Was ist eine IS-Revision?
Eine IS-Revision (Informationssicherheitsrevision) ist ein essenzieller Bestandteil eines Informationssicherheitsmanagementsystems (ISMS). Sie dient der Überprüfung der bestehenden Sicherheitsmaßnahmen, um den aktuellen Stand der Informationssicherheit zu bewerten und Verbesserungen abzuleiten.
Eine IS-Revision kann planmäßig oder anlassbezogen durchgeführt werden, beispielsweise nach einem Sicherheitsvorfall. Unternehmen sollten regelmäßige Revisionen einplanen – idealerweise im Abstand von weniger als drei Jahren.
Arten der IS-Revision
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterscheidet verschiedene Arten von IS-Revisionen:
1. Kurzrevision
Eine Kurzrevision gibt mit minimalem Aufwand einen schnellen Überblick über den Sicherheitsstatus eines Unternehmens. Sie konzentriert sich auf spezifische IT-Grundschutz-Themen, die potenzielle Schwachstellen aufweisen. Diese Art der Revision eignet sich zur Vorbereitung auf umfassendere Prüfungen.
2. Querschnittsrevision
Bei der Querschnittsrevision werden stichprobenartig alle Schutzmaßnahmen des Unternehmens überprüft. Ziel ist es, ein ganzheitliches Bild der Informationssicherheit zu erhalten.
3. Partialrevision
Die Partialrevision ist eine tiefgehende Überprüfung eines bestimmten Unternehmensbereichs. Sie wird häufig als Reaktion auf einen Sicherheitsvorfall oder andere spezielle Anlässe durchgeführt.
Wer führt eine IS-Revision durch?
Nur BSI-zertifizierte Revisoren dürfen eine IS-Revision durchführen. Ein Revisionsteam besteht in der Regel aus:
- Revisionsleiter: Verantwortlich für Planung, Durchführung und Nachbereitung
- Revisoren: Führen die Prüfung durch
- Fachexperten: Werden bei Bedarf hinzugezogen
Ein IS-Revisionsteam arbeitet üblicherweise 12 bis 17 Tage an einer vollständigen Revision, während Fachexperten oft nur ein bis zwei Tage beteiligt sind.
Ablauf einer IS-Revision
1. Planungsphase
- Festlegung der Art der Revision
- Erstellung eines Revisionsplans (z. B. ein 3-Jahres-Plan)
- Definition der Prüfungsthemen
2. Durchführungsphase
- Zusammenstellung des Revisorenteams
- Dokumentenprüfung und Vor-Ort-Prüfung
- Interviews mit Mitarbeitern
- Überprüfung der Sicherheitsmaßnahmen
Achtung: Falls dem Revisor nicht genügend Einsicht gewährt wird, kann die Prüfung abgebrochen werden!
3. Abschlussphase
- Präsentation der Ergebnisse an die Geschäftsführung
- Erstellung des Prüfberichts
Wichtige Tipps für eine erfolgreiche IS-Revision
- Bereitstellung der benötigten Ressourcen: Das Revisionsteam muss ungehinderten Zugang zu allen relevanten Dokumenten, Systemen und Ansprechpartnern haben.
- Nutzung von BSI-Hilfsmitteln: Das BSI stellt hilfreiche Vorlagen bereit, z. B. Antragsmuster, Revisionshandbuch und Prüfthemen-Katalog.
- Vorbereitung und internes Probelauf-Audit: Ein internes Probelauf-Audit hilft, Schwachstellen frühzeitig zu identifizieren. Unterstützung durch externe Auditbegleiter (Audit Defense) kann die Erfolgschancen erhöhen.
