Schutzbedarfsanalyse

Ziel

Die Schutzbedarfsanalyse entscheidet, ob der IT-Grundschutz für ein Informatikschutzobjekt genügt. HERMES nennt sie auch ISDS-Analyse. Art. 16 des Informationssicherheitsgesetzes (ISG) verlangt von jeder verpflichteten Behörde ein Sicherheitsverfahren, das den Schutzbedarf beurteilt (Abs. 2 Bst. a). Die Analyse geht unabhängig von der Projektmethode der Inbetriebnahme des Objekts voraus.

In HERMES 2022 liefert die Aufgabe Schutzbedarfsanalyse erarbeiten die Analyse. Sie gehört zum Modul Projektgrundlagen und läuft in der Phase Initialisierung. HERMES stellt die Regel auf: "Bei jedem Informatikvorhaben ist eine Schutzbedarfsanalyse durchzuführen." Zeigt die Analyse, dass ein erhöhter Schutz nötig ist, erarbeitet das Projekt während der Lösungsentstehung ein ISDS-Konzept mit einer vertieften Risikoanalyse.

Die Analyse entsteht parallel zur Studie. Die Studie berücksichtigt die Schlussfolgerungen der Analyse bei der Beurteilung der Varianten. Auch der Durchführungsauftrag stützt sich auf die Schutzbedarfsanalyse. In der Phase Konzept führen die Ausschreibungsunterlagen sie unter ihren Grundlagen auf.

Das Ergebnis ist das Analysedokument. In der Bundesverwaltung folgt es der Excel-Vorlage P041-Hi01. Die Vorlage enthält die Beschreibung des Objekts, das Informationsverzeichnis und die Auswirkungen einer Kompromittierung je Schutzziel. Sie schliesst mit dem Schutzbedarf, der Sicherheitsstufe und den weiteren Schritten im Sicherheitsverfahren.

Einsatz

Wann einsetzen

• Informatikprojekt nach HERMES: Die Analyse begleitet die Studie in der Initialisierung und fliesst in den Durchführungsauftrag und die Ausschreibung ein.
• Dem ISG unterstellte Einheit: Das Sicherheitsverfahren verlangt, den Schutzbedarf jedes Objekts vor der Inbetriebnahme zu beurteilen.
• Personendaten im Objekt: Das Team führt die Risikovorprüfung mit der oder dem Datenschutzbeauftragten durch; ein hohes Risiko führt zu erhöhtem Schutzbedarf.
• Externe Firma, die an Entwicklung oder Betrieb mitwirkt: Die Analyse zeigt, ob ein Betriebssicherheitsverfahren einzuleiten ist.
• Wesentliche Änderung eines Objekts im Betrieb: Eine neue Informationsgruppe oder ein neuer externer Zugriff verlangt eine überarbeitete Analyse.
• Organisation ohne eigene Methode: Der Leitfaden P041 des Bundes richtet sich auch an Unternehmen.

Wann nicht einsetzen

• Bedrohungen beurteilen oder Massnahmen wählen: Die Analyse blendet die Bedrohung aus; die Risikoanalyse des ISDS-Konzepts durchführen.
• Ein Dokument klassifizieren: Die Klassifizierung folgt dem Klassifizierungskatalog der Organisation; die Analyse betrifft ein ganzes Informatikschutzobjekt.
• Das Risiko für die Rechte der Personen messen: die Risikovorprüfung und danach die Datenschutz-Folgenabschätzung (DSFA) nach Art. 22 des Bundesgesetzes über den Datenschutz (DSG) durchführen.

Beschreibung

HERMES und die Vorgaben der Stammorganisation

HERMES 2022 nennt die Aufgabe, ihre Grundlagen, ihre Aktivitäten und ihr Ergebnis. Schutzziele und Stufen legt HERMES nicht fest. Der Inhalt des Ergebnisses "richtet sich nach den Vorgaben der Stammorganisation". Die Stammorganisation ist in HERMES die Linienorganisation, die das Projekt trägt: ein Bundesamt, eine kantonale Verwaltung, ein Unternehmen.

Die Aufgabe beginnt mit dem Meilenstein Projektinitialisierungsfreigabe. Sie stützt sich auf den Projektinitialisierungsauftrag und die Stakeholderliste. HERMES ordnet ihr diese Aktivitäten zu:

• Informationssicherheit und Schutzbedarf analysieren;
• Risikoanalyse durchführen;
• Anforderungen bezüglich Informationssicherheit und Datenschutz prüfen und die Auswirkungen auf die Studie, die Projektabwicklung und die anvisierte Lösung beurteilen;
• Schutzbedarfsanalyse mit den Controlling- und Vorgabestellen abstimmen.

HERMES überträgt die Aufgabe dem ISDS-Verantwortlichen und beteiligt den Projektleiter am Ergebnis. Den Business Analyst nennt HERMES nicht unter den Beteiligten. Das Team tut trotzdem gut daran, ihn beizuziehen: Er kennt die Geschäftsprozesse des Objekts, die Informationen im Objekt und die Personen mit Zugriff darauf.

In der Bundesverwaltung sind die Vorgaben jene des Sicherheitsverfahrens. Das Staatssekretariat für Sicherheitspolitik (SEPOS) stützt es auf Art. 16 ISG und auf Art. 27–29 der Informationssicherheitsverordnung (ISV). Das Bundesamt für Cybersicherheit (BACS) hat die Methode am 14. Oktober 2024 im Leitfaden zur Schutzbedarfsanalyse (P041) veröffentlicht. Das SEPOS verbreitet den Leitfaden mit der Excel-Vorlage P041-Hi01. Der Leitfaden nennt fünf Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit, Nachvollziehbarkeit und Datenschutz.

Das Bundesverfahren füllt die HERMES-Aktivität "Risikoanalyse durchführen" mit Inhalt. In dieser Aktivität stellt die Schutzbedarfsanalyse nur fest, ob ein Risiko besteht, das zu verhindern ist. Sie ist damit selbst das Ergebnis dieser Aktivität. Die vertiefte Risikoanalyse gehört ins ISDS-Konzept.

Die Kantone legen eigene Regeln fest. Basel-Landschaft nennt vier Schutzziele: Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit. Die Stufen unterscheiden sich je Schutzziel. Die Verfügbarkeit hat vier, von "normal" (Wiederanlauf in 72 Stunden) bis "extrem hoch" (Wiederanlauf in 30 Minuten). Integrität und Nachvollziehbarkeit haben je zwei. Vor der ersten Sitzung klärt die Analystin, welche Vorgaben für das Projekt gelten.

Das Informatikschutzobjekt

Die Analyse betrifft ein Informatikschutzobjekt. Der Leitfaden P041 definiert es als Gesamtheit von Informatikmitteln und den Daten, die sie speichern, verarbeiten und übertragen. Diese Elemente dienen einem gemeinsamen Zweck: Eine Fachanwendung zur Abwicklung eines Geschäftsprozesses ist das typische Beispiel. Eine Plattform, die anderen Objekten Dienstleistungen zur Verfügung stellt, ist selbst ein Informatikschutzobjekt. Der Leitfaden nennt das System eIAM, virtualisierte Serverinfrastrukturen und Angebote nach dem Modell Software as a Service (SaaS).

Jedes Objekt erhält eine eigene Analyse. Ein Projekt, das eine Anwendung und eine Austauschplattform liefert, erstellt deshalb zwei. Eine einzelne Information oder eine Dokumentart ist kein Objekt: Gemäss der Vorlage P041-Hi01 lässt sich daraus kein Schutzbedarf ableiten.

Die Auswirkungen, nie die Bedrohung

Die Analyse beurteilt die möglichen Auswirkungen einer Kompromittierung. Die Bedrohung, die sie auslösen könnte, berücksichtigt sie nicht. Der Leitfaden P041 nennt das Beispiel des Datenverlusts: Ob er auf fehlende Sicherungskopien, einen Hackerangriff oder böswillige Mitarbeitende zurückgeht, die Daten sind verloren.

Diese Regel schützt die Analyse vor einem Zirkelschluss. Wer auf die Frage nach der Verfügbarkeit "wir haben Backups" antwortet, beschreibt eine Massnahme. Die Massnahme gehört ins ISDS-Konzept. Die Analyse muss dieses Konzept begründen. Die Moderation führt das Gespräch zur Auswirkung zurück: Was geschieht, wenn die Information fehlt?

