Ein Grundschutz-Check ist kein Audit

„Wir hatten im Frühjahr ein Audit.“ Fragt man nach, war es oft ein IT-Grundschutz-Check: Der Informationssicherheitsbeauftragte ist mit den Bausteinen durch die Abteilungen gegangen, hat mit den Verantwortlichen gesprochen und für jede Anforderung einen Status eingetragen. Das ist viel Arbeit und sehr nützlich. Ein Audit ist es nicht.

Der BSI-Standard 200-2 kennt drei Arten, auf ein Sicherheitskonzept zu schauen. Sie unterscheiden sich darin, wer prüft, wogegen geprüft wird und was danach passiert.

Grundschutz-Check: der Soll-Ist-Vergleich

Der Standard beschreibt den Check so:

„Der IT-Grundschutz-Check ist ein Organisationsinstrument, das einen schnellen Überblick über das vorhandene Sicherheitsniveau bietet.“

Mit Interviews wird ermittelt, wie weit die Anforderungen der modellierten Bausteine erfüllt sind. Das Ergebnis ist ein Katalog, in dem jede relevante Anforderung einen von vier Status bekommt: ja, teilweise, nein oder entbehrlich. „Entbehrlich“ steht dabei unter einem Vorbehalt, den der Standard ausdrücklich nennt: nur „mit Begründung, nicht möglich bei Basis-Anforderungen“. Warum genau dort die Grenze liegt, war Thema der vorigen Folge: Für MUSS-Anforderungen ist keine Risikoübernahme möglich.

Wer prüft: in der Regel das eigene Sicherheitsmanagement, gemeinsam mit den Verantwortlichen. Wogegen: gegen die Anforderungen des Kompendiums. Die Folge: Die offenen und teilweise erfüllten Anforderungen werden zum Realisierungsplan. Der Check ist eine Bestandsaufnahme, keine Bewertung von außen.

IS-Revision: die regelmäßige Überprüfung

Der Check sagt, was umgesetzt ist. Ob es wirkt, ist eine zweite Frage. Dafür nennt der Standard die Informationssicherheitsrevision:

„Nur durch die regelmäßige Überprüfung der etablierten Sicherheitsmaßnahmen und des Informationssicherheitsprozesses können Aussagen über deren wirksame Umsetzung, Aktualität, Vollständigkeit und Angemessenheit und damit über den aktuellen Zustand der Informationssicherheit getroffen werden.“

Methodisch empfiehlt der Standard dafür die gleiche Vorgehensweise wie beim Check, ausgearbeitet im Leitfaden des BSI für die IS-Revision. Der Unterschied liegt in der Rolle: Eine Revision prüft das Sicherheitsmanagement, sie ist nicht Teil davon. Wer das Konzept geschrieben hat, sollte es nicht selbst revidieren. Die Folge einer Revision sind Feststellungen an die Leitung, nicht nur Einträge in einer Liste.

Audit: die unabhängige Bewertung

Ein Audit im Sinne einer Zertifizierung geht noch einen Schritt weiter. Der Standard beschreibt die Zertifizierung als Methode, um die Erreichung der Sicherheitsziele und die Umsetzung der Maßnahmen

„durch qualifizierte unabhängige Stellen zu überprüfen“

Sie liefert „nachvollziehbare, wiederholbare und vergleichbare Auditergebnisse“. Geprüft wird nicht nur, ob Anforderungen erfüllt sind, sondern ob das Managementsystem trägt: ob es Ziele, Audits, Managementbewertungen und Korrekturen gibt. Die Folge ist ein Zertifikat oder eine Liste von Abweichungen mit Frist. Das interne Audit nach ISO 27001 Abschnitt 9.2 liegt dazwischen: von der Organisation selbst geplant, aber mit objektiven und unparteiischen Auditoren. Wie ein Auditprogramm dafür aussieht, stand in Ein Audittermin ist noch kein Auditprogramm.

Drei Fragen, um sie auseinanderzuhalten

• Wer hat geprüft? Das eigene Sicherheitsmanagement (Check), eine davon unabhängige interne Stelle (Revision, internes Audit) oder eine externe, qualifizierte Stelle (Zertifizierungsaudit)?
• Wogegen? Gegen die Anforderungen der Bausteine, gegen die Wirksamkeit der Maßnahmen oder gegen die Norm als Ganzes?
• Mit welcher Folge? Ein Realisierungsplan, Feststellungen an die Leitung oder ein Zertifikat mit Auflagen?

Alle drei haben ihren Platz, und der Check ist oft die Grundlage der beiden anderen. Nur sollte im Bericht an die Geschäftsführung nicht „Audit“ stehen, wenn ein Check gemeint ist. Sonst glaubt die Leitung an eine unabhängige Bestätigung, die es nicht gegeben hat.

Quellen

BSI-Standard 200-2, IT-Grundschutz-Methodik, Kapitel 6.3, 7.7, 8.4, 10.1.3 und 10.1.4. ISO/IEC 27001:2022, Abschnitt 9.2 (sinngemäß, Normtext urheberrechtlich geschützt).

In der nächsten Folge: Zertifizierung, Akkreditierung, Attestierung. Wer zertifiziert wen, und wer die Zertifizierer.

Die vorige Folge: Eine Anforderung ist keine Maßnahme.