urn: urn:intuitem:risk:library:bs-it-gs-2023-ops-betrieb
locale: de
ref_id: bs-it-gs-2023-ops-betrieb
name: "IT-Grundschutz-Kompendium \u2013 Werkzeug f\xFCr Informationssicherheit - OPS:\
  \ Betrieb"
description: "Das IT-Grundschutz-Kompendium ist die grundlegende Ver\xF6ffentlichung\
  \ des IT-Grundschutzes. Zusammen mit den BSI-Standards bildet es die Basis f\xFC\
  r alle, die sich umfassend mit dem Thema Informationssicherheit befassen m\xF6chten."
copyright: Deutschland BSI
version: 1
publication_date: 2024-05-18
provider: BSI
packager: intuitem
objects:
  framework:
    urn: urn:intuitem:risk:framework:bs-it-gs-2023-ops-betrieb
    ref_id: bs-it-gs-2023-ops-betrieb
    name: "IT-Grundschutz-Kompendium \u2013 Werkzeug f\xFCr Informationssicherheit\
      \ - OPS: Betrieb"
    description: "Das IT-Grundschutz-Kompendium ist die grundlegende Ver\xF6ffentlichung\
      \ des IT-Grundschutzes. Zusammen mit den BSI-Standards bildet es die Basis f\xFC\
      r alle, die sich umfassend mit dem Thema Informationssicherheit befassen m\xF6\
      chten."
    implementation_groups_definition:
    - ref_id: B
      name: Basis
      description: null
    - ref_id: S
      name: Standard
      description: null
    - ref_id: E
      name: "Erh\xF6hter Schutzbedarf"
      description: null
    requirement_nodes:
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      assessable: false
      depth: 1
      ref_id: OPS.1.1.1
      name: 'Allgemeiner IT-Betrieb '
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A1
      name: "Festlegung der Aufgaben und Zust\xE4ndigkeiten des IT-Betriebs"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a1
      ref_id: OPS.1.1.1.A1.1
      description: "F\xFCr alle betriebenen IT-Komponenten MUSS festgelegt werden,\
        \ welche Aufgaben f\xFCr den IT-Betrieb anfallen und wer daf\xFCr zust\xE4\
        ndig ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a1
      ref_id: OPS.1.1.1.A1.2
      description: "Hierf\xFCr M\xDCSSEN die entsprechenden Rechte, Pflichten, Aufgaben\
        \ mit den hierf\xFCr erforderlichen T\xE4tigkeiten, Befugnisse und zugeh\xF6\
        rigen Prozesse geregelt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a1
      ref_id: OPS.1.1.1.A1.3
      description: "Weiterhin M\xDCSSEN die Schnittstellen und Meldewege sowie das\
        \ Eskalationsmanagement zwischen verschiedenen Betriebseinheiten und gegen\xFC\
        ber anderen organisatorischen Einheiten der Institution festgelegt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A2
      name: "Festlegung von Rollen und Berechtigungen f\xFCr den IT-Betrieb"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2
      ref_id: OPS.1.1.1.A2.1
      description: "F\xFCr alle betriebenen IT-Komponenten MUSS das jeweilige Rollen-\
        \ und Berechtigungskonzept auch Rollen und zugeh\xF6rige Berechtigungen f\xFC\
        r den IT-Betrieb festlegen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2
      ref_id: OPS.1.1.1.A2.2
      description: "F\xFCr die Betriebsmittel MUSS ebenfalls ein Rollen- und Berechtigungskonzept\
        \ erstellt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2
      ref_id: OPS.1.1.1.A2.3
      description: "Das Rollen- und Berechtigungskonzept f\xFCr den IT-Betrieb MUSS\
        \ die IT-Nutzung von IT-Betriebsaufgaben trennen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2
      ref_id: OPS.1.1.1.A2.4
      description: "Administrationsaufgaben und sonstige Betriebsaufgaben M\xDCSSEN\
        \ durch unterschiedliche Rollen getrennt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2
      ref_id: OPS.1.1.1.A2.5
      description: "Grunds\xE4tzlich SOLLTE der IT-Betrieb f\xFCr unterschiedliche\
        \ Betriebst\xE4tigkeiten unterschiedliche Rollen festlegen, die f\xFCr die\
        \ jeweiligen T\xE4tigkeiten die erforderlichen Berechtigungen besitzen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2
      ref_id: OPS.1.1.1.A2.6
      description: "Sammel-Accounts D\xDCRFEN NUR in begr\xFCndeten Ausnahmef\xE4\
        llen eingerichtet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2
      ref_id: OPS.1.1.1.A2.7
      description: "Die Rollen und Berechtigungen M\xDCSSEN regelm\xE4\xDFig gepr\xFC\
        ft und auf die aktuellen Gegebenheiten angepasst werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2
      ref_id: OPS.1.1.1.A2.8
      description: "Insbesondere M\xDCSSEN die Berechtigungen von ausgeschiedenem\
        \ Personal auf den IT-Komponenten entfernt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a2
      ref_id: OPS.1.1.1.A2.9
      description: "Ebenso M\xDCSSEN die Rollen und Berechtigungen gel\xF6scht werden,\
        \ wenn IT-Komponenten au\xDFer Betrieb genommenen werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A3
      name: "Erstellen von Betriebshandb\xFCchern f\xFCr die betriebene IT"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.1
      description: "F\xFCr alle betriebenen IT-Komponenten SOLLTEN die Betriebsaufgaben\
