ISMS-Software für BSI Grundschutz++.Mehr als eine Momentaufnahme.

Ihr startet die Ausbreitungsprüfung an einem Risikokandidaten und wählt die Richtung: Was braucht das Objekt, was hängt von ihm ab, oder beides? BlueProceedings ISMS folgt den hinterlegten Abhängigkeiten und bestätigten Schnittstellen und schlägt vor, was mitbetroffen sein könnte. Erreichbar heißt nicht betroffen. Über jeden Vorschlag entscheidet ihr selbst: Ihr bestätigt ihn als betroffen und beschreibt, wie das Objekt betroffen sein kann und welche Schutzziele es trifft. Ihr verwerft ihn und begründet, warum. Oder ihr markiert ihn als nicht entscheidbar und haltet fest, was dafür fehlt. Erst die Bestätigung macht ein Objekt zum Betroffenen.

Im Beispiel ist der PostgreSQL-Cluster das Startobjekt. Links stehen seine Voraussetzungen, rechts die davon abhängigen Objekte, je Spalte eine Ebene. Drei Objekte sind bestätigt, zwei veraltet, eines verworfen, eines nicht entscheidbar und acht noch zu prüfen.

• Ihr gebt vor: Startobjekt und Richtung. Die Anwendung schlägt vor, ihr entscheidet
• Bestätigen mit Wirkung je Schutzziel, Verwerfen und „nicht entscheidbar“ mit Begründung
• Jedes Objekt mit Zustand in Wort und Randform
• Bestätigte Objekte werden zu Risiken oder Teilrisiken

Deshalb hat jedes Risiko eine eigene Seite. Sie zeigt in vier Stationen, woher es kommt, wie es bewertet ist, was dagegen getan wird und was danach übrig bleibt. Die Behandlung verweist auf die zugehörige Maßnahme, die mit Fortschritt, einzelnen Schritten, verantwortlicher Person und Frist direkt daneben steht. Das Restrisiko ist die Einschätzung für die Zeit nach der Umsetzung; es braucht die Akzeptanz des Risikoeigentümers und ein Datum für die nächste Prüfung. Die Risikoakte darunter hält fest, welche Objekte aus welcher Ebene betroffen sind.

Im Beispiel entsteht das Risiko, weil die Anforderung KONF.3.2 (Speicherverschlüsselung) im Kunden- und Marktpartnerportal noch nicht umgesetzt ist: Ein entwendetes Datenbank-Volume oder Sicherungsmedium legt Kundenstammdaten im Klartext offen. Die Behandlung heißt Mindern, die Maßnahme „Volume-Verschlüsselung für Datenbank und Sicherungen einführen“ ist in Umsetzung, zwei von vier Schritten sind erledigt, Frist ist der 18.12.2026. Das Restrisiko ist gering, vom Risikoeigentümer akzeptiert, die nächste Prüfung steht für den 15.02.2027 an.

• Ursache: die Anforderung, deren Nichterfüllung das Risiko auslöst
• Maßnahme als Verweis mit Status und Schritten, nicht als Freitext
• Skala vorher und nachher, mit Begründung für das Restrisiko
• Betroffene Objekte aus mehreren Ebenen, je mit Art des Bezugs
• Dieselbe Akte als Seitenfenster in der Liste und als eigene Seite

Wer eine Rolle hält, kann für sie eine Vertretung benennen, für jede Rolle eine andere und für einen Zeitraum oder unbefristet. Der Vertretungsplan legt das neben die Abwesenheiten: Je abwesender Person ein Block, darunter eine Bahn je Rolle. Grün zeigt, wer die Vertretung übernimmt. Eine gestrichelte Darstellung bedeutet, dass eine weitere Person dieselbe Rolle innehat und anwesend ist. Rot weist darauf hin, dass niemand die Aufgaben übernimmt. Eine Lücke steht zusätzlich als Warnung über dem Plan, mit Rolle und Zeitraum, solange noch Zeit bleibt, sie zu schließen.

Im Beispiel ist Sam Nordstern vom 10. bis 21.11. abwesend. App-Admin ist durch Alex als weiteren Inhaber der Rolle gedeckt, Compliance vertritt Kim, für die Rolle Auditor gibt es keine Vertretung. Darüber steht deshalb die Warnung „Keine Vertretung für die Rolle Auditor“ mit dem Zeitraum.

• Vertretung je Rolle und Zeitraum, mit Prüfung auf Funktionstrennung
• Weitreichende Rollen brauchen eine ausdrückliche Bestätigung
• Der Plan zeigt Person und Zeitraum einer Abwesenheit, nie den Grund
• Lücken werden als Warnung benannt, nicht nur eingefärbt

Der Plan zeigt, was eingetragen ist. Abwesenheiten, die niemand einträgt, kann er nicht kennen. Sie tragen die Person selbst oder die Personalabteilung ein.

Ihr wählt die ausgefallenen Standorte oder Objekte und gebt das verfügbare Personal an. BlueProceedings ISMS plant über die Abhängigkeiten, in welcher Reihenfolge Notbetrieb und Wiederherstellung anlaufen, und vergleicht fünf implementierte Planungsverfahren, von einfachen Heuristiken (Greedy) bis zur exakten Suche (Branch-and-Bound). Als Maßstab dient der modellierte Verlust auf Grundlage der hinterlegten Annahmen, verglichen mit dem Fall, dass im Planungszeitraum nichts wieder anliefe. Das Ergebnis ist ein modellbasierter Planungsvorschlag, keine Entscheidung des Krisenstabs. Unvollständige oder falsche Eingaben verändern es; der Krisenstab prüft die tatsächliche Lage und entscheidet selbst.

