Tabletop Exercises für ISMS-Manager,
die im nächsten Audit einen Beleg brauchen.
Der Auditor fragt nach ISO 27001 A.5.24–5.30: Wann haben Sie Ihr Incident- und Notfallmanagement zuletzt getestet, mit wem, und was haben Sie danach geändert? Eine einzelne Übung beantwortet das nur zur Hälfte. Sie brauchen ein Übungsprogramm für Ihre kritischen Szenarien, eine Maßnahmenliste, die jemand abarbeitet, und zu jeder Übung ein Protokoll. Dieses Protokoll schreibt SecDrills während der Übung mit.
Demo anfragenWas SecDrills für Ihr ISMS liefert
Ein Beleg mit Datum und Rollen
Der Report enthält die Teilnehmerliste mit Rollen, alle Antworten, die Diskussionsergebnisse und Zeitstempel. Sie legen ihn dem Auditor so vor, wie er aus der Übung kommt.
Zuordnung zu den Regelwerken
Jede Übung ist auf NIS2, ISO 27001, DORA und TISAX abgebildet. Sie sehen gleich, welche Anforderung Sie damit belegen, und müssen die Zuordnung nicht selbst herleiten.
Jedes Mal derselbe Aufbau
Alle Übungen laufen nach demselben Ablauf und liefern denselben Report. Das macht sie im Management-Review vergleichbar, und Sie entwerfen nicht für jede Übung einen eigenen Workshop.
Ein Jahresplan mit vier Übungen
Eine einzelne Übung zeigt den Stand an einem Tag. Auditoren und Aufsicht wollen sehen, dass Sie planmäßig üben: welche Szenarien, in welcher Form, mit wem und wann, abgeleitet aus Ihrer Risikobewertung. Als Orientierung verlangt der BSI-Standard 200-4 eine Jahresübungsplanung, die mindestens zwölf Monate umfasst. Gut umsetzbar sind vier Übungen pro Jahr, die unterschiedliche Zielgruppen und Controls abdecken:
| Quartal | Übungsform | Szenario | Teilnehmende | Belegt u. a. |
|---|---|---|---|---|
| Q1 | Tabletop-Übung | Ransomware-Angriff auf zentrale Systeme | IT-Betrieb, IR-/SOC-Team, Informationssicherheit | ISO 27001 A.5.24–A.5.26 · NIS2 Art. 21 Abs. 2 lit. b |
| Q2 | Stabsübung | Eskalierter Cybervorfall mit Meldepflicht und Außenkommunikation | Krisenstab mit Geschäftsleitung, Kommunikation, Recht/Datenschutz | ISO 27001 A.5.24, A.5.29 · NIS2 Art. 21 Abs. 2 lit. c |
| Q3 | Tabletop-Übung | Supply-Chain-Szenario: Ausfall oder Kompromittierung eines kritischen Dienstleisters | Informationssicherheit, IT, Lieferantenmanagement, betroffene Fachbereiche | ISO 27001 A.5.24–A.5.27 · NIS2 Art. 21 Abs. 2 lit. d |
| Q4 | Planbesprechung + Funktionstest | Wiederanlauf der kritischen IT nach einem Totalausfall | IT-Betrieb, BCM, System- und Prozessverantwortliche | ISO 27001 A.5.30 · NIS2 Art. 21 Abs. 2 lit. c |
Das ist ein Beispiel, keine Normvorgabe. Passen Sie Szenarien und Reihenfolge an Ihre Risikobewertung an. Welche Übungsform wofür geeignet ist, erklärt der Beitrag zur Notfallübung.
Wie oft sollten Sie üben, und wer nimmt teil?
Üben Sie jedes kritische Szenario mindestens einmal jährlich und zusätzlich nach wesentlichen Änderungen an Organisation, IT oder Dienstleistern. ISO 27001 nennt keine feste Frequenz. Sie legen sie risikobasiert fest und begründen sie im ISMS. Der BSI-Standard 200-4 nennt als Orientierung unter anderem eine Stabsübung mindestens jährlich mit allen Stabsmitgliedern einschließlich der Stellvertretungen.
Am Tisch sitzen die Personen, die im Ernstfall handeln, und nicht jemand, der gerade Zeit hatte. Die Stellvertretungen üben mit, denn Vorfälle halten sich nicht an Urlaubspläne.
IT, IR- und SOC-Team
Sie bewerten den technischen Vorfall, dämmen ihn ein und stellen die Systeme wieder her. Ohne sie gibt es keine Übung zum Incident Management.
Krisenstab & Geschäftsleitung
Sie entscheiden unter Unsicherheit, setzen Prioritäten und geben Maßnahmen frei. Sitzt niemand am Tisch, der entscheiden darf, bleibt die Stabsübung ein Planspiel.
Kommunikation, Recht & Datenschutz
Sie prüfen die Meldepflichten und steuern, was intern und extern kommuniziert wird. An diesen Schnittstellen werden in Übungen typischerweise Lücken sichtbar.
Fachbereiche & Dienstleister
Sie schätzen ab, was der Vorfall für die Kernprozesse bedeutet, und bringen im Supply-Chain-Szenario die Sicht der kritischen Lieferanten ein.
Welche Kennzahlen gehören ins Management-Review?
