6 Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen

Zweck der Kategorie

6.1 Sicherheitsmaßnahmen beim Erwerb von IKT-Diensten oder IKT-Produkten

Maßnahme	Fortschritt
6.1.1 Sicherheitsrisiken beim Erwerb von IKT managen
6.1.2 Sicherheitsanforderungen für den IKT-Erwerb festlegen
6.1.3 Verfahren für den IKT-Erwerb regelmäßig überprüfen

6.2 Sicherer Entwicklungszyklus

Maßnahme	Fortschritt
6.2.1 Vorschriften für sichere Entwicklung festlegen und anwenden
6.2.2 Sicherheitsanforderungen im Entwicklungszyklus umsetzen
6.2.3 Sicherheitsvorgaben bei ausgelagerter Entwicklung anwenden
6.2.4 Entwicklungsvorschriften regelmäßig überprüfen

6.3 Konfigurationsmanagement

Maßnahme	Fortschritt
6.3.1 Sichere Konfigurationen festlegen, dokumentieren und überwachen
6.3.2 Sichere Konfigurationen durchsetzen
6.3.3 Konfigurationen regelmäßig überprüfen und aktualisieren

6.4 Änderungsmanagement, Reparatur und Wartung

Maßnahme	Fortschritt
6.4.1 Verfahren für das Änderungsmanagement anwenden
6.4.2 Änderungen dokumentieren, testen und bewerten
6.4.3 Notfalländerungen nachträglich dokumentieren
6.4.4 Änderungsmanagementverfahren regelmäßig überprüfen

6.5 Sicherheitsprüfung

Maßnahme	Fortschritt
6.5.1 Konzept und Verfahren für Sicherheitsprüfungen festlegen
6.5.2 Sicherheitsprüfungen risikobasiert planen und durchführen
6.5.3 Sicherheitsprüfungskonzept regelmäßig überprüfen

6.6 Sicherheitspatch-Management

Maßnahme	Fortschritt
6.6.1 Sicherheitspatches kontrolliert und zeitnah anwenden
6.6.2 Verzicht auf Sicherheitspatches dokumentieren und begründen

6.7 Netzsicherheit

Maßnahme	Fortschritt
6.7.1 Netz- und Informationssysteme vor Cyberbedrohungen schützen
6.7.2 Maßnahmen zur Netzwerksicherheit umsetzen
6.7.3 Maßnahmen zur Netzwerksicherheit regelmäßig überprüfen

6.8 Netzsegmentierung

Maßnahme	Fortschritt
6.8.1 Systeme und Netze risikobasiert segmentieren
6.8.2 Sicherheitsanforderungen an Netzsegmente und Zonen umsetzen
6.8.3 Netzsegmentierung regelmäßig überprüfen

6.9 Schutz gegen Schadsoftware und nicht genehmigte Software

Maßnahme	Fortschritt
6.9.1 Systeme vor Schadsoftware und nicht genehmigter Software schützen
6.9.2 Schadsoftware und nicht genehmigte Software erkennen und verhindern

6.10 Behandlung und Offenlegung von Schwachstellen

Maßnahme	Fortschritt
6.10.1 Technische Schwachstellen identifizieren und behandeln
6.10.2 Verfahren für das Schwachstellenmanagement umsetzen
6.10.3 Schwachstellenminderung planen oder Verzicht begründen
6.10.4 Informationskanäle zu Schwachstellen regelmäßig überprüfen

Hinweise