Audit nach IT-Grundschutz vorbereiten – Teil 9 der BSI-Reihe
Teil 9 der Video-Reihe „BSI IT-Grundschutz mit preeco“: die Auditdokumente Strukturanalyse, Modellierung und IT-Grundschutz-Check herunterladen, die Anwendbarkeitserklärung als Fassung ablegen und wissen, was im Audit auf Sie zukommt.
Letzte Aktualisierung:
Transkript des Videos
In diesem Video bereiten Sie das Audit vor: Welche Dokumente erwartet der Auditor, und welche liefert preeco?
Für ISO 27001 auf Basis von IT-Grundschutz reichen Sie Referenzdokumente ein, A.0 bis A.6.
Im Cockpit öffnen Sie über die Katalogauswahl ‚Kataloge verwalten‘.
Klicken Sie auf Ihren Katalog.
Im Katalog öffnen Sie das Menü ‚Aktionen‘.
Wählen Sie ‚Auditdokumente herunterladen‘.
preeco erzeugt drei Dokumente direkt aus Ihren Daten.
Die Strukturanalyse, Referenzdokument A.1: alle Assets mit Typ, Beschreibung und Schutzbedarf.
Die Modellierung, A.3: welcher Baustein an welchem Asset hängt.
Und das Ergebnis des IT-Grundschutz-Checks, A.4: jede Anforderung je Asset mit Status, Begründung, Verantwortlichen und Frist.
Als Excel, PDF oder Word.
So sieht der Check aus – in der Struktur, die der Auditor kennt.
A.1, A.3 und A.4 erzeugt preeco. Die übrigen Dokumente stammen aus weiteren Bereichen.
A.0, Ihre Richtlinien, pflegen Sie in den Regelwerken.
A.2, die Schutzbedarfsfeststellung, exportieren Sie je Asset aus dem Tab ‚Schutzbedarf‘.
A.5, die Risikoanalyse, dokumentieren Sie im Risikoregister. Den Realisierungsplan, A.6, unterschreibt Ihre Leitung.
Für ISO 27001 brauchen Sie zusätzlich die Anwendbarkeitserklärung.
Mit ‚Neu‘ legen Sie eine Fassung ab.
Die Fassung friert den aktuellen Stand ein, mit Datum und Ersteller.
Sie steht jetzt als Fassung v1 in der Liste.
Diese Fassung erhält der Auditor. Spätere Änderungen verändern sie nicht.
Ein Zertifikat gilt drei Jahre. In den beiden Jahren dazwischen finden Überwachungsaudits statt.
Jedes Audit prüft den Baustein ISMS.1. Im Zertifizierungsaudit kommen mindestens fünf weitere Bausteine dazu.
Welche Zielobjekte der Auditor prüft, sagt er vorher meist nicht. Prüffähig muss also alles sein.
Geringfügige Abweichungen verhindern das Zertifikat nicht. Mehrere davon können aber zusammen schwerwiegend werden.
Hat die Dokumentation gravierende Lücken, kann das Audit schon nach der Dokumentenprüfung enden.
Im Tab ‚Aktivitäten‘ ist jede Änderung nachvollziehbar – wer, wann, was.
Das Cockpit bleibt Ihr Arbeitsplatz zwischen den Audits: Fristen, Nachweise, Wiedervorlagen.
Von der Leitlinie bis zum Auditdokument: Ihr Informationsverbund nach IT-Grundschutz, an einem Ort.
preeco | informationssicherheit – Compliance mit KI und Ihrem Team. Demo vereinbaren auf preeco.de.
Für ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz reichen Sie beim Audit die Referenzdokumente A.0 bis A.6 ein. preeco | informationssicherheit erzeugt drei davon direkt aus Ihren Daten. Dieser Artikel ist Teil 9 und damit der Abschluss der Video-Reihe „BSI IT-Grundschutz mit preeco“.
Voraussetzungen
- Ihr Team verfügt über eine Lizenz für die Informationssicherheit (ISMS).
- Ein BSI-Anforderungskatalog ist geladen und Assets sind modelliert (Teil 6 der Reihe).
Auditdokumente herunterladen
- Öffnen Sie im „Cockpit“ über die Katalogauswahl „Kataloge verwalten“ und klicken Sie auf Ihren Katalog.
- Öffnen Sie im Katalog das Menü „Aktionen“ und wählen Sie „Auditdokumente herunterladen“.
- Wählen Sie unter „Dokument“:
- „Strukturanalyse“ (Referenzdokument A.1): alle Assets mit Typ, Beschreibung und Schutzbedarf.
- „Modellierung“ (A.3): welcher Baustein an welchem Asset hängt.
- „Ergebnis des IT-Grundschutz-Checks“ (A.4): jede Anforderung je Asset mit Status, Begründung, Verantwortlichen und Frist.
- Wählen Sie das „Dateiformat“ – Excel, PDF oder Word – und klicken Sie auf „Download“.
Woher die übrigen Referenzdokumente kommen
- A.0, Ihre Richtlinien, pflegen Sie in den Regelwerken (Teil 1).
- A.2, die Schutzbedarfsfeststellung, exportieren Sie je Asset aus dem Tab „Schutzbedarf“ (Teil 5).
- A.5, die Risikoanalyse, dokumentieren Sie im Risikoregister (Teil 8).
- A.6, den Realisierungsplan, unterschreibt Ihre Leitung.
Anwendbarkeitserklärung als Fassung ablegen
- Öffnen Sie im Cockpit den Tab „Anwendbarkeitserklärung“.
- Mit „Neu“ legen Sie eine Fassung ab. Die Fassung friert den aktuellen Stand ein, mit Datum und Ersteller.
- Öffnen Sie die Fassung und laden Sie sie herunter. Diese Fassung erhält der Auditor; spätere Änderungen verändern sie nicht.
Was im Audit auf Sie zukommt
- Ein Zertifikat gilt drei Jahre. In den beiden Jahren dazwischen finden Überwachungsaudits statt.
- Jedes Audit prüft den Baustein ISMS.1. Im Zertifizierungsaudit kommen mindestens fünf weitere Bausteine dazu.
- Welche Zielobjekte der Auditor prüft, sagt er vorher meist nicht – prüffähig muss also alles sein.
- Geringfügige Abweichungen verhindern das Zertifikat nicht, mehrere davon können aber zusammen schwerwiegend werden. Hat die Dokumentation gravierende Lücken, kann das Audit schon nach der Dokumentenprüfung enden.
Im Tab „Aktivitäten“ des Cockpits ist jede Änderung nachvollziehbar – wer, wann, was. Zwischen den Audits bleibt das Cockpit Ihr Arbeitsplatz für Fristen, Nachweise und Wiedervorlagen.
Alle Teile der Reihe
← Teil 8: Risikoanalyse nach BSI-Standard 200-3
- Auftakt: IT-Grundschutz in neun Schritten
- Teil 1: Initiierung – Leitung, ISB und Leitlinie
- Teil 2: Schutzbedarf-Methodik festlegen
- Teil 3: Risikomethodik nach BSI-Standard 200-3
- Teil 4: Strukturanalyse
- Teil 5: Schutzbedarfsfeststellung
- Teil 6: Modellierung
- Teil 7: IT-Grundschutz-Check im Cockpit
- Teil 8: Risikoanalyse nach BSI-Standard 200-3
- Teil 9: Audit vorbereiten (dieser Artikel)