C5-Maßnahmen priorisieren: was zuerst kommt und wer es verantwortet

Diese Seite ordnet Maßnahmen, die mehrere Themengebiete des C5 gleichzeitig aufhalten. Wie man Lücken innerhalb eines Themengebiets schließt, gehört zum jeweiligen Gebiet im Kriterienkatalog; hier geht es um die Reihenfolge über die Gebiete hinweg. Die Liste der Maßnahmen entsteht in der C5-Gap-Analyse, und der Maßnahmenplan nach der C5-Gleichwertigkeitsverordnung ist ein eigenes Dokument mit gesetzlichen Fristen (siehe C5-Gleichwertigkeitsverordnung).

Was macht eine Maßnahme zum Blocker?

Eine Maßnahme blockiert, wenn ohne sie andere Maßnahmen nicht sinnvoll beginnen oder nicht prüfbar werden. Wir nutzen fünf Merkmale; trifft eines zu, kommt die Maßnahme nach vorn:

1. Andere Kriterien bauen darauf auf. Der Katalog verweist in vielen Kriterien auf ein anderes, etwa „gemäß SP-01 dokumentiert“ oder „Risikobeurteilung gemäß OIS-07“.
2. Sie muss vor dem Prüfungszeitraum laufen. Ein Typ-2-Bericht beurteilt die Wirksamkeit über einen Zeitraum, der mindestens drei Monate umfassen soll; was erst in der Mitte beginnt, fehlt für die ersten Wochen.
3. Sie hat einen Jahresrhythmus. Tests, Überprüfungen und interne Audits mit jährlicher Frequenz müssen im Zeitraum stattfinden und belegt sein.
4. Sie hängt an Dritten. Subdienstleister (Subservice-Organisationen), Kunden oder Vertragspartner haben eigene Vorlaufzeiten.
5. Sie verändert Scope oder Systembeschreibung. Was den Prüfungsgegenstand verschiebt, macht spätere Arbeit hinfällig.

Wo der Katalog selbst Abhängigkeiten setzt

Zwei Kriterien tauchen in den Texten anderer Kriterien besonders oft auf. Nach unserer Auszählung der deutschen Fassung 1.1.0 nennen mehr als 30 Kriterien aus mindestens 13 Themengebieten jeweils OIS-07 oder SP-01 ausdrücklich. Wer diese beiden spät angeht, muss die abhängigen Kontrollen später noch einmal anfassen.

Für risikobasierte Kriterien gilt ein Sonderfall: Kommt die Risikobeurteilung zu dem Ergebnis, dass keine Risiken zu mindern sind, legt der Anbieter das bei der Anwendbarkeit des Kriteriums dar (Abschnitt 3.4.3). Auch das setzt eine dokumentierte Risikobeurteilung voraus.

Priorisierungshilfe: Blocker, Reihenfolge, Verantwortliche

Die Tabelle ist unsere Arbeitshilfe, keine Vorgabe des Katalogs. Sie ordnet elf Maßnahmen, die in vielen C5-Projekten mehrere Gebiete betreffen können. Die Spalte „Verantwortlich“ nennt typische Rollen; in kleinen Organisationen liegen mehrere davon bei einer Person.

In welcher Reihenfolge arbeiten Sie die Stufen ab?

Die Stufen überlappen, aber eine Stufe sollte erst beginnen, wenn die vorige im Entwurf steht. Unsere Empfehlung:

• Stufe 1, Fundament: klein halten und schnell entscheiden. Eine Scope-Entscheidung, die drei Monate offen bleibt, verzögert alles andere um drei Monate.
• Stufe 2, Rahmen: Richtlinien, Rollen, Krypto und Protokollierung parallel, aber mit derselben Struktur nach SP-01. Die Genehmigung gebündelt einplanen, bei der Geschäftsleitung oder der Stelle, die sie dafür autorisiert hat.
• Stufe 3, Betrieb: Ab hier zählt der Kalender. Bei einem Typ-2-Bericht sollten die Kontrollen laufen, wenn der Zeitraum beginnt. Für eine Erstprüfung lässt der Katalog für noch nicht vollständig ausgeführte Kontrollen Planungsunterlagen oder eine wie die Produktion konfigurierte Umgebung als Nachweis zu (Abschnitt 3.4.11); als Plan für den Regelbetrieb taugt das nicht.
• Stufe 4, Bericht: Die Systembeschreibung wächst ab Stufe 1 mit. Wer sie erst am Ende schreibt, entdeckt dort Widersprüche zwischen Dokument und Betrieb.

