Vom Projekt zum Betrieb: Aufrechterhaltung und Verbesserung im IT-Grundschutz

Problem in der Praxis

Viele Institutionen investieren erheblich in die Erstkonzeption: Sie erfassen ihren Informationsverbund, stellen den Schutzbedarf fest, modellieren die Bausteine und arbeiten den IT-Grundschutz-Check ab. Mit dem Tag der Fertigstellung gilt das Vorhaben als erledigt, das Projektteam wird aufgelöst, und die Dokumentation altert still vor sich hin.

Das Ergebnis zeigt sich erst Monate später. Neue Cloud-Dienste, abgelöste Server und veränderte Geschäftsprozesse sind hinzugekommen, doch die Strukturanalyse beschreibt noch den Stand der Erstkonzeption. Der Schutzbedarf einzelner Anwendungen ist gestiegen, ohne dass dies nachgezogen wurde, und geplante Maßnahmen aus dem Check wurden nie umgesetzt. Spätestens beim nächsten Audit oder Vorfall wird sichtbar, dass das Sicherheitskonzept die Realität nicht mehr abbildet. Ein gepflegter Aktenstand ist dann wertlos, weil er nicht mehr stimmt.

CISO-Einordnung

Der IT-Grundschutz versteht den Sicherheitsprozess als Lebenszyklus im Sinne des PDCA-Modells: planen, umsetzen, Erfolg kontrollieren, Mängel beseitigen und optimieren. Aufrechterhaltung und Verbesserung sind die beiden letzten Glieder dieser Kette, und sie speisen den nächsten Durchlauf.

Aus Management-Sicht beantwortet ein funktionierender Regelbetrieb wenige Kernfragen:

• Bildet die Strukturanalyse den realen Informationsverbund noch ab?
• Stimmt der festgestellte Schutzbedarf noch mit der heutigen Geschäftslage überein?
• Ist die Modellierung aktuell, oder fehlen Bausteine für neue Zielobjekte?
• Welche Anforderungen sind tatsächlich umgesetzt, welche nur teilweise oder gar nicht?

Der BSI-Standard 200-2 verlangt genau diese regelmäßige Prüfung auf Angemessenheit, Wirksamkeit und Effizienz. Der Standard 200-1 ergänzt sie um die Managementbewertung: eine wiederkehrende Gesamtbetrachtung durch die Leitung, die nicht Einzelmaßnahmen, sondern das Sicherheitsniveau als Ganzes beurteilt.

Umsetzungsperspektive

Der Übergang vom Projekt in den Betrieb gelingt, wenn die Pflege der Konzeptbausteine in den Alltag eingebaut wird.

Die Strukturanalyse muss als lebendes Inventar geführt werden. Änderungen an Geschäftsprozessen, Anwendungen, IT-Systemen, Netzen und Räumen sollten über das Change-Management in die Erfassung zurückfließen. Gerade bei Virtualisierung und Cloud-Nutzung ist die Gruppenbildung unverzichtbar, damit die Komplexität beherrschbar bleibt.

Die Schutzbedarfsfeststellung ist anlassbezogen fortzuschreiben. Steigt der Schutzbedarf einer Anwendung von normal auf hoch oder sehr hoch, kann dies eine ergänzende Risikoanalyse nach BSI-Standard 200-3 auslösen, die vorher nicht erforderlich war.

Die Modellierung wird bei neuen Zielobjekten oder geänderten Rahmenbedingungen nachgezogen, und der IT-Grundschutz-Check liefert den aktuellen Umsetzungsstand. Dessen Status-Logik aus entbehrlich, ja, teilweise und nein ist das maßgebliche Steuerungssignal: Die Status teilweise und nein sind offene Aufgaben mit Verantwortlichem und Frist; entbehrlich und ja bedeuten dagegen keinen Handlungsbedarf.

Den fachlichen Bezugsrahmen liefert auch der Anwenderkatalog Grundschutz++ des BSI. Er ordnet die Aktivitäten in Themenfelder, darunter eigenständige Felder für Monitoring-Evaluation und Verbesserung. Sie bündeln auf Management-Ebene zwei Betriebsfragen: Wird das erreichte Sicherheitsniveau systematisch gemessen und bewertet, und werden erkannte Schwächen nachvollziehbar korrigiert und auf Wirksamkeit geprüft? Der Katalog steht unter CC BY-SA 4.0 und dient hier nur als Strukturreferenz.

