ISO 27001:2022 · A.8.16 · A.8 Technologische Maßnahmen
Überwachungsaktivitäten (Monitoring)
Netzwerke, Systeme und Anwendungen müssen auf anomales Verhalten überwacht werden, und es müssen geeignete Maßnahmen zur Bewertung möglicher Sicherheitsvorfälle ergriffen werden.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Netzwerke, Systeme und Anwendungen müssen auf anomales Verhalten überwacht werden, und es müssen geeignete Maßnahmen zur Bewertung möglicher Sicherheitsvorfälle ergriffen werden.
Warum ist das wichtig?
Monitoring verwandelt Logs in Erkenntnis. Die Erkennung von Anomalien ermöglicht eine frühzeitige Reaktion, bevor aus einem Ereignis ein großer Schaden wird.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Detektion | Direkt |
| TISAX | 5.2.8 | Monitoring | Direkt |
| BSI | DER.1 | Detektion von Ereignissen | Direkt |
Was der Auditor erwartet
- Überwachung auf anomales Verhalten
- Definierte Alarme und Reaktionswege
- Auswertung der Monitoring-Ergebnisse
Audit-Checkliste
Dokumente
Monitoring-KonzeptWas überwacht wird und wie auf Alarme reagiert wird
Nachweise
Alarm- und ReaktionsnachweiseErkannte Anomalien und deren Bearbeitung
MDR-/SOC-BerichteVertrag und regelmäßige Berichte eines Managed-Detection-Dienstleisters
Beispiel-AlarmbearbeitungKonkret dokumentierter Fall von Erkennung bis Reaktion
Interviews
Security-/IT-TeamUmgang mit Alarmen und Eskalation
Technisch
Monitoring-/SIEM-SystemAktive Überwachung mit Alarmierung
Praxis-Tipps zur Umsetzung
Use Cases definierenKonkrete Erkennungsregeln für relevante Bedrohungen festlegen.
Alarme verarbeitenJeder Alarm braucht einen klaren Reaktions- und Eskalationsweg.
Fehlalarme reduzierenRegeln laufend justieren, um Alarmmüdigkeit zu vermeiden.
Häufige Fehler
Logs ohne MonitoringEs wird protokolliert, aber niemand überwacht aktiv.
Alarme ignoriertZu viele Fehlalarme führen dazu, dass echte übersehen werden.
Häufig gestellte Fragen
Was unterscheidet A.8.16 von A.8.15?
A.8.15 erzeugt und schützt Logs, A.8.16 wertet sie aktiv aus und erkennt Anomalien.
Brauchen KMU ein SOC?
Nicht zwingend ein eigenes. Managed-Detection-Services oder ein MSP-SOC sind oft die praktikablere Lösung.
Was sind typische Monitoring-Use-Cases?
Etwa ungewöhnliche Anmeldungen, Rechteausweitungen, Massenzugriffe und bekannte Angriffsmuster.
So hilft CompliantDesk bei A.8.16
Über die Defender- und NinjaOne-Integrationen fließen Monitoring-Alerts automatisch als Vorfälle ein und werden samt Reaktion dokumentiert.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten