Ein Bericht ist eine Momentaufnahme. Wenn sich später Risiken, Schutzbedarf oder andere Grundlagen ändern, sollte das sichtbar sein – statt eine alte Fassung weiter für aktuell zu halten.
Das Sicherheitskonzept speichert seinen Ausgabestand. Ändern sich danach Grundlagen, zeigt die Anwendung den betroffenen Bereich und Angaben zur Änderung.
Im Beispiel sind unter anderem Risiken und Schutzbedarfsprofil nach dem Berichtsstand geändert worden. Die Verantwortlichen entscheiden, was neu zu prüfen ist.
Der Bericht fasst den Stand eines Informationsverbunds zusammen und macht spätere Änderungen an seiner Grundlage sichtbar.
Berichtsvorlagen stellen Prüfungsstand, Ergebnisse und Feststellungen für die jeweilige Prüfung zusammen.
Eine Leitungsvorlage bereitet Feststellungen, Risiken, Kennzahlen und anstehende Maßnahmen für Entscheidungen auf.
Für den Austausch stehen neben lesbaren Berichten auch Prüfpakete und maschinenlesbare OSCAL-Ausgaben zur Verfügung.
Eine Berichtsvorlage legt fest, welche Abschnitte ein Auditbericht enthält, zum Beispiel Prüfumfang, Nachweise, Feststellungen, Risiken und Kennzahlen. Ihr wählt das Audit; die Anwendung stellt den Bericht aus dem gepflegten Datenstand zusammen.
Die Beispiele zeigen die Vorlagenübersicht, einen Kurzbericht und einen Bericht für die Leitung mit fiktiven Daten.
Berichtsvorlagen lassen sich als Datei weitergeben und einlesen, etwa von einer prüfenden Stelle oder einer anderen Institution. Verwendet Vorlagen aus vertrauenswürdigen Quellen und prüft sie vor ihrer Verwendung.
Sicherheitskonzept, Management- und Auditberichte greifen auf gepflegte Informationen zurück. So müssen dieselben Angaben nicht für jeden Bericht erneut zusammengestellt werden.
Das Dokumentregister hält Dokumentversionen, Klassifikation, Freigabe und Überprüfung zusammen. Ein freigegebener Stand bleibt als Momentaufnahme nachvollziehbar.
Je nach Bericht stehen HTML und PDF zur Verfügung; für den Austausch gibt es unter anderem OSCAL-Ausgaben und Prüfpakete. Vertrauliche Übergaben können in unterstützten Formaten geschützt werden.
Im Beispiel fasst der Auditbericht die Kernaussage, offene Feststellungen, Fristen und Risikoverteilung für die Leitung zusammen.
Die Daten sind fiktiv. Welche Aussage aus ihnen folgt, entscheiden die Verantwortlichen.
Ein Verfahren zur Lenkung aller ISMS-relevanten Dokumente sichert Nachvollziehbarkeit, Aktualität und Vollständigkeit über den gesamten Lebenszyklus.
Je Bericht ein Erzeugungsintervall und eine Zahl aufbewahrter Stände; das Dokument entsteht bei Bedarf aus einem gewählten Stand. Formal freigegebene Berichte stehen im Dokumentregister und zählen nicht zur Aufbewahrungsgrenze. Wer laut RACI durchführt (R) und verantwortet (A), ist automatisch beteiligt.
Die Leitlinie beschreibt Ziele, Strategie und Organisation und legt die Verantwortung der Leitung fest; sie wird freigegeben und allen kommuniziert.
Die Leitlinie entsteht als PDF aus dem freigegebenen Stand, gegliedert nach dem Standard und mit einer Momentaufnahme der Kennzahlen zu den Zielen.
Die Leitung prüft auf Grundlage des Managementberichts, ob das ISMS geeignet, angemessen und wirksam ist, unter anderem mit Auditergebnissen, Leistungsbewertung, Vorfällen und Stand der Risikobehandlung.
Eine neue Managementbewertung wird aus dem aktuellen Datenstand vorausgefüllt und endet mit einem Urteil der Leitung. Die Leitungsmappe zeigt daneben alle Freigaben mit Fassung, Rolle, Datum und Termin zur Überprüfung.
Das Prüfpaket enthält je Prozess die benötigten Dienstleister, ihre Subdienstleister, abgegebene Anforderungen und gültige Zusicherungen. Zur Dienstleistersteuerung.
Fasst eine Verpflichtung zusammen und zeigt unter anderem, welche anderen Verpflichtungen dieselben Nachweise mitnutzen.
Für einen abgeschlossenen Sicherheitsvorfall und für eine Übung gibt es je einen Bericht, druckbar und als JSON; eine redigierte Fassung lässt sich getrennt ausgeben. Zu BCM und Notfallmanagement.
Abgegebene Anforderungen werden in den Berichten gesondert gezählt und nicht in die eigene Lage eingerechnet.
Das Sicherheitskonzept speichert seinen Ausgabestand. Ändern sich danach Risiken, Schutzbedarf oder andere Grundlagen, zeigt die Anwendung einen Hinweis mit den betroffenen Bereichen und dem Zeitpunkt der Änderung.
Je nach Bericht als HTML und PDF; für den Austausch zusätzlich als Prüfpaket und als OSCAL-Ausgaben wie System Security Plan, Assessment Results und POA&M.
Ja. Je Bericht werden Stände in der festgelegten Zahl aufbewahrt, und ein Dokument lässt sich aus einem gewählten Stand erzeugen.
Ein PDF oder ein maschinenlesbarer Export dokumentiert einen Stand. Ob die Angaben vollständig und fachlich tragfähig sind, prüfen Menschen. Der BSI-Standard 300-1 beschreibt Leistungsbewertung und Managementbewertung in Kapitel 5.
Weitere Funktionen sind bereits umgesetzt: alle Funktionen nach den fünf Prozessschritten, Dienstleister und Lieferkette und was sonst noch in der Pre-Alpha steckt.
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Die Funktionsbeschreibung gibt den Stand der Pre-Alpha wieder; methodische Aussagen sind als solche benannt und belegt.
Berichte sollen nicht nur gut aussehen, sondern sagen, wenn ihre Grundlage nicht mehr stimmt.