DER.4 Notfallmanagement: Unterschied zwischen den Versionen
| (23 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
| Zeile 2: | Zeile 2: | ||
== Beschreibung == | == Beschreibung == | ||
In Notfällen müssen Institutionen weiter auf Informationen zugreifen können | ; Informationsnotfälle | ||
In Notfällen müssen Institutionen weiter auf Informationen zugreifen können | |||
* Um Geschäftsprozesse, ein IT-System oder eine Fachaufgabe wiederherstellen zu können | |||
; Informationssicherheit auch in einem Notfall aufrechterhalten | |||
Um die Informationssicherheit auch in einem Notfall aufrechterhalten zu können, sollten deshalb entsprechende Prozesse geplant, etabliert und überprüft werden | |||
Die Aufrechterhaltung der Informationssicherheit im Notfall ist in ein übergreifendes Notfallmanagement, idealerweise in ein Notfallmanagementsystem, einzubinden | ; Geplant und organisiert | ||
* Das Notfallmanagement hat jedoch einen eigenen Prozessverantwortlichen, den Notfallbeauftragten oder die Notfallbeauftragte, der oder die sich mit dem oder der ISB abstimmt | Nur wenn geplant und organisiert vorgegangen wird, ist eine optimale Notfallvorsorge und Notfallbewältigung möglich | ||
* Ein professioneller Prozess zum Notfallmanagement reduziert die Auswirkungen eines Notfalls und sichert somit den Betrieb und Fortbestand der Institution | |||
* Es sind geeignete Maßnahmen zu identifizieren und umzusetzen, durch die zeitkritischen Geschäftsprozesse und Fachaufgaben zum einen robuster und ausfallsicherer werden | |||
* Zum anderen sollten diese Maßnahmen ermöglichen, einen Notfall schnell und zielgerichtet zu bewältigen | |||
; Aufrechterhaltung der Informationssicherheit im Notfall | |||
Die Aufrechterhaltung der Informationssicherheit im Notfall ist in ein übergreifendes Notfallmanagement, idealerweise in ein Notfallmanagementsystem, einzubinden | |||
* Das Notfallmanagement hat jedoch einen eigenen Prozessverantwortlichen, den Notfallbeauftragten oder die Notfallbeauftragte, der oder die sich mit dem oder der ISB abstimmt | |||
=== Zielsetzung === | === Zielsetzung === | ||
Ziel dieses Bausteins ist es, Anforderungen zu beschreiben, um die Informationssicherheit in Institutionen selbst in kritischen Situationen zu gewährleisten | Ziel dieses Bausteins ist es, Anforderungen zu beschreiben, um die Informationssicherheit in Institutionen selbst in kritischen Situationen zu gewährleisten | ||
* Dazu sind die entsprechenden Maßnahmen in ein ganzheitliches Notfallmanagement einzubetten | * Dazu sind die entsprechenden Maßnahmen in ein ganzheitliches Notfallmanagement einzubetten | ||
* Zudem sind alle Aspekte zu betrachten, die erforderlich sind, um die Informationssicherheit auch bei Schadensereignissen oder Notfällen aufrechterhalten zu können | * Zudem sind alle Aspekte zu betrachten, die erforderlich sind, um die Informationssicherheit auch bei Schadensereignissen oder Notfällen aufrechterhalten zu können | ||
* Dies reicht von der Planung bis zur Überprüfung aller Prozesse | * Dies reicht von der Planung bis zur Überprüfung aller Prozesse | ||
== Abgrenzung und Modellierung == | == Abgrenzung und Modellierung == | ||
Der Baustein DER.4 ''Notfallmanagement'' ist immer für den gesamten Informationsverbund einmal anzuwenden | Der Baustein DER.4 ''Notfallmanagement'' ist immer für den gesamten Informationsverbund einmal anzuwenden | ||
Tritt ein Schadensereignis ein, müssen die richtigen Informationen vollständig und korrekt zur Verfügung stehen | Tritt ein Schadensereignis ein, müssen die richtigen Informationen vollständig und korrekt zur Verfügung stehen | ||
* Im vorliegenden Baustein werden weder Kriterien noch Prozesse erläutert, anhand derer die Verantwortlichen entscheiden können, ob ein Notfall vorliegt oder nicht | * Im vorliegenden Baustein werden weder Kriterien noch Prozesse erläutert, anhand derer die Verantwortlichen entscheiden können, ob ein Notfall vorliegt oder nicht | ||
* Die Entscheidung darüber wird getroffen, während der Sicherheitsvorfall behandelt wird (siehe DER.2.1 ''Behandlung von Sicherheitsvorfällen'') | * Die Entscheidung darüber wird getroffen, während der Sicherheitsvorfall behandelt wird (siehe DER.2.1 ''Behandlung von Sicherheitsvorfällen'') | ||
Krisen werden im Rahmen eines eigenen Krisenmanagements betrachtet und in diesem Baustein nur als Schnittstelle behandelt, etwa im Rahmen der weiteren Eskalation von Notfällen | Krisen werden im Rahmen eines eigenen Krisenmanagements betrachtet und in diesem Baustein nur als Schnittstelle behandelt, etwa im Rahmen der weiteren Eskalation von Notfällen | ||
* Weiterführende Informationen zu den einzelnen Phasen des Notfallmanagements sowie der Abgrenzung des Notfallmanagements zum Krisenmanagement sind im BSI-Standard 100-4 „Notfallmanagement“ enthalten | * Weiterführende Informationen zu den einzelnen Phasen des Notfallmanagements sowie der Abgrenzung des Notfallmanagements zum Krisenmanagement sind im BSI-Standard 100-4 „Notfallmanagement“ enthalten | ||
== Gefährdungslage == | == Gefährdungslage == | ||
Da IT-Grundschutz-Bausteine nicht auf individuelle Informationsverbünde eingehen können, werden zur Darstellung der Gefährdungslage typische Szenarien zugrunde gelegt | Da IT-Grundschutz-Bausteine nicht auf individuelle Informationsverbünde eingehen können, werden zur Darstellung der Gefährdungslage typische Szenarien zugrunde gelegt | ||
* Die folgenden spezifischen Bedrohungen und Schwachstellen sind für den Baustein DER.4 ''Notfallmanagement ''von besonderer Bedeutung | * Die folgenden spezifischen Bedrohungen und Schwachstellen sind für den Baustein DER.4 ''Notfallmanagement ''von besonderer Bedeutung | ||
; Typische Szenarien | ; Typische Szenarien | ||
| Zeile 38: | Zeile 44: | ||
! Gefährdung !! Beschreibung | ! Gefährdung !! Beschreibung | ||
|- | |- | ||
| [[#Personalausfall|Personalausfall]] || | | [[#Personalausfall|Personalausfall]] || Führt dazu, dass eine Institution ihre Fachaufgaben und Geschäftsprozesse nicht mehr ausführen kann | ||
|- | |- | ||
| [[#Ausfall von IT-Systemen|Ausfall von IT-Systemen]] || Fallen Komponenten eines IT-Systems aus, etwa durch defekte Hardware oder einen Stromausfall, kann der gesamte IT-Betrieb gestört werden | | [[#Ausfall von IT-Systemen|Ausfall von IT-Systemen]] || Fallen Komponenten eines IT-Systems aus, etwa durch defekte Hardware oder einen Stromausfall, kann der gesamte IT-Betrieb gestört werden | ||
|- | |- | ||
| [[#Ausfall eines Gebäudes|Ausfall eines Gebäudes]] || Gebäude können unvorhergesehen unbenutzbar werden, etwa weil sie durch Feuer, Sturm, Hochwasser, Erdbeben oder eine Explosion teilweise oder vollständig zerstört wurden | | [[#Ausfall eines Gebäudes|Ausfall eines Gebäudes]] || Gebäude können unvorhergesehen unbenutzbar werden, etwa weil sie durch Feuer, Sturm, Hochwasser, Erdbeben oder eine Explosion teilweise oder vollständig zerstört wurden | ||
|- | |- | ||
| [[#Ausfall einer Lieferung oder Dienstleistung|Ausfall einer Lieferung oder Dienstleistung]] || Sind Institutionen von Dienstleistungen abhängig, kann dies schnell zu Unterbrechungen der eigenen betrieblichen Kontinuität führen, wenn die dienstleistende oder liefernde Institution teilweise oder vollständig ausfällt | | [[#Ausfall einer Lieferung oder Dienstleistung|Ausfall einer Lieferung oder Dienstleistung]] || Sind Institutionen von Dienstleistungen abhängig, kann dies schnell zu Unterbrechungen der eigenen betrieblichen Kontinuität führen, wenn die dienstleistende oder liefernde Institution teilweise oder vollständig ausfällt | ||
|} | |} | ||
=== Personalausfall === | === Personalausfall === | ||
Fällt Personal aus, kann das schnell bedeuten, dass eine Institution ihre Fachaufgaben und Geschäftsprozesse nicht mehr ausführen kann | Fällt Personal aus, kann das schnell bedeuten, dass eine Institution ihre Fachaufgaben und Geschäftsprozesse nicht mehr ausführen kann | ||
