Verfahren – Kryptographisches Schlüsselmanagement

Eigenständig nutzbarer Prompt. Für die Verwendung ist kein Zugriff auf das ISMS-Framework und keine Framework-ZIP erforderlich.

Wofür ist dieser Prompt?
Dieser Prompt unterstützt dabei, „Verfahren – Kryptographisches Schlüsselmanagement“ strukturiert zu bearbeiten und das Ergebnis nachvollziehbar anhand der im Prompt enthaltenen Kriterien einzuordnen.

Was muss ich bereitstellen?
Die für den Prüfgegenstand relevanten Dokumente, Nachweise und sonstigen Informationen, die tatsächlich bewertet werden sollen.

Erweiterbar: Dieser Prompt enthält eine eigenständig nutzbare Ausgangsbasis. Für vertiefende Prüfungen kann er um weitere Anforderungen, Quellen, organisationsspezifische Vorgaben oder zusätzliche Prüffragen ergänzt und mit anderen Prüfbausteinen kombiniert werden.

VOLLSTÄNDIGER PROMPT

Direkt kopieren und verwenden

AUFGABE
Prüfe das bereitgestellte Dokument oder Produkt anhand der nachfolgend vollständig aufgeführten Anforderungen und Prüfkriterien. Nenne je Kriterium Fundstelle bzw. Nachweis und bewerte: erfüllt, teilweise erfüllt, nicht nachgewiesen oder nicht erfüllt. Trenne regulatorische Lücken klar von methodischen Verbesserungsvorschlägen.

HERKUNFT / RÜCKVERFOLGBARKEIT
Interne Herkunftskennung: DOC-PROC-02. Diese Kennung dient ausschließlich der Rückverfolgbarkeit innerhalb des ISMS-Frameworks. Sie ist keine Arbeitsgrundlage. Für die Bearbeitung dieses Prompts ist weder Zugriff auf diese interne Quelle noch auf das ISMS-Framework oder eine Framework-ZIP erforderlich. Maßgeblich sind ausschließlich die in diesem Prompt ausgeschriebenen Anforderungen, Prüfkriterien, Rechtsbezüge und die vom Benutzer bereitgestellten Unterlagen.

PRÜFGEGENSTAND
Verfahren – Kryptographisches Schlüsselmanagement

PROMPT-TYP
Prüf-/Auditprompt. Dieser Prompt soll bereits im ersten Durchlauf eine fachlich nachvollziehbare Prüfung ermöglichen.

FACHLICHER SOLL- UND PRÜFRAHMEN
Für „Verfahren – Kryptographisches Schlüsselmanagement“ sind die nachfolgend genannten regulatorischen Quellen die verbindliche Ausgangsbasis dieses Prompts:
- REGULATORIK · RTS 2024/1774 Art. 7 STAND DER TECHNIK · TeleTrusT – Stand der Technik in der IT-Sicherheit
- REGULATORIK · RTS 2024/1774 Art. 7 UMSETZUNGSHILFE · BSI-Standard 200-4 – Business Continuity Management STAND DER TECHNIK · TeleTrusT – Stand der Technik in der IT-Sicherheit

Prüfe daraus für diesen konkreten Gegenstand insbesondere folgende Soll-Aspekte: Erzeugung, Verteilung, Speicherung, Rotation, Widerruf, Archivierung, Vernichtung, Recovery.
Behandle diese Soll-Aspekte nicht als bloße Stichworte: Prüfe jeweils, ob sie im Prüfgegenstand eindeutig geregelt, einer Verantwortung zugeordnet, praktisch umgesetzt, durch geeignete Nachweise belegbar und – soweit sachlich erforderlich – regelmäßig überprüft bzw. aktualisiert werden. Eine Dokumentenregel allein ist noch kein Wirksamkeitsnachweis.
Die hier aufgeführte Ausgangsbasis ist bewusst auf den konkreten Anwendungsfall begrenzt. Behaupte keine regulatorische Vollständigkeit über diesen Scope hinaus. Zusätzliche Rechtsquellen sind als Vertiefung gesondert zu kennzeichnen.

ARBEITSWEISE
- Behandle diesen Prompt als vollständig eigenständige Arbeitsgrundlage in einem neuen, leeren Chat ohne Vorwissen über das ISMS-Framework.
- Arbeite ausschließlich mit den vom Benutzer bereitgestellten Dokumenten, Nachweisen und Informationen.
- Erfinde keine Fundstellen, Funktionen, Kontrollen oder Umsetzungsnachweise.
- Fehlt ein Beleg, kennzeichne dies als „nicht nachgewiesen“ und nicht automatisch als „nicht erfüllt“.
- Trenne regulatorische Pflicht, fachliche/methodische Ergänzung und organisationsspezifische Ausgestaltung.
- Nenne für jede Bewertung die konkrete Fundstelle bzw. den konkreten Nachweis.
- Weise Annahmen ausdrücklich als Annahmen aus.
- Prüfe zuerst den im Prompt enthaltenen Sollrahmen und erst danach die bereitgestellten Unterlagen.
- Gib keine regulatorische Vollständigkeits- oder Konformitätsaussage ab, die über den im Prompt enthaltenen oder vom Benutzer zusätzlich bereitgestellten Sollrahmen hinausgeht.