Die Analyse durchführen

Das Verfahren des Leitfadens P041 ist vom Rapid Risk Assessment von Mozilla inspiriert.

1. Das Objekt beschreiben. Die Beschreibung nennt den Zweck des Objekts und die Geschäftsprozesse, die es unterstützt. Sie führt die Leistungsbezüger, die Leistungserbringer und die Personen mit zugewiesener Rolle auf, zum Beispiel die oder den Informationssicherheitsbeauftragten der Verwaltungseinheit (ISBO). Sie skizziert die technische Ausgestaltung und die Netzwerksituation. Sie listet die Zugriffsberechtigungen von Personen, Gruppen, Rollen und Prozessen auf. Sie hält die geografischen Rahmenbedingungen fest: in welchen Ländern die Informationen gespeichert werden und von wo aus darauf zugegriffen wird. Der Leitfaden lässt zu, dass die Beschreibung im Lauf des Projekts ergänzt wird.
2. Das Informationsverzeichnis erstellen. Das Verzeichnis enthält alle Informationen, die das Objekt erzeugt, speichert, verarbeitet oder überträgt. Es enthält auch die Informationen, die das Objekt benötigt. Das Team gruppiert die Informationen mit gleichen Auswirkungen. Die Vorlage P041-Hi01 (Version 5.1.1) nimmt höchstens zehn Gruppen auf. Jede Gruppe erhält eine Beschreibung, ihre vorhandene oder erforderliche Klassifizierung nach Art. 18–20 ISV (INTERN, VERTRAULICH, GEHEIM) und die Angabe der Personendaten, die sie enthält. Für eine klassifizierte Gruppe verlangt der Leitfaden auch den Kreis der Berechtigten.
3. Die Auswirkungen beschreiben. Für jede Gruppe beantwortet das Team die Frage, die der Leitfaden je Schutzziel stellt. Es beschreibt die Auswirkungen für die Organisation und für die anderen betroffenen Personen oder Organisationen.
4. Die Kriterien anwenden. Das Team prüft, ob die Auswirkungen nach den Kriterien von Art. 28 ISV eine Beeinträchtigung der Informationssicherheit oder einen finanziellen Schaden zur Folge haben. Es prüft, ob ein Gesetz oder eine Verordnung einen erhöhten Schutz rechtfertigt oder verlangt, zum Beispiel das Heilmittelgesetz oder das Geschäftsgeheimnis. Die oder der Datenschutzbeauftragte beurteilt, ob ein hohes Risiko für die Grundrechte der betroffenen Personen besteht (Art. 22 Abs. 1 DSG). Die Vorlage P041-Hi01 empfiehlt, diese Risikovorprüfung zusammen mit der Analyse abzulegen. Zuletzt beurteilt die Organisation, ob die Auswirkungen für sie nicht akzeptierbar sind. Für dieses letzte Kriterium rät der Leitfaden zu einer Business Impact Analyse mit Kriterien, die auf die Geschäftsprozesse zugeschnitten sind.
5. Die Anforderungen erheben. Das Team hält die Anforderungen an die Verfügbarkeit fest (Betriebszeiten, Wartung). Es gibt an, ob das Objekt unabhängig von seiner Sicherheitsstufe einen Business Continuity Plan braucht. Es gibt an, ob eine Zertifizierung nach Art. 23 ISV nötig ist. Es meldet die externen Auftragsbearbeiter mit Zugang zu Personendaten sowie Zugriffe auf diese Daten durch Kantone, ausländische Behörden oder Private. Diese Antworten dienen auch dem Entscheid, ob ein Betriebssicherheitsverfahren nötig ist.
6. Das Ergebnis festhalten. Das Team weist den Schutzbedarf je Schutzziel als erhöht oder nicht erhöht aus. Es ordnet dem Objekt eine Sicherheitsstufe zu.
7. Prüfen und genehmigen lassen. Der ISBO prüft, ob die Auswirkungen plausibel sind und ob die Bewertung nachvollziehbar und gut begründet ist. Die Datenschutzberaterin oder der Datenschutzberater wirkt mit, wenn das Objekt Personendaten bearbeitet. In einem Projekt hält der Leitfaden es für sinnvoll, dass der Auftraggeber oder die Geschäftsprozessverantwortlichen die Analyse genehmigen. Departemente und Ämter bestimmen, wer in welcher Form unterzeichnet. Das Objekt und sein Schutzbedarf kommen ins Asset-Inventar.