* Die Gründe für einen Personalausfall können vielfältig sein | * Die Gründe für einen Personalausfall können vielfältig sein | ||
* Durch Keime in der Kantine oder einen Streik können beispielsweise viele Mitarbeitende gleichzeitig ausfallen | * Durch Keime in der Kantine oder einen Streik können beispielsweise viele Mitarbeitende gleichzeitig ausfallen | ||
* Auch der Tod eines Mitarbeitenden kann zu Ausfällen oder Beeinträchtigungen von wichtigen Geschäftsprozessen oder Fachaufgaben führen | * Auch der Tod eines Mitarbeitenden kann zu Ausfällen oder Beeinträchtigungen von wichtigen Geschäftsprozessen oder Fachaufgaben führen | ||
* Zudem könnten relevante Informationen zum Wiederanlauf des Geschäftsprozesses oder der IT-Systeme nicht mehr zugänglich sein | * Zudem könnten relevante Informationen zum Wiederanlauf des Geschäftsprozesses oder der IT-Systeme nicht mehr zugänglich sein | ||
* Oft verfügen einzelne Personen über spezifisches Fachwissen (Kopfmonopole), sodass ein Schaden auch dann eintreten kann, wenn der Personalausfall zahlenmäßig nur sehr gering ist | * Oft verfügen einzelne Personen über spezifisches Fachwissen (Kopfmonopole), sodass ein Schaden auch dann eintreten kann, wenn der Personalausfall zahlenmäßig nur sehr gering ist | ||
=== Ausfall von IT-Systemen === | === Ausfall von IT-Systemen === | ||
Fallen Komponenten eines IT-Systems aus, etwa durch defekte Hardware oder einen Stromausfall, kann der gesamte IT-Betrieb gestört werden | |||
* Dadurch ist die Verfügbarkeit der jeweiligen Informationen und damit auch des jeweiligen Geschäftsprozesses gefährdet | * Dadurch ist die Verfügbarkeit der jeweiligen Informationen und damit auch des jeweiligen Geschäftsprozesses gefährdet | ||
* Zudem können wichtige Informationen, die für Wiederanlaufmaßnahmen benötigt werden, nicht zur Verfügung stehen | * Zudem können wichtige Informationen, die für Wiederanlaufmaßnahmen benötigt werden, nicht zur Verfügung stehen | ||
=== Ausfall eines WAN === | |||
Ausfall eines Weitverkehrsnetzes (WAN) | |||
; Ursachen | |||
Die Ursachen für den Ausfall eines Weitverkehrsnetzes (Wide Area Network, WAN) können vielfältig sein | |||
* Daher ist es möglich, dass sich ein Netzausfall lediglich auf einzelne Benutzende, einen Anbietenden oder eine bestimmte Region auswirkt | * Daher ist es möglich, dass sich ein Netzausfall lediglich auf einzelne Benutzende, einen Anbietenden oder eine bestimmte Region auswirkt | ||
* Häufig stören solche Ausfälle nur kurz und betreffen dann nur die Geschäftsprozesse und Fachaufgaben, die eine entsprechend hohe Verfügbarkeit des WAN benötigen | * Häufig stören solche Ausfälle nur kurz und betreffen dann nur die Geschäftsprozesse und Fachaufgaben, die eine entsprechend hohe Verfügbarkeit des WAN benötigen | ||
* Es gibt aber auch immer wieder längere Ausfälle, die massive Probleme in der Kommunikation und Erreichbarkeit nach sich ziehen können | * Es gibt aber auch immer wieder längere Ausfälle, die massive Probleme in der Kommunikation und Erreichbarkeit nach sich ziehen können | ||
=== Ausfall eines Gebäudes === | === Ausfall eines Gebäudes === | ||
Gebäude können unvorhergesehen unbenutzbar werden, etwa weil sie durch Feuer, Sturm, Hochwasser, Erdbeben oder eine Explosion teilweise oder vollständig zerstört wurden | |||
* Ein Gebäude kann aber auch ausfallen, weil die Polizei oder die Feuerwehr das Umfeld sperrt und das Gebäude nicht mehr betreten werden kann oder verlassen werden muss, etwa weil Strom, Wasser, Abwasser, Heizung oder Klimatisierung über einen gewissen Zeitraum nicht mehr funktionieren | * Ein Gebäude kann aber auch ausfallen, weil die Polizei oder die Feuerwehr das Umfeld sperrt und das Gebäude nicht mehr betreten werden kann oder verlassen werden muss, etwa weil Strom, Wasser, Abwasser, Heizung oder Klimatisierung über einen gewissen Zeitraum nicht mehr funktionieren | ||
=== Ausfall einer Lieferung oder Dienstleistung === | === Ausfall einer Lieferung oder Dienstleistung === | ||
Sind Institutionen von Dienstleistungen abhängig, kann dies schnell zu Unterbrechungen der eigenen betrieblichen Kontinuität führen, wenn die dienstleistende oder liefernde Institution teilweise oder vollständig ausfällt | |||
* Wird beispielsweise zur Produktion die Lieferung eines bestimmten Werkstoffs benötigt und diese Lieferung fällt aus, so ist möglicherweise die gesamte Produktion gefährdet | * Wird beispielsweise zur Produktion die Lieferung eines bestimmten Werkstoffs benötigt und diese Lieferung fällt aus, so ist möglicherweise die gesamte Produktion gefährdet | ||
* Aber auch der Ausfall eines extern bereitgestellten Dienstes, wie etwa einer Cloud oder auch E-Mail, kann den eigenen Betrieb sehr stark einschränken, bzw. sogar komplett unterbrechen | * Aber auch der Ausfall eines extern bereitgestellten Dienstes, wie etwa einer Cloud oder auch E-Mail, kann den eigenen Betrieb sehr stark einschränken, bzw. sogar komplett unterbrechen | ||
* Dies gefährdet insbesondere kritische Geschäftsprozesse und Fachaufgaben | * Dies gefährdet insbesondere kritische Geschäftsprozesse und Fachaufgaben | ||
== Zuständigkeiten == | == Zuständigkeiten == | ||
; Im IT-Grundschutz/Kompendium sind darüber hinaus weitere Rollen definiert | ; Im IT-Grundschutz/Kompendium sind darüber hinaus weitere Rollen definiert | ||
* Sie sollten besetzt werden, insofern dies sinnvoll und angemessen ist | * Sie sollten besetzt werden, insofern dies sinnvoll und angemessen ist | ||
{| class="wikitable options" | {| class="wikitable options" | ||
|- | |- | ||
! Zuständigkeiten !! Rollen | ! Zuständigkeiten !! Rollen | ||
|- | |- | ||
| Grundsätzlich zuständig || Notfallbeauftragte | | Grundsätzlich zuständig || Notfallbeauftragte | ||
|- | |- | ||
| Zeile 89: | Zeile 98: | ||
|} | |} | ||
; Genau eine Rolle sollte ''Grundsätzlich zuständig ''sein | ; Genau eine Rolle sollte ''Grundsätzlich zuständig ''sein | ||
* Darüber hinaus kann es noch ''Weitere Zuständigkeiten'' geben | * Darüber hinaus kann es noch ''Weitere Zuständigkeiten'' geben | ||
* Falls eine dieser weiteren Rollen für die Erfüllung einer Anforderung vorrangig zuständig ist, dann wird diese Rolle hinter der Überschrift der Anforderung in eckigen Klammern aufgeführt | * Falls eine dieser weiteren Rollen für die Erfüllung einer Anforderung vorrangig zuständig ist, dann wird diese Rolle hinter der Überschrift der Anforderung in eckigen Klammern aufgeführt | ||
* Die Verwendung des Singulars oder Plurals sagt nichts darüber aus, wie viele Personen diese Rollen ausfüllen sollen | * Die Verwendung des Singulars oder Plurals sagt nichts darüber aus, wie viele Personen diese Rollen ausfüllen sollen | ||
== Anforderungen == | == Anforderungen == | ||
Im Folgenden sind die spezifischen Anforderungen des Bausteins DER.4 ''Notfallmanagement'' aufgeführt | Im Folgenden sind die spezifischen Anforderungen des Bausteins DER.4 ''Notfallmanagement'' aufgeführt | ||
* Der oder die Informationssicherheitsbeauftragte (ISB) ist dafür zuständig, dass alle Anforderungen gemäß dem festgelegten Sicherheitskonzept erfüllt und überprüft werden | * Der oder die Informationssicherheitsbeauftragte (ISB) ist dafür zuständig, dass alle Anforderungen gemäß dem festgelegten Sicherheitskonzept erfüllt und überprüft werden | ||
* Bei strategischen Entscheidungen ist der oder die ISB stets einzubeziehen | * Bei strategischen Entscheidungen ist der oder die ISB stets einzubeziehen | ||
=== Basis === | === Basis === | ||
| Zeile 103: | Zeile 112: | ||
=== Standard === | === Standard === | ||
Folgenden Anforderungen entsprechen dem Stand der Technik | Folgenden Anforderungen entsprechen dem Stand der Technik | ||