Wie viel Zeit zwischen Stufe 1 und dem Kundentermin liegen muss, rechnet die Rückwärtsplanung vor.

Wer verantwortet was?

Jede Maßnahme braucht genau eine verantwortliche Person mit Vertretung. Das entspricht auch dem Katalog: Nach SP-01.01B beschreiben Richtlinien Rollen und Verantwortlichkeiten einschließlich Vertretungsregelungen. Wir empfehlen diese Aufteilung:

• Geschäftsleitung: Scope, Budget, Freigabe der Richtlinien, Annahme von Restrisiken, Management Statement.
• ISB oder Projektleitung C5: Maßnahmenplan, Risikomethodik, Richtlinienrahmen, Systembeschreibung, Abstimmung mit dem Prüfer.
• Fachteams (Betrieb, Entwicklung, Personal, Einkauf): Umsetzung und Nachweise in ihrem Bereich.
• Vertrieb und Produktmanagement: Kundenkontrollen, Vertragsanpassungen, Kundentermine.

Liegt in einem kleinen Team vieles bei wenigen Personen, achten Sie auf die Aufgabentrennung: OIS-04 verlangt, miteinander in Konflikt stehende Aufgaben zu trennen, und lässt kompensierende Kontrollen zu, wo das organisatorisch nicht geht. Wie das bei SaaS-Anbietern mit wenigen Beschäftigten aussieht, zeigt die Seite C5 für SaaS-Anbieter.

Wie Sie innerhalb einer Stufe ordnen

Innerhalb einer Stufe hilft eine einfache Bewertung mit vier Fragen, je null bis zwei Punkte. Die Summe ergibt die Reihenfolge; bei Gleichstand entscheidet die längere Vorlaufzeit. Die Skala ist unsere eigene.

Beispiel: Dokumentenaustausch für Steuerkanzleien

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt eine Plattform, über die Steuerkanzleien und ihre Mandanten Belege und Bescheide austauschen, als SaaS auf einer Public-Cloud-Plattform in Deutschland. Ein ISO-27001-Zertifikat liegt vor. Die Gap-Analyse ergibt 34 offene Maßnahmen. Geplant ist ein erster Typ-2-Zeitraum ab dem 1. September 2027, also nach C5:2026.

Das Team wollte mit einem Penetrationstest und einem neuen SIEM beginnen, weil beides sichtbar ist. Nach den fünf Merkmalen sieht der Plan anders aus:

• Zuerst das Asset-Inventar: In einem zweiten Cloud-Konto laufen Testsysteme mit Kopien echter Mandantendaten, die bisher niemand im Scope hatte. Das ändert Scope, Risikobeurteilung und Härtung.
• Dann der Versanddienst für Benachrichtigungen: Er erhält Dokumentnamen und Mandantennamen und wird als Subdienstleister eingestuft. Der Vertrag braucht eine Ergänzung, der Dienstleister eine Vorlaufzeit von zwei Monaten.
• Dann Richtlinien nach SP-01 auf Basis der vorhandenen ISO-Dokumente, mit gebündelter Freigabe der Geschäftsleitung.
• Der Penetrationstest rückt in den Prüfungszeitraum, weil OPS-22.01B ihn mindestens jährlich verlangt; so belegt er den Zeitraum. Das SIEM folgt nach dem Protokollierungskonzept.

Ergebnis: Die sichtbaren Maßnahmen kommen später, die Stufen 1 und 2 sind drei Monate vor Zeitraumbeginn im Entwurf fertig.

Typische Fehler beim Priorisieren

• Nach Katalogreihenfolge abarbeiten. Ursache: Der Katalog ist nach Themengebieten gegliedert, nicht nach Abhängigkeiten. Wirkung: Gebiete am Ende der Liste, etwa SSO oder BCM, starten zu spät, obwohl sie Vorlaufzeiten bei Dritten haben. Abhilfe: nach den fünf Merkmalen sortieren.
• Werkzeuge vor Vorgaben. Ursache: Ein neues Werkzeug zeigt schnell Fortschritt. Wirkung: Es wird später an Richtlinien und Risikobeurteilung angepasst oder neu konfiguriert. Abhilfe: Werkzeuge erst nach Stufe 2 einführen, außer sie liefern Nachweise, die vor dem Zeitraum gebraucht werden.
• Jährliche Kontrollen vor den Zeitraum legen. Ursache: Man will den Test „erledigt“ haben. Wirkung: Der Termin liegt außerhalb des Prüfungszeitraums und belegt ihn nicht. Abhilfe: jährliche Kontrollen bewusst in den Zeitraum legen, früh genug für eine Wiederholung bei Abweichungen.