Im ISMS-Assistenten behandeln Sie jedes priorisierte Risiko, indem Sie unter Risikobehandlung eine der vier Optionen wählen, auf der Seite Risikokontrollen die passenden Annex-A-Kontrollen aktivieren und den jeweiligen Szenarien zuordnen. Aus diesen Entscheidungen erzeugt Cenedril am Ende des Kapitels automatisch die Anwendbarkeitserklärung (SoA), die für jede der 93 Kontrollen festhält, ob sie anwendbar oder ausgeschlossen ist. Die SoA ist eines der verpflichtenden Audit-Dokumente und liegt anschließend als Aufzeichnung in der Dokumentation bereit.
Die Behandlungsoptionen durchgehen
Risikobehandlung öffnen
Öffnen Sie im ISMS-Assistenten das Kapitel Risikobehandlung. Die Einstiegsseite zeigt die vier Behandlungsoptionen: Vermeidung, Beibehaltung, Modifikation (Kontrollen) und Teilung. Der Assistent führt Sie über die folgenden Seiten nacheinander durch alle vier.
Vermeidung und Beibehaltung festlegen
Auf der Seite Risikovermeidung markieren Sie die Szenarien, deren verursachende Aktivität aufgegeben wird. Auf Risikobeibehaltung halten Sie fest, welche Risiken bereits auf akzeptablem Niveau liegen und bewusst getragen werden. Diese Szenarien sind danach von der Kontrollenseite ausgenommen.
Kontrollen aktivieren und zuordnen
Risikokontrollen öffnen
Wechseln Sie auf die Seite Risikokontrollen. Sie zeigt die 93 Kontrollen aus Anhang A, gruppiert nach den vier Themen Organisatorisch, Personell, Physisch und Technologisch. Vier Statistikkarten oben fassen den Stand zusammen: aktivierte Kontrollen, davon empfohlene sowie das am stärksten und das am schwächsten abgedeckte Szenario.
Empfohlene Kontrollen zuerst bearbeiten
Aktivieren Sie den Filter Nur empfohlene anzeigen, um zunächst die Kontrollen zu sehen, die Cenedril aus Ihren Szenarien ableitet. Empfohlene Kontrollen tragen einen orangefarbenen Hinweis Empfohlen. Über das Suchfeld und die Themen- sowie CIA-Filter (C, I, A) grenzen Sie die Liste weiter ein.
Eine Kontrolle aufklappen und aktivieren
Klicken Sie auf eine Kontrolle, um sie aufzuklappen. Sie sehen die Kurzzusammenfassung, die behandelten Gefährdungen und die Durchführungskriterien. Schalten Sie den Schalter rechts um, um die Kontrolle zu aktivieren. Beim Aktivieren ordnet Cenedril die empfohlenen Szenarien automatisch vor.
Durchführungskriterien wählen und Risiken zuordnen
Kreuzen Sie unter den Beschreibungsblöcken die Durchführungskriterien an, die Sie zusagen. Die Tiefe richtet sich nach dem Risikoniveau der abgedeckten Szenarien. Markieren Sie anschließend unter Risiken zuordnen jedes Szenario, das die Kontrolle abdeckt. Achten Sie darauf, dass jede aktivierte Kontrolle mindestens ein zugeordnetes Risiko trägt.
Ausschlüsse begründen und speichern
Für Kontrollen, die Sie nicht aktivieren, wählen Sie im Feld Ausschlussgrund eine Kategorie (etwa Nicht anwendbar, Ressourcenbeschränkungen oder Kompensierende Kontrolle vorhanden) und ergänzen bei Bedarf eine Begründung. Sichern Sie Ihre Arbeit über Als Entwurf speichern oder schließen Sie die Seite mit Speichern & Weiter ab.
Die Anwendbarkeitserklärung prüfen
Anwendbarkeitserklärung öffnen
Am Ende des Kapitels öffnet sich die Seite Anwendbarkeitserklärung (SoA). Sie ist nur lesbar und wird automatisch aus Ihren Kontrollentscheidungen erzeugt. Zwei Zähler oben zeigen, wie viele Kontrollen Anwendbar und wie viele Nicht anwendbar sind.
Tabelle und Ausschlüsse kontrollieren
Die Tabelle zeigt je Kontrolle die Spalten Annex A, Name, Status, Zugeordnete Risiken, Ausgeschl. Kriterien und Ausschlussgrund. Über die Filter Alle, Anwendbar und Nicht anwendbar prüfen Sie gezielt, ob jede anwendbare Kontrolle ein zugeordnetes Risiko hat und jede ausgeschlossene einen Grund trägt. Ein Klick auf das Kontroll-Symbol öffnet die Detailansicht.
Die SoA selbst liegt als Aufzeichnung unter Dokumentation und kann dort versioniert und formal genehmigt werden. Ohne eine genehmigte SoA gilt die Risikobehandlung aus Audit-Sicht als unvollständig.
Ergebnis: Jedes priorisierte Risiko trägt eine Behandlungsentscheidung, die anwendbaren Kontrollen sind aktiviert und ihren Szenarien zugeordnet, und die Anwendbarkeitserklärung führt alle 93 Kontrollen vollständig mit Status und Begründung. Das nächste Kapitel überführt diese Entscheidungen in Sicherheitsziele und einen Umsetzungsplan.