+PERF.3.2 Dokumentation von Auditergebnissen
---+PERF.3.2.1 Einheitliches Bewertungsschema
---+PERF.3.2.2 Kommunikation an Stakeholder

PERF.3.2 Dokumentation von Auditergebnissen

Monitoring-Evaluation MUSS ein Verfahren zur Erstellung aussagekräftiger Auditberichte verankern.

Erläuterung

Ein Auditbericht muss nachvollziehbar, vollständig und strukturiert dokumentieren, wie das Audit durchgeführt wurde und welche Ergebnisse erzielt wurden. Er enthält Angaben zum Auditziel, Auditumfang, Auditteam, Auditmethoden, den bewerteten Bereichen sowie eine übersichtliche Darstellung der Feststellungen inklusive Abweichungen, Verbesserungspotenzialen und der Bewertung der Wirksamkeit der umgesetzten Sicherheitsmaßnahmen. Die Auditberichte sollten neben den identifizierten Schwachstellen auch positive Feststellungen enthalten, um ein ausgewogenes Bild zu vermitteln und Best Practices zu fördern.

1. Přehled

PERF.3.2.1 Einheitliches Bewertungsschema

Monitoring-Evaluation SOLLTE für Feststellungen in Audits ein einheitliches Bewertungsschema festlegen.

Erläuterung

Das Bewertungsschema soll die einheitliche Bewertung, die Wirksamkeit der Auditprozesse und die Vergleichbarkeit von Auditergebnissen sicherstellen.

PERF.3.2.2 Kommunikation an Stakeholder

Monitoring-Evaluation MUSS alle relevanten Stakeholder über die Auditergebnisse informieren.

Erläuterung

Eine angemessene Kommunikation der Auditergebnisse an alle relevanten Stakeholder muss sichergestellt werden, um das Bewusstsein für identifizierte Risiken zu schärfen und die Umsetzung von Verbesserungsmaßnahmen zu fördern. Die Auswertung von Auditergebnissen dient dazu, systematische Abweichungen, Schwachstellen und Verbesserungspotenziale im Informationssicherheitsmanagement zu identifizieren. Diese Maßnahmen werden anschließend in den Umsetzungsplan eingefügt und ihre Umsetzung nachverfolgt.

1.1 Odkazy

PERF.3.1 Aufbau und Pflege eines Auditprogramms

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky
Zdroj	Požadavek

3. Související regulace

Regulace
Zdroj	Regulace

BSI_DE -
EN: Publications of the Bundesamt für Sicherheit in der Informationstechnik (BSI, Federal Office for Information Security), https://www.bsi.bund.de/. This is not an official BSI website. Only the versions published by the BSI are authoritative.
- Cloud Computing Compliance Criteria Catalogue C5:2026, German version: © BSI, licensed under CC BY-ND 4.0; content unchanged, converted into the GRCA format.
- Anwenderkatalog Grundschutz++: © BSI, from Stand-der-Technik-Bibliothek, licensed under CC BY-SA 4.0. Changes: converted into the GRCA format, the links of the catalog shown as links between the requirements. These adaptations are shared under CC BY-SA 4.0 as well.
DE: Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik (BSI), https://www.bsi.bund.de/. Kein amtlicher Auftritt des BSI. Maßgeblich sind allein die vom BSI veröffentlichten Fassungen.
- Kriterienkatalog Cloud Computing C5:2026: © BSI, lizenziert unter CC BY-ND 4.0; Inhalt unverändert, in das GRCA-Format umgewandelt.
- Anwenderkatalog Grundschutz++: © BSI, aus der Stand-der-Technik-Bibliothek, lizenziert unter CC BY-SA 4.0. Änderungen: in das GRCA-Format umgewandelt, die Verweise des Katalogs als Verknüpfungen zwischen den Anforderungen. Diese Bearbeitungen stehen ebenfalls unter CC BY-SA 4.0.