Anforderungen im Audit-Katalog pflegen

Anforderungen sind die konkreten Fragen, die im Audit zu beantworten sind. In diesem Artikel legen Sie eine Anforderung in einer Prüfliste Ihres Audit-Katalogs an, formulieren sie so, dass sie im Audit eindeutig bewertbar ist, und ordnen sie über die „Anwendbarkeit“ in die Schutzbedarfslogik von ISO 27001, BSI IT-Grundschutz oder CISIS12 ein.

Voraussetzungen

• Sie haben Zugriff auf den übergeordneten Audit-Katalog.
• Sie verfügen über die Berechtigung, den Audit-Katalog zu bearbeiten.
• Im Audit-Katalog ist mindestens eine „Anwendbarkeit“ gepflegt (z. B. Basis, Standard, Hoch).
• Die Prüfliste, zu der die Anforderung gehört, ist bereits angelegt.

Neue Anforderung anlegen

1. Öffnen Sie die Detailansicht des Audit-Katalogs und klicken Sie im Abschnitt „Prüflisten“ auf die gewünschte Zeile. Die Prüfliste öffnet sich in einer Seitenleiste.
2. Klicken Sie im Abschnitt „Anforderungen“ auf die Schaltfläche „Neu“. Es öffnet sich das Eingabefenster „Neue Anforderung“.
3. Tragen Sie unter „Bezeichnung“ den Namen der Anforderung ein (Pflichtfeld, 1–191 Zeichen). Formulieren Sie ihn als kurze, eindeutige Anforderungsfrage.
4. Hinterlegen Sie unter „Beschreibung“ die ausführliche Erläuterung: konkrete Bewertungskriterien, Hinweise zur Auslegung und Querverweise auf Normtexte.
5. Wählen Sie im Auswahlmenü „Anwendbarkeit“ die Stufe, ab der die Anforderung gilt. Wenn die passende Stufe noch fehlt, klicken Sie auf „Bearbeiten“ rechts neben dem Auswahlmenü und legen Sie sie in der Seitenleiste „Anwendbarkeiten“ an.
6. Klicken Sie auf „Erstellen“, um die Anforderung anzulegen, oder auf „Abbrechen“, um die Eingabe zu verwerfen.

Steht der Audit-Katalog im Status „Freigegeben“, erscheint vor der Änderung eine Sicherheitsabfrage, weil die Methodik alle laufenden Audits gegen diesen Katalog betrifft.

Anforderungen prüfbar formulieren

• Eine Anforderung sollte im Audit mit „Erfüllt / Teilweise erfüllt / Nicht erfüllt“ beantwortbar sein. Ist eine Frage zu vielschichtig, teilen Sie sie in mehrere Anforderungen auf.
• Halten Sie die „Bezeichnung“ kompakt und verlagern Sie die Auslegung in die „Beschreibung“ — dort hat der Auditor die Bewertungslogik direkt zur Hand.
• Über die Detailansicht einer Anforderung verknüpfen Sie im Abschnitt „Gefährdungen“ die Gefährdungen, gegen die sie schützt. Wird die Anforderung im Audit als nicht erfüllt bewertet, lassen sich diese Gefährdungen unmittelbar in eine Risikoanalyse überführen.

Anforderung bearbeiten oder löschen

1. Klicken Sie in der Tabelle „Anforderungen“ auf die Zeile, um die Detailansicht in der Seitenleiste zu öffnen.
2. Klicken Sie rechts oben auf „Bearbeiten“ oder wählen Sie im Auswahlmenü „Aktionen“ den Eintrag „Bearbeiten“, um Bezeichnung, Beschreibung und Anwendbarkeit anzupassen.
3. Über „Löschen“ entfernen Sie die Anforderung nach einer Sicherheitsabfrage.

Reihenfolge im Katalog steuern

Die Reihenfolge der Anforderungen ergibt sich aus ihrer „Bezeichnung“ — eine freie Umsortierung per Hand gibt es nicht. Nutzen Sie deshalb von Anfang an eine durchgängige Nomenklatur nach dem Schema {Bereich}.{Nummer}: {Titel}, wie sie CISIS12 und das BSI-Grundschutz-Kompendium verwenden. Lassen Sie beim Nummerieren Lücken (z. B. 10, 20, 30), damit sich später ergänzte Anforderungen an die richtige Stelle einsortieren, ohne dass Sie den gesamten Katalog umbenennen müssen.