PRÜFKRITERIEN
1. 01 Erzeugung SOLLANFORDERUNG: Für „Erzeugung“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. PRÜFUNG: Beurteile die konkrete Regelung und tatsächliche Anwendung gegen diese Sollanforderung und die oben genannte Rechtsquelle. Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
2. 02 Verteilung SOLLANFORDERUNG: Für „Verteilung“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. PRÜFUNG: Beurteile die konkrete Regelung und tatsächliche Anwendung gegen diese Sollanforderung und die oben genannte Rechtsquelle. Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
3. 03 Speicherung SOLLANFORDERUNG: Für „Speicherung“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. PRÜFUNG: Beurteile die konkrete Regelung und tatsächliche Anwendung gegen diese Sollanforderung und die oben genannte Rechtsquelle. Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
4. 04 Rotation SOLLANFORDERUNG: Für „Rotation“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. PRÜFUNG: Beurteile die konkrete Regelung und tatsächliche Anwendung gegen diese Sollanforderung und die oben genannte Rechtsquelle. Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
5. 05 Widerruf SOLLANFORDERUNG: Für „Widerruf“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. PRÜFUNG: Beurteile die konkrete Regelung und tatsächliche Anwendung gegen diese Sollanforderung und die oben genannte Rechtsquelle. Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
6. 06 Archivierung SOLLANFORDERUNG: Für „Archivierung“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. PRÜFUNG: Beurteile die konkrete Regelung und tatsächliche Anwendung gegen diese Sollanforderung und die oben genannte Rechtsquelle. Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
7. 07 Vernichtung SOLLANFORDERUNG: Für „Vernichtung“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. PRÜFUNG: Beurteile die konkrete Regelung und tatsächliche Anwendung gegen diese Sollanforderung und die oben genannte Rechtsquelle. Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
8. 08 Recovery SOLLANFORDERUNG: Für „Recovery“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. PRÜFUNG: Beurteile die konkrete Regelung und tatsächliche Anwendung gegen diese Sollanforderung und die oben genannte Rechtsquelle. Möglicher Nachweis: Konfiguration/Protokoll plus dokumentierter Restore-/Recovery-Nachweis.

QUELLEN- UND EINORDNUNGSBEZUG
- REGULATORIK · RTS 2024/1774 Art. 7 STAND DER TECHNIK · TeleTrusT – Stand der Technik in der IT-Sicherheit
- REGULATORIK · RTS 2024/1774 Art. 7 UMSETZUNGSHILFE · BSI-Standard 200-4 – Business Continuity Management STAND DER TECHNIK · TeleTrusT – Stand der Technik in der IT-Sicherheit

BEWERTUNGSLOGIK
- ERFÜLLT: durch die geprüfte Quelle eindeutig nachgewiesen.
- TEILWEISE ERFÜLLT: grundsätzlich vorhanden, aber nicht vollständig oder nicht durchgängig nachgewiesen.
- NICHT NACHGEWIESEN: aus den geprüften Informationen nicht feststellbar.
- NICHT ERFÜLLT: belastbar festgestellt, dass das Kriterium nicht erfüllt wird.
- NICHT ANWENDBAR: nur verwenden, wenn die Nichtanwendbarkeit begründet werden kann.

AUSGABEFORMAT
Erstelle eine Tabelle mit den Spalten:
Nr. | Prüfkriterium | Einordnung/Quelle | Bewertung | Fundstelle/Nachweis | Feststellung | Empfehlung/offene Lücke

Fasse danach zusammen:
1. wesentliche erfüllte Punkte,
2. teilweise erfüllte bzw. nicht nachgewiesene Punkte,
3. belastbar festgestellte Lücken,
4. priorisierte nächste Schritte.

ERWEITERBARKEIT
Dieser Prompt enthält die für diese Aufgabe vorgesehene Ausgangsbasis eigenständig und ohne erforderlichen Zugriff auf interne Framework-Inhalte. Für einen Deep Dive darfst du ihn um weitere Rechtsquellen, RTS/ITS, Aufsichtshinweise, interne Vorgaben, organisationsspezifische Anforderungen oder zusätzliche Prüffragen ergänzen. Zusätzliche Inhalte müssen von der hier vorgegebenen Ausgangsbasis unterscheidbar bleiben.

KOMBINIERBARER PRÜFBAUSTEIN

Für zusammengesetzte Prüfungen

Dieser Block kann mit Prüfbausteinen anderer Themen in einem Editor zusammengeführt werden.

PRÜFBAUSTEIN: Verfahren – Kryptographisches Schlüsselmanagement REGULATORISCHE AUSGANGSBASIS: - REGULATORIK · RTS 2024/1774 Art. 7 STAND DER TECHNIK · TeleTrusT – Stand der Technik in der IT-Sicherheit - REGULATORIK · RTS 2024/1774 Art. 7 UMSETZUNGSHILFE · BSI-Standard 200-4 – Business Continuity Management STAND DER TECHNIK · TeleTrusT – Stand der Technik in der IT-Sicherheit ZU PRÜFEN: - 01 Erzeugung: Für „Erzeugung“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. - 02 Verteilung: Für „Verteilung“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. - 03 Speicherung: Für „Speicherung“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. - 04 Rotation: Für „Rotation“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. - 05 Widerruf: Für „Widerruf“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. - 06 Archivierung: Für „Archivierung“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. - 07 Vernichtung: Für „Vernichtung“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. - 08 Recovery: Für „Recovery“ müssen Zweck und erwartetes Ergebnis, Auslöser bzw. Anwendungsfälle, zuständige Rollen, wesentliche Entscheidungsschritte und die erforderliche Dokumentation so festgelegt sein, dass Durchführung und Ergebnis für eine unabhängige Prüfung nachvollziehbar sind. Bewertung: erfüllt | teilweise erfüllt | nicht nachgewiesen | nicht erfüllt | nicht anwendbar.

← Zurück zu Verfahren – Kryptographisches Schlüsselmanagement