Das Inhaltsverzeichnis ist zugleich Kriterienkatalog. Dieselbe Struktur kann beim Erstellen, Prüfen, Beschaffen und bei der Auditvorbereitung verwendet werden.
Die Kriterien geben Struktur und Mindestthemen vor. Regulatorische Pflicht und methodische Ergänzung bleiben getrennt.
Ein vorhandenes Dokument lässt sich gegen denselben Soll-Katalog prüfen.
Herstellerinformationen können gegen fachliche und regulatorische Fähigkeiten geprüft werden.
Mehrere Kriterienkataloge ergeben einen anwendungsbezogenen Beschaffungskatalog.
Third Party, Incident, BCM, Informationssicherheit und Exit können für einen Dienstleister zusammengeführt werden.
Aus Kriterien und Fundstellen entsteht eine nachvollziehbare Nachvollziehbarkeit vom Recht bis zum Nachweis.
| Typ | Funktion | Beispiele |
|---|---|---|
| Regulatorik | Verbindliche Anforderung | DORA, RTS, ITS – mit Artikelangabe |
| Aufsicht | Aufsichtliche Konkretisierung | BaFin, ESA |
| Methode | Bewährtes fachliches Vorgehen | ITIL, COBIT |
| Umsetzungshilfe | Praktische Sicherheits- und Organisationshilfe | BSI 200-1 bis 200-4, IT-Grundschutz |
| Stand der Technik | Technische Konkretisierung | TeleTrusT bzw. die für das Thema passendere technische Quelle |
Incident + Problem + Change + Asset + Logging kann zu einem gemeinsamen Soll für ein neues Ticketsystem kombiniert werden: Incident erfassen, Auswirkungen bewerten, Eskalationen dokumentieren, Assets und Owner zuordnen, Changes verknüpfen und einen nachvollziehbaren Audit Trail bereitstellen.
Sie ist kein fertiger Mustertext und ersetzt weder die organisationsbezogene Ausgestaltung noch den Nachweis der tatsächlichen Umsetzung. Sie zeigt, was berücksichtigt werden sollte, warum ein Punkt enthalten ist und welche Quelle bei der Ausgestaltung helfen kann.
BSI 200-1 bis 200-4 und das IT-Grundschutz-Kompendium werden bei passenden Themen gegengeprüft. Ist eine andere Quelle für den konkreten Aspekt fachlich originärer – etwa ITIL für Change Enablement oder Incident Management – wird diese bevorzugt. Das BSI bleibt sichtbar, wenn es einen zusätzlichen Sicherheits-, BCM- oder Umsetzungsaspekt liefert.
| Vorhaben | Kataloge kombinieren |
|---|---|
| Ticketsystem | Incident + Problem + Change + Asset + Logging |
| Backup-Lösung | Backup & Recovery + BCM + Asset + Logging + Resilienztests |
| IKT-Dienstleister | Third Party + Incident + BCM + Exit + Informationssicherheit |
| IAM/PAM-Lösung | Identitäten + privilegierte Rechte + Logging + Asset + Third Party |
Bei geeigneten Kriterien wird der neue BSI-Grundschutz++ als zusätzliche Umsetzungssicht herangezogen. Die konkrete GS++-Praktik wird genannt; DORA bleibt die regulatorische Basis.
So nutzen wir Grundschutz++ →Wird ein Produkt gegen einen Kriterienkatalog geprüft, kann die BSI-Sicht als zusätzlicher Sicherheitsgegencheck zugeschaltet werden. Das ändert die Bewertungslogik nicht: Eine auf der Herstellerseite nicht beschriebene GS++-Fähigkeit ist „nicht nachgewiesen“ und nicht automatisch „nicht erfüllt“.