Organisatorische Maßnahmen

Die TR fordert in den organisatorischen Maßnahmen u. a. die Festlegung von Verantwortlichkeiten, Abläufen und Aufgaben im Scanprozess. Aus den Unterpunkten dazu ist in der neuen Version die Empfehlung für ein frühes Scannens entfallen (A.O.1). Unter „frühem Scannen” versteht man, dass der Scanprozess unmittelbar nach Posteingang erfolgt und nicht erst nach Durchlaufen des Dienstwegs als Papiereingang oder nach Abschluss der Bearbeitung. Die Maßnahme war zwar vorher nicht verbindlich vorgegeben, doch die bloße Erwähnung half in Projekten zum Scannen bei der Durchsetzung einer Optimierung des Postlaufs. Gerade in traditionell orientierten Verwaltungsbereichen besteht eine gewisse Tendenz, sich mit bestimmten prozessualen Fragen nicht befassen zu wollen und diesen durch spätes Scannen zu entgehen. Aus der TR-RESISCAN ist für diesen Fall nun eine wichtige Argumentationshilfe entfallen.

Dem Trend zur Etablierung kontinuierlicher Verbesserungsprozesse („Kaizen“) folgt, dass Überprüfungen der Wirksamkeit und Vollständigkeit, der vorgesehenen Maßnahmen regelmäßig durchgeführt werden müssen (A.O.4). Hierdurch wird die bisherige Konstruktion aufgehoben, dass diese Überprüfungen als Soll-Vorschrift ausgeprägt waren, die konkrete Ausgestaltung aber in Form von Muss-Bestimmungen. Zum Ausgleich ergibt sich (vermeintlich) eine Abschwächung hinsichtlich des Überprüfungsintervalls von drei Jahren durch die Nutzung der Formulierung „SOLLTE“ statt „SOLL“.

Personelle Maßnahmen

Bei den personellen Maßnahmen ist die „Sensibilisierung der Mitarbeiterinnen und Mitarbeiter für Informationssicherheit“ als eigenständiger Gliederungspunkt entfallen. Stattdessen sollen im Rahmen der Schulungsmaßnahmen zur Sicherheit im Scanprozess nun zusätzlich auch die sicherheitsbewusste Handhabung von Dokumenten, Daten und IT-Systemen sowie der zu ergreifenden Vorsichtsmaßnahmen geschult werden (ID A.P.3 a). Die Vereinfachung ist aus zweierlei Gründen sehr zu begrüßen. Zum einen waren die beiden Maßnahmen bislang redundant, und zum anderen gehören regelmäßige Sensibilisierungen ohnehin zur gelebten Praxis in Behörden und Unternehmen. Weniger Aufmerksamkeit erfordert die Differenzierung der Adressatinnen und Adressaten der Maßnahmen. Manche richteten sich an „die Mitarbeiter“ andere an die „Mitarbeiter, die den Scanvorgang durchführen“. Die Unterscheidung wurde von einigen Kundinnen und Kunden mitunter überlesen. Diese Fehlerquelle fällt nun weg, da sich alle Maßnahmen an die Beteiligten im Scanprozess richten. Ansonsten finden sich in den personellen Maßnahmen nur redaktionelle Änderungen.

Technische Maßnahmen

Die weitreichendsten Änderungen finden sich im Bereich der technischen Maßnahmen. Gleich zu Beginn startet das Kapitel mit einem Paukenschlag. So wurde die Anforderung, den IT-Grundschutz umzusetzen, von einer Soll- in eine Muss-Anforderung gehoben (ID A.T.1). Mit dieser Verschärfung wird Salz zielgenau in die Wunde gestreut, die erfahrungsgemäß bei vielen Anwendern der TR-RESISCAN besteht. Kaum eine Behörde oder Institution setzt alle erforderlichen Grundschutzmaßnahmen um. In der Praxis zeigt sich auch, dass eine nachträgliche Umsetzung im Rahmen einer RESISCAN-Einführung nicht möglich ist, da der Aufwand für die Grundschutzmaßnahmen regelmäßig die Kalkulation der Scan-Projekte übersteigt und überdies die Zuständigkeit für das Scannen in den Bereichen Organisation, Poststelle oder Schriftgutverwaltung liegt, während IT-Sicherheitsfragen von entsprechenden Beauftragten bzw. der IT-Abteilung verantwortet werden. In letzter Konsequenz kann diese Änderung bedeuten, dass (Resi-)Scanprojekte erst angefangen werden, nachdem umfangreiche IT-Sicherheitsmaßnahmen umgesetzt wurden. Sollten die Verantwortlichen zu dem Schluss kommen, erst einmal zu Scannen, ohne sich in allen Punkten nach der TR zu richten, weil die Umsetzung des Grundschutzes mittelfristig nicht erreichbar scheint, erzielt diese Änderung unter Umständen einen genau gegenteiligen Effekt. Ob es eine Erleichterung darstellt, dass alternativ die ISO 27001/27002 umgesetzt werden kann, ist fraglich. Im Behördenumfeld ist der Grundschutz gesetzt und privatwirtschaftlichen Anwender/-innen stellt sich weiterhin das Problem, dass die ISO tendenziell weniger konkrete Vorgaben macht als der Grundschutz. Infolgedessen ist immer unsicher, inwieweit die geforderte Äquivalenz der Maßnahmen gegeben ist.

In die gleiche Richtung zielen weitere Verschärfungen, von denen die meisten in den prozessbezogenen Maßnahmen relevant sind, zu denen wir noch kommen werden. Als generelle Maßnahme müssen in Bezug auf die Kommunikationsverbindungen des konkret eingerichteten Scansystems nun die Anforderungen der BSI TR-02102-1 „Kryptografische Verfahren: Empfehlungen und Schlüssellängen" eingehalten werden. Hier ist zu prüfen, ob die verwendeten Technologien (zum Beispiel TLS, IPsec, SSH) richtlinienkonform eingesetzt werden (ID A.T.2). Dafür kann je verwendeter Technologie die Prüfung weiterer Normenteile (TR-02102-2, TR-02102-3 und TR-02102-4) erforderlich sein. In der Praxis wird für die Prüfung dieser Frage typischerweise die IT-Abteilung einzubinden sein.

Auch die Maßnahme „Zuverlässige Speicherung“ (ID A.T.4) ist möglicherweise neu zu bewerten, wenn, wie später noch gezeigt werden wird, Anforderungen an die Integritätssicherung verschärft werden.

(ID:50507097)