* Sie SOLLTEN grundsätzlich erfüllt werden. | * Sie SOLLTEN grundsätzlich erfüllt werden | ||
{| class="wikitable options big" | |||
! Anforderung !! Beschreibung !! Zudtängig | |||
|- | |||
| [[#DER.4.A1|DER.4.A1]] || Erstellung eines Notfallhandbuchs || | |||
|- | |||
| [[#DER.4.A2|DER.4.A2]] || Integration von Notfallmanagement und Informationssicherheitsmanagement || [Informationssicherheitsbeauftragte (ISB)] | |||
|} | |||
==== DER.4.A1 | ==== DER.4.A1 ==== | ||
; Erstellung eines Notfallhandbuchs | |||
; Es SOLLTE ein Notfallhandbuch erstellt werden, in dem die wichtigsten Informationen zu | ; Es SOLLTE ein Notfallhandbuch erstellt werden, in dem die wichtigsten Informationen zu | ||
* Rollen, | * Rollen, | ||
* Sofortmaßnahmen, | * Sofortmaßnahmen, | ||
* Alarmierung und Eskalation sowie | * Alarmierung und Eskalation sowie | ||
* Kommunikations-, grundsätzlichen Geschäftsfortführungs-, Wiederanlauf- und Wiederherstellungsplänen enthalten sind | * Kommunikations-, grundsätzlichen Geschäftsfortführungs-, Wiederanlauf- und Wiederherstellungsplänen enthalten sind | ||
; Zuständigkeiten und Befugnisse SOLLTEN zugewiesen, kommuniziert und im Notfallhandbuch festgehalten werden | ; Zuständigkeiten und Befugnisse SOLLTEN zugewiesen, kommuniziert und im Notfallhandbuch festgehalten werden | ||
* Es SOLLTE sichergestellt sein, dass im Notfall entsprechend geschultes Personal zur Verfügung steht | * Es SOLLTE sichergestellt sein, dass im Notfall entsprechend geschultes Personal zur Verfügung steht | ||
* Es SOLLTE regelmäßig durch Tests und Übungen überprüft werden, ob die im Notfallhandbuch beschriebenen Maßnahmen auch wie vorgesehen funktionieren | * Es SOLLTE regelmäßig durch Tests und Übungen überprüft werden, ob die im Notfallhandbuch beschriebenen Maßnahmen auch wie vorgesehen funktionieren | ||
; Es SOLLTE regelmäßig geprüft werden, ob das Notfallhandbuch noch aktuell ist | ; Es SOLLTE regelmäßig geprüft werden, ob das Notfallhandbuch noch aktuell ist | ||
* Gegebenenfalls SOLLTE es aktualisiert werden | * Gegebenenfalls SOLLTE es aktualisiert werden | ||
* Es SOLLTE auch im Notfall zugänglich sein | * Es SOLLTE auch im Notfall zugänglich sein | ||
* Das Notfallhandbuch SOLLTE um Verhaltensregeln für spezielle Fälle ergänzt werden, etwa Brand | * Das Notfallhandbuch SOLLTE um Verhaltensregeln für spezielle Fälle ergänzt werden, etwa Brand | ||
* Die Regeln SOLLTEN allen Mitarbeitenden bekanntgegeben werden | * Die Regeln SOLLTEN allen Mitarbeitenden bekanntgegeben werden | ||
==== DER.4.A2 Integration von Notfallmanagement und Informationssicherheitsmanagement | ==== DER.4.A2 ==== | ||
Die Prozesse im Sicherheitsmanagement SOLLTEN mit dem Notfallmanagement abgestimmt werden (siehe DER.2.1 ''Behandlung von Sicherheitsvorfällen'') | ; Integration von Notfallmanagement und Informationssicherheitsmanagement | ||
[Informationssicherheitsbeauftragte (ISB)] ==== | |||
Die Prozesse im Sicherheitsmanagement SOLLTEN mit dem Notfallmanagement abgestimmt werden (siehe DER.2.1 ''Behandlung von Sicherheitsvorfällen'') | |||
=== Erhöht === | === Erhöht === | ||
Im Folgenden sind für diesen Baustein exemplarische Vorschläge für Anforderungen aufgeführt, die über dasjenige Schutzniveau hinausgehen, das dem Stand der Technik entspricht | |||
* Die Vorschläge SOLLTEN bei erhöhtem Schutzbedarf in Betracht gezogen werden | |||
* Die konkrete Festlegung erfolgt im Rahmen einer individuellen Risikoanalyse | |||
{| class="wikitable options big" | |||
|- | |||
| [[#DER.4.A3|DER.4.A3]] || Festlegung des Geltungsbereichs und der Notfallmanagementstrategie [Institutionsleitung] | |||
|- | |||
| [[#DER.4.A4|DER.4.A4]] || Leitlinie zum Notfallmanagement und Übernahme der Gesamtverantwortung durch die Institutionsleitung [Institutionsleitung] | |||
|- | |||
| [[#DER.4.A5|DER.4.A5]] || Aufbau einer geeigneten Organisationsstruktur für das Notfallmanagement [Institutionsleitung] | |||
|- | |||
| [[#DER.4.A6|DER.4.A6]] || Bereitstellung angemessener Ressourcen für das Notfallmanagement [Institutionsleitung] | |||
|- | |||
| [[#DER.4.A7|DER.4.A7]] || Erstellung eines Notfallkonzepts [Institutionsleitung] | |||
|- | |||
| [[#DER.4.A8|DER.4.A8]] || Integration der Mitarbeitenden in den Notfallmanagement-Prozess [Vorgesetzte, Personalabteilung] | |||
|- | |||
| [[#DER.4.A9|DER.4.A9]] || Integration von Notfallmanagement in organisationsweite Abläufe und Prozesse [Institutionsleitung] | |||
|- | |||
| [[#DER.4.A10|DER.4.A10]] || Tests und Notfallübungen [Institutionsleitung] | |||
|- | |||
| [[#DER.4.A11|DER.4.A11]] || ENTFALLEN | |||
|- | |||
| [[#DER.4.A12|DER.4.A12]] || Dokumentation im Notfallmanagement-Prozess | |||
|- | |||
| [[#DER.4.A13|DER.4.A13]] || Überprüfung und Steuerung des Notfallmanagement-Systems [Institutionsleitung] | |||
|- | |||
| [[#DER.4.A14|DER.4.A14]] || Regelmäßige Überprüfung und Verbesserung der Notfallmaßnahmen [Institutionsleitung] | |||
|- | |||
| [[#DER.4.A15|DER.4.A15]] || Bewertung der Leistungsfähigkeit des Notfallmanagementsystems [Institutionsleitung] | |||
|- | |||
| [[#DER.4.A16|DER.4.A16]] || Notfallvorsorge- und Notfallreaktionsplanung für ausgelagerte Komponenten [Institutionsleitung] | |||
|} | |||
==== DER.4.A3 Festlegung des Geltungsbereichs und der Notfallmanagementstrategie | ==== DER.4.A3 ==== | ||
Der Geltungsbereich für das Notfallmanagementsystem SOLLTE eindeutig festgelegt werden | ; Festlegung des Geltungsbereichs und der Notfallmanagementstrategie [Institutionsleitung] | ||
* Die Institutionsleitung SOLLTE eine Notfallmanagementstrategie festlegen, welche die angestrebten Ziele und das Risikoakzeptanzniveau darlegen | Der Geltungsbereich für das Notfallmanagementsystem SOLLTE eindeutig festgelegt werden | ||
* Die Institutionsleitung SOLLTE eine Notfallmanagementstrategie festlegen, welche die angestrebten Ziele und das Risikoakzeptanzniveau darlegen | |||
==== DER.4.A4 Leitlinie zum Notfallmanagement und Übernahme der Gesamtverantwortung durch die Institutionsleitung | ==== DER.4.A4 ==== | ||
Die Institutionsleitung SOLLTE eine Leitlinie zum Notfallmanagement verabschieden | ; Leitlinie zum Notfallmanagement und Übernahme der Gesamtverantwortung durch die Institutionsleitung [Institutionsleitung] | ||
* Diese SOLLTE die wesentlichen Eckpunkte des Notfallmanagements enthalten | Die Institutionsleitung SOLLTE eine Leitlinie zum Notfallmanagement verabschieden | ||
* Die Leitlinie zum Notfallmanagement SOLLTE regelmäßig überprüft und gegebenenfalls überarbeitet werden | * Diese SOLLTE die wesentlichen Eckpunkte des Notfallmanagements enthalten | ||
* Sie SOLLTE allen Mitarbeitenden bekanntgegeben werden | * Die Leitlinie zum Notfallmanagement SOLLTE regelmäßig überprüft und gegebenenfalls überarbeitet werden | ||
* Sie SOLLTE allen Mitarbeitenden bekanntgegeben werden | |||
==== DER.4.A5 Aufbau einer geeigneten Organisationsstruktur für das Notfallmanagement | ==== DER.4.A5 ==== | ||
Die Rollen für das Notfallmanagement SOLLTEN für die Gegebenheiten der Institution angemessen festgelegt werden | ; Aufbau einer geeigneten Organisationsstruktur für das Notfallmanagement [Institutionsleitung] | ||
* Dies SOLLTE mit den Aufgaben, Pflichten und Kompetenzen der Rollen schriftlich dokumentiert werden | Die Rollen für das Notfallmanagement SOLLTEN für die Gegebenheiten der Institution angemessen festgelegt werden | ||
* Es SOLLTEN für alle Rollen im Notfallmanagement qualifizierte Mitarbeitende benannt werden | * Dies SOLLTE mit den Aufgaben, Pflichten und Kompetenzen der Rollen schriftlich dokumentiert werden | ||
* Die Organisationsstruktur im Notfallmanagement SOLLTE regelmäßig darauf überprüft werden, ob sie praxistauglich, effektiv und effizient ist | * Es SOLLTEN für alle Rollen im Notfallmanagement qualifizierte Mitarbeitende benannt werden | ||
* Die Organisationsstruktur im Notfallmanagement SOLLTE regelmäßig darauf überprüft werden, ob sie praxistauglich, effektiv und effizient ist | |||
==== DER.4.A6 Bereitstellung angemessener Ressourcen für das Notfallmanagement | ==== DER.4.A6 ==== | ||
Die finanziellen, technischen und personellen Ressourcen für die angestrebten Ziele des Notfallmanagements SOLLTEN angemessen sein | ; Bereitstellung angemessener Ressourcen für das Notfallmanagement [Institutionsleitung] | ||
* Der oder die Notfallbeauftragte bzw. das Notfallmanagement-Team SOLLTE über genügend Zeit für die Aufgaben im Notfallmanagement verfügen | Die finanziellen, technischen und personellen Ressourcen für die angestrebten Ziele des Notfallmanagements SOLLTEN angemessen sein | ||
* Der oder die Notfallbeauftragte bzw. das Notfallmanagement-Team SOLLTE über genügend Zeit für die Aufgaben im Notfallmanagement verfügen | |||
==== DER.4.A7 Erstellung eines Notfallkonzepts | ==== DER.4.A7 ==== | ||
Alle kritischen Geschäftsprozesse und Ressourcen SOLLTEN identifiziert werden, beispielsweise mit einer Business-Impact-Analyse (BIA) | ; Erstellung eines Notfallkonzepts [Institutionsleitung] | ||
* Es SOLLTEN die wichtigsten relevanten Risiken für die kritischen Geschäftsprozesse und Fachaufgaben sowie deren Ressourcen identifiziert werden | Alle kritischen Geschäftsprozesse und Ressourcen SOLLTEN identifiziert werden, beispielsweise mit einer Business-Impact-Analyse (BIA) | ||
* Für jedes identifizierte Risiko SOLLTE entschieden werden, welche Risikostrategien zur Risikobehandlung eingesetzt werden sollen | * Es SOLLTEN die wichtigsten relevanten Risiken für die kritischen Geschäftsprozesse und Fachaufgaben sowie deren Ressourcen identifiziert werden | ||
* Es SOLLTEN Kontinuitätsstrategien entwickelt werden, die einen Wiederanlauf und eine Wiederherstellung der kritischen Geschäftsprozesse in der geforderten Zeit ermöglichen | * Für jedes identifizierte Risiko SOLLTE entschieden werden, welche Risikostrategien zur Risikobehandlung eingesetzt werden sollen | ||
* Es SOLLTE ein Notfallkonzept erstellt werden | * Es SOLLTEN Kontinuitätsstrategien entwickelt werden, die einen Wiederanlauf und eine Wiederherstellung der kritischen Geschäftsprozesse in der geforderten Zeit ermöglichen | ||
* Es SOLLTEN solche Notfallpläne und Maßnahmen entwickelt und implementiert werden, die eine effektive Notfallbewältigung und eine schnelle Wiederaufnahme der kritischen Geschäftsprozesse ermöglichen | * Es SOLLTE ein Notfallkonzept erstellt werden | ||
* Im Notfallkonzept SOLLTE die Informationssicherheit berücksichtigt und entsprechende Sicherheitskonzepte für die Notfalllösungen entwickelt werden | * Es SOLLTEN solche Notfallpläne und Maßnahmen entwickelt und implementiert werden, die eine effektive Notfallbewältigung und eine schnelle Wiederaufnahme der kritischen Geschäftsprozesse ermöglichen | ||
* Im Notfallkonzept SOLLTE die Informationssicherheit berücksichtigt und entsprechende Sicherheitskonzepte für die Notfalllösungen entwickelt werden | |||
==== DER.4.A8 Integration der Mitarbeitenden in den Notfallmanagement-Prozess | ==== DER.4.A8 ==== | ||
Alle Mitarbeitenden SOLLTEN regelmäßig für das Thema Notfallmanagement sensibilisiert werden | Integration der Mitarbeitenden in den Notfallmanagement-Prozess [Vorgesetzte, Personalabteilung] | ||
* Zum Notfallmanagement SOLLTE es ein Schulungs- und Sensibilisierungskonzept geben | Alle Mitarbeitenden SOLLTEN regelmäßig für das Thema Notfallmanagement sensibilisiert werden | ||
* Die Mitarbeitenden im Notfallmanagement-Team SOLLTEN regelmäßig geschult werden, um die benötigten Kompetenzen aufzubauen | * Zum Notfallmanagement SOLLTE es ein Schulungs- und Sensibilisierungskonzept geben | ||
* Die Mitarbeitenden im Notfallmanagement-Team SOLLTEN regelmäßig geschult werden, um die benötigten Kompetenzen aufzubauen | |||
==== DER.4.A9 Integration von Notfallmanagement in organisationsweite Abläufe und Prozesse | ==== DER.4.A9 ==== | ||
Es SOLLTE sichergestellt werden, dass Aspekte des Notfallmanagements in allen Geschäftsprozessen und Fachaufgaben der Institution berücksichtigt werden | Integration von Notfallmanagement in organisationsweite Abläufe und Prozesse [Institutionsleitung] | ||
* Die Prozesse, Vorgaben und Verantwortlichkeiten im Notfallmanagement SOLLTEN mit dem Risikomanagement und Krisenmanagement abgestimmt werden | Es SOLLTE sichergestellt werden, dass Aspekte des Notfallmanagements in allen Geschäftsprozessen und Fachaufgaben der Institution berücksichtigt werden | ||
* Die Prozesse, Vorgaben und Verantwortlichkeiten im Notfallmanagement SOLLTEN mit dem Risikomanagement und Krisenmanagement abgestimmt werden | |||
==== DER.4.A10 Tests und Notfallübungen | ==== DER.4.A10 ==== | ||
Alle wesentlichen Sofortmaßnahmen und Notfallpläne SOLLTEN in angemessener Weise regelmäßig und anlassbezogen getestet und geübt werden | ; Tests und Notfallübungen [Institutionsleitung] | ||
* Der zeitliche Rahmen und die fachliche Abdeckung aller Übungen SOLLTEN übergreifend in einem Übungsplan dokumentiert werden | Alle wesentlichen Sofortmaßnahmen und Notfallpläne SOLLTEN in angemessener Weise regelmäßig und anlassbezogen getestet und geübt werden | ||
* Im Notfallmanagement SOLLTEN ausreichend Ressourcen für die Planung, Konzeption, Durchführung und Auswertung der Tests und Übungen bereitgestellt werden | * Der zeitliche Rahmen und die fachliche Abdeckung aller Übungen SOLLTEN übergreifend in einem Übungsplan dokumentiert werden | ||
* Im Notfallmanagement SOLLTEN ausreichend Ressourcen für die Planung, Konzeption, Durchführung und Auswertung der Tests und Übungen bereitgestellt werden | |||
==== DER.4.A11 | ==== DER.4.A11 ==== | ||
Diese Anforderung ist entfallen | ; ENTFALLEN | ||
Diese Anforderung ist entfallen | |||
==== DER.4.A12 Dokumentation im Notfallmanagement-Prozess | ==== DER.4.A12 ==== | ||
Der Ablauf des Notfallmanagement-Prozesses, die Arbeitsergebnisse der einzelnen Phasen und wichtige Entscheidungen SOLLTEN dokumentiert werden | ; Dokumentation im Notfallmanagement-Prozess | ||
* Ein festgelegtes Verfahren SOLLTE sicherstellen, dass diese Dokumente regelmäßig aktualisiert werden | Der Ablauf des Notfallmanagement-Prozesses, die Arbeitsergebnisse der einzelnen Phasen und wichtige Entscheidungen SOLLTEN dokumentiert werden | ||
* Darüber hinaus SOLLTE der Zugriff auf die Dokumentation auf autorisierte Personen beschränkt werden | * Ein festgelegtes Verfahren SOLLTE sicherstellen, dass diese Dokumente regelmäßig aktualisiert werden | ||
* Darüber hinaus SOLLTE der Zugriff auf die Dokumentation auf autorisierte Personen beschränkt werden | |||
==== DER.4.A13 Überprüfung und Steuerung des Notfallmanagement-Systems | ==== DER.4.A13 ==== | ||
Die Institutionsleitung SOLLTE sich regelmäßig anhand von Managementberichten über den Stand des Notfallmanagements informieren | ; Überprüfung und Steuerung des Notfallmanagement-Systems [Institutionsleitung] | ||
* Sie SOLLTE so das Notfallmanagement-System regelmäßig überprüfen, bewerten und gegebenenfalls korrigieren | Die Institutionsleitung SOLLTE sich regelmäßig anhand von Managementberichten über den Stand des Notfallmanagements informieren | ||
* Sie SOLLTE so das Notfallmanagement-System regelmäßig überprüfen, bewerten und gegebenenfalls korrigieren | |||
==== DER.4.A14 Regelmäßige Überprüfung und Verbesserung der Notfallmaßnahmen | ==== DER.4.A14 ==== | ||
Alle Notfallmaßnahmen SOLLTEN regelmäßig oder bei größeren Änderungen daraufhin überprüft werden, ob sie noch eingehalten und korrekt umgesetzt werden | ; Regelmäßige Überprüfung und Verbesserung der Notfallmaßnahmen [Institutionsleitung] | ||