        \ geplant und in Betriebshandb\xFCchern erfasst werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.2
      description: "Die Betriebshandb\xFCcher SOLLTEN stets verf\xFCgbar sein und\
        \ mindestens die folgenden Themen adressieren:"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.3
      description: "\u2022 relevante System- und Kontaktinformationen"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.4
      description: "\u2022 erforderliche und zul\xE4ssige Betriebsmittel"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.5
      description: "\u2022 allgemeine Konfigurationsvorgaben"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.6
      description: "\u2022 Konfigurationsvorgaben zur H\xE4rtung von Spezialsystemen"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.7
      description: "\u2022 Rollen- und Berechtigungen"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.8
      description: "\u2022 IT-Monitoring, Protokollierung und Alarmierung"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.9
      description: "\u2022 Datensicherung und Notfallkonzepte"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.10
      description: "\u2022 IT Incident Management"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3.11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a3
      ref_id: OPS.1.1.1.A3.11
      description: "\u2022 Vorgaben f\xFCr alle regelm\xE4\xDFigen und au\xDFerplanm\xE4\
        \xDFigen T\xE4tigkeiten Die Betriebshandb\xFCcher SOLLTEN regelm\xE4\xDFig\
        \ und anlassbezogen gepr\xFCft und angepasst werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A4
      name: Bereitstellen ausreichender Personal- und Sachressourcen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4
      ref_id: OPS.1.1.1.A4.1
      description: "Der IT-Betrieb SOLLTE \xFCber ausreichende Personal-Ressourcen\
        \ verf\xFCgen, um einen ordnungsgem\xE4\xDFen IT-Betrieb gew\xE4hrleisten\
        \ zu k\xF6nnen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4
      ref_id: OPS.1.1.1.A4.2
      description: "Hierf\xFCr SOLLTE der Aufwand f\xFCr alle T\xE4tigkeiten des IT-Betriebs\
        \ ermittelt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4
      ref_id: OPS.1.1.1.A4.3
      description: "Die Personal-Ressourcen SOLLTEN mit angemessenen Redundanzen und\
        \ Reserven geplant werden und auch kurzfristige Personalausf\xE4lle sowie\
        \ tempor\xE4r erh\xF6hte Personalbedarfe ber\xFCcksichtigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4
      ref_id: OPS.1.1.1.A4.4
      description: Ebenfalls SOLLTEN geeignete Sach-Ressourcen bereitstehen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4
      ref_id: OPS.1.1.1.A4.5
      description: "Hierf\xFCr SOLLTE f\xFCr jede T\xE4tigkeit des IT-Betriebs identifiziert\
        \ werden, welche Betriebsmittel erforderlich sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a4
      ref_id: OPS.1.1.1.A4.6
      description: "Die Ressourcenplanung SOLLTE regelm\xE4\xDFig und anlassbezogen\
        \ \xFCberpr\xFCft und an die aktuellen Erfordernisse angepasst werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A5
      name: "Festlegen von geh\xE4rteten Standardkonfigurationen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5
      ref_id: OPS.1.1.1.A5.1
      description: "Der IT-Betrieb SOLLTE die betriebenen IT-Komponenten kategorisieren\
        \ und f\xFCr diese Kategorien geh\xE4rtete Standardkonfigurationen festlegen\
        \ und bereitstellen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5
      ref_id: OPS.1.1.1.A5.2
      description: "F\xFCr IT-Plattformen wie Virtualisierungshosts, auf denen weitere\
        \ IT-Komponenten bereitgestellt und betrieben werden, SOLLTE eine abgestimmte\
        \ H\xE4rtung entwickelt und umgesetzt werden, die alle Elemente der IT-Komponenten\
        \ ber\xFCcksichtigt."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5
      ref_id: OPS.1.1.1.A5.3
      description: "Hierbei SOLLTEN verschiedene Auspr\xE4gungen der IT-Komponenten\
        \ ber\xFCcksichtigt und erlaubte Abweichungen spezifiziert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5
      ref_id: OPS.1.1.1.A5.4
      description: "Die Konfigurationsvorgaben SOLLTEN die Sicherheitsanforderungen\
        \ der Institution umsetzen und die Empfehlungen der jeweiligen Herstellenden\
        \ ber\xFCcksichtigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5
      ref_id: OPS.1.1.1.A5.5
      description: "Die geh\xE4rteten Standard-Konfigurationen SOLLTEN in den jeweiligen\
        \ Betriebshandb\xFCchern dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5
      ref_id: OPS.1.1.1.A5.6
      description: Jede Standardkonfiguration SOLLTE vor Bereitstellung getestet werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5
      ref_id: OPS.1.1.1.A5.7
      description: "Die geh\xE4rteten Standardkonfigurationen SOLLTEN regelm\xE4\xDF\
        ig und anlassbezogen gepr\xFCft und gem\xE4\xDF der verf\xFCgbaren Informationen\
        \ an den aktuellen Stand der Technik angepasst werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a5
