Stephan VossISO (Information Security Officer)stephan.voss@stephan-voss.deLinkedIn
ISMS-GRC-WEBGOVERNANCE · RISK · COMPLIANCE · ASSURANCE
CORE · VERBESSERUNG

Feststellung, Problem & Maßnahme

Eine Feststellung ist noch nicht automatisch das Problem – und eine Maßnahme ist noch kein Wirksamkeitsnachweis.

KETTE

Von der Beobachtung bis zur bestätigten Verbesserung

Verbesserungskreislauf von Prüfung über Feststellung, Problem und Maßnahme bis zur Wiederholungsprüfung und zum neuen Ist-Zustand.
Der neue Ist-Zustand ist der Ausgangspunkt für die nächste Prüfung.
PRAXISFALL

14 Stunden sind eine Feststellung – die Zielverfehlung ist das Issue

Feststellung

Der Restore-Test benötigte 14 Stunden.

Problem

Das festgelegte Recovery-Ziel von 8 Stunden wird nicht erreicht.

Maßnahme

Recovery-Prozess und technische Wiederherstellung werden so angepasst, dass das Ziel erreichbar wird.

Wiederholungsprüfung

Der neue Test benötigt 6,5 Stunden. Erst dieser Nachweis bestätigt die Verbesserung.

ABGRENZUNG

Beobachtung, Finding, Ursache, Issue und Maßnahme sind nicht dasselbe

01
Beobachtung

Was wurde tatsächlich gesehen oder gemessen?

02
Feststellung (Finding)

Welcher prüfbare Zustand oder welche Abweichung ergibt sich daraus?

03
Ursache

Warum ist der Zustand entstanden? Bei relevanten oder wiederkehrenden Fehlern kann eine Root Cause Analysis (RCA) sinnvoll sein.

04
Problem (Issue) / Risiko

Welcher zu behandelnde Sachverhalt oder welches Risiko ergibt sich für Ziele und Anforderungen?

05
Maßnahme & Retest

Was wird geändert – und welcher erneute Test bestätigt die Wirkung?

Wichtig: Nicht jedes Finding braucht eine formelle RCA und nicht jede Maßnahme beseitigt automatisch die zugrunde liegende Ursache. Prüftiefe und Ursachenanalyse richten sich nach Bedeutung und Wiederholungsrisiko.