* Es SOLLTE geprüft werden, ob sie sich noch dazu eignen, die definierten Ziele zu erreichen | Alle Notfallmaßnahmen SOLLTEN regelmäßig oder bei größeren Änderungen daraufhin überprüft werden, ob sie noch eingehalten und korrekt umgesetzt werden | ||
* Es SOLLTE geprüft werden, ob sie sich noch dazu eignen, die definierten Ziele zu erreichen | |||
Dabei SOLLTE untersucht werden, ob technische Maßnahmen korrekt implementiert und konfiguriert wurden und ob organisatorische Maßnahmen effektiv und effizient umgesetzt sind | Dabei SOLLTE untersucht werden, ob technische Maßnahmen korrekt implementiert und konfiguriert wurden und ob organisatorische Maßnahmen effektiv und effizient umgesetzt sind | ||
* Bei Abweichungen SOLLTEN die Ursachen für die Mängel ermittelt und Verbesserungsmaßnahmen veranlasst werden | * Bei Abweichungen SOLLTEN die Ursachen für die Mängel ermittelt und Verbesserungsmaßnahmen veranlasst werden | ||
* Diese Ergebnisübersicht SOLLTE von der Institutionsleitung freigegeben werden | * Diese Ergebnisübersicht SOLLTE von der Institutionsleitung freigegeben werden | ||
* Es SOLLTE zudem ein Prozess etabliert werden, der steuert und überwacht, ob und wie die Verbesserungsmaßnahmen umgesetzt werden | * Es SOLLTE zudem ein Prozess etabliert werden, der steuert und überwacht, ob und wie die Verbesserungsmaßnahmen umgesetzt werden | ||
* Verzögerungen SOLLTEN frühzeitig an die Institutionsleitung gemeldet werden | * Verzögerungen SOLLTEN frühzeitig an die Institutionsleitung gemeldet werden | ||
Es SOLLTE von der Institutionsleitung festgelegt sein, wie die Überprüfungen koordiniert werden | Es SOLLTE von der Institutionsleitung festgelegt sein, wie die Überprüfungen koordiniert werden | ||
* Die Überprüfungen SOLLTEN so geplant werden, dass kein relevanter Teil ausgelassen wird | * Die Überprüfungen SOLLTEN so geplant werden, dass kein relevanter Teil ausgelassen wird | ||
* Insbesondere SOLLTEN die im Bereich der Revision, der IT, des Sicherheitsmanagements, des Informationssicherheitsmanagements und des Notfallmanagements durchgeführten Überprüfungen miteinander koordiniert werden | * Insbesondere SOLLTEN die im Bereich der Revision, der IT, des Sicherheitsmanagements, des Informationssicherheitsmanagements und des Notfallmanagements durchgeführten Überprüfungen miteinander koordiniert werden | ||
* Dazu SOLLTE geregelt werden, welche Maßnahmen wann und von wem überprüft werden | * Dazu SOLLTE geregelt werden, welche Maßnahmen wann und von wem überprüft werden | ||
==== DER.4.A15 Bewertung der Leistungsfähigkeit des Notfallmanagementsystems | ==== DER.4.A15 ==== | ||
Es SOLLTE regelmäßig bewertet werden, wie leistungsfähig und effektiv das Notfallmanagement-System ist | ; Bewertung der Leistungsfähigkeit des Notfallmanagementsystems [Institutionsleitung] | ||
* Als Grundlage SOLLTEN Mess- und Bewertungskriterien wie etwa Leistungskennzahlen definiert werden | Es SOLLTE regelmäßig bewertet werden, wie leistungsfähig und effektiv das Notfallmanagement-System ist | ||
* Diese Messgrößen SOLLTEN regelmäßig ermittelt und mit geeigneten vorangegangenen Werten, mindestens aber mit den Vorjahreswerten, verglichen werden | * Als Grundlage SOLLTEN Mess- und Bewertungskriterien wie etwa Leistungskennzahlen definiert werden | ||
* Weichen die Werte negativ ab, SOLLTEN die Ursachen ermittelt und Verbesserungsmaßnahmen definiert werden | * Diese Messgrößen SOLLTEN regelmäßig ermittelt und mit geeigneten vorangegangenen Werten, mindestens aber mit den Vorjahreswerten, verglichen werden | ||
* Die Ergebnisse der Bewertung SOLLTEN an die Leitung berichtet werden | * Weichen die Werte negativ ab, SOLLTEN die Ursachen ermittelt und Verbesserungsmaßnahmen definiert werden | ||
* Die Ergebnisse der Bewertung SOLLTEN an die Leitung berichtet werden | |||
Die Leitung SOLLTE entscheiden, mit welchen Maßnahmen das Notfallmanagement weiterentwickelt werden soll | Die Leitung SOLLTE entscheiden, mit welchen Maßnahmen das Notfallmanagement weiterentwickelt werden soll | ||
* Alle Entscheidungen der Institutionsleitung SOLLTEN dokumentiert und die bisherigen Aufzeichnungen aktualisiert werden | * Alle Entscheidungen der Institutionsleitung SOLLTEN dokumentiert und die bisherigen Aufzeichnungen aktualisiert werden | ||
==== DER.4.A16 Notfallvorsorge- und Notfallreaktionsplanung für ausgelagerte Komponenten | ==== DER.4.A16 ==== | ||
Bei der Notfallvorsorge- und Notfallreaktionsplanung für ausgelagerte Komponenten SOLLTE regelmäßig das Notfallmanagement der liefernden oder dienstleistenden Institution in den unterzeichneten Verträgen geprüft werden | ; Notfallvorsorge- und Notfallreaktionsplanung für ausgelagerte Komponenten [Institutionsleitung] | ||
* Auch SOLLTEN die Abläufe in Notfalltests und -übungen mit der liefernden oder bereitstellenden Institution abgestimmt und, wenn angemessen, gemeinsam durchgeführt werden | Bei der Notfallvorsorge- und Notfallreaktionsplanung für ausgelagerte Komponenten SOLLTE regelmäßig das Notfallmanagement der liefernden oder dienstleistenden Institution in den unterzeichneten Verträgen geprüft werden | ||
* Auch SOLLTEN die Abläufe in Notfalltests und -übungen mit der liefernden oder bereitstellenden Institution abgestimmt und, wenn angemessen, gemeinsam durchgeführt werden | |||
Die Ergebnisse und Auswertungen SOLLTEN regelmäßig zwischen der Institutionsleitung und den liefernden Institutionen oder Dienstleistenden ausgetauscht werden | Die Ergebnisse und Auswertungen SOLLTEN regelmäßig zwischen der Institutionsleitung und den liefernden Institutionen oder Dienstleistenden ausgetauscht werden | ||
* In den Auswertungen SOLLTEN auch eventuelle Verbesserungsmaßnahmen enthalten sein | * In den Auswertungen SOLLTEN auch eventuelle Verbesserungsmaßnahmen enthalten sein | ||
<noinclude> | <noinclude> | ||
| Zeile 225: | Zeile 290: | ||
==== Weiterführende Informationen ==== | ==== Weiterführende Informationen ==== | ||
Die International Organization for Standardization (ISO) gibt in der Norm ISO/IEC 27001:2013 „Information technology - Security techniques - Information security management systems - Requirements“ im Anhang A17 „Information security aspects of business continuity management“ Vorgaben für die Sicherstellung der Informationssicherheit im Notfall | # Die International Organization for Standardization (ISO) gibt in der Norm ISO/IEC 27001:2013 „Information technology - Security techniques - Information security management systems - Requirements“ im Anhang A17 „Information security aspects of business continuity management“ Vorgaben für die Sicherstellung der Informationssicherheit im Notfall | ||
# Die International Organization for Standardization (ISO) gibt in der Norm ISO/IEC 22301:2012 „Societal security - Business continuity management systems - Requirements“ ein Rahmenwerk für ein Business Contiunity Management (BCM), in das die Anforderungen aus der oben genannten Norm ISO/IEC 27001:2013 beispielsweise integriert werden können | |||
Die International Organization for Standardization (ISO) gibt in der Norm ISO/IEC 22301:2012 „Societal security - Business continuity management systems - Requirements“ ein Rahmenwerk für ein Business Contiunity Management (BCM), in das die Anforderungen aus der oben genannten Norm ISO/IEC 27001:2013 beispielsweise integriert werden können | # Der BSI-Standard 100-4 „Notfallmanagement“ beschreibt, wie ein BCM etabliert, aufrechterhalten und kontinuierlich verbessert werden kann | ||
# Das vom BSI veröffentlichte Umsetzungsrahmenwerk zum Notfallmanagement nach BSI-Standard 100-4 (UMRA) beinhaltet weitere Hilfsmittel, um die Etablierung eines BCMSs zu erleichtern | |||
Der BSI-Standard 100-4 „Notfallmanagement“ beschreibt, wie ein BCM etabliert, aufrechterhalten und kontinuierlich verbessert werden kann | # Zusätzlich bietet der Webkurs „Notfallmanagement“ nach dem BSI-Standard 100-4 eine Einführung in das Thema | ||
# Das Information Security Forum (ISF) macht in seinem Standard „The Standard of Good Practice for Information Security“ in der Kategorie BC - Business Continuity - Vorgaben zur Business Continuity, Es fordert dort unter anderem auch, dass die Kontinuitätsstrategie mit der Informationssicherheitsstrategie abgestimmt sein soll | |||
Das vom BSI veröffentlichte Umsetzungsrahmenwerk zum Notfallmanagement nach BSI-Standard 100-4 (UMRA) beinhaltet weitere Hilfsmittel, um die Etablierung eines BCMSs zu erleichtern | # Das National Institute of Standards and Technology (NIST) stellt in seiner Special Publication 800-34, Rev. 1, „Contingency Planning Guide for Federal Information Systems“, einen Leitfaden zur Erstellung einer Kontinuitätsplanung von (bundesstaatlichen) Informationssystemen zur Verfügung, der auch die Informationssicherheit berücksichtigt | ||
# Zusätzlich liefert dieses Dokument auch Informationen über Zusammenhänge zwischen einer solchen Kontinuitätsplanung von Informationssystemen und anderen Arten von sicherheits- und notfallmanagementbezogenen Kontinuitätsplänen, etwa einem Business Continuity Plan | |||
Zusätzlich bietet der Webkurs „Notfallmanagement“ nach dem BSI-Standard 100-4 eine Einführung in das Thema | |||
Das Information Security Forum (ISF) macht in seinem Standard „The Standard of Good Practice for Information Security“ in der Kategorie BC - Business Continuity - Vorgaben zur Business Continuity | |||
Das National Institute of Standards and Technology (NIST) stellt in seiner Special Publication 800-34, Rev. 1, „Contingency Planning Guide for Federal Information Systems“, einen Leitfaden zur Erstellung einer Kontinuitätsplanung von (bundesstaatlichen) Informationssystemen zur Verfügung, der auch die Informationssicherheit berücksichtigt | |||
==== Links ==== | ==== Links ==== | ||
| Zeile 246: | Zeile 304: | ||
[[Kategorie:DER]] | [[Kategorie:DER]] | ||
[[Kategorie:BCMS]] | [[Kategorie:BCMS/Grundschutz]] | ||
[[Kategorie:Notfallmanagement]] | |||
Aktuelle Version vom 21. August 2024, 10:03 Uhr
DER.4 - Notfallmanagement
Beschreibung
- Informationsnotfälle
In Notfällen müssen Institutionen weiter auf Informationen zugreifen können
- Um Geschäftsprozesse, ein IT-System oder eine Fachaufgabe wiederherstellen zu können
- Informationssicherheit auch in einem Notfall aufrechterhalten
Um die Informationssicherheit auch in einem Notfall aufrechterhalten zu können, sollten deshalb entsprechende Prozesse geplant, etabliert und überprüft werden
- Geplant und organisiert
Nur wenn geplant und organisiert vorgegangen wird, ist eine optimale Notfallvorsorge und Notfallbewältigung möglich
- Ein professioneller Prozess zum Notfallmanagement reduziert die Auswirkungen eines Notfalls und sichert somit den Betrieb und Fortbestand der Institution
- Es sind geeignete Maßnahmen zu identifizieren und umzusetzen, durch die zeitkritischen Geschäftsprozesse und Fachaufgaben zum einen robuster und ausfallsicherer werden
- Zum anderen sollten diese Maßnahmen ermöglichen, einen Notfall schnell und zielgerichtet zu bewältigen
- Aufrechterhaltung der Informationssicherheit im Notfall
Die Aufrechterhaltung der Informationssicherheit im Notfall ist in ein übergreifendes Notfallmanagement, idealerweise in ein Notfallmanagementsystem, einzubinden
- Das Notfallmanagement hat jedoch einen eigenen Prozessverantwortlichen, den Notfallbeauftragten oder die Notfallbeauftragte, der oder die sich mit dem oder der ISB abstimmt
Zielsetzung
Ziel dieses Bausteins ist es, Anforderungen zu beschreiben, um die Informationssicherheit in Institutionen selbst in kritischen Situationen zu gewährleisten
- Dazu sind die entsprechenden Maßnahmen in ein ganzheitliches Notfallmanagement einzubetten
- Zudem sind alle Aspekte zu betrachten, die erforderlich sind, um die Informationssicherheit auch bei Schadensereignissen oder Notfällen aufrechterhalten zu können
- Dies reicht von der Planung bis zur Überprüfung aller Prozesse
Abgrenzung und Modellierung
Der Baustein DER.4 Notfallmanagement ist immer für den gesamten Informationsverbund einmal anzuwenden
Tritt ein Schadensereignis ein, müssen die richtigen Informationen vollständig und korrekt zur Verfügung stehen
- Im vorliegenden Baustein werden weder Kriterien noch Prozesse erläutert, anhand derer die Verantwortlichen entscheiden können, ob ein Notfall vorliegt oder nicht
- Die Entscheidung darüber wird getroffen, während der Sicherheitsvorfall behandelt wird (siehe DER.2.1 Behandlung von Sicherheitsvorfällen)
Krisen werden im Rahmen eines eigenen Krisenmanagements betrachtet und in diesem Baustein nur als Schnittstelle behandelt, etwa im Rahmen der weiteren Eskalation von Notfällen
- Weiterführende Informationen zu den einzelnen Phasen des Notfallmanagements sowie der Abgrenzung des Notfallmanagements zum Krisenmanagement sind im BSI-Standard 100-4 „Notfallmanagement“ enthalten
Gefährdungslage
Da IT-Grundschutz-Bausteine nicht auf individuelle Informationsverbünde eingehen können, werden zur Darstellung der Gefährdungslage typische Szenarien zugrunde gelegt
- Die folgenden spezifischen Bedrohungen und Schwachstellen sind für den Baustein DER.4 Notfallmanagement von besonderer Bedeutung
- Typische Szenarien
| Gefährdung | Beschreibung |
|---|---|
| Personalausfall | Führt dazu, dass eine Institution ihre Fachaufgaben und Geschäftsprozesse nicht mehr ausführen kann |
| Ausfall von IT-Systemen | Fallen Komponenten eines IT-Systems aus, etwa durch defekte Hardware oder einen Stromausfall, kann der gesamte IT-Betrieb gestört werden |
| Ausfall eines Gebäudes | Gebäude können unvorhergesehen unbenutzbar werden, etwa weil sie durch Feuer, Sturm, Hochwasser, Erdbeben oder eine Explosion teilweise oder vollständig zerstört wurden |
| Ausfall einer Lieferung oder Dienstleistung | Sind Institutionen von Dienstleistungen abhängig, kann dies schnell zu Unterbrechungen der eigenen betrieblichen Kontinuität führen, wenn die dienstleistende oder liefernde Institution teilweise oder vollständig ausfällt |
Personalausfall
Fällt Personal aus, kann das schnell bedeuten, dass eine Institution ihre Fachaufgaben und Geschäftsprozesse nicht mehr ausführen kann
- Die Gründe für einen Personalausfall können vielfältig sein
- Durch Keime in der Kantine oder einen Streik können beispielsweise viele Mitarbeitende gleichzeitig ausfallen
- Auch der Tod eines Mitarbeitenden kann zu Ausfällen oder Beeinträchtigungen von wichtigen Geschäftsprozessen oder Fachaufgaben führen
- Zudem könnten relevante Informationen zum Wiederanlauf des Geschäftsprozesses oder der IT-Systeme nicht mehr zugänglich sein
- Oft verfügen einzelne Personen über spezifisches Fachwissen (Kopfmonopole), sodass ein Schaden auch dann eintreten kann, wenn der Personalausfall zahlenmäßig nur sehr gering ist
Ausfall von IT-Systemen
Fallen Komponenten eines IT-Systems aus, etwa durch defekte Hardware oder einen Stromausfall, kann der gesamte IT-Betrieb gestört werden
- Dadurch ist die Verfügbarkeit der jeweiligen Informationen und damit auch des jeweiligen Geschäftsprozesses gefährdet
- Zudem können wichtige Informationen, die für Wiederanlaufmaßnahmen benötigt werden, nicht zur Verfügung stehen
Ausfall eines WAN
Ausfall eines Weitverkehrsnetzes (WAN)
- Ursachen
Die Ursachen für den Ausfall eines Weitverkehrsnetzes (Wide Area Network, WAN) können vielfältig sein
- Daher ist es möglich, dass sich ein Netzausfall lediglich auf einzelne Benutzende, einen Anbietenden oder eine bestimmte Region auswirkt
- Häufig stören solche Ausfälle nur kurz und betreffen dann nur die Geschäftsprozesse und Fachaufgaben, die eine entsprechend hohe Verfügbarkeit des WAN benötigen
- Es gibt aber auch immer wieder längere Ausfälle, die massive Probleme in der Kommunikation und Erreichbarkeit nach sich ziehen können
