PERF.3.1.2 Planen von internen Audits

Monitoring-Evaluation MUSS die Planung der internen Audits im Auditprogramm risikoorientiert ausführen.

Erläuterung

Ziel ist es, die Einhaltung von Sicherheitsanforderungen, die Wirksamkeit von Maßnahmen sowie mögliche Schwachstellen zu prüfen. Dabei wird die Effektivität und Effizienz aller angewandten Anforderungen sinnvoll geprüft. Risikoorientiert bedeutet hierbei, dass die Auswahl von Prüfobjekten sowie die Prüftiefe sich nach einer Risikobetrachtung richtet, also besonders risikorelevante Fragen vertieft betrachtet werden. Beispielsweise ist es sinnvoll bei automatisierten Richtlinien (Policies) nicht nur deren tatsächliche Aktivierung, sondern vor allem die erlaubten Ausnahmeregelungen auf Begründung, Befristung und Umfang zu prüfen, damit vermeintliche effektive Maßnahmen nicht durch zu weite Ausnahmeregelungen ausgehölt werden. Die Planung muss dokumentiert werden.

1. Übersicht

Bezeichnung	Standard

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen
Quelle	Anforderung

3. Zugehörige Regulierungen

Regulierungen
Quelle	Regulierung

BSI_DE -
EN: Publications of the Bundesamt für Sicherheit in der Informationstechnik (BSI, Federal Office for Information Security), https://www.bsi.bund.de/. This is not an official BSI website. Only the versions published by the BSI are authoritative.
- Cloud Computing Compliance Criteria Catalogue C5:2026, German version: © BSI, licensed under CC BY-ND 4.0; content unchanged, converted into the GRCA format.
- Anwenderkatalog Grundschutz++: © BSI, from Stand-der-Technik-Bibliothek, licensed under CC BY-SA 4.0. Changes: converted into the GRCA format, the links of the catalog shown as links between the requirements. These adaptations are shared under CC BY-SA 4.0 as well.
DE: Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik (BSI), https://www.bsi.bund.de/. Kein amtlicher Auftritt des BSI. Maßgeblich sind allein die vom BSI veröffentlichten Fassungen.
- Kriterienkatalog Cloud Computing C5:2026: © BSI, lizenziert unter CC BY-ND 4.0; Inhalt unverändert, in das GRCA-Format umgewandelt.
- Anwenderkatalog Grundschutz++: © BSI, aus der Stand-der-Technik-Bibliothek, lizenziert unter CC BY-SA 4.0. Änderungen: in das GRCA-Format umgewandelt, die Verweise des Katalogs als Verknüpfungen zwischen den Anforderungen. Diese Bearbeitungen stehen ebenfalls unter CC BY-SA 4.0.