Schutzbedarf und Sicherheitsstufe

Die Analyse liefert zwei getrennte Ergebnisse. Der Schutzbedarf wird je Schutzziel ausgewiesen: erhöht oder nicht erhöht. Die Sicherheitsstufe gilt für das ganze Objekt. Gemäss dem Leitfaden P041 ordnet Art. 17 ISG das Objekt standardmässig dem Grundschutz zu. Eine Auswirkung nach Art. 28 ISV oder eine Klassifizierung genügt, um es in den hohen oder sehr hohen Schutz zu heben.

Nur Informatikmittel erhalten eine Sicherheitsstufe. Sie ergibt sich allein aus den Kriterien von Art. 28 ISV und aus der Klassifizierung. Die Sicherheitsstufe hoher oder sehr hoher Schutz führt immer zu einem erhöhten Schutzbedarf. Eine besondere gesetzliche Anforderung, ein hohes Datenschutzrisiko oder nicht akzeptierbare Auswirkungen erhöhen den Schutzbedarf, ohne die Sicherheitsstufe zu ändern. Ein Objekt kann deshalb im Grundschutz bleiben und trotzdem einen erhöhten Schutzbedarf haben.

Die Kriterien von Art. 28 ISV zielen auf Beeinträchtigungen auf Ebene des Bundes: die Handlungsfähigkeit des Bundesrates, die Sicherheit der Bevölkerung, den Betrieb kritischer Infrastrukturen. Die Vorlage P041-Hi01 sieht für die Einstufung des Schadensausmasses drei Klassen vor: unter CHF 50 Mio., CHF 50 bis 500 Mio. und über CHF 500 Mio. Sie ordnet die mittlere Klasse Art. 28 Abs. 1 ISV zu und die oberste Klasse Abs. 2. Gemäss der Vorlage stammen diese Beträge aus dem Risikomanagement des Bundes. Nur für wenige Objekte sind sie ein relevantes Kriterium für einen erhöhten Schutzbedarf.

Nach der Analyse

Ohne erhöhten Schutzbedarf hat die Organisation keine ausserordentlichen Risiken und führt keine erweiterte Risikoanalyse durch. Die Organisation setzt für das Objekt die Anforderungen des IT-Grundschutzes (Si001) um. Diese Anforderungen gelten unabhängig vom Ergebnis für jedes Schutzobjekt.

Mit erhöhtem Schutzbedarf reduziert die Organisation die erheblichen oder schwerwiegenden Auswirkungen mit technischen und organisatorischen Massnahmen auf ein akzeptierbares Mass. Sie setzt die Weisungen P042 in einem ISDS-Konzept um, das eine Risikoanalyse enthält. HERMES lässt dieses Konzept während der Lösungsentstehung erarbeiten. Seine Grundlagen sind die Studie, die Schutzbedarfsanalyse, die Organisationsanforderungen und die Lösungsanforderungen.

Weitere Pflichten können folgen. Ein Betriebssicherheitsverfahren ist nötig, wenn ein externer Betrieb VERTRAULICH oder GEHEIM klassifizierte Informationen erhält. Es ist auch nötig, wenn ein externer Betrieb an einem Objekt mit hohem oder sehr hohem Schutz arbeitet. Dieses Verfahren richtet sich nach der Verordnung über das Betriebssicherheitsverfahren (VBSV). Ein Objekt, das Personendaten bearbeitet, kann ein Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG) und ein Bearbeitungsreglement erfordern. Für Bundesorgane richtet sich dieses Reglement nach Art. 6 der Datenschutzverordnung (DSV).

Die Vorlage P041-Hi01 bezeichnet die Analyse als lebendes Dokument. Der Leitfaden P041 verlangt, früh eine erste Version abzuschliessen und sie danach jederzeit aktuell zu halten. Das SEPOS verlangt, das Sicherheitsverfahren bei jeder wesentlichen Änderung des Objekts zu wiederholen. Es verlangt auch, seine Aktualität und Wirksamkeit mindestens einmal jährlich zu überprüfen.