Solche, die zeigen, ob Ihr Incident- und Notfallmanagement wirkt und ob es besser wird. ISO 27001 verlangt in Abschnitt 9.1, dass Sie festlegen, was Sie überwachen und messen. Bestimmte Übungs-KPIs schreibt die Norm nicht vor. Als Beispiele eignen sich:
- Anteil der kritischen Szenarien, die im Jahr geübt wurden
- Zeit bis zur Eskalation an die zuständige Stelle
- Abschlussquote der Maßnahmen innerhalb der Frist
- Wiederholte Findings über mehrere Übungen hinweg
Erheben Sie in jeder Übung dieselben Kennzahlen. Nur so entsteht ein Trend, mit dem Sie in der Managementbewertung (9.3) zeigen, wie sich der Reifegrad entwickelt.
So verfolgen Sie Maßnahmen bis zur Wirksamkeitsprüfung
Wenn nach der Übung niemand die Findings abarbeitet, war sie umsonst. ISO 27001 verlangt, Erkenntnisse aus Vorfällen zur Verbesserung zu nutzen (A.5.27) und bei Nichtkonformitäten die Wirksamkeit der Korrekturmaßnahmen zu überprüfen (10.2). In der Praxis sind das vier Schritte:
- 1
Finding dokumentieren
Halten Sie die Beobachtung wertfrei fest, benennen Sie die Ursache und ordnen Sie das Finding dem betroffenen Plan oder Control zu (z. B. A.5.26).
- 2
Maßnahme planen
Jede Maßnahme bekommt eine verantwortliche Person, eine Frist und eine Priorität. Legen Sie gleich fest, woran Sie erkennen, dass sie wirkt.
- 3
Umsetzen und belegen
Verfolgen Sie den Status und dokumentieren Sie die Umsetzung. Offene Maßnahmen gehen in die Managementbewertung (ISO 27001, 9.3).
- 4
Wirksamkeit prüfen
In der Folgeübung sehen Sie nach, ob die Lücke geschlossen ist. Erst dann gilt die Korrekturmaßnahme nach 10.2 als wirksam.
Wie Sie Findings formulieren und einen Maßnahmenplan aufbauen, zeigt der Beitrag zum After-Action-Review. Dort finden Sie auch eine kostenlose Vorlage.
Wofür Sie den Report brauchen
Test nach ISO 27001 A.5.24–5.30
Sie belegen fürs interne Audit und das Management-Review, dass Sie Ihre Incident-Response- und Continuity-Maßnahmen getestet haben.
Nachweis für NIS2 Art. 21
Sie zeigen, dass Ihre Krisen- und IR-Prozesse regelmäßig geübt werden und im Vorfall greifen.
Audit-Vorbereitung
Ein paar Workshop-Notizen und ein PowerPoint-Protokoll reichen dem Auditor selten. Mit SecDrills legen Sie einen Übungsnachweis vor, der jedes Mal gleich aufgebaut ist.
TISAX-Nachweis
Als Automotive-Zulieferer zeigen Sie, dass Ihre Notfall- und Incident-Prozesse geübt sind, in einer Form, die Sie direkt vorlegen können.
So weisen Sie die Übung im Audit nach
Ein Notfallplan im Ordner beweist noch nicht, dass er funktioniert. Auditoren wollen sehen, dass die Abläufe tatsächlich geübt wurden und dass sich danach etwas verbessert hat. Ein vollständiger Übungsnachweis beginnt deshalb beim Übungsauftrag, geht über Ablaufprotokoll und After-Action-Report und endet bei Maßnahmenplan und Wirksamkeitsprüfung. Welche acht Dokumente dazu gehören und wie sie auf ISO 27001 Anhang A 5.24–5.30 einzahlen, zeigt unser Leitfaden ISO 27001 Notfallmanagement.
Im Report ist jede Übung den Regelwerken zugeordnet: NIS2 (Art. 21), ISO 27001 (A.5.24–5.30), DORA und TISAX. Damit schließen Sie eine Lücke, die viele ISMS haben. Die Richtlinien sind geschrieben, aber eine dokumentierte Krisenübung fehlt.
Sie nutzen schon ein ITSM- oder GRC-Tool? Dann bleibt die Maßnahmenverfolgung dort. Für die Übung selbst braucht es Szenario, Injects, Rollen und ein Protokoll mit Zeitstempeln, und das bildet eine Tabletop-Software ab. SecDrills läuft dafür im Browser, ist in der EU gehostet und braucht keinen Zugriff auf Ihre Systeme. Den Vergleich der Werkzeuge finden Sie unter Tabletop-Software oder ITSM-/GRC-Tool. Übungsprogramm, Jahresplan, Kennzahlen und die acht Nachweis-Dokumente gibt es außerdem kompakt im kostenlosen Praxis-Leitfaden Tabletop Exercise (PDF).
In drei Schritten zum Audit-Nachweis
- 1
Szenario und Rollen wählen
Sie nehmen ein Szenario aus dem Katalog und weisen den Teilnehmenden ihre Rollen zu. Ein eigenes Szenario müssen Sie nicht schreiben.
- 2
Geführt durchspielen
SecDrills steuert den Ablauf über Injects. Jede Entscheidung wird mit Zeitstempel festgehalten.
- 3
Report herunterladen
Der Report enthält die Zuordnung zu den Regelwerken. Sie exportieren ihn als PDF, Word oder HTML und legen ihn im Audit und im Management-Review vor.
Sehen Sie sich den Report an, bevor der Auditor kommt
In der Demo spielen wir ein Szenario mit Ihnen durch, danach halten Sie den Report in der Hand. Extern moderiert kostet eine einzelne Übung meist 5.000 bis 15.000 Euro. Das Paket Professional kostet € 4.900 netto im Jahr, für bis zu 10 Teilnehmende und mit Evidence Packs für ISO 27001 und NIS2. Wir melden uns innerhalb von zwei Werktagen.
Demo anfragen