Ausfall eines Gebäudes
Gebäude können unvorhergesehen unbenutzbar werden, etwa weil sie durch Feuer, Sturm, Hochwasser, Erdbeben oder eine Explosion teilweise oder vollständig zerstört wurden
- Ein Gebäude kann aber auch ausfallen, weil die Polizei oder die Feuerwehr das Umfeld sperrt und das Gebäude nicht mehr betreten werden kann oder verlassen werden muss, etwa weil Strom, Wasser, Abwasser, Heizung oder Klimatisierung über einen gewissen Zeitraum nicht mehr funktionieren
Ausfall einer Lieferung oder Dienstleistung
Sind Institutionen von Dienstleistungen abhängig, kann dies schnell zu Unterbrechungen der eigenen betrieblichen Kontinuität führen, wenn die dienstleistende oder liefernde Institution teilweise oder vollständig ausfällt
- Wird beispielsweise zur Produktion die Lieferung eines bestimmten Werkstoffs benötigt und diese Lieferung fällt aus, so ist möglicherweise die gesamte Produktion gefährdet
- Aber auch der Ausfall eines extern bereitgestellten Dienstes, wie etwa einer Cloud oder auch E-Mail, kann den eigenen Betrieb sehr stark einschränken, bzw. sogar komplett unterbrechen
- Dies gefährdet insbesondere kritische Geschäftsprozesse und Fachaufgaben
Zuständigkeiten
- Im IT-Grundschutz/Kompendium sind darüber hinaus weitere Rollen definiert
- Sie sollten besetzt werden, insofern dies sinnvoll und angemessen ist
| Zuständigkeiten | Rollen |
|---|---|
| Grundsätzlich zuständig | Notfallbeauftragte |
| Weitere Zuständigkeiten | Informationssicherheitsbeauftragte (ISB), Vorgesetzte, Institutionsleitung, Personalabteilung |
- Genau eine Rolle sollte Grundsätzlich zuständig sein
- Darüber hinaus kann es noch Weitere Zuständigkeiten geben
- Falls eine dieser weiteren Rollen für die Erfüllung einer Anforderung vorrangig zuständig ist, dann wird diese Rolle hinter der Überschrift der Anforderung in eckigen Klammern aufgeführt
- Die Verwendung des Singulars oder Plurals sagt nichts darüber aus, wie viele Personen diese Rollen ausfüllen sollen
Anforderungen
Im Folgenden sind die spezifischen Anforderungen des Bausteins DER.4 Notfallmanagement aufgeführt
- Der oder die Informationssicherheitsbeauftragte (ISB) ist dafür zuständig, dass alle Anforderungen gemäß dem festgelegten Sicherheitskonzept erfüllt und überprüft werden
- Bei strategischen Entscheidungen ist der oder die ISB stets einzubeziehen
Basis
- keine -
Standard
Folgenden Anforderungen entsprechen dem Stand der Technik
- Sie SOLLTEN grundsätzlich erfüllt werden
| Anforderung | Beschreibung | Zudtängig |
|---|---|---|
| DER.4.A1 | Erstellung eines Notfallhandbuchs | |
| DER.4.A2 | Integration von Notfallmanagement und Informationssicherheitsmanagement | [Informationssicherheitsbeauftragte (ISB)] |
DER.4.A1
- Erstellung eines Notfallhandbuchs
- Es SOLLTE ein Notfallhandbuch erstellt werden, in dem die wichtigsten Informationen zu
- Rollen,
- Sofortmaßnahmen,
- Alarmierung und Eskalation sowie
- Kommunikations-, grundsätzlichen Geschäftsfortführungs-, Wiederanlauf- und Wiederherstellungsplänen enthalten sind
- Zuständigkeiten und Befugnisse SOLLTEN zugewiesen, kommuniziert und im Notfallhandbuch festgehalten werden
- Es SOLLTE sichergestellt sein, dass im Notfall entsprechend geschultes Personal zur Verfügung steht
- Es SOLLTE regelmäßig durch Tests und Übungen überprüft werden, ob die im Notfallhandbuch beschriebenen Maßnahmen auch wie vorgesehen funktionieren
- Es SOLLTE regelmäßig geprüft werden, ob das Notfallhandbuch noch aktuell ist
- Gegebenenfalls SOLLTE es aktualisiert werden
- Es SOLLTE auch im Notfall zugänglich sein
- Das Notfallhandbuch SOLLTE um Verhaltensregeln für spezielle Fälle ergänzt werden, etwa Brand
- Die Regeln SOLLTEN allen Mitarbeitenden bekanntgegeben werden
DER.4.A2
- Integration von Notfallmanagement und Informationssicherheitsmanagement
[Informationssicherheitsbeauftragte (ISB)] ==== Die Prozesse im Sicherheitsmanagement SOLLTEN mit dem Notfallmanagement abgestimmt werden (siehe DER.2.1 Behandlung von Sicherheitsvorfällen)
Erhöht
Im Folgenden sind für diesen Baustein exemplarische Vorschläge für Anforderungen aufgeführt, die über dasjenige Schutzniveau hinausgehen, das dem Stand der Technik entspricht
- Die Vorschläge SOLLTEN bei erhöhtem Schutzbedarf in Betracht gezogen werden
- Die konkrete Festlegung erfolgt im Rahmen einer individuellen Risikoanalyse
| DER.4.A3 | Festlegung des Geltungsbereichs und der Notfallmanagementstrategie [Institutionsleitung] |
| DER.4.A4 | Leitlinie zum Notfallmanagement und Übernahme der Gesamtverantwortung durch die Institutionsleitung [Institutionsleitung] |
| DER.4.A5 | Aufbau einer geeigneten Organisationsstruktur für das Notfallmanagement [Institutionsleitung] |
| DER.4.A6 | Bereitstellung angemessener Ressourcen für das Notfallmanagement [Institutionsleitung] |
| DER.4.A7 | Erstellung eines Notfallkonzepts [Institutionsleitung] |
| DER.4.A8 | Integration der Mitarbeitenden in den Notfallmanagement-Prozess [Vorgesetzte, Personalabteilung] |
| DER.4.A9 | Integration von Notfallmanagement in organisationsweite Abläufe und Prozesse [Institutionsleitung] |
| DER.4.A10 | Tests und Notfallübungen [Institutionsleitung] |
| DER.4.A11 | ENTFALLEN |
| DER.4.A12 | Dokumentation im Notfallmanagement-Prozess |
| DER.4.A13 | Überprüfung und Steuerung des Notfallmanagement-Systems [Institutionsleitung] |
| DER.4.A14 | Regelmäßige Überprüfung und Verbesserung der Notfallmaßnahmen [Institutionsleitung] |
| DER.4.A15 | Bewertung der Leistungsfähigkeit des Notfallmanagementsystems [Institutionsleitung] |
| DER.4.A16 | Notfallvorsorge- und Notfallreaktionsplanung für ausgelagerte Komponenten [Institutionsleitung] |
DER.4.A3
- Festlegung des Geltungsbereichs und der Notfallmanagementstrategie [Institutionsleitung]
Der Geltungsbereich für das Notfallmanagementsystem SOLLTE eindeutig festgelegt werden
- Die Institutionsleitung SOLLTE eine Notfallmanagementstrategie festlegen, welche die angestrebten Ziele und das Risikoakzeptanzniveau darlegen
DER.4.A4
- Leitlinie zum Notfallmanagement und Übernahme der Gesamtverantwortung durch die Institutionsleitung [Institutionsleitung]
Die Institutionsleitung SOLLTE eine Leitlinie zum Notfallmanagement verabschieden
- Diese SOLLTE die wesentlichen Eckpunkte des Notfallmanagements enthalten
- Die Leitlinie zum Notfallmanagement SOLLTE regelmäßig überprüft und gegebenenfalls überarbeitet werden
- Sie SOLLTE allen Mitarbeitenden bekanntgegeben werden
DER.4.A5
- Aufbau einer geeigneten Organisationsstruktur für das Notfallmanagement [Institutionsleitung]
Die Rollen für das Notfallmanagement SOLLTEN für die Gegebenheiten der Institution angemessen festgelegt werden
- Dies SOLLTE mit den Aufgaben, Pflichten und Kompetenzen der Rollen schriftlich dokumentiert werden
- Es SOLLTEN für alle Rollen im Notfallmanagement qualifizierte Mitarbeitende benannt werden
- Die Organisationsstruktur im Notfallmanagement SOLLTE regelmäßig darauf überprüft werden, ob sie praxistauglich, effektiv und effizient ist
DER.4.A6
- Bereitstellung angemessener Ressourcen für das Notfallmanagement [Institutionsleitung]
Die finanziellen, technischen und personellen Ressourcen für die angestrebten Ziele des Notfallmanagements SOLLTEN angemessen sein
- Der oder die Notfallbeauftragte bzw. das Notfallmanagement-Team SOLLTE über genügend Zeit für die Aufgaben im Notfallmanagement verfügen
DER.4.A7
- Erstellung eines Notfallkonzepts [Institutionsleitung]
Alle kritischen Geschäftsprozesse und Ressourcen SOLLTEN identifiziert werden, beispielsweise mit einer Business-Impact-Analyse (BIA)
- Es SOLLTEN die wichtigsten relevanten Risiken für die kritischen Geschäftsprozesse und Fachaufgaben sowie deren Ressourcen identifiziert werden
- Für jedes identifizierte Risiko SOLLTE entschieden werden, welche Risikostrategien zur Risikobehandlung eingesetzt werden sollen