Typische Fehler

1. Das Aufbauprojekt wird als abgeschlossen betrachtet, ohne dass eine feste Betriebstaktung etabliert wird.
2. Die Strukturanalyse wird nicht mit dem Change-Management gekoppelt und veraltet dadurch unbemerkt.
3. Gestiegener Schutzbedarf wird nicht nachgezogen, sodass die auslösende Risikoanalyse fehlt.
4. Offene Status aus dem IT-Grundschutz-Check werden dokumentiert, aber nicht nachverfolgt.
5. Die Vorbereitung auf Überwachungsaudits geschieht punktuell kurz vorher statt als Nebenprodukt des Regelbetriebs.

Risiken und Trade-offs

Ein zu schwerer Betriebsprozess überfordert die Organisation: Wenn jede kleine Änderung eine vollständige Neukonzeption auslöst, sinkt die Akzeptanz und die Pflege wird vernachlässigt. Ein zu leichter Prozess lässt die Konzeption schleichend veralten. Der CISO balanciert daher zwischen Aktualität und Aufwand. Größere Veränderungen am Informationsverbund oder an der Risikolage erfordern laut Methodik einen Neustart der Planungsphase; die Kunst liegt darin, Auslöser sauber zu definieren: Was wird laufend nachgezogen, was anlassbezogen, was im festen Jahresturnus.

Ein weiterer Trade-off betrifft die Zertifizierung. Wer eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz anstrebt, muss den Betrieb so aufstellen, dass er die in Überwachungsaudits geforderten Nachweise dauerhaft erzeugt. Ein nur für das Erstaudit aufgeräumtes ISMS fällt im laufenden Zertifikatszyklus auf.

Entscheidungspunkte

• Welche Ereignisse lösen eine Aktualisierung von Strukturanalyse, Schutzbedarf oder Modellierung aus, und welche laufen im festen Turnus?
• Ab welcher Änderungstiefe ist ein Neustart der Planungsphase statt einer punktuellen Anpassung erforderlich?
• Soll die Vorgehensweise erweitert werden, etwa von Basis- zur Standard-Absicherung oder von Kern-Absicherung auf einen größeren Informationsverbund?
• Welches Zertifizierungsziel besteht, und welche Nachweise muss der Regelbetrieb dafür laufend liefern?

Praktische Empfehlungen

1. Verankern Sie die Pflege der Konzeptbausteine im Change- und Asset-Management, damit Änderungen in die Strukturanalyse zurückfließen.
2. Definieren Sie klare Auslöser für die Fortschreibung des Schutzbedarfs und für ergänzende Risikoanalysen.
3. Führen Sie die offenen Anforderungen aus dem IT-Grundschutz-Check als Maßnahmenregister mit Owner, Frist und Status.
4. Etablieren Sie eine feste Managementbewertung, die das Sicherheitsniveau als Ganzes beurteilt und Entscheidungen protokolliert.
5. Verifizieren Sie die Regeln zu Gültigkeitsdauer und Überwachungsaudits am aktuellen BSI-Zertifizierungsschema, da diese nicht in der 200-x-Methodik geregelt sind.

Relevante Normreferenzen

• BSI-Standard 200-2 (IT-Grundschutz-Methodik): Referenz für Sicherheitsprozess, Strukturanalyse, Schutzbedarf, Modellierung, IT-Grundschutz-Check sowie Aufrechterhaltung und Verbesserung.
• BSI-Standard 200-1 (Managementsysteme für Informationssicherheit): Referenz für PDCA-Lebenszyklus, Managementbewertung und kontinuierliche Verbesserung.
• BSI-Standard 200-3 (Risikoanalyse auf Basis von IT-Grundschutz): Referenz für anlassbezogene Risikoanalysen bei erhöhtem Schutzbedarf.
• Anwenderkatalog Grundschutz++ (BSI, CC BY-SA 4.0): Strukturreferenz für die Themenfelder Monitoring-Evaluation und Verbesserung.
• ISO/IEC 27001:2022: Referenz für die zertifizierbare ISMS-Norm (ISO-Stand vor Verwendung prüfen).