Konzeptionell geeignet, umgesetzt, wirksam: Die drei Fragen, die das BSI an jede Sicherheitsmaßnahme stellt
§ 30 BSIG verlangt von NIS2-Einrichtungen, die Wirksamkeit ihrer Maßnahmen zu bewerten. Das BSI zerlegt das in drei Fragen. Welche davon ein ISMS beantwortet, welche ein Scanner, welche nur ein Test, und was das für die Dokumentation heißt.
Was das Gesetz verlangt
Seit dem NIS-2-Umsetzungsgesetz steht die Anforderung in § 30 BSIG. Absatz 1 verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und ihre Dokumentation. Absatz 2 zählt zehn Mindestbereiche auf, und zwei davon betreffen das Prüfen der eigenen Sicherheit unmittelbar: Nummer 5, das Management und die Offenlegung von Schwachstellen, und Nummer 6, Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen.
Das Wort Penetrationstest kommt im Paragrafen nicht vor. Das Gesetz schreibt das Ziel vor, nicht das Werkzeug. Genau das macht die Umsetzung anspruchsvoller, nicht leichter: Du musst zeigen, dass Du die Wirksamkeit tatsächlich bewertest, mit einem Konzept und mit Verfahren, die im Alltag laufen.
Die drei Fragen des BSI
Das BSI beschreibt die Wirksamkeitsbewertung als fortlaufenden Prozess im Sinne eines Plan-Do-Check-Act-Zyklus und unterscheidet drei Ebenen, die eine Bewertung beantworten muss.
Konzeptionelle Eignung
Ist die Maßnahme theoretisch geeignet, das Risiko zu senken? Das belegt die Risikoanalyse, die Richtlinie, die Zuordnung der Kontrolle zum Risiko. Ein ISMS oder eine GRC-Plattform ist dafür das richtige Werkzeug.
Umsetzungstreue
Wird die Maßnahme im Alltag so angewendet wie geplant? Das belegen Konfigurationsnachweise, interne Audits, Stichproben. Auch hier leisten GRC-Werkzeuge viel, weil sie Belege aus angebundenen Systemen einsammeln. Ein Schwachstellenscanner geht einen Schritt weiter und listet, was bekannt und falsch konfiguriert ist.
Ergebniswirksamkeit
Führt die Maßnahme zum gewünschten, messbaren Ergebnis? Hält sie einem Angriff stand? Diese Frage beantwortet kein Werkzeug, das nichts angreift. Sie beantwortet ein Test, der die Maßnahme unter realen Bedingungen bricht oder daran scheitert und dokumentiert, welche Schutzmaßnahme den Angriff gestoppt hat und welche nicht.
Welches Werkzeug welche Ebene belegt
- Konzeptionelle Eignung: Risikoanalyse, Richtlinie, Kontrollzuordnung. Werkzeug: ISMS, GRC-Plattform.
- Umsetzungstreue: Konfigurationsnachweise, Audit, Stichproben. Werkzeug: GRC-Plattform, interne Revision, Schwachstellenscanner.
- Ergebniswirksamkeit: belegter Angriffspfad oder belegtes Scheitern, Nachtest. Werkzeug: Penetrationstest, als Projekt oder laufend.
Die drei Ebenen ersetzen einander nicht. Ein Unternehmen, das nur testet, hat Ergebnisse ohne Konzept. Ein Unternehmen, das nur dokumentiert, hat ein Konzept ohne Beleg, dass es hält. Das BSI weist ausdrücklich darauf hin, dass die Umsetzung eines Standards wie ISO 27001 nicht automatisch bedeutet, dass § 30 BSIG vollständig erfüllt ist, und dass der CyberRisikoCheck die Wirksamkeitsbewertung nicht abdeckt.
Vom Messpunkt zur Kennzahl
Das BSI nennt als Vorgehen Kennzahlen mit Grenzwerten, die kontinuierlich überwacht werden, regelmäßige interne und externe Audits, Berichte an die Unternehmensleitung, die die Ergebnisse selbst bewertet, und einen kontinuierlichen Verbesserungsprozess. Kennzahlen entstehen nicht aus einem Jahrestest. Ein Test liefert einen Messpunkt; erst die Wiederholung liefert die Zeitreihe.
Drei Zahlen haben sich bewährt: die Zahl belegter Angriffspfade je Testlauf, die Zeit von Befund bis Behebung, der Anteil der Befunde, die nach der Behebung erneut auftreten. Sie tragen den Bericht an die Geschäftsleitung, den § 38 BSIG voraussetzt, und sie sind das, was ein Prüfer unter messbar versteht.
Was das für Dich heißt
Erstens: Wenn Du ein ISMS oder eine GRC-Plattform betreibst, hast Du zwei der drei Ebenen. Die dritte fehlt, solange niemand angreift. Zweitens: Ein einzelner Pentest-Bericht ist ein Baustein, kein Nachweis; der Nachweis ist der Prozess, in dem der Bericht ausgewertet, Maßnahmen abgeleitet, nachgetestet und an die Geschäftsleitung berichtet wird. Drittens: Die Frequenz muss zur Änderungsrate passen. Ein Lauf nach jeder relevanten Änderung plus ein fester Turnus ist die Formel, die in Prüfungen trägt.
CAVRIX führt den Test nicht durch. Wir übernehmen den Prozess drumherum: die Einordnung, ob und in welchem Umfang ein Test sinnvoll ist, die Auswertung des Berichts, die Begleitung der Behebung, den Nachtest und die Dokumentation, aus der die Kennzahlen entstehen.
Häufig gestellte Fragen
Verlangt NIS2 einen Penetrationstest?
Nicht namentlich. § 30 Abs. 2 Nr. 5 verlangt das Management von Schwachstellen, Nr. 6 die Bewertung der Wirksamkeit von Maßnahmen. Ein Test ist der gängige technische Beleg für die Ergebniswirksamkeit, aber das Gesetz schreibt das Ziel vor, nicht das Werkzeug.
Wie oft muss die Wirksamkeit bewertet werden?
Das Gesetz nennt keine Frist. Das BSI beschreibt die Bewertung als fortlaufenden Prozess mit kontinuierlich überwachten Kennzahlen. Der Rhythmus muss zum Risiko und zur Änderungsrate passen; belastbar ist ein Lauf nach jeder relevanten Änderung plus ein fester Turnus.
Reicht ein Schwachstellenscan als Wirksamkeitsnachweis?
Nein. Ein Scan listet, was bekannt und falsch konfiguriert ist, ohne es auszunutzen. Er belegt, dass ein Problem existieren könnte, nicht, ob eine Maßnahme einem Angriff standhält. Für die Ergebniswirksamkeit braucht es einen Test, der den Angriff tatsächlich versucht.
Ersetzt ein GRC-Tool den technischen Test?
Nein, und umgekehrt auch nicht. Das GRC-Tool hält Konzept und Umsetzung fest, der Test liefert den Beleg, dass die Maßnahme hält. Beides gehört in dieselbe Dokumentation.