Grundschutz++ Verbesserung: Nicht-Konformitäten und Korrekturen (VRB)
Grundschutz++ Verbesserung: was die Praktik VRB zu Nicht-Konformitäten, Ursachenanalyse, Korrekturen und Wirksamkeitsprüfung verlangt, mit Tipps für KMU.
Die Grundschutz++ Verbesserung sorgt dafür, dass Ihre Informationssicherheit nicht auf dem Stand vom Tag ihrer Einführung stehen bleibt. Die Praktik «Verbesserung» (Kürzel VRB) im neuen IT-Grundschutz des BSI regelt, wie Sie aus Fehlern, Prüfergebnissen und neuen Ideen konkrete Korrekturen ableiten und prüfen, ob diese wirken.
Warum das wichtig ist
Jedes Audit, jeder Vorfall und jede Beschwerde zeigt Schwachstellen. Wer nur das Symptom behebt, erlebt dasselbe Problem bald wieder. Die Praktik verlangt deshalb, nach den Ursachen zu suchen und die Wirkung von Korrekturen zu überprüfen. Das spart auf Dauer Zeit und Geld.
Was verbindlich ist
Die meisten Anforderungen sind Pflicht. Ihr Betrieb braucht ein Verfahren zur kontinuierlichen Verbesserung, eine Methode, mit der Abweichungen auf Ursachen und Wiederholungsgefahr untersucht werden, und eine Methode, mit der Verbesserungsideen mit ihren Vor- und Nachteilen bewertet werden. Korrekturen und Verbesserungen werden priorisiert, und ihre Wirksamkeit wird regelmäßig getestet.
Der erste Schritt
Führen Sie eine einfache Liste für Abweichungen und Verbesserungsideen: was ist passiert, warum, was tun wir, wer kümmert sich, bis wann. Tragen Sie die Maßnahmen in Ihren Umsetzungsplan ein und schauen Sie nach einigen Wochen nach, ob das Problem wirklich behoben ist.
Die Praktik «Verbesserung» (VRB) ist die ISMS-Praktik, die den PDCA-Zyklus im Anwenderkatalog Grundschutz++ abschließt. Sie entspricht in der Methodik dem Prozessschritt 5 «kontinuierliche Verbesserung», der Act-Phase. Dieser Artikel erklärt die Grundschutz++ Verbesserung anhand des Katalogstands vom 22. Oktober 2026.
Ziel der Praktik
Laut Katalog gewährleistet die Praktik die kontinuierliche Weiterentwicklung und Optimierung des ISMS. Sie nutzt die Erkenntnisse aus Monitoring und Evaluation, umfasst Korrektur- und Vorbeugungsmaßnahmen und gibt Impulse für Anpassungen in den Praktiken Governance und Compliance, Strukturmodellierung und Umsetzung. Damit leitet sie zugleich einen neuen Zyklus ein.
Aufbau: sieben Gruppen, 10 Anforderungen
| Gruppe | Inhalt |
|---|---|
| VRB.1 Kontinuierliche Verbesserung | Verfahren zur kontinuierlichen Verbesserung |
| VRB.2 Umgang mit Nicht-Konformitäten | Ursachen und Wiederauftreten prüfen, Anpassungsbedarf des ISMS prüfen |
| VRB.3 Verbesserungspotenziale | Potenziale mit Vor- und Nachteilen bewerten |
| VRB.4 Korrektur- und Verbesserungsvorschläge | Korrekturmaßnahmen und Verbesserungsmaßnahmen festlegen |
| VRB.5 Korrektur- und Verbesserungsplan | Maßnahmen priorisieren |
| VRB.6 Wirksamkeitsprüfung | Wirksamkeit testen, erreichte Verbesserung bewerten |
| VRB.7 Compliance-Management | Verfahren zur Behandlung von Compliance-Verstößen |
Die MUSS-Anforderungen
Acht der zehn Anforderungen sind MUSS-Anforderungen.
VRB.1.1 «Verbesserung MUSS ein Verfahren zur kontinuierlichen Verbesserung des ISMS verankern.»
VRB.2.1 «Verbesserung MUSS eine Methode zur Überprüfung von Nicht-Konformitäten hinsichtlich Ursachen und Wiederauftreten festlegen.»
VRB.2.2 «Verbesserung MUSS die Notwendigkeit zur Anpassung des ISMS hinsichtlich der Nicht-Konformitäten regelmäßig überprüfen.»
VRB.3.1 «Verbesserung MUSS eine Methode zur Überprüfung und Bewertung von Verbesserungspotentialen unter Berücksichtigung der damit verbundenen Vor- und Nachteile festlegen.»
Nach der Erläuterung zu VRB.2.1 sollte die Methode alle Nicht-Konformitäten erfassen, gleich ob sie aus internen Audits, externen Prüfungen, Vorfällen oder dem regulären Betrieb stammen, und auf einer Ursachenanalyse (Root-Cause-Analysis) beruhen. VRB.3.1 ist bewusst vorausschauend: Verbesserungspotenziale sollen auch ohne vorangegangene Probleme erkannt werden.
VRB.4.1 «Verbesserung MUSS angemessene Korrekturmaßnahmen zur Beseitigung der Ursachen von Fehlern festlegen.»
VRB.4.2 «Verbesserung MUSS angemessene Maßnahmen zur Nutzung von Verbesserungspotentialen unter Berücksichtigung der damit verbundenen Vor- und Nachteile festlegen.»
VRB.5.1 «Verbesserung MUSS den Maßnahmen zur Korrektur und Verbesserung Prioritäten zuweisen.»
VRB.6.1 «Verbesserung MUSS die Wirksamkeit der umgesetzten Korrektur- und Verbesserungsmaßnahmen regelmäßig testen.»
