IT-Grundschutz.net einfach erklärt

Grundschutz++ Monitoring: die Praktik Monitoring-Evaluation (PERF)

Grundschutz++ erklärt5 Min. Lesezeit

Grundschutz++ Monitoring erklärt: was die Praktik PERF zu Leistungsbewertung, internen Audits und Managementbericht verlangt, mit Tipps für KMU.

Beim Grundschutz++ Monitoring geht es um die Frage, ob Ihre Sicherheitsmaßnahmen wirklich wirken. Die Praktik «Monitoring-Evaluation» (Kürzel PERF) im neuen IT-Grundschutz des BSI regelt, wie Sie die Leistung Ihres Sicherheitsmanagements messen, Audits durchführen und die Geschäftsleitung regelmäßig mit einem Managementbericht informieren.

Warum das wichtig ist

Maßnahmen, die einmal eingeführt wurden, veralten oder werden umgangen. Ohne regelmäßige Prüfung merken Sie das erst nach einem Vorfall. Die Praktik sorgt dafür, dass Abweichungen früh auffallen und die Geschäftsleitung auf Basis von Fakten entscheiden kann, wo nachgebessert wird.

Was verbindlich ist

Etwa die Hälfte der Anforderungen ist Pflicht. Es muss ein Verfahren geben, um die Leistung des Sicherheitsmanagements zu messen. Der Umsetzungsplan und die Aktualität der Anforderungen werden regelmäßig überprüft. Interne Audits werden nach Risiko geplant und von fachlich geeigneten, unabhängigen Prüfern durchgeführt. Die Ergebnisse gehen an alle Beteiligten. Die Geschäftsleitung wird regelmäßig über einen Managementbericht informiert, der priorisierte Vorschläge mit realistischem Aufwand enthält.

Der erste Schritt

Vereinbaren Sie mit Ihrer verantwortlichen Person für Informationssicherheit einen festen Termin, zum Beispiel einmal im Jahr, für einen kurzen schriftlichen Bericht: Was wurde erreicht, welche Probleme gab es, was schlagen Sie vor und was kostet es?

Die Praktik «Monitoring-Evaluation» (PERF) ist die ISMS-Praktik für die Check-Phase des PDCA-Zyklus im Anwenderkatalog Grundschutz++. In der Methodik entspricht sie dem Prozessschritt 4 «Überwachung». Dieser Artikel erklärt das Grundschutz++ Monitoring anhand des Katalogstands vom 22. Oktober 2026.

Ziel der Praktik

Laut Katalog stellt die Praktik durch kontinuierliche Überwachung und systematische Bewertung sicher, dass die Sicherheitsmaßnahmen wirksam sind und die Sicherheitsziele erreicht werden. Dazu gehören regelmäßige Sicherheitsaudits, kontinuierliches Monitoring von Sicherheitsereignissen und periodische Bewertungen des ISMS. Die Ergebnisse fließen in die Praktik Verbesserung ein.

Aufbau: fünf Gruppen, 24 Anforderungen

Gruppe Inhalt
PERF.1 Leistungsbewertung des ISMS Verfahren zur Leistungsmessung, Evaluation des Umsetzungsplans, Aktualität der Anforderungen
PERF.2 Compliance-Management Einhaltung von Verpflichtungen regelmäßig und anlassbezogen prüfen
PERF.3 Audits Auditprogramm, Auditpläne, risikoorientierte Planung, Auditteam, Umfang, Auditberichte
PERF.4 Managementbewertungen Inhalte des Managementberichts und Bericht an die Institutionsleitung
PERF.5 Monitoring Monitoring-Methoden und -tools

Die wichtigsten MUSS-Anforderungen

13 der 24 Anforderungen sind MUSS-Anforderungen.

Leistungsbewertung

PERF.1.1 «Monitoring-Evaluation MUSS Verfahren und Regelungen zur Messung und Bewertung der Leistung des ISMS verankern.»

PERF.1.2 «Monitoring-Evaluation MUSS die regelmäßige Überprüfung und Fortschreibung des Umsetzungsplans in Bezug auf Fortschritt, Fristeinhaltung und inhaltlicher Korrektheit verankern.»

