Zuständigkeiten und Schwachstellen pflegen – Asset-Owner und CVE-Bezug

Zu jedem Asset Ihrer Systemlandschaft dokumentieren Sie zwei Unterlisten, nach denen im ISMS-Audit als Erstes gefragt wird: „Zuständigkeiten“ – wer für das System verantwortlich ist – und „Bekannte Schwachstellen / CVE-Bezug“ – welche Sicherheitslücken bekannt sind und wie weit ihre Behebung ist.

Voraussetzungen

• Ihr Team verfügt über eine Lizenz für die Informationssicherheit (ISMS).
• Sie haben Zugriff auf das Asset und die Berechtigung, es zu bearbeiten.
• Beide Unterlisten werden aus dem Bearbeitungsformular gepflegt: Öffnen Sie das Asset in der Detailansicht und klicken Sie rechts oben auf „Bearbeiten“.

Zuständigkeit anlegen

Der Abschnitt „Zuständigkeiten“ erfasst die fachlich verantwortlichen Stellen. Die technische Administration, der Informationssicherheitsbeauftragte (ISB) und der Notfallkontakt werden dagegen im Bereich „Administration und Management“ gepflegt – ein Hinweistext im Abschnitt weist darauf hin.

1. Öffnen Sie das Bearbeitungsformular des Assets.
2. Klicken Sie im Abschnitt „Zuständigkeiten“ auf die Schaltfläche „Neu“. Es öffnet sich ein einschwebender Bereich, der den Namen des Assets als Titel trägt.
3. Wählen Sie unter „Rolle / Zuständigkeit“ aus dem Auswahlmenü: „Asset-Owner / Fachverantwortung“, „Stellvertretung Fachverantwortung“ oder „Menschliche Aufsicht (KI)“.
4. Füllen Sie die Kontaktangaben aus: „Name des Unternehmens“, „Vorname“, „Nachname“, „Position“, „Straße“, „Hausnummer“, „PLZ“, „Ort“, „Land“, „Telefon“, „Fax“ und „E-Mail“.
5. Klicken Sie auf „Übernehmen“, um die Zuständigkeit zu speichern, oder auf „Abbrechen“, um die Eingabe zu verwerfen.

Benennen Sie mindestens den „Asset-Owner / Fachverantwortung“ für jedes produktive Asset – das ist die Stelle, die bei einem Sicherheitsvorfall oder einer Änderung als Erstes einzubinden ist. Bei Assets mit KI-Komponenten ergänzen Sie die „Menschliche Aufsicht (KI)“.

Schwachstelle anlegen

Solange im Abschnitt „Bekannte Schwachstellen / CVE-Bezug“ noch nichts erfasst ist, erscheint dort der Hinweis „Keine Schwachstellen vorhanden.“

1. Klicken Sie im Abschnitt „Bekannte Schwachstellen / CVE-Bezug“ auf die Schaltfläche „Neu“.
2. Tragen Sie unter „Bezeichnung“ den Namen oder die Kennung der Schwachstelle ein, etwa eine CVE-Nummer wie CVE-2024-12345 oder eine interne Bezeichnung.
3. Hinterlegen Sie unter „URL“ einen Verweis auf die Quelle – den CVE-Eintrag, ein Hersteller-Advisory oder eine interne Dokumentation.
4. Beschreiben Sie im Feld „Beschreibung“ die Schwachstelle, ihre Auswirkungen und die geplanten oder umgesetzten Gegenmaßnahmen.
5. Wählen Sie unter „Status“ den Bearbeitungsstand: „Offen“, „In Bearbeitung“, „Behoben“, „Risiko akzeptiert“ oder „Nicht betroffen“.
6. Klicken Sie auf „Übernehmen“ oder auf „Abbrechen“.

Was anschließend passiert

• Anlegen, Ändern und Entfernen wird beim Speichern des Assets übernommen und in der Aktivitätshistorie protokolliert.
• Die Volltextsuche wird neu aufgebaut, sodass das Asset mit seinen aktuellen Angaben auffindbar bleibt.
• Eine dokumentierte Schwachstelle ist ein typischer Ausgangspunkt für eine systembezogene Risikoanalyse – besonders im Status „Offen“ oder „Risiko akzeptiert“. Für die Behebung legen Sie direkt am Asset eine Aufgabe oder Wiedervorlage an.

Pflegen Sie den „Status“ konsequent fort: Der häufigste Auditbefund ist nicht eine offene Schwachstelle, sondern eine offene Schwachstelle ohne erkennbaren Bearbeitungsstand. Ein bewusst gesetzter Status „Risiko akzeptiert“ mit kurzer Begründung in der „Beschreibung“ ist deutlich belastbarer als ein Eintrag, der monatelang auf „Offen“ steht.