Vorlage aus dem NIS2-Paket
Das Verfahren Wirksamkeitsprüfung legt fest, wie Sie messen, ob Ihre Maßnahmen zur Informationssicherheit wirken: mit Kennzahlen, einem internen Auditplan über die zehn Bereiche des § 30 Abs. 2 BSIG und einem festen Bericht an die Geschäftsleitung. Es ist im NIS2-Paket enthalten.
Das Dokument
Die Vorlage NIS-VF-13 ist ein Verfahren in Word. Es verbindet drei Werkzeuge: eine Tabelle mit 15 vorbereiteten Kennzahlen, zum Beispiel Anteil geschulter Beschäftigter, Anteil fristgerecht eingespielter Patches, offene hohe und sehr hohe Risiken oder Anteil der Konten mit Mehr-Faktor-Anmeldung, jeweils mit Berechnung, Zielwert als Platzhalter, Quelle und liefernder Rolle. Dazu einen internen Auditplan, der jeden der zehn Bereiche des § 30 Abs. 2 BSIG den geprüften Dokumenten, einem Termin und einer prüfenden Person zuordnet, und den regelmäßigen Bericht an die Geschäftsleitung.
Geregelt ist auch, was eine Prüfung aussagekräftig macht: Die prüfende Person bewertet nicht ihre eigene Arbeit, jede Regel auf der Prüfliste wird mit mindestens einem Nachweis geprüft, und Stichproben haben eine Mindestgröße. Jede Feststellung wird als Hauptabweichung, Nebenabweichung oder Verbesserungsvorschlag eingestuft, mit eigenen Fristen für Ursachenanalyse und Umsetzung. Anhang A enthält das Formular für den Bericht einer internen Prüfung mit Feststellungen, Stand früherer Feststellungen und Gesamteinschätzung des Bereichs.
Die Rollen sind auf Geschäftsleitung, Informationssicherheitsbeauftragte (ISB), IT-Verantwortliche, Führungskräfte und Beschäftigte verteilt. Die oder der ISB erhebt die Kennzahlen, führt den Auditplan und verfolgt die Korrekturmaßnahmen. Die Geschäftsleitung gibt Plan und Zielwerte frei und entscheidet über Korrekturmaßnahmen, die Mittel oder Personal brauchen.
Vorschau
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
NIS-VF-13: Deckblatt mit Dokumentenlenkung
NIS-VF-13: Inhalt und Änderungshistorie
Gliederung
Die Gliederung stammt aus der ausgelieferten Datei. Jedes Word-Dokument hat zusätzlich Deckblatt mit Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie.
Fünfzehn Kennzahlen mit Berechnung, Zielwert, Quelle und liefernder Rolle, darunter die Konten ausgetretener Personen aus der Richtlinie Personalsicherheit und die Kennzahlen des Schulungskonzepts, dazu eine freie Zeile für eigene Kennzahlen. Jede Kennzahl wird in Stichproben gegen ihren Nachweis geprüft und mit ihrem Verlauf über mehrere Zeiträume dargestellt.
Tabelle mit den zehn Bereichen des § 30 Abs. 2 BSIG, den jeweils geprüften Dokumenten, Termin und prüfender Person. Bereiche mit schweren Vorfällen, Hauptabweichungen oder zweimal verfehlten Zielwerten werden im Folgejahr zuerst geprüft und zusätzlich nachgeprüft.
Die prüfende Person war für die Maßnahmen des geprüften Bereichs nicht verantwortlich. Lässt sich das intern nicht sicherstellen, wird der Bereich an eine externe Person vergeben.
Sieben Schritte von der Vorbereitung mit Prüfliste über Eröffnung, Prüfung und Bewertung bis zu Abschlussgespräch, Bericht und Nachverfolgung in der Maßnahmenliste. Eine Aussage ohne Nachweis gilt als nicht belegt.
Kriterien und Fristen für Hauptabweichung, Nebenabweichung und Verbesserungsvorschlag. Eine Feststellung, die in zwei aufeinanderfolgenden Prüfungen desselben Bereichs auftritt, wird als Hauptabweichung eingestuft.
Mindestinhalt des regelmäßigen Berichts und die jährliche Gesamtbewertung je Bereich, die in die nächste Risikoanalyse und in die Überprüfung der Richtlinien eingeht.
Auszug
Eine Kennzahl ohne Nachweis gilt als nicht erhoben und wird im Bericht als Abweichung geführt.