- Es SOLLTEN Kontinuitätsstrategien entwickelt werden, die einen Wiederanlauf und eine Wiederherstellung der kritischen Geschäftsprozesse in der geforderten Zeit ermöglichen
- Es SOLLTE ein Notfallkonzept erstellt werden
- Es SOLLTEN solche Notfallpläne und Maßnahmen entwickelt und implementiert werden, die eine effektive Notfallbewältigung und eine schnelle Wiederaufnahme der kritischen Geschäftsprozesse ermöglichen
- Im Notfallkonzept SOLLTE die Informationssicherheit berücksichtigt und entsprechende Sicherheitskonzepte für die Notfalllösungen entwickelt werden
DER.4.A8
Integration der Mitarbeitenden in den Notfallmanagement-Prozess [Vorgesetzte, Personalabteilung] Alle Mitarbeitenden SOLLTEN regelmäßig für das Thema Notfallmanagement sensibilisiert werden
- Zum Notfallmanagement SOLLTE es ein Schulungs- und Sensibilisierungskonzept geben
- Die Mitarbeitenden im Notfallmanagement-Team SOLLTEN regelmäßig geschult werden, um die benötigten Kompetenzen aufzubauen
DER.4.A9
Integration von Notfallmanagement in organisationsweite Abläufe und Prozesse [Institutionsleitung] Es SOLLTE sichergestellt werden, dass Aspekte des Notfallmanagements in allen Geschäftsprozessen und Fachaufgaben der Institution berücksichtigt werden
- Die Prozesse, Vorgaben und Verantwortlichkeiten im Notfallmanagement SOLLTEN mit dem Risikomanagement und Krisenmanagement abgestimmt werden
DER.4.A10
- Tests und Notfallübungen [Institutionsleitung]
Alle wesentlichen Sofortmaßnahmen und Notfallpläne SOLLTEN in angemessener Weise regelmäßig und anlassbezogen getestet und geübt werden
- Der zeitliche Rahmen und die fachliche Abdeckung aller Übungen SOLLTEN übergreifend in einem Übungsplan dokumentiert werden
- Im Notfallmanagement SOLLTEN ausreichend Ressourcen für die Planung, Konzeption, Durchführung und Auswertung der Tests und Übungen bereitgestellt werden
DER.4.A11
- ENTFALLEN
Diese Anforderung ist entfallen
DER.4.A12
- Dokumentation im Notfallmanagement-Prozess
Der Ablauf des Notfallmanagement-Prozesses, die Arbeitsergebnisse der einzelnen Phasen und wichtige Entscheidungen SOLLTEN dokumentiert werden
- Ein festgelegtes Verfahren SOLLTE sicherstellen, dass diese Dokumente regelmäßig aktualisiert werden
- Darüber hinaus SOLLTE der Zugriff auf die Dokumentation auf autorisierte Personen beschränkt werden
DER.4.A13
- Überprüfung und Steuerung des Notfallmanagement-Systems [Institutionsleitung]
Die Institutionsleitung SOLLTE sich regelmäßig anhand von Managementberichten über den Stand des Notfallmanagements informieren
- Sie SOLLTE so das Notfallmanagement-System regelmäßig überprüfen, bewerten und gegebenenfalls korrigieren
DER.4.A14
- Regelmäßige Überprüfung und Verbesserung der Notfallmaßnahmen [Institutionsleitung]
Alle Notfallmaßnahmen SOLLTEN regelmäßig oder bei größeren Änderungen daraufhin überprüft werden, ob sie noch eingehalten und korrekt umgesetzt werden
- Es SOLLTE geprüft werden, ob sie sich noch dazu eignen, die definierten Ziele zu erreichen
Dabei SOLLTE untersucht werden, ob technische Maßnahmen korrekt implementiert und konfiguriert wurden und ob organisatorische Maßnahmen effektiv und effizient umgesetzt sind
- Bei Abweichungen SOLLTEN die Ursachen für die Mängel ermittelt und Verbesserungsmaßnahmen veranlasst werden
- Diese Ergebnisübersicht SOLLTE von der Institutionsleitung freigegeben werden
- Es SOLLTE zudem ein Prozess etabliert werden, der steuert und überwacht, ob und wie die Verbesserungsmaßnahmen umgesetzt werden
- Verzögerungen SOLLTEN frühzeitig an die Institutionsleitung gemeldet werden
Es SOLLTE von der Institutionsleitung festgelegt sein, wie die Überprüfungen koordiniert werden
- Die Überprüfungen SOLLTEN so geplant werden, dass kein relevanter Teil ausgelassen wird
- Insbesondere SOLLTEN die im Bereich der Revision, der IT, des Sicherheitsmanagements, des Informationssicherheitsmanagements und des Notfallmanagements durchgeführten Überprüfungen miteinander koordiniert werden
- Dazu SOLLTE geregelt werden, welche Maßnahmen wann und von wem überprüft werden
DER.4.A15
- Bewertung der Leistungsfähigkeit des Notfallmanagementsystems [Institutionsleitung]
Es SOLLTE regelmäßig bewertet werden, wie leistungsfähig und effektiv das Notfallmanagement-System ist
- Als Grundlage SOLLTEN Mess- und Bewertungskriterien wie etwa Leistungskennzahlen definiert werden
- Diese Messgrößen SOLLTEN regelmäßig ermittelt und mit geeigneten vorangegangenen Werten, mindestens aber mit den Vorjahreswerten, verglichen werden
- Weichen die Werte negativ ab, SOLLTEN die Ursachen ermittelt und Verbesserungsmaßnahmen definiert werden
- Die Ergebnisse der Bewertung SOLLTEN an die Leitung berichtet werden
Die Leitung SOLLTE entscheiden, mit welchen Maßnahmen das Notfallmanagement weiterentwickelt werden soll
- Alle Entscheidungen der Institutionsleitung SOLLTEN dokumentiert und die bisherigen Aufzeichnungen aktualisiert werden
DER.4.A16
- Notfallvorsorge- und Notfallreaktionsplanung für ausgelagerte Komponenten [Institutionsleitung]
Bei der Notfallvorsorge- und Notfallreaktionsplanung für ausgelagerte Komponenten SOLLTE regelmäßig das Notfallmanagement der liefernden oder dienstleistenden Institution in den unterzeichneten Verträgen geprüft werden
- Auch SOLLTEN die Abläufe in Notfalltests und -übungen mit der liefernden oder bereitstellenden Institution abgestimmt und, wenn angemessen, gemeinsam durchgeführt werden
Die Ergebnisse und Auswertungen SOLLTEN regelmäßig zwischen der Institutionsleitung und den liefernden Institutionen oder Dienstleistenden ausgetauscht werden
- In den Auswertungen SOLLTEN auch eventuelle Verbesserungsmaßnahmen enthalten sein
Anhang
Siehe auch
Weiterführende Informationen
- Die International Organization for Standardization (ISO) gibt in der Norm ISO/IEC 27001:2013 „Information technology - Security techniques - Information security management systems - Requirements“ im Anhang A17 „Information security aspects of business continuity management“ Vorgaben für die Sicherstellung der Informationssicherheit im Notfall
- Die International Organization for Standardization (ISO) gibt in der Norm ISO/IEC 22301:2012 „Societal security - Business continuity management systems - Requirements“ ein Rahmenwerk für ein Business Contiunity Management (BCM), in das die Anforderungen aus der oben genannten Norm ISO/IEC 27001:2013 beispielsweise integriert werden können
- Der BSI-Standard 100-4 „Notfallmanagement“ beschreibt, wie ein BCM etabliert, aufrechterhalten und kontinuierlich verbessert werden kann
- Das vom BSI veröffentlichte Umsetzungsrahmenwerk zum Notfallmanagement nach BSI-Standard 100-4 (UMRA) beinhaltet weitere Hilfsmittel, um die Etablierung eines BCMSs zu erleichtern
- Zusätzlich bietet der Webkurs „Notfallmanagement“ nach dem BSI-Standard 100-4 eine Einführung in das Thema
- Das Information Security Forum (ISF) macht in seinem Standard „The Standard of Good Practice for Information Security“ in der Kategorie BC - Business Continuity - Vorgaben zur Business Continuity, Es fordert dort unter anderem auch, dass die Kontinuitätsstrategie mit der Informationssicherheitsstrategie abgestimmt sein soll
- Das National Institute of Standards and Technology (NIST) stellt in seiner Special Publication 800-34, Rev. 1, „Contingency Planning Guide for Federal Information Systems“, einen Leitfaden zur Erstellung einer Kontinuitätsplanung von (bundesstaatlichen) Informationssystemen zur Verfügung, der auch die Informationssicherheit berücksichtigt
- Zusätzlich liefert dieses Dokument auch Informationen über Zusammenhänge zwischen einer solchen Kontinuitätsplanung von Informationssystemen und anderen Arten von sicherheits- und notfallmanagementbezogenen Kontinuitätsplänen, etwa einem Business Continuity Plan