Im Beispiel eines Übungslaufs liegt der modellierte Verlust des besten berechneten Planungsvorschlags bei 1.027.530 Euro im Planungszeitraum, gegenüber 3.531.600 Euro, wenn kein betroffener Prozess wieder anliefe. Die fünf Verfahren liefern drei verschiedene Ergebnisse, jeweils mit dem Abstand zum besten berechneten Vorschlag.

• Modellierter Verlust je Verfahren und Abstand zum besten berechneten Planungsvorschlag
• Reihenfolge und Zeiten je Notfallprozess
• Als Übung oder echter Krisenlauf speicherbar

Die Berechnung ist ein modellbasierter Planungsvorschlag. Sie verwendet die im System hinterlegten Abhängigkeiten, Zeiten, Kapazitäten und Verlustannahmen. Unvollständige oder falsche Eingaben verändern das Ergebnis. Der Krisenstab prüft die tatsächliche Lage, Nebenbedingungen und Folgen und trifft die Entscheidung selbst.

Business-Impact-Analyse, Notfallszenarien und Übungen beziehen sich in BlueProceedings ISMS auf dieselben Prozesse, Komponenten und Standorte wie das übrige ISMS. Das Gesamtbild fasst die Notfallvorsorge in fünf Stationen zusammen: Für welche Prozesse ist festgelegt, wie lange ein Ausfall höchstens dauern darf (die tolerierbare Ausfallzeit)? Gibt es für die zugehörigen Objekte ein Wiederanlauf- und ein Wiederherstellungsverfahren? Reichen Personal und Mittel? Sind Organisation und Kontakte benannt? Und wann wurde zuletzt geübt? Lücken und Hinweise erscheinen genauso deutlich wie das, was vorhanden ist. Eine Gesamtnote gibt es bewusst nicht.

Im Beispiel steht unter den fünf Stationen, was die letzte Übung gezeigt hat und wer im Ernstfall führt und wer vertritt. Das zweite Bild zeigt ein Planspiel zur Verschlüsselung der zentralen Plattformdienste mit Beteiligten, Annahme, Abbruchbedingung, Soll-Zeiten und Erfolgskriterium.

• Prozesse nach Dringlichkeit, mit tolerierbarer Ausfallzeit als Balken
• Teams, Mittel und Führung im Ernstfall mit Stellvertretung
• Planspiel, Funktions-, Wiederherstellungs- und Kommunikationstest mit Zielen, Kriterien und Sollzeiten
• Was bei einer Übung auffällt, wird zur Folgearbeit

Im Lagezentrum steht der Plan eines Krisenlaufs neben dem, was im aktuellen Durchlauf tatsächlich geschieht. Jede Zeile ist ein Schritt, gruppiert nach Team mit verantwortlicher Rolle: oben die Planspur, darunter das Ist des laufenden Durchlaufs, also was tatsächlich begonnen, beendet oder gescheitert ist. Schraffiert ist der Verzug, ein früher beendeter Schritt als Vorsprung gekennzeichnet, ein gescheiterter Versuch bleibt sichtbar. Die rechnerische Fortschreibung des aktuell erfassten Stands weist darauf hin, welche tolerierbare Ausfallzeit voraussichtlich überschritten werden könnte. Sie ersetzt keine Lagebeurteilung: Die Anwendung hilft beim Überblick, die Lage beurteilt weiterhin der Krisenstab.

Das Beispiel ist bewusst nicht einfach: eine Funktionsübung „Löschgasauslösung im Rechenzentrum Nord“ fünfeinhalb Stunden nach Beginn, zehn begonnene Schritte in mehreren Teams, ein gescheiterter Versuch, ein Prozess mit überschrittener Frist und eine Information, die überfällig ist.

• Verantwortliche Rolle und Teamgröße je Bahn
• Prozesse gegen ihre tolerierbare Ausfallzeit, überschritten oder nach aktuellem Stand voraussichtlich überschritten
• Meldekette je Prozess: läuft wieder, Krisenstab informiert, Verantwortliche informiert
• Überfällige Informationen werden sichtbar, bevor sie vergessen werden
• Die Informationsfrist von 30 Minuten ist eine Annahme der Anwendung; eine Anpassungsmöglichkeit ist vorgesehen

Maßnahmen entstehen aus Risiken, Sicherheitsvorfällen, Audit-Feststellungen, Kennzahlen oder neuen Vorgaben. Abgeschlossen ist eine Maßnahme erst, wenn vorab festgelegte Kriterien geprüft sind und ein gültiger Nachweis vorliegt. Bis dahin bleibt der Abschluss gesperrt und sagt, was fehlt. Die Schließung gibt eine zweite Person frei. Im Kleinunternehmen-Modus entfällt nur die personelle Trennung, nicht die Prüfung.

Im Beispiel stammt die Maßnahme aus einer bestätigten Audit-Feststellung und ist in Umsetzung. Die Wirksamkeitsprüfung ist noch offen, mit dem Hinweis „Kriterien festlegen“. Der Abschluss bleibt gesperrt, bis die Wirksamkeitskriterien festgelegt und gespeichert sind.

• Messbare Wirksamkeitskriterien, bevor geprüft wird
• Nur akzeptierte, gültige Nachweise schließen ab
• Aus „nicht bestanden“ entsteht die Feststellung automatisch