Sicherheitsdokumentation mit vertretbarem Aufwand

Grundsatz: angemessen statt vollständig

Der BSI-Standard 200-2 widmet der Dokumentation ein eigenes Kapitel und betont gleich zu Beginn, dass der Aufwand in einem angemessenen Rahmen bleiben soll. Die Dokumentation soll so aussagekräftig sein, dass später nachvollziehbar ist, was entschieden und umgesetzt wurde. Insbesondere bei der Basis-Absicherung soll der Dokumentationsprozess möglichst einfach gehalten werden. Wenn der IT-Grundschutz verlangt, dass etwas dokumentiert wird, ist es meist nicht nötig, ein eigenes Dokument zu erstellen. Es reicht, die Informationen an geeigneter Stelle zu notieren, etwa in einem Wiki, in vorhandenen Texten oder Tabellen.

Anders ist es, wenn eine Zertifizierung angestrebt wird. Dann sind bestimmte Dokumente zwingend, und die Empfehlungen aus 200-2 werden verbindlich.

Der Baustein ISMS.1 verlangt in A13 als Standard-Anforderung, den Ablauf des Sicherheitsprozesses und wichtige Entscheidungen und Ergebnisse zu dokumentieren, eine geregelte Vorgehensweise für Erstellung und Archivierung festzulegen, die aktuelle Version kurzfristig zugänglich zu halten und Vorgängerversionen zentral zu archivieren.

Sicherheitsdokumentation nach Zielgruppen

200-2 unterscheidet Dokumentationsarten nach Zweck und Zielgruppe:

• Dokumente für das Sicherheitsmanagement: Sicherheitskonzept mit Berichten zur Risikoanalyse, Schulungs- und Sensibilisierungskonzept, Audit- und Revisionsberichte.
• Technische Dokumentation und Arbeitsabläufe: Installations- und Konfigurationsanleitungen, Anleitungen zum Wiederanlauf, Test- und Freigabeverfahren, Anweisungen für Störungen und Sicherheitsvorfälle.
• Anleitungen für Mitarbeitende: Leitlinie und Richtlinien, etwa zur Internetnutzung oder zum Verhalten bei Vorfällen.
• Aufzeichnung von Managemententscheidungen: grundlegende Entscheidungen zur Strategie und zum Sicherheitsprozess.
• Gesetze und Regelungen: welche Vorgaben besondere Anforderungen stellen und was daraus folgt.
• Referenzdokumente für eine Zertifizierung.

Wie detailliert technische Dokumentation sein muss

Ein häufiger Streitpunkt. 200-2 bietet einen pragmatischen Maßstab: Andere Personen mit vergleichbarer Expertise müssen die Dokumentation nachvollziehen können, und der Administrator soll zwar auf sein Wissen, aber nicht auf sein Gedächtnis angewiesen sein, um Systeme wiederherzustellen. Bei Übungen und Vorfällen soll die Qualität der Dokumentation bewertet und verbessert werden.

Für Strategiedokumente wie die Leitlinie gilt dagegen: kurz und prägnant. Richtlinien für Mitarbeitende müssen besonders klar sein. Oft reichen Checklisten.

Kennzeichnung

Damit Dokumente im Bedarfsfall schnell gefunden und eingeordnet werden können, nennt 200-2 als Mindestangaben:

• eindeutige Bezeichnung,
• Ersteller oder Dokumenteninhaber und dessen Funktion,
• Versionsnummer,
• letzte und nächste geplante Überarbeitung,
• Freigabe mit Datum und durch wen,
• Klassifizierung,
• berechtigte Rollen beziehungsweise Verteilerkreis.

Optional kommen Quellen, Aufbewahrungsdauer und eine Änderungsübersicht hinzu. In einem Wiki lassen sich viele dieser Angaben über Seiteneigenschaften und Versionshistorie abbilden.

Aktualität

Nach 200-2 sollen alle Dokumente zum Sicherheitsmanagement regelmäßig aktualisiert werden. Für den überwiegenden Teil hat sich eine jährliche Überprüfung bewährt. Änderungen sollen erfasst, bewertet, freigegeben und nachvollzogen werden. Die Auslöser für Aktualisierungen sollen in bestehende Prozesse eingebaut werden, etwa in Personalverwaltung oder Inventarisierung. Die Verantwortung für ein einzelnes Dokument trägt der jeweilige Dokumenteninhaber, der ISB steuert.

Schutz der Dokumentation

Sicherheitsdokumentation ist selbst schutzbedürftig. Netzpläne, Konfigurationen, Schwachstellenlisten und Notfallzugänge sind für Angreifer wertvoll. Deshalb:

• Zugriff auf die Personen beschränken, die ihn brauchen,
• vertrauliche Teile kennzeichnen und getrennt ablegen,
• elektronische Dokumentation in die Datensicherung einbeziehen,
• Notfallunterlagen so ablegen, dass sie auch bei Ausfall der IT erreichbar sind, etwa ausgedruckt in einem verschlossenen Umschlag oder auf einem getrennten, geschützten Speicher.

Dokumentationspflicht nach NIS-2

Für besonders wichtige und wichtige Einrichtungen schreibt § 30 Absatz 1 BSIG vor, dass die Einhaltung der Risikomanagementpflichten zu dokumentieren ist. Wie diese Dokumentation aussehen muss, ist im Gesetz nicht im Detail festgelegt. Eine strukturierte Ablage entlang der zehn Maßnahmenbereiche aus § 30 Absatz 2 erleichtert den Nachweis.

Ein schlankes Dokumentationsset für kleine Betriebe

1. Leitlinie zur Informationssicherheit, ein bis vier Seiten,
2. Rollen und Zuständigkeiten mit Vertretungen, eine Seite,
3. Systemübersicht: Geräte, Anwendungen, Cloud-Dienste, Netzplan, Dienstleister mit Kontakten,
4. Sicherheitskonzept in schlanker Form: Bewertung, Ist-Stand, Maßnahmenplan, akzeptierte Risiken,
5. IT-Sicherheitsrichtlinie für Mitarbeitende mit Bestätigungen,
6. Berechtigungsübersicht,
7. Datensicherungskonzept mit Protokollen der Wiederherstellungstests,
8. Notfallplan mit Kontaktliste und Wiederanlaufschritten,
9. Protokolle: Schulungen, Prüfungen, Sicherheitsvorfälle, Management-Berichte und Entscheidungen.

Werkzeuge

200-2 hält fest, dass Dokumente zum Sicherheitsmanagement nicht auf Papier vorliegen müssen und auch lokale oder internetbasierte Werkzeuge genutzt werden können. Für kleine Betriebe reichen häufig ein strukturierter Ordner mit Vorlagen, eine Tabellenkalkulation für Systemübersicht, Berechtigungen und Maßnahmenplan sowie ein Wiki für Anleitungen. Spezielle ISMS-Werkzeuge lohnen sich eher bei vielen Systemen, mehreren Standorten oder einer angestrebten Zertifizierung. Entscheidend ist, dass alle Beteiligten wissen, wo die aktuelle Fassung liegt.

Häufige Fehler

• Vorlagen werden übernommen, ohne sie anzupassen.
• Dokumente liegen verteilt in E-Mails und persönlichen Ordnern.
• Niemand ist für die Aktualisierung zuständig.
• Die Dokumentation beschreibt den Soll-Zustand, nicht die Wirklichkeit.
• Notfallunterlagen liegen nur auf dem System, das im Notfall ausfällt.