Die Fallstricke

Die Bedrohung bewerten. Ein Team, das die Auswirkungen mit der Wahrscheinlichkeit eines Angriffs gewichtet, stuft das Objekt zu tief ein. Auch die gängigen Bedrohungen muss es nicht auflisten: Gemäss der Vorlage P041-Hi01 behandelt der IT-Grundschutz die Risiken, die für alle Informatikmittel gelten.

Ein Dokument analysieren. Eine Analyse je Dokumentart vervielfacht die Dateien und liefert keine Sicherheitsstufe. Das Objekt fasst die Informationen und die Informatikmittel zusammen, die sie bearbeiten.

Klassifizierung und Schutzbedarf verwechseln. Ein nicht klassifiziertes Objekt kann unter den hohen Schutz fallen. Die Klassifizierung des ganzen Objekts kann höher liegen als jene jeder einzelnen Gruppe. Wer "nicht klassifiziert" liest und aufhört, übersieht die vier anderen Schutzziele.

Den Kontext übersehen. Die Erläuterungen aus Basel-Landschaft nennen das Beispiel einer Adresse. Auf der Skala dieses Kantons ist sie in der Regel "vertraulich". Ist die Person in einem Zeugenschutzprogramm, ist die Adresse "streng vertraulich". Dasselbe Feld ändert seinen Schutzbedarf je nach dem Prozess, der es verwendet.

Zu spät kommen. Die Studie beurteilt die Varianten anhand der Schlussfolgerungen der Analyse. Eine Analyse, die erst nach dem Lösungsentscheid entsteht, rechtfertigt nur noch diese Wahl.

Zu fein inventarisieren. Ein Verzeichnis mit vierzig Zeilen verwässert das Urteil.

KI-Überlegungen

Ein KI-Assistent beschleunigt die Beschreibung und das Verzeichnis. Aus dem Pflichtenheft, den Prozessmodellen und dem Datenmodell schlägt er eine erste Liste von Informationsgruppen vor. Er markiert die Gruppen mit Personendaten oder mit besonders schützenswerten Personendaten im Sinn des DSG. Für jede Gruppe entwirft er eine Antwort auf die Fragen des Leitfadens. Er erkennt Widersprüche: eine Gruppe mit Gesundheitsdaten ohne Stellungnahme der oder des Datenschutzbeauftragten, eine Sicherheitsstufe, die nicht zur Klassifizierung einer Gruppe passt. In einer zweisprachigen Verwaltung erstellt er die deutsche oder französische Fassung, die das Team gegenliest.

Die Auswirkungen beurteilt allein die Organisation. Ein Sprachmodell weiss nicht, was ein dreitägiger Ausfall den Prozess kosten würde. Der ISBO steht für die Plausibilität der Bewertung ein. Das Dokument selbst beschreibt Architektur, Netzwerk und Zugriffsrechte eines Systems: Es interessiert einen Angreifer. Es geht nur an einen KI-Dienst, den die Organisation für diese Klassifizierungsstufe freigegeben hat. VERTRAULICH oder GEHEIM klassifizierte Informationen verlassen die dafür vorgesehenen Mittel nicht.

Beispiele

In der folgenden Analyse bleibt das Objekt trotz erhöhten Schutzbedarfs bei der Sicherheitsstufe Grundschutz. Die Spalten enthalten drei Informationsgruppen; die Zeilen folgen der Vorlage P041-Hi01.

Die Sicherheitsstufe bleibt beim Grundschutz, weil keine Auswirkung die Schwellen von Art. 28 ISV erreicht. Das ISDS-Konzept folgt aus der Zeile Schutzbedarf: Die oder der Datenschutzbeauftragte sieht bei den Arztzeugnissen ein hohes Risiko. Ein Team, das nur die Sicherheitsstufe liest, bleibt beim Grundschutz stehen und übersieht die Pflicht.

