Werden implementierte Sicherheitsmaßnahmen regelmäßig durch interne Audits oder Penetrationstests auf ihre Wirksamkeit geprüft?

Worum geht es bei dieser Anforderung?

§ 30 Abs. 2 Nr. 6 BSIG verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Maßnahmen, die nur 'auf dem Papier' existieren, schützen nicht. Erst die regelmäßige Prüfung zeigt, ob sie tatsächlich greifen.

Was Sie konkret prüfen sollten

1. 01Finden interne Audits oder Penetrationstests in einem festen Turnus statt?
2. 02Ist festgelegt, wer die Wirksamkeit bewertet?
3. 03Laufende Security-KPIs (z.B. Patch-Quote, Phishing-Klickrate, MTTR) sind eine sinnvolle Ergänzung, ersetzen aber keine aktive Prüfung.