PERF.1.3 «Monitoring-Evaluation MUSS die Aktualität der Anforderungen regelmäßig überprüfen.»

Zur Aktualitätsprüfung nennt die Erläuterung einen Richtwert: Das Anforderungspaket wird «i.A. jährlich, je nach Organisationsgröße, Parameter und Prüftiefe» überprüft. Dabei sind veränderte Geschäftsprozesse, neue IT-Komponenten, organisatorische Änderungen, neue regulatorische Anforderungen und eine veränderte Bedrohungslage zu berücksichtigen.

Audits

PERF.3.1 «Monitoring-Evaluation MUSS ein Verfahren zum Aufbau und zur Pflege eines oder mehrerer Auditprogramme verankern.»

PERF.3.1.2 «Monitoring-Evaluation MUSS die Planung der internen Audits im Auditprogramm risikoorientiert ausführen.»

PERF.3.1.3 «Monitoring-Evaluation MUSS fachlich geeignete und unabhängige Auditoren zur Gewährleistung der Objektivität und Qualität der Audits anweisen.»

PERF.3.2 «Monitoring-Evaluation MUSS ein Verfahren zur Erstellung aussagekräftiger Auditberichte verankern.»

PERF.3.2.2 «Monitoring-Evaluation MUSS alle relevanten Stakeholder über die Auditergebnisse informieren.»

Risikoorientiert heißt laut Erläuterung, dass Auswahl der Prüfobjekte und Prüftiefe sich nach einer Risikobetrachtung richten. Nach der Methodik sollte außerdem sichergestellt werden, dass die Effektivität und Effizienz aller angewandten Praktiken mindestens einmal sinnvoll geprüft werden.

Managementbewertung und Monitoring

PERF.4.1 «Monitoring-Evaluation MUSS Ergebnisse der Überprüfungen der Eignung, Angemessenheit und Wirksamkeit des ISMS der Institution regelmäßig sowie anlassbezogen in einem Managementbericht dokumentieren.»

PERF.4.1.9 «Monitoring-Evaluation MUSS priorisierte Maßnahmenvorschläge mit realistischen Abschätzungen zum erwarteten Umsetzungsaufwand als Ergebnis der Überprüfung in einem Managementbericht dokumentieren.»

PERF.4.2 «Monitoring-Evaluation MUSS die Institutionsleitung über den Stand des Managementsystems regelmäßig anhand des Managementberichtes informieren.»

PERF.5.1 «Monitoring-Evaluation MUSS effektive Monitoring-Methoden und -tools zur regelmäßigen Überwachung der Informationssicherheit verankern.»

Der Managementbericht soll laut Erläuterung kurz, klar und verständlich sein und sich auf das Wesentliche konzentrieren, damit die Leitung Maßnahmen priorisieren und Ressourcen gezielt bereitstellen kann.

SOLLTE-Anforderungen

Elf Anforderungen sind als SOLLTE formuliert. Sie betreffen die Compliance-Überprüfung (PERF.2.1), den Auditplan je Audit (PERF.3.1.1), ein einheitliches Bewertungsschema (PERF.3.2.1) und vor allem die Inhalte des Managementberichts. Nach PERF.4.1.1 bis PERF.4.1.8 soll der Bericht unter anderem enthalten:

  • Status der Folgemaßnahmen früherer Managementbewertungen
  • veränderte Rahmenbedingungen
  • Erfolge und Probleme, zum Beispiel Sicherheitsvorfälle
  • Auditberichte
  • die Eignung der umgesetzten Sicherheitsmaßnahmen
  • Rückmeldungen von Kunden, Geschäftspartnern, Mitarbeitern oder der Öffentlichkeit
  • den Status des Umsetzungsplans
  • abgeleitete Verbesserungen des ISMS

Normale und erhöhte Sicherheitsstufe

Alle 24 Anforderungen gehören zum Sicherheitsniveau normal (Stand der Technik) und gelten ohne Auswahl für den gesamten Informationsverbund. Für größere Institutionen oder hohen Schutzbedarf nennt die Methodik spezialisierte Werkzeuge wie SIEM-Systeme, IDS/IPS, Vulnerability-Management und Configuration-Monitoring. Kleinere Institutionen können nach der Methodik mit einfacheren Lösungen arbeiten.

Typische Nachweise

Der Katalog nennt als Dokumentation zehnmal den Managementbericht und dreimal den Auditbericht. Für elf Anforderungen ist keine typische Dokumentation angegeben, darunter das Auditprogramm selbst. Für ein Audit sinnvoll und in der Methodik beschrieben sind: Auditprogramm, Auditplan mit Zielen, Umfang, Kriterien, Standorten, Methoden und Rollen, Auditbericht mit Feststellungen, Bewertung und Empfehlungen sowie der Nachweis der Kommunikation an die Stakeholder.

Betroffene Zielobjekte

Keine Anforderung der Praktik ist einer Zielobjektkategorie zugeordnet. Das technische Erkennen von Ereignissen auf einzelnen Systemen regelt die technische Praktik Detektion (DET). PERF verlangt hier nur, dass wirksame Monitoring-Methoden verankert sind.

Ausblick: Leistungskennzahlen

Laut Meilensteinplan des BSI (Stand Oktober 2026) soll das Konzept zur Leistungsmessung des ISMS zum 26. Februar 2027 in der Methodik integriert sein. Bis zum 31. März 2027 sollen alle Anforderungen der ISMS-Praktiken Leistungskennzahlen erhalten. Beides betrifft PERF unmittelbar.

Vergleich mit dem Kompendium Edition 2023

Im bisherigen IT-Grundschutz waren die Inhalte auf den Baustein ISMS.1 Sicherheitsmanagement und den Baustein DER.3.1 Audits und Revisionen verteilt. Grundschutz++ fasst Leistungsbewertung, Compliance-Überwachung, Audits, Managementbewertung und Monitoring in einer Praktik zusammen.

Umsetzungstipps für kleine und mittlere Unternehmen

  • Ein Bericht pro Jahr als Basis: Ein Managementbericht mit den Punkten aus PERF.4.1 und priorisierten Vorschlägen samt Aufwand ist der wichtigste Nachweis.
  • Audits mit Augenmaß: Interne Audits können auch kleine Stichproben sein. Wer prüft, sollte die geprüften Maßnahmen nicht selbst umgesetzt haben. Ein externer Prüfer schafft Unabhängigkeit, wo intern niemand dafür in Frage kommt.
  • Wenige Kennzahlen: Messbare Ziele aus der Leitlinie, etwa Patchstand oder Anteil geschulter Mitarbeitender, lassen sich mit einfachen Mitteln regelmäßig erheben.
  • Anforderungspaket jährlich prüfen: Neue Software, neue Dienstleister oder neue Gesetze sind Anlass, die Modellierung anzupassen.

Häufige Fragen

Wie oft muss ein Managementbericht erstellt werden?

PERF.4.1 verlangt die Dokumentation im Managementbericht regelmäßig sowie anlassbezogen, PERF.4.2 die regelmäßige Information der Institutionsleitung. Das Intervall ist im Katalog als Parameter hinterlegt und von Ihnen festzulegen.

Dürfen Mitarbeitende interne Audits durchführen?

Ja, wenn sie fachlich geeignet und unabhängig sind (PERF.3.1.3). Sie dürfen laut Erläuterung nicht direkt in die zu prüfenden Prozesse involviert sein.

Muss ich ein SIEM-System einsetzen?

Nein. PERF.5.1 verlangt effektive Monitoring-Methoden und -tools. Die Methodik nennt SIEM, IDS/IPS und ähnliche Werkzeuge für größere Institutionen oder hohen Schutzbedarf. Kleinere Institutionen können einfachere Lösungen nutzen.

Was gehört in einen Auditbericht?

Laut Erläuterung zu PERF.3.2 unter anderem Auditziel, Umfang, Auditteam, Methoden, bewertete Bereiche und die Feststellungen mit Abweichungen, Verbesserungspotenzialen und Bewertung der Wirksamkeit. Positive Feststellungen sollten ebenfalls enthalten sein.

Quellen