5 Fragen zu Schutzbedarf

Die Schutzbedarfsfeststellung in der IT ist ein Prozess, der dazu dient, den Schutzbedarf von Informationen und IT-Systemen zu ermitteln. Sie umfasst in der Regel folgende Schritte: 1. **Identifikation der Schutzobjekte**: Bestimmung der zu schützenden Informationen, Anwendungen und IT-Systeme. 2. **Bewertung der Schutzbedarfsdimensionen**: - **Vertraulichkeit**: Schutz vor unbefugtem Zugriff auf Informationen. - **Integrität**: Schutz vor unbefugter Veränderung oder Zerstörung von Informationen. - **Verfügbarkeit**: Sicherstellung, dass Informationen und Systeme bei Bedarf zugänglich sind. 3. **Kategorisierung des Schutzbedarfs**: Einteilung der Schutzobjekte in verschiedene Schutzbedarfskategorien (z.B. niedrig, mittel, hoch) basierend auf den möglichen Auswirkungen eines Sicherheitsvorfalls. 4. **Dokumentation**: Festhalten der Ergebnisse der Schutzbedarfsfeststellung in einem Bericht oder einer Datenbank. 5. **Ableitung von Schutzmaßnahmen**: Basierend auf dem ermittelten Schutzbedarf werden geeignete Sicherheitsmaßnahmen definiert und implementiert. Die Schutzbedarfsfeststellung ist ein wesentlicher Bestandteil des IT-Sicherheitsmanagements und hilft dabei, angemessene Sicherheitsvorkehrungen zu treffen, um die Vertraulichkeit, Integrität und Verfügbarkeit von IT-Systemen und Daten zu gewährleisten.

Die Schutzbedarfsfeststellung ist ein wichtiger Schritt im Rahmen des IT-Sicherheitsmanagement. Sie dient dazu, den Schutzbedarf von Informationen und IT-Systemen zu ermitteln, um geeignete Sicherheitsmaßnahmen zu definieren. Dabei werden die potenziellen Schäden bewertet, die durch den Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen entstehen könnten. Hier sind die grundlegenden Schritte zur Durchführung einer Schutzbedarfsfeststellung: 1. **Identifikation der Schutzobjekte**: Bestimme, welche Informationen, Anwendungen und IT-Systeme geschützt werden müssen. 2. **Bewertung der Schutzbedarfsdimensionen**: - **Vertraulichkeit**: Wie sensibel sind die Informationen? Welche Schäden könnten durch unbefugten Zugriff entstehen? - **Integrität**: Wie wichtig ist die Korrektheit und Vollständigkeit der Informationen? Welche Schäden könnten durch Manipulation entstehen? - **Verfügbarkeit**: Wie wichtig ist die ständige Verfügbarkeit der Informationen und Systeme? Welche Schäden könnten durch Ausfälle entstehen? 3. **Kategorisierung des Schutzbedarfs**: Ordne den Schutzobjekten eine Schutzbedarfskategorie zu (z.B. niedrig, mittel, hoch) basierend auf der Bewertung der Schutzbedarfsdimensionen. 4. **Dokumentation**: Dokumentiere die Ergebnisse der Schutzbedarfsfeststellung und die Begründungen für die Einstufungen. 5. **Ableitung von Maßnahmen**: Basierend auf der Schutzbedarfskategorie werden entsprechende Sicherheitsmaßnahmen definiert und umgesetzt. Die Schutzbedarfsfeststellung ist ein kontinuierlicher Prozess und sollte regelmäßig überprüft und aktualisiert werden, um auf Veränderungen in der IT-Landschaft und den Bedrohungen reagieren zu können.

Für die Durchführung der Schutzbedarfsanalyse und zur Bestimmung des Schutzniveaus wird in Deutschland häufig der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) herangezogen. Der BSI-Standard 200-2 („IT-Grundschutz-Methodik“) beschreibt ein systematisches Vorgehen zur Schutzbedarfsfeststellung und zur Ableitung angemessener Sicherheitsmaßnahmen. Alternativ kann auch die ISO/IEC 27005 („Informationssicherheits-Risikomanagement“) genutzt werden, die international anerkannt ist und Methoden zur Risiko- und Schutzbedarfsanalyse bietet. Weitere Informationen: - [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/IT-Grundschutz/it-grundschutz_node.html) - [ISO/IEC 27005](https://www.iso.org/standard/75281.html)

Originär verantwortlich für die Durchführung einer Schutzbedarfsfeststellung nach BSI (Bundesamt für Sicherheit in der Informationstechnik) ist der jeweilige Informationsverbund- oder Systemverantwortliche. Das bedeutet: Die Verantwortung liegt bei der Person oder Stelle, die für das jeweilige IT-System, die Anwendung oder den Geschäftsprozess zuständig ist. In der Praxis sind das häufig die Fachverantwortlichen oder die Leitung der jeweiligen Organisationseinheit, die die zu schützenden Informationen nutzt oder verarbeitet. Das BSI empfiehlt ausdrücklich, dass die Schutzbedarfsfeststellung nicht allein durch die IT-Abteilung, sondern in enger Zusammenarbeit mit den Fachbereichen durchgeführt wird, da diese den Wert und die Kritikalität der Informationen am besten einschätzen können. Weitere Informationen findest du direkt beim [BSI](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Schutzbedarfsfeststellung/schutzbedarfsfeststellung_node.html).

Die Moderation bzw. Steuerung einer Schutzbedarfsfeststellung übernimmt in der Regel die Informationssicherheitsbeauftragte bzw. der Informationssicherheitsbeauftragte (ISB) einer Organisation. In manchen Fällen kann dies auch durch eine speziell dafür eingesetzte Projektleitung oder eine verantwortliche Person aus dem Bereich IT-Sicherheit erfolgen. Die Aufgabe dieser Person ist es, den Prozess zu koordinieren, die relevanten Fachbereiche einzubinden, die Methodik zu erläutern und sicherzustellen, dass die Schutzbedarfsfeststellung nachvollziehbar und vollständig durchgeführt wird. Die eigentliche Bewertung des Schutzbedarfs erfolgt jedoch meist durch die jeweiligen Fachverantwortlichen für die betrachteten Geschäftsprozesse, Anwendungen oder IT-Systeme, da diese das notwendige Fachwissen über die zu schützenden Informationen besitzen. Zusammengefasst: - **Moderation/Steuerung:** Informationssicherheitsbeauftragte/r oder IT-Sicherheitsverantwortliche/r - **Fachliche Bewertung:** Fachverantwortliche der jeweiligen Bereiche Weitere Informationen findest du beispielsweise beim [Bundesamt für Sicherheit in der Informationstechnik (BSI)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Schutzbedarfsfeststellung/schutzbedarfsfeststellung_node.html).