A.8 Technologische Maßnahmen
Überwachungsaktivitäten (Monitoring)
Netzwerke, Systeme und Anwendungen müssen auf anomales Verhalten überwacht werden, und es müssen geeignete Maßnahmen zur Bewertung möglicher Sicherheitsvorfälle ergriffen werden.
Was fordert dieses Control?
Netzwerke, Systeme und Anwendungen müssen auf anomales Verhalten überwacht werden, und es müssen geeignete Maßnahmen zur Bewertung möglicher Sicherheitsvorfälle ergriffen werden.
Warum ist das wichtig?
Monitoring verwandelt Logs in Erkenntnis. Die Erkennung von Anomalien ermöglicht eine frühzeitige Reaktion, bevor aus einem Ereignis ein großer Schaden wird.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| NIS2 | Art. 21 (2) | Direkt |
| TISAX | 5.2.8 | Direkt |
| BSI | DER.1 | Direkt |
Was der Auditor erwartet
- 1Überwachung auf anomales Verhalten
- 2Definierte Alarme und Reaktionswege
- 3Auswertung der Monitoring-Ergebnisse
Audit-Checkliste
Dokumente
Monitoring-Konzept
Was überwacht wird und wie auf Alarme reagiert wird
Nachweise
Alarm- und Reaktionsnachweise
Erkannte Anomalien und deren Bearbeitung
Interviews
Security-/IT-Team
Umgang mit Alarmen und Eskalation
Technisch
Monitoring-/SIEM-System
Aktive Überwachung mit Alarmierung
Praxis-Tipps zur Umsetzung
Use Cases definieren
Konkrete Erkennungsregeln für relevante Bedrohungen festlegen.
Alarme verarbeiten
Jeder Alarm braucht einen klaren Reaktions- und Eskalationsweg.
Fehlalarme reduzieren
Regeln laufend justieren, um Alarmmüdigkeit zu vermeiden.
Häufige Fehler
Logs ohne Monitoring
Es wird protokolliert, aber niemand überwacht aktiv.
Alarme ignoriert
Zu viele Fehlalarme führen dazu, dass echte übersehen werden.
Häufig gestellte Fragen
Was unterscheidet A.8.16 von A.8.15?
A.8.15 erzeugt und schützt Logs, A.8.16 wertet sie aktiv aus und erkennt Anomalien.
Brauchen KMU ein SOC?
Nicht zwingend ein eigenes. Managed-Detection-Services oder ein MSP-SOC sind oft die praktikablere Lösung.
Was sind typische Monitoring-Use-Cases?
Etwa ungewöhnliche Anmeldungen, Rechteausweitungen, Massenzugriffe und bekannte Angriffsmuster.
So hilft CompliantDesk bei A.8.16
Über die Defender- und NinjaOne-Integrationen fließen Monitoring-Alerts automatisch als Vorfälle ein und werden samt Reaktion dokumentiert.