Zu VRB.4.1 betont die Erläuterung, dass Korrekturen die Grundursachen adressieren müssen und nicht nur die Symptome. Laut Erläuterung zu VRB.5.1 müssen Verbesserungsmaßnahmen in den Umsetzungsplan einfließen, mit Zuständigen, Fristen, Prioritäten und Status. VRB.6.1 grenzt sich von der Fortschrittsverfolgung ab: Dort wird geprüft, ob eine Maßnahme umgesetzt wurde, hier, ob sie die beabsichtigte Wirkung erzielt.
SOLLTE-Anforderungen
VRB.6.2 «Verbesserung SOLLTE ein Verfahren zur Bewertung der erreichten Verbesserung unter Berücksichtigung der damit verbundenen Vor- und Nachteile verankern.»
VRB.7.1 «Verbesserung SOLLTE ein Verfahren zur Behandlung von Verstößen unter Berücksichtigung der Betroffenenrechte verankern.»
Für die Bewertung nennt der Katalog interne Audits, Kennzahlen vor und nach der Maßnahme oder technische Überprüfungen. Ergebnis soll eine transparente Darstellung des Sicherheitsniveaus mit erkennbaren Trends sein. Bei Compliance-Verstößen erwartet die Methodik ein verhältnismäßiges Vorgehen, das die Rechte der Betroffenen berücksichtigt und den Schwerpunkt auf Lernen statt auf Sanktionen legt.
Normale und erhöhte Sicherheitsstufe
Alle zehn Anforderungen gehören zum Sicherheitsniveau normal (Stand der Technik). Als ISMS-Anforderungen gelten sie ohne Auswahl für den gesamten Informationsverbund. Eine erhöhte Stufe gibt es in dieser Praktik nicht.
Typische Nachweise
Für acht Anforderungen nennt der Katalog keine typische Dokumentation. Ausdrücklich genannt sind der Umsetzungsplan für die Priorisierung (VRB.5.1) und die Compliance-Verpflichtungen für die Behandlung von Verstößen (VRB.7.1). Sinnvoll sind ergänzend:
- ein Register der Nicht-Konformitäten mit Ursache, Maßnahme und Status
- dokumentierte Ursachenanalysen bei wesentlichen Abweichungen
- Nachweise der Wirksamkeitsprüfung, etwa Nachaudit, Testergebnis oder Kennzahl
- Einträge im Managementbericht zu umgesetzten Verbesserungen
Die Methodik verlangt, dass Änderungen im ISMS geplant und strukturiert erfolgen und systematisch dokumentiert werden, damit sie nachvollziehbar und mit früheren Bewertungen vergleichbar sind.
Betroffene Zielobjekte
Keine Anforderung der Praktik ist einer Zielobjektkategorie zugeordnet. Die Praktik wirkt auf das ISMS als Ganzes.
Zusammenspiel mit anderen Praktiken
- Monitoring-Evaluation (PERF) liefert die Eingaben: Auditergebnisse, Managementbewertung, Monitoring.
- Umsetzung (UMS) nimmt die priorisierten Maßnahmen in den Umsetzungsplan auf.
- Governance und Compliance (GC) und Strukturmodellierung (STM) werden angepasst, wenn Nicht-Konformitäten auf systemische Schwächen hinweisen.
Vergleich mit dem Kompendium Edition 2023
Im bisherigen IT-Grundschutz war die kontinuierliche Verbesserung vor allem im Baustein ISMS.1 Sicherheitsmanagement verankert. Grundschutz++ macht daraus eine eigene Praktik mit klar getrennten Schritten: Ursachenanalyse, Vorschlag, Priorisierung und Wirksamkeitsprüfung.
Umsetzungstipps für kleine und mittlere Unternehmen
- Eine Liste, zwei Spalten: Führen Sie Nicht-Konformitäten und Verbesserungsideen in einer Liste, getrennt nach Art. So decken Sie VRB.2 und VRB.3 ab.
- Fünfmal warum: Eine einfache Frage-Technik nach dem Warum genügt oft, um die eigentliche Ursache zu finden.
- Klein und messbar: Legen Sie für jede Korrektur fest, woran Sie den Erfolg erkennen, etwa keine Wiederholung des Fehlers innerhalb eines Quartals.
- Wirksamkeit terminieren: Setzen Sie bei Abschluss einer Maßnahme gleich einen Prüftermin.
- Im Managementbericht berichten: Die Praktik Monitoring-Evaluation sieht vor, abgeleitete Verbesserungen im Managementbericht zu dokumentieren.
Häufige Fragen
Was ist eine Nicht-Konformität?
Laut Methodik eine Abweichung von definierten Anforderungen, Standards oder Erwartungen. Sie kann aus Audits, externen Prüfungen, Vorfällen oder dem regulären Betrieb stammen.
Worin unterscheiden sich Korrektur- und Verbesserungsmaßnahmen?
Korrekturmaßnahmen beseitigen die Ursachen von Fehlern (VRB.4.1). Verbesserungsmaßnahmen nutzen Potenziale, auch ohne dass ein Fehler vorliegt (VRB.4.2).
Reicht es, wenn eine Maßnahme umgesetzt ist?
Nein. VRB.6.1 verlangt, die Wirksamkeit der umgesetzten Korrektur- und Verbesserungsmaßnahmen regelmäßig zu testen. Umgesetzt heißt noch nicht wirksam.
Wo werden Verbesserungsmaßnahmen geplant?
Im Umsetzungsplan. Die Erläuterung zu VRB.5.1 sieht vor, dass Maßnahmen zur Verbesserung dort mit Zuständigen, Fristen, Prioritäten und Status einfließen.