Schutzbedarfsfeststellung: Geschäftsprozesse begründet einstufen

Kapitel 2.6 von 300-1 regelt die Schutzbedarfsfeststellung. Bewertet wird jeder Geschäftsprozess einzeln, getrennt nach Vertraulichkeit, Integrität und Verfügbarkeit. Maßstab sind die Schäden, die eine Beeinträchtigung des Prozesses auslösen kann, und die Informationen, die er verarbeitet. Das Ergebnis wird je Prozess dokumentiert.

Der Standard gibt zwei Kategorien vor: „Normal (die Auswirkungen sind begrenzt und überschaubar)“ und „Hoch (die Auswirkungen können beträchtlich sein)“ (BSI-Standard 300-1, Kap. 2.6). Als Hilfe für die Einstufung hoch nennt er fünf Schadensszenarien, die die Matrix unten als K1 bis K5 aufgreift: Rechtsverstöße mit existenzbedrohender Folge, Eingriffe in das informationelle Selbstbestimmungsrecht mit erheblichem Reputationsschaden, Gefahr für die persönliche Unversehrtheit, nachhaltiger Reputationsschaden und existenzbedrohende finanzielle Folgen.

Wer feiner unterscheiden will, darf eigene Kategorien bilden, muss sie aber auf normal und hoch abbilden. Dazu hält Kapitel 2.6 fest: „Im Ergebnis muss, für ein zertifizierbares ISMS, in der niedrigsten Kategorie stets der Stand der Technik eingehalten werden.“ Der Schutzbedarf der Geschäftsprozesse wird der Institutionsleitung zur Freigabe vorgelegt (Kapitel 2.10).

Der Anwenderkatalog setzt das in der Methodik-Anforderung GC.7.1.2 um: „Governance und Compliance MUSS eine Einstufung des Schutzbedarfs der relevanten Geschäftsprozesse oder Informationen unter Berücksichtigung der Geschäftsziele und in Absprache mit der Institutionsleitung festlegen.“ Die Erläuterung dazu nennt zwei weitere Anhaltspunkte für hoch: folgenschwere Auswirkungen einer Verletzung der Sicherheitsziele auf die Geschäftsziele oder bestehende Verpflichtungen, und Informationen im Prozess, die als besonders vertraulich eingestuft sind. Welcher Prozess der wichtigste ist, entscheidet laut Erläuterung die Institutionsleitung.

Wer bisher nach 200-2 gearbeitet hat, kennt die Schutzbedarfsfeststellung als mehrstufiges Verfahren über alle Zielobjekte. 300-1 ist deutlich schmaler. Die Tabelle stellt die Punkte gegenüber, die für die Einstufung zählen. Die vollständige Änderungsübersicht zwischen beiden Welten steht auf der Seite zum Vergleich IT-Grundschutz 2023 und Grundschutz++.

Die Matrix fasst die Hilfsszenarien aus 300-1 Kapitel 2.6 und die Anhaltspunkte aus der Erläuterung zu GC.7.1.2 in prüfbare Fragen. Sie wird je Geschäftsprozess und je Grundwert ausgefüllt. Unsere Arbeitsregel: Trifft für einen Grundwert mindestens ein Kriterium plausibel zu, wird dieser Grundwert mit hoch bewertet und die Begründung festgehalten. Trifft keines zu, prüfen Sie zusätzlich die Definition aus Kapitel 2.6: Können die Auswirkungen beträchtlich sein, bleibt der Grundwert hoch; nur wenn sie begrenzt und überschaubar sind, ist er normal. Die Kriterien sind also keine abschließende Liste. Der Standard schreibt diese Regel nicht vor; er nennt die Szenarien als Hilfestellung. Die Erläuterung zu GC.7.1.2 ist strenger: Bei existenzbedrohenden finanziellen oder Reputationsschäden sowie in den Fällen K6 und K7 „ist der Schutzbedarf des Prozesses als hoch einzustufen“. Die Regel macht die Entscheidung aber für die Leitung und für ein Audit nachvollziehbar.

Fiktives Beispiel: eine Förderstelle eines Landes mit vier Geschäftsprozessen. Die Begründungen zeigen, wie die Kriterien angewendet werden. Prozesse, Informationen und Einschätzungen sind erfunden und ersetzen keine Bewertung in Ihrer Institution.

Wer aus einem bestehenden Sicherheitskonzept nach 200-2 kommt, hat Einstufungen für Prozesse, Anwendungen, IT-Systeme, Räume und Verbindungen in drei Kategorien. Die folgenden Prüffragen helfen, daraus eine Einstufung nach 300-1 zu machen, ohne Begründungen zu verlieren. Sie sind unsere Arbeitshilfe; wo eine Frage auf eine Vorgabe des Standards zurückgeht, ist die Fundstelle genannt.

Die Schutzbedarfsfeststellung steht in 300-1 im ersten Prozessschritt, zwischen der Identifizierung der Geschäftsprozesse (Kapitel 2.5) und der Festlegung des Informationsverbunds im zweiten Schritt. Die Reihenfolge hat Folgen: Der Schutzbedarf bestimmt, mit welchem Prozess Sie beginnen, wie tief Sie die Assets dokumentieren und ob eine explizite Risikobetrachtung nötig wird. Kapitel 2.5 sagt dazu: „Geschäftsprozesse bilden die Grundlage für die Schutzbedarfsfeststellung, die Identifizierung der Assets der Institution sowie für die Risikobetrachtung.“

Aus unserer Sicht eignet sich eine kurze Sitzung je Prozess mit der fachlich verantwortlichen Stelle, dem ISB und bei Bedarf dem Datenschutz. Die Fachseite kennt die Folgen eines Ausfalls oder einer Verfälschung, der ISB sorgt dafür, dass die Kriterien gleich angewendet werden. Das Ergebnis geht als Entscheidungsvorlage an die Institutionsleitung, zusammen mit dem Vorschlag, mit welchem Prozess begonnen wird. Gibt es mehrere Prozesse mit hohem Schutzbedarf, wählt nach Kapitel 2.6 grundsätzlich die Leitung den wichtigsten aus.

Die Einstufung ist nicht endgültig. 200-2 beschreibt die Schutzbedarfsfeststellung in Kapitel 8.2.2 als iterativen Prozess, der nach Risikoanalysen erneut zu prüfen ist. 300-1 nennt in Kapitel 5.5 Änderungen im Informationsverbund als Gegenstand der regelmäßigen Validierung. Planen Sie die Überprüfung der Einstufung deshalb in den jährlichen Zyklus ein und lösen Sie sie bei neuen Prozessen, neuen Informationsarten oder geänderten rechtlichen Pflichten aus.