Der Umgang in der Vergangenheit mit einzelnen Risiken als auch die aktuelle Risikolage können jederzeit in ibi systems iris eingesehen und nachvollzogen werden.

Fazit zur VAIT mit ibi systems iris

Eine Besonderheit der ISMS Software ibi systems iris ist die Darstellungen eines gesamtheitlichen Zusammenhangs zwischen den relevanten Elementen der Informationssicherheit in nur einem Tool. Zudem kann der Pfad einer Verknüpfung zu jeder Zeit eingesehen und nachverfolgt werden.

Zurück zur Übersicht

____________________