1 Zweck des Moduls "Unternehmenswert-Klassen"

Das Modul Unternehmenswert-Klassen bildet die Identifikation, Klassifikation und Schutzbedarfsfeststellung von Informationswerten (Assets) ab – eine zentrale Anforderung des Informationssicherheitsmanagements nach ISO 27001.

Das Modul ist bewusst an der Schnittstelle zwischen Informationssicherheit und Akkreditierung positioniert: Die DAkkS hat auf der Akkreditierungskonferenz 2023 klargestellt, dass Informationssicherheit im Rahmen von Kapitel 7.11 der ISO/IEC 17025 nicht direkt messbar ist, sondern nur über die Kompetenz zur Einhaltung von Informationssicherheitsgrundlagen bewertet werden kann. Die DAkkS empfiehlt daher:

1. Die konformitätsbewertungsbezogenen Informationssysteme zu identifizieren und ihren Schutzbedarf festzustellen
2. Eine Risikoanalyse durchzuführen – z. B. auf Basis des BSI-Grundschutz-Gefährdungskatalogs
3. Geeignete Maßnahmen nach Annex A der ISO 27001 zu wählen, zu dokumentieren, umzusetzen und nachzuweisen

Auch die ISO 15189 empfiehlt an dieser Stelle den Annex A der ISO 27001 als Referenz. AUDITTRAILS unterstützt diesen vollständigen Workflow: Unternehmenswerte werden identifiziert und klassifiziert, der Schutzbedarf wird festgestellt, Risiken werden verknüpft, Maßnahmen werden geplant und nachgewiesen.

Praxishinweis – Vollständigkeit der Asset-Betrachtung: In der Praxis wird der Scope der konformitätsbewertungsbezogenen Informationssysteme häufig zu eng gefasst. "Das LIMS ist sicher" ist keine ausreichende Aussage – zur vollständigen Betrachtung gehören alle Komponenten, die den Betrieb des LIMS ermöglichen oder gefährden können. Dazu zählen unter anderem: der Server auf dem das LIMS läuft, die Rechner die auf das LIMS zugreifen, die Rechner der Einrichtungen die Messdaten speichern, Netzwerkkomponenten (Switches, Router), die Serverräume selbst, Versorgungseinrichtungen (Stromversorgung, Klimaanlagen, Sprinkleranlagen, Raumüberwachung), Zugangssysteme sowie Schnittstellen zu externen Systemen. Ein anschauliches Beispiel: Fällt die Klimaanlage im Serverraum aus und geht der Server in den thermischen Notzustand (Thermal Shutdown), ist das LIMS nicht mehr verfügbar – unabhängig davon wie sicher die Anwendung selbst konfiguriert ist. Nur wenn für solche Szenarien Redundanzen oder Wiederanlaufpläne existieren, ist das Schutzziel VERFÜGBARKEIT wirklich erfüllt.

2 Übersicht der Unternehmenswert-Klassen

Zur Listenansicht gelangen Sie über Ressourcen → Unternehmenswert-Klassen.

Die Liste zeigt alle Unternehmenswerte mit den Spalten: Bezeichnung, Unternehmenswert-Kategorie, Unternehmenswert-Typ, Schutzbedarf für die Schutzziele VERTRAULICHKEIT, INTEGRITÄT, VERFÜGBARKEIT und AUTHENTIZITÄT.

3 Anlegen und Bearbeiten einer Unternehmenswert-Klasse

Über das Plus-Symbol legen Sie neue Unternehmenswerte an. Durch Klick auf eine Zeile öffnen Sie den Datensatz. Nach dem Speichern bleibt der Datensatz im Bearbeitungsmodus – er wechselt erst beim Verlassen und erneutem Aufrufen in den Read-only-Modus.

Hinweis: Pflichtfelder sind rot markiert. Solange Pflichtfelder nicht ausgefüllt sind, ist das Speichern nicht möglich.

3.1 Reiter "Basisdaten"

Allgemeine Angaben:

• Bezeichnung – Name des Unternehmenswerts (z. B. LIMS | Laborinformations- und Managementsysteme)
• Unternehmenswert-Kategorie– Dropdown zur Einordnung:
  • Primär-Unternehmenswert – eine Asset-Klasse, die selbst Informationen hält oder verarbeitet (z. B. Server, LIMS, Datenbanken)
  • Sekundär-Unternehmenswert – eine Asset-Klasse, die die Schutzziele der Primär-Unternehmenswerte sicherstellt, selbst aber keine Informationen hält (z. B. Klimaanlage, Brandmeldeanlage, Zugangssystem, Stromversorgung eines Serverraums)
• Unternehmenswert-Typ – Dropdown zur weiteren Klassifikation (z. B. IT-Systeme, Anwendungen, Informationen, Prozesse)
• Beschreibung – optionaler Rich-Text

Schutzbedarfsfeststellung:

Der Schutzbedarf wird für alle vier Schutzziele einzeln festgelegt und jeweils begründet:

• Schutzbedarf VERTRAULICHKEIT – Dropdown (z. B. sehr hoch, hoch, mittel, niedrig) + Begründungsfeld
• Schutzbedarf INTEGRITÄT – Dropdown + Begründungsfeld
• Schutzbedarf VERFÜGBARKEIT – Dropdown + Begründungsfeld
• Schutzbedarf AUTHENTIZITÄT – Dropdown + Begründungsfeld

Hinweis: Der hier festgelegte Schutzbedarf gilt für die Unternehmenswert-Klasse als Ganzes. Der Schutzbedarf konkreter Assets kann davon abweichen – z. B. durch Abhängigkeiten, Verteilungs- oder Kumulationseffekte.

Business Continuity Management (optional):

Über die Checkbox "Informationen zum Business Continuity Management hinterlegen" wird ein BCM-Abschnitt eingeblendet:

• Beschreibung und Konsequenz eines Ausfalls – Freitext zur Beschreibung der Auswirkungen bei Ausfall dieses Unternehmenswerts
• Angaben zum Wiederanlauf und zur tolerierten Wiederanlaufzeit – Freitext für RTO/RPO-Angaben und Wiederanlaufplanung

3.2 Reiter "Risiken & Chancen"

Zeigt alle Risiken und Chancen aus dem AUDITTRAILS-Risikomanagement, die mit diesem Unternehmenswert verknüpft sind. Die Spalten zeigen: Typ, Bezeichnung, Offene Maßnahmen, Geschlossene Maßnahmen, Letzte Bewertung.

Diese Verknüpfung schließt den normativen Kreislauf: Der identifizierte Unternehmenswert mit festgestelltem Schutzbedarf wird mit konkreten Risiken verbunden, die wiederum mit Maßnahmen nach Annex A der ISO 27001 belegt werden. Damit ist der vollständige Nachweis für die Begutachtungspraxis nach ISO/IEC 17025 Kap. 7.11, ISO 15189 und ISO 27001 in AUDITTRAILS abgebildet.

4 Verwandte Module

• Risiken & Chancen – Risikoanalyse und Maßnahmenplanung verknüpft mit Unternehmenswerten
• Interessierte Parteien – externe und interne Parteien mit Bezug zur Informationssicherheit
• Richtlinien – normative Anforderungen aus ISO 27001 Annex A als Strukturgrundlage
• Integriertes Managementsystem – übergeordnete Dokumentstruktur für Informationssicherheitsmaßnahmen