Niemand ändert Feststellungen einer prüfenden Person; Widerspruch wird als Stellungnahme dem Bericht beigefügt.
Ein Bericht ohne dokumentierte Entscheidung gilt als nicht behandelt.
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[vierteljährlich] | Wie oft die Kennzahlen erhoben werden und die Geschäftsleitung den Bericht erhält. | NIS-VF-13 |
[95] | Zielwerte der Kennzahlen, etwa für den Anteil geschulter Beschäftigter oder fristgerecht geschlossener Schwachstellen. | NIS-VF-13 |
[Monat, Jahr] | Den Termin der internen Prüfung je Bereich im Auditplan. | NIS-VF-13 |
[Name, Firma oder "wird je Prüfung beauftragt"] | Die externe prüfende Person, wenn die Unabhängigkeit intern nicht sichergestellt werden kann. | NIS-VF-13 |
[90] | Die Frist in Tagen, in der eine Korrekturmaßnahme zu einer Hauptabweichung umgesetzt ist. | NIS-VF-13 |
[Ablageort, zum Beispiel das Blatt Behandlungsplan im Risikoregister] | Wo die Maßnahmenliste mit allen Feststellungen geführt wird. | NIS-VF-13 |
Einsatz
§ 30 Abs. 2 Nr. 6 BSIG nennt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen als eigenen Bereich. Im NIS2-Paket ist NIS-VF-13 das Dokument für diesen Bereich 6. Es beschreibt nicht nur, dass geprüft wird, sondern wann, von wem, mit welchem Maßstab und was mit den Ergebnissen geschieht.
Zugleich liefert das Verfahren die Grundlage für die Überwachungspflicht der Geschäftsleitung nach § 38 Abs. 1 BSIG. Der Bericht enthält die Kennzahlen mit Verlauf, den Stand des Auditplans, offene Hauptabweichungen, Risiken, Sicherheitsvorfälle und Meldungen sowie die Punkte, über die die Geschäftsleitung entscheiden muss. Die Entscheidungen werden in der Nachweisvorlage Umsetzung und Überwachung (NIS-NW-22) abgelegt. Einmal im Jahr bewertet der Bericht jeden der zehn Bereiche als wirksam, teilweise wirksam oder nicht wirksam.
Auch bei Kundenaudits hilft der Plan: Ergebnisse externer Prüfungen werden dem betroffenen Bereich zugeordnet und können nach Abschnitt 5 die interne Prüfung im selben Jahr ersetzen, wenn sie denselben Umfang abdecken. Feststellungen aus Kundenaudits und Prüfungen durch Behörden werden nach denselben Regeln behandelt wie eigene, mit Ursache, Maßnahme, verantwortlicher Person und Termin.
1.490 €netto, zzgl. USt. Einmalig, 25 Dokumente in Word und Excel
Häufige Fragen
Nein. Das Verfahren Wirksamkeitsprüfung mit internem Auditplan ist Teil des NIS2-Pakets mit 25 Dokumenten in Word und Excel und wird nicht einzeln abgegeben. Das Paket kostet 1.490 € netto.
Das Word-Dokument hat 11 Seiten einschließlich Dokumentenlenkung, Inhaltsverzeichnis, Änderungshistorie und Anhang A mit dem Formular für den Prüfbericht. Kennzahlen, Auditplan und Bewertungskriterien sind als bearbeitbare Tabellen angelegt.
Nicht grundsätzlich. Die Vorlage sieht interne prüfende Personen vor, die nicht ihre eigene Arbeit prüfen: Die IT-Verantwortlichen prüfen zum Beispiel nicht die Bereiche 3, 5, 8, 9 und 10, die oder der ISB nicht die Bereiche 1, 2, 6 und 7. Lässt sich das in einem kleinen Betrieb nicht einhalten, wird der betroffene Bereich an eine externe Person vergeben, die Sie in der Vorlage eintragen.
Die Kennzahlen beziehen sich auf die übrigen Dokumente des Pakets, etwa Schulungsnachweis, Patchverfahren, Datensicherung, Risikoregister und Lieferantenbewertung. Die Zielwerte stehen in eckigen Klammern und werden von Ihrer Geschäftsleitung festgelegt. Eine Kennzahl, die mehrere Zeiträume in Folge ihr Ziel erreicht hat, kann durch eine Kennzahl zu einem schwächeren Bereich ersetzt werden.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.
