ISO 27001:2022 · A.8.8 · A.8 Technologische Maßnahmen
Handhabung technischer Schwachstellen
Informationen über technische Schwachstellen der eingesetzten Systeme müssen beschafft werden, die Gefährdung der Organisation muss bewertet und geeignete Maßnahmen müssen ergriffen werden.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Informationen über technische Schwachstellen der eingesetzten Systeme müssen beschafft werden, die Gefährdung der Organisation muss bewertet und geeignete Maßnahmen müssen ergriffen werden.
Warum ist das wichtig?
Ungepatchte Schwachstellen sind das häufigste Einfallstor für Angriffe. Ein systematisches Schwachstellen- und Patchmanagement schließt diese Lücken zeitnah.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Schwachstellenmanagement | Direkt |
| TISAX | 5.2.6 | Schwachstellenmanagement | Direkt |
| BSI | OPS.1.1.3 | Patch- und Änderungsmanagement | Direkt |
Was der Auditor erwartet
- Prozess zur Erkennung und Bewertung von Schwachstellen
- Risikobasierte, zeitnahe Behebung (Patching)
- Nachverfolgung offener Schwachstellen
Audit-Checkliste
Dokumente
Schwachstellen-/Patchmanagement-ProzessErkennung, Bewertung, Fristen und Verantwortliche
Nachweise
Scan-Ergebnisse / PatchstandErkannte Schwachstellen und deren Behebung
Patch-Compliance-ReportAnteil fristgerecht eingespielter Patches je Kritikalität
Ausnahme-/RisikodokumentationBelegte Isolierung und Risikobewertung nicht patchbarer Altsysteme
Interviews
IT-BetriebWie kritische Patches priorisiert und eingespielt werden
Technisch
Vulnerability-ScannerRegelmäßige Scans und Abdeckung der Systeme
Praxis-Tipps zur Umsetzung
Fristen nach RisikoKritische Lücken in Tagen, weniger kritische in definierten Zeitfenstern schließen.
Quellen anzapfenCERT-Warnungen und Hersteller-Advisories systematisch auswerten (A.5.7).
Scans automatisierenRegelmäßige Vulnerability-Scans über die gesamte Landschaft.
Meldeweg anbietenFür eigene Produkte einen Kanal für externe Schwachstellenmeldungen bereitstellen (security.txt).
Häufige Fehler
Patches verschlepptBekannte kritische Lücken bleiben wochenlang offen.
Keine ÜbersichtSchwachstellen werden nicht zentral erfasst und nachverfolgt.
Häufig gestellte Fragen
Wie schnell muss man patchen?
Risikobasiert, kritische und aktiv ausgenutzte Schwachstellen so schnell wie möglich, idealerweise binnen weniger Tage.
Brauchen wir einen Schwachstellenscanner?
Für eine systematische Erkennung ja, ergänzt um die Auswertung von Hersteller- und CERT-Meldungen.
Was, wenn ein Patch nicht verfügbar ist?
Kompensierende Maßnahmen ergreifen, etwa Mitigation, Segmentierung oder erhöhte Überwachung.
So hilft CompliantDesk bei A.8.8
Über NinjaOne- und Defender-Integrationen fließen Schwachstellen-Alerts in Vorfälle und Maßnahmen, die im Gap-Tracker mit Frist verfolgt werden.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten