Vorlage aus dem NIS2-Paket
Das Verfahren regelt, wie Sie Schwachstellen erkennen, einstufen und innerhalb fester Fristen schließen und wie Sie Meldungen von außen entgegennehmen. Es ist im NIS2-Paket enthalten.
Das Dokument
Das Verfahren Schwachstellen und Patches (NIS-VF-12, 11 Seiten) verfolgt ein klares Ziel: Jede bekannte Schwachstelle ist innerhalb einer festen Frist geschlossen oder mit Begründung und Termin als Ausnahme entschieden, und niemand muss raten, welches System welchen Stand hat. Es gilt für alle Systeme im Inventar, von Servern und Endgeräten über Firewalls und Cloud-Dienste bis zu Maschinensteuerungen und Druckern, und für Bibliotheken und Komponenten in selbst entwickelter Software.
Jede Schwachstelle wird kurz nach Bekanntwerden einer von drei Stufen zugeordnet: kritisch (Basiswert ab 9,0, aktive Ausnutzung oder Ausführung von Code ohne Anmeldung auf einem aus dem Internet erreichbaren System), hoch (Basiswert 7,0 bis 8,9 oder bestimmte Lücken auf Systemen mit hohem oder sehr hohem Schutzbedarf) und übrige. Die Vorlage schlägt Fristen von 7, 14 und 30 Tagen vor, bei aktiver Ausnutzung einen Notfallpatch innerhalb von 48 Stunden. Alle diese Werte stehen in eckigen Klammern und werden von Ihnen festgelegt.
Dazu kommen Regeln für den Test vor dem Einspielen mit Pilotgruppe und Rückfallweg, für Behelfsmaßnahmen und befristete Ausnahmen, für die Dokumentation im Schwachstellenverzeichnis und für Systeme ohne Herstellerunterstützung. Anhang A ist ein Antrag auf Ausnahme von der Patchfrist, je Schwachstelle und System.
Vorschau
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
NIS-VF-12: Deckblatt mit Dokumentenlenkung
NIS-VF-12: Inhalt und Änderungshistorie
Gliederung
Die Gliederung stammt aus der ausgelieferten Datei. Jedes Word-Dokument hat zusätzlich Deckblatt mit Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie.
Tabelle mit sechs Quellen und Platz für weitere, von Herstellerhinweisen und CERT-Bund über den Schwachstellenscanner bis zu Meldungen von außen, je mit Rhythmus und Zuständigkeit. Unbekannte Geräte aus dem Scan werden als Sicherheitsvorfall behandelt.
Drei Stufen mit Kriterien und Beispielen. Wird niedriger eingestuft, als der Basiswert nahelegt, wird der Grund dokumentiert und von der oder dem ISB bestätigt.
Fristen je Stufe ab Verfügbarkeit des Updates, ausdrücklich auch für Firmware von Netzwerkkomponenten, Druckern und Steuerungen, und eine Nachweispflicht für Dienstleister.
Wer einen Notfallpatch auslöst, welche Behelfsmaßnahmen zulässig sind und wer Ausnahmen genehmigt. Ausnahmen sind befristet, wird eine verlängert, wird die Schwachstelle als Risiko bewertet.
Weiterbetrieb nur nach Entscheidung der Geschäftsleitung auf Grundlage einer Risikobewertung, mit Ablösetermin, eigenem Netzsegment und verstärkter Überwachung.
Ein fester Meldeweg mit Eingangsbestätigung, Einstufung wie ein interner Fund und Regeln für die Information von Kunden und Herstellern vor einer Veröffentlichung.
Auszug
Ein System, das im Inventar fehlt, wird nicht geprüft und damit nicht gepatcht.
Eine Behelfsmaßnahme ersetzt das Update nicht; sie verschiebt die Frist nur im Rahmen einer Ausnahme.
Eine Ausnahme ohne Behelfsmaßnahme ist nicht zulässig.
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[7] | Frist in Tagen für das Einspielen bei kritischen Schwachstellen. | NIS-VF-12 |
[48] | Stunden bis zum Notfallpatch auf Systemen, die aus dem Internet erreichbar sind. | NIS-VF-12 |
[Produkt] | Ihr Schwachstellenscanner und Ihre zentrale Softwareverteilung. | NIS-VF-12 |
[10] | Größe der Pilotgruppe für Updates auf Endgeräten (Abschnitt 7). | NIS-VF-12 |
[zehn] | Frist in Arbeitstagen, in der Meldende über die Einstufung ihrer Schwachstellenmeldung informiert werden (Abschnitt 11). | NIS-VF-12 |
[90] | Höchstdauer einer Ausnahme von der Patchfrist in Tagen. | NIS-VF-12 |
[security@ihr-unternehmen.de] | Die Adresse, über die Außenstehende Schwachstellen melden können. | NIS-VF-12 |
Einsatz
§ 30 Abs. 2 Nr. 5 BSIG nennt neben Erwerb, Entwicklung und Wartung ausdrücklich das Management und die Offenlegung von Schwachstellen. Das Verfahren deckt beides ab: den internen Umgang mit Schwachstellen in den Abschnitten 4 bis 10 und die Entgegennahme und Offenlegung von Schwachstellenmeldungen in Abschnitt 11.
Für die Bewertung der Wirksamkeit liefert es Kennzahlen. Die IT-Verantwortlichen werten das Schwachstellenverzeichnis regelmäßig aus: Anteil der fristgerecht geschlossenen Schwachstellen je Stufe, offene Schwachstellen über der Frist, laufende Ausnahmen und Systeme ohne Herstellerunterstützung. Die Zahlen gehen an das Verfahren Wirksamkeitsprüfung mit internem Auditplan, eine Fristüberschreitung ohne Ausnahme wird dort als Abweichung geführt.
Scanberichte und Nachweise des Einspielens werden aufbewahrt, damit der Stand zu einem vergangenen Zeitpunkt belegbar ist. Damit können Sie auch Kunden antworten, die in Lieferantenfragebögen wissen wollen, ob Sicherheitsupdates zeitnah eingespielt werden.
1.490 €netto, zzgl. USt. Einmalig, 25 Dokumente in Word und Excel
Häufige Fragen
7 Tage für kritische, 14 Tage für hohe und 30 Tage für übrige Schwachstellen, jeweils ab Verfügbarkeit des Updates oder ab der Einstufung, wenn diese später liegt. Bei aktiver Ausnutzung oder einer Warnung des Bundesamtes gilt auf aus dem Internet erreichbaren Systemen ein Notfallpatch innerhalb von 48 Stunden. Alle Werte stehen in eckigen Klammern und werden von Ihnen festgelegt.
Vor Ablauf wird eine Ausnahme mit dem Antrag in Anhang A beantragt, mit Grund, Behelfsmaßnahme, verantwortlicher Person und neuem Termin. Die oder der ISB genehmigt für Systeme mit geringem oder mittlerem Schutzbedarf, die Geschäftsleitung für Systeme mit hohem oder sehr hohem Schutzbedarf und für alle kritischen Schwachstellen. Wird die Ausnahme verlängert, wird die Schwachstelle als Risiko im Risikoregister bewertet.
Ja, über den Vertrag nach der Richtlinie Lieferanten und Dienstleister. Der Dienstleister weist die Einhaltung vergleichbarer Fristen nach, und die IT-Verantwortlichen prüfen diesen Nachweis in einem festgelegten Rhythmus.
Nein, es ist im NIS2-Paket enthalten. Es greift auf weitere Dokumente des Pakets zurück, vor allem auf das Inventar der IT-Systeme und Anwendungen, die Methodik der Risikoanalyse und die Richtlinie Beschaffung, Entwicklung und Wartung, die im Paket zum selben Bereich Nr. 5 gehört.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.
