Schutzbedarfsfeststellung: Kategorien begründen statt Bauchgefühl dokumentieren

Was ist die Schutzbedarfsfeststellung nach BSI-Standard 200-2?

Die Schutzbedarfsfeststellung ordnet jedem Zielobjekt des Informationsverbunds eine der drei Schutzbedarfskategorien normal, hoch oder sehr hoch zu, getrennt nach Vertraulichkeit, Integrität und Verfügbarkeit. Ziel ist, den Aufwand dorthin zu lenken, wo ein Schaden die Organisation tatsächlich trifft, und die Zielobjekte zu erkennen, für die eine Risikoanalyse nach BSI-Standard 200-3 nötig wird.

Der BSI-Standard 200-2 gibt dafür sechs Schadensszenarien vor, an denen die Einstufung begründet wird. Bewertet wird zuerst auf der Ebene der Geschäftsprozesse und Anwendungen, danach wird der Schutzbedarf auf IT-Systeme, Räume und Kommunikationsverbindungen übertragen.

• Verstöße gegen Gesetze, Vorschriften oder Verträge
• Beeinträchtigung des informationellen Selbstbestimmungsrechts
• Beeinträchtigung der persönlichen Unversehrtheit
• Beeinträchtigung der Aufgabenerfüllung
• Negative Innen- oder Außenwirkung
• Finanzielle Auswirkungen

Bewerten Sie zuerst Prozesse und Informationen

Die Schutzbedarfsfeststellung betrachtet Vertraulichkeit, Integrität und Verfügbarkeit anhand möglicher Schäden. Verständliche Szenarien und organisationsspezifische Schwellen machen die Einstufung nachvollziehbar.

Das Maximumprinzip allein reicht nicht immer

Der Schutzbedarf unterstützender Anwendungen und Systeme wird aus den abhängigen Objekten abgeleitet. Verteilungseffekte können den Bedarf reduzieren, Kumulationseffekte ihn erhöhen. Jede Abweichung braucht eine dokumentierte Begründung.

• Schadensszenarien und Schwellen vorab festlegen
• Fachverantwortliche in die Bewertung einbeziehen
• Vererbungswege sichtbar dokumentieren
• Kumulation und Verteilung ausdrücklich prüfen
• Entscheidungen im Vier-Augen-Prinzip freigeben

Fragen helfen mehr als abstrakte Kategorien

Der kostenlose Schutzbedarfs-Starter übersetzt die Schutzziele in konkrete Auswirkungsfragen. Damit erhalten Fachbereiche einen nachvollziehbaren Gesprächsrahmen statt einer leeren Auswahlbox.