Was ist das Zertifikat?

Eine Cybersicherheitsbewertung ist die unabhängige Prüfung der Sicherheitslage einer Organisation oder eines Systems. Es muss nicht an ein bestimmtes Zertifizierungssystem gebunden sein: Penetrationstests, Schwachstellenbewertung, Architekturüberprüfung, Reifegradbewertung (z. B. NIST CSF, CIS Controls) oder eine Red-Team-Übung fallen alle unter diese Überschrift. Das Ergebnis ist ein Ergebnis- und Empfehlungsbericht, kein Zertifikat.

Für wen ist es erforderlich?

Organisationen, die ihre Sicherheitslage messen möchten
Unternehmen, die vor der Zertifizierung eine Lückenanalyse wünschen
Unternehmen mit einer vertraglichen Verpflichtung zu regelmäßigen Penetrationstests
Teams, die ein neues System oder Produkt verifizieren möchten, bevor es in Betrieb geht
Organisationen überdenken ihre Haltung nach einem Vorfall

Ist es verpflichtend?

An sich nicht verpflichtend. Viele Rahmenwerke und Vorschriften schreiben jedoch eine regelmäßige Testpflicht vor: PCI DSS erfordert Penetrationstests und Scans, ISO/IEC 27001 erwartet eine technische Konformitätsprüfung und Vorschriften wie NIS2 erfordern die Bewertung der Wirksamkeit von Risikomanagementmaßnahmen.

Geltungsbereich der Norm

Festlegung des Umfangs und der Regeln des Engagements
Zusammenstellung des Asset-Inventars und der Angriffsfläche
Scannen und Validieren von Schwachstellen
Penetrationstests: externes Netzwerk, internes Netzwerk, Webanwendung, mobile Anwendung, drahtlos
Überprüfung der Konfiguration und Härtung
Überprüfung der Identitäts- und Zugriffsverwaltung
Architektur- und Segmentierungsbewertung
Social Engineering und Awareness-Tests (sofern im Rahmen)
Reifegradbewertung (anhand von Frameworks wie NIST CSF, CIS Controls)
Priorisierung und Berichterstattung von Ergebnissen nach Risikostufe
Überprüfungstests nach der Sanierung

Zertifizierungsablauf

1Festlegung von Umfang und ProgrammEs werden die zu prüfenden Standorte und Prozesse sowie die für das System erforderliche Prüfdauer festgelegt.
2VorabbewertungOptional wird eine Gap-Analyse durchgeführt; Lücken werden bereits vor der Hauptprüfung sichtbar.
3Audit vor OrtDie Überprüfung der Aufzeichnungen, die Standortbeobachtung und die Befragung der Arbeitnehmer werden anhand der Checkliste des Systems durchgeführt.
4Berichterstattung über die FeststellungenBefunde werden gemäß der Klassifizierung des Systems gemeldet. Das Ergebnis dieser Systeme ist ein Prüfbericht, kein Zertifikat.
5Korrekturmaßnahmen und NachverfolgungFür die Feststellungen wird ein Korrekturmaßnahmenplan vorgelegt; Es wird mit einem Folgeaudit im Rahmen des Programms abgeschlossen.

Gültigkeitsdauer

Die Gültigkeitsdauer von Prüfberichten wird durch das System festgelegt und liegt meist zwischen einem und zwei Jahren. Der Bericht wird für den Zeitraum verwendet, den die kaufende Marke akzeptiert.

Erforderliche Unterlagen

Organisations- und Standortdetails
Personalbestand und Schichtmuster
Gesetzliche Genehmigungen und Lizenzen
Relevante Richtlinien und Verfahren
Lohn-, Zeit- und Personalunterlagen

Zertifizierungskosten

Es gibt keinen festen Listenpreis; die Kosten werden anhand der folgenden Variablen berechnet und im Angebot schriftlich mitgeteilt.

Die Anzahl der zu prüfenden Standorte und die Mitarbeiterzahl
Die Auditdauer, die das System vorschreibt
Ob eine Vorabbewertung (Lückenanalyse) erforderlich ist
Ob ein Folgeaudit erforderlich ist

Akkreditierung

Die meisten dieser Systeme erstellen Prüfberichte und keine Dokumente und unterliegen dem eigenen Genehmigungssystem des Systeminhabers (z. B. Sedex, Amfori, RBA). Eine Akkreditierung im klassischen Sinne findet sich nicht in jedem System. Die Kompetenz des Prüfers und die Gültigkeit des Berichts werden durch die Regeln des Systeminhabers bestimmt.

In welchem Geltungsbereich dieses Schema angeboten werden kann, hängt von Ihrem Produkt und Ihrer Tätigkeit ab; dies wird in der Angebotsphase schriftlich bestätigt.

Geltungsbereich und Berechtigungen

Häufige Fragen

Sind ein Penetrationstest und ein Schwachstellenscan dasselbe?

Nein. Ein Schwachstellenscan listet mithilfe automatisierter Tools bekannte Schwachstellen auf. Ein Penetrationstest überprüft mit menschlichem Fachwissen, ob diese Erkenntnisse tatsächlich ausnutzbar sind und deckt verkettete Angriffspfade auf. Die beiden unterscheiden sich in der Tiefe und den Kosten.

Bekomme ich als Ergebnis der Beurteilung ein Zertifikat?

Es wird kein Zertifikat ausgestellt; Es wird ein Ergebnis- und Empfehlungsbericht erstellt. Einige Kunden verlangen ein Bescheinigungsschreiben, in dem bestätigt wird, dass die Prüfung durchgeführt wurde. Hierbei handelt es sich jedoch nicht um eine Konformitätsbescheinigung.

Wie oft sollte ich das machen lassen?

Die Häufigkeit hängt von den Rahmenbedingungen ab, denen Sie unterliegen, und von Ihrer Änderungsrate. Übliche Praxis ist ein jährlicher Test; Allerdings wird ein Zwischentest immer dann erwartet, wenn sich die Architektur oder die Anwendung wesentlich ändert.

Cybersicherheitsbewertung (Cybersecurity Assessment)