Cybersicherheits-
Audit App

ISO 27001/27002 für das Sicherheitsmanagement, NIST Cybersecurity Framework (CSF) für den risikobasierten Ansatz, CIS Controls für priorisierte technische Maßnahmen, BSI-Grundschutz für den deutschen Kontext. Die Wahl hängt vom Sektor ab: NIS2 für wesentliche Betreiber, HDS für Gesundheitsdaten, PCI-DSS für Bankdaten.

Schwachstellenscans (Nessus, Qualys), Penetrationstests (extern und intern), Konfigurationsprüfung von Netzwerkgeräten und Servern, Active-Directory-Analyse, Zugriffsrechteprüfung, Social-Engineering-/Phishing-Tests, Analyse der Sicherheitsprotokolle (SIEM) und Überprüfung der Netzwerksegmentierung.

Europäische Richtlinie (EU 2022/2555), in Kraft seit Oktober 2024. Sie erweitert den Geltungsbereich von NIS1 auf 18 Sektoren (Energie, Transport, Gesundheit, Digitales, Wasser, Lebensmittel usw.). Wesentliche und wichtige Einrichtungen müssen verhältnismäßige Cybersicherheitsmaßnahmen umsetzen und bedeutende Vorfälle innerhalb von 24 Stunden melden.

Ein Dokument, das definiert: Rollen und Verantwortlichkeiten (internes oder externes CSIRT), Klassifizierung der Vorfälle (Schweregrade), Erkennungs- und Alarmierungsverfahren, Eindämmungs- und Beseitigungsschritte, Krisenkommunikation (intern, Behörden, betroffene Personen bei personenbezogenen Daten), forensische Beweissicherung und Wiederherstellung des Normalbetriebs.

Mindestens ein vollständiges Audit pro Jahr empfohlen. Penetrationstests mindestens jährlich (von PCI-DSS gefordert, vom BSI empfohlen). Monatliche Schwachstellenscans oder nach jeder wesentlichen Infrastrukturänderung. Vierteljährliche Zugriffsrechteprüfung. Bei einem Sicherheitsvorfall ist ein Post-Incident-Audit unerlässlich.