IT-Grundschutz-Aufwand intern planen: Kapazität nach Rollen und Arbeitspaketen

Weder BSI-Standard 300-1 noch der Anwenderkatalog nennen einen Aufwand für ein Grundschutz-Vorhaben. Der Katalog ordnet zwar jeder Anforderung eine Aufwandsstufe zu, und der Namespace beschreibt die Stufen mit groben Zeiträumen je Anforderung, etwa „innerhalb einer Woche“ für Stufe 2; eine Zahl für das ganze Vorhaben folgt daraus nicht, weil Mengen, Parallelität und vorhandene Maßnahmen fehlen. Wie viel Arbeit entsteht, hängt an Mengen, die erst die Erhebung liefert: Geschäftsprozesse, Schutzbedarf, Assets, Standorte, Dienstleister, Qualität der vorhandenen Unterlagen. Eine Zahl vor dieser Erhebung wäre eine Schätzung ohne Grundlage.

Planbar ist trotzdem viel. Sie können festlegen, welche Rollen das Vorhaben braucht, in welchem Arbeitspaket welche Rolle führt, mitwirkt oder entscheidet, und welche Mengen Sie zuerst erheben müssen, um die Belastung je Rolle einzuschätzen. Das ist der Inhalt des Kapazitätsplans unten. Er dient als Grundlage für die Entscheidungsvorlage zur Ressourcenfreigabe und lässt sich fortschreiben, sobald die Mengen bekannt sind.

Die Vorgaben zu Ressourcen sind über den Standard und die Praktiken GC und UMS verteilt. Die Tabelle fasst sie zusammen und zeigt, was daraus für die Planung folgt.

Geplant wird nach Rollen, nicht nach Personen. Eine Person kann mehrere Rollen haben, außer dort, wo 300-1 Interessenkonflikte ausschließt: zwischen IT-Leitung und ISB sowie zwischen Datenschutzbeauftragtem und ISB (Kap. 2.8), zwischen Umsetzung und Fortschrittsverfolgung (Kap. 4.5) und beim internen Auditteam, dessen Auswahl Objektivität und Unparteilichkeit sichern soll (Kap. 5.2.2). Welche Rolle für welche Entscheidung und welchen Nachweis verantwortlich ist und wie Sie Konflikte auflösen, steht auf der Seite Rollen und Verantwortlichkeiten; hier geht es nur darum, wie stark jede Rolle im Vorhaben gebunden ist.

Die Arbeitspakete folgen den Kapiteln von 300-1 und gelten für einen Neuaufbau. Für die Überführung eines bestehenden ISMS hat die Seite Migration einen eigenen Zuschnitt mit zehn Paketen, etwa mit der Übertragung eines IT-Grundschutz-Checks; die Nummern dort entsprechen nicht denen auf dieser Seite. Die Spalte „Mengentreiber“ nennt, was den Umfang des Pakets bestimmt.

Die Matrix ist das eigentliche Arbeitsergebnis. F heißt führt, M wirkt mit, E entscheidet oder gibt frei, I wird informiert; ein leeres Feld heißt, dass die Rolle nicht gebraucht wird. Die Zuordnung ist unser Vorschlag und an die Belege aus 300-1 gebunden, wo der Standard eine Rolle nennt.

Bevor Sie die Belastung je Rolle einschätzen, erheben Sie die Mengen. Die meisten liegen nach AP-01 und AP-02 vor, die Zahl der Anforderungen nach AP-06. Die Tabelle nennt, wo jeder Treiber wirkt und woher Sie ihn bekommen.

Die Muster Software GmbH (frei erfunden) entwickelt eine Fachanwendung für öffentliche Auftraggeber und betreibt sie im eigenen Rechenzentrum. Erhoben nach AP-01 und AP-02: sechs Geschäftsprozesse im Anwendungsbereich, davon zwei mit hohem Schutzbedarf; zwei Standorte; drei wesentliche Dienstleister; eine CMDB, in der die Zuordnung von Anwendungen zu Systemen für etwa die Hälfte der Systeme fehlt; kein ISMS nach Kompendium 2023. Die Leitung hat entschieden, mit dem Geschäftsprozess „Betrieb der Musterakte“ zu beginnen, dem Betrieb der Fachanwendung.

Die Tabelle zeigt die geschätzte Belastung je Rolle im ersten Durchlauf in drei Stufen: hoch, mittel, gering. Die Stufen sind relativ zueinander gemeint und ersetzen keine Stundenplanung; sie zeigen, wo Engpässe zu erwarten sind und wofür die Leitung Kapazität freigeben muss.

Die Vorlage an die Institutionsleitung sollte so aufgebaut sein, dass die Leitung über Kapazität entscheiden kann, ohne die Methodik im Einzelnen zu kennen. Diese Punkte gehören hinein:

Externe Unterstützung entlastet einzelne Rollen; die Verantwortung bleibt, wo sie ist. Für das ISMS liegt sie bei der Institutionsleitung (Kap. 2.10), und Prozesseigentümer bleiben Risikoeigentümer ihrer Risiken. Extern vergeben lassen sich etwa die Vorbereitung von Entscheidungsvorlagen, Moderation und Methodik, die Prüfung einer bestehenden Risikomethode gegen Anhang 3 oder ein internes Audit, wenn das Auditteam unabhängig vom Aufbau ist.

Blackfort Technology unterstützt bei der Entscheidung und Übergangsplanung mit einer Entscheidungsvorlage, die den Ressourcenbedarf enthält, bei Readiness-Analyse und Migrationskonzept sowie bei der Umsetzung. Umfang und Preis legen wir nach einem Erstgespräch in einem Angebot fest; auf dieser Website nennen wir keine Preise. Die Rolle des externen Informationssicherheitsbeauftragten beschreibt Blackfort Technology auf der Firmenseite.