Visualisierungen

Ein erstes Schema zeigt, was auf die Analyse folgt: Jedes Objekt erhält den IT-Grundschutz. Nur ein erhöhter Schutzbedarf führt zur Risikoanalyse und zum ISDS-Konzept. Ein zweites Schema trennt die beiden Ergebnisse. Die Sicherheitsstufe ergibt sich aus Art. 28 ISV und aus der Klassifizierung. Die Stufe hoher oder sehr hoher Schutz führt zu einem erhöhten Schutzbedarf. Die übrigen Kriterien erhöhen den Schutzbedarf, ohne die Sicherheitsstufe zu ändern. Die Fragen je Schutzziel, die Sicherheitsstufen und die Analyse des Beispiels bestehen aus Zeilen und Spalten, also aus Tabellen.

Aufwand

Werkzeuge

Die Excel-Vorlage P041-Hi01 (Version 5.1.1, auf Deutsch, Französisch und Englisch) führt Reiter für Reiter durch die Analyse des Bundes: Deckblatt, Informationsverzeichnis, Beurteilung Auswirkungen, Erhebung Schutzbedarf, Erhebung Anforderungen und Einstufung. Sie berechnet die Sicherheitsstufe und die weiteren Schritte aus den Antworten. Das SEPOS veröffentlicht sie kostenlos mit dem Leitfaden P041. Die Ergebnisseite von HERMES Online verweist darauf.

Der Klassifizierungskatalog des Departements liefert die Klassifizierung jeder Informationsgruppe. Das Hilfsmittel zur Risikovorprüfung des Bundesamts für Justiz beurteilt das Risiko für die Rechte der betroffenen Personen.

Auf derselben Seite veröffentlicht das SEPOS die Vorlagen für die weiteren Schritte des Verfahrens: die Umsetzungsliste zum IT-Grundschutz (Si001-Hi01), die Vorlage für das ISDS-Konzept (P042-Hi01) und die Excel-Datei zur Risikoanalyse (P042-Hi02).

Ausserhalb der Bundesverwaltung genügt eine Tabellenkalkulation mit den Schutzzielen und Stufen der Organisation. Mehrere Kantone veröffentlichen eigene Erläuterungen, zum Beispiel Basel-Landschaft. Die Organisation führt das Asset-Inventar in ihrem Werkzeug für das Informationssicherheits-Management oder in ihrer Konfigurationsdatenbank.

Quellen

• Schweizerische Eidgenossenschaft, Bundeskanzlei, HERMES 2022, Referenzhandbuch Projektmanagement, Ergebnis 4.4.1.45 Schutzbedarfsanalyse: die Beschreibung des Ergebnisses, sein zweiter Name ISDS-Analyse und der Verweis seines Inhalts auf die Vorgaben der Stammorganisation.
• Schweizerische Eidgenossenschaft, Bundeskanzlei, HERMES 2022, Referenzhandbuch Projektmanagement, Aufgabe 5.4.3.42 Schutzbedarfsanalyse erarbeiten: die Regel einer Analyse je Informatikvorhaben, die Grundlagen, die Aktivitäten und das ISDS-Konzept, das ein erhöhter Schutzbedarf verlangt. Im selben Handbuch übernimmt die Aufgabe 5.4.3.45 Studie erarbeiten die Erkenntnisse der Analyse. Das Handbuch weist die Aufgabe dem ISDS-Verantwortlichen zu (§6.4.3.6).
• Bundesamt für Cybersicherheit (BACS), Leitfaden zur Schutzbedarfsanalyse (P041), Version 1.0, 14.10.2024: das Informatikschutzobjekt, die Regel der Auswirkungen ohne Bedrohung, die zwei Schritte, die Kriterien, die Sicherheitsstufen und die weiteren Schritte im Verfahren. Die Artikel von ISG, ISV, DSG und DSV sind so zitiert, wie der Leitfaden sie angibt.
• Staatssekretariat für Sicherheitspolitik (SEPOS), Sicherheitsverfahren: die gesetzliche Grundlage des Verfahrens, seine Wiederholung und seine jährliche Überprüfung, die Excel-Vorlage P041-Hi01 (Version 5.1.1) mit ihren FAQ, der IT-Grundschutz Si001 und die Vorlagen P042 zum ISDS-Konzept.
• Kanton Basel-Landschaft, Aufsichtsstelle Datenschutz, Erläuterungen und Beispiele Schutzbedarfsanalyse, V 1.9, 15.8.2024: die vier Schutzziele des Kantons, ihre Stufen und das Beispiel der Adresse.