      ref_id: OPS.1.1.1.A5.8
      description: "Der IT-Betrieb SOLLTE gew\xE4hrleisten, dass die aktuellen Konfigurationsvorgaben\
        \ stets verf\xFCgbar sind und \xFCber eine Versionierung und eine Beschreibung\
        \ identifizierbar sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A6
      name: "Durchf\xFChrung des IT-Asset-Managements"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a6
      ref_id: OPS.1.1.1.A6.1
      description: "Der IT-Betrieb SOLLTE eine \xDCbersicht aller vorhandenen IT-Assets\
        \ erstellen, regelm\xE4\xDFig pr\xFCfen und aktuell halten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a6
      ref_id: OPS.1.1.1.A6.2
      description: Im IT-Asset-Management (ITAM) SOLLTEN alle produktiven IT-Komponenten,
        Test-Instanzen und IT-Komponenten der Reservevorhaltung erfasst werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a6
      ref_id: OPS.1.1.1.A6.3
      description: Auch vorhandene, aber nicht mehr genutzte IT-Assets SOLLTEN erfasst
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a6.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a6
      ref_id: OPS.1.1.1.A6.4
      description: "Es SOLLTEN ITAM-Tools eingesetzt werden, die eine zentrale Verwaltung\
        \ der IT-Assets erm\xF6glichen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A7
      name: "Sicherstellung eines ordnungsgem\xE4\xDFen IT-Betriebs"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.1
      description: "Der IT-Betrieb SOLLTE f\xFCr alle IT-Komponenten Betriebskonzepte\
        \ entwickeln."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.2
      description: "Diese Betriebskonzepte SOLLTEN regelm\xE4\xDFig gepr\xFCft und\
        \ angepasst werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.3
      description: Die sicherheitsrelevanten Vorgaben zur Konfiguration SOLLTEN umgesetzt
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.4
      description: "Daf\xFCr SOLLTEN die geh\xE4rteten Standard-Konfigurationen genutzt\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.5
      description: "Der IT-Betrieb SOLLTE f\xFCr alle T\xE4tigkeiten Pr\xFCfkriterien\
        \ festlegen, die in ihrer Gesamtheit als Leitfaden f\xFCr den ordnungsgem\xE4\
        \xDFen IT-Betrieb dienen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.6
      description: "Die Freigabe von installierten oder ge\xE4nderten IT-Komponenten\
        \ in den produktiven Betrieb SOLLTE \xFCber diese Pr\xFCfkriterien nachgewiesen\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.7
      description: "Bei Inbetriebnahme und nach Updates oder Umstrukturierungen SOLLTEN\
        \ Systemtests f\xFCr die IT-Komponenten durchgef\xFChrt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.8
      description: "Der IT-Betrieb SOLLTE festlegen, in welcher Umgebung die jeweiligen\
        \ Systemtests mit welcher Testabdeckung und Testtiefe durchgef\xFChrt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.9
      description: "Der IT-Betrieb SOLLTE Vorkehrungen f\xFCr die Ersatzbeschaffung\
        \ von IT-Komponenten treffen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.10
      description: "Hierf\xFCr SOLLTEN eine Reservevorhaltung oder Liefervertr\xE4\
        ge vorgesehen werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.11
      description: "Alle T\xE4tigkeiten des IT-Betriebs SOLLTEN umfassend und nachvollziehbar\
        \ erfasst werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.12
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.12
      description: "Hierf\xFCr SOLLTE der IT-Betrieb ein geeignetes Werkzeug wie ein\
        \ Ticketsystem nutzen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.13
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.13
      description: "Der IT-Betrieb SOLLTE insbesondere die Qualit\xE4t der Betriebsprozesse,\
        \ die Einhaltung von SLAs und die Zufriedenheit der Benutzenden systematisch\
        \ erfassen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7.14
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a7
      ref_id: OPS.1.1.1.A7.14
      description: "Es SOLLTEN regelm\xE4\xDFig Reports erstellt werden, die dem Nachweis\
        \ eines ordnungsgem\xE4\xDFen IT-Betriebs dienen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A8
      name: "Regelm\xE4\xDFiger Soll-Ist-Vergleich"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a8
      ref_id: OPS.1.1.1.A8.1
      description: "Der IT-Betrieb SOLLTE regelm\xE4\xDFig und anlassbezogen f\xFC\
        r alle betriebenen IT-Komponenten sowie f\xFCr die Betriebsmittel pr\xFCfen,\
        \ ob die aktuelle Konfiguration dem Sollzustand entspricht."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a8
      ref_id: OPS.1.1.1.A8.2
      description: "Dar\xFCber hinaus SOLLTE gepr\xFCft werden, ob die gelebten Prozesse\
        \ die festgelegten Prozesse des IT-Betriebs umsetzen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A9
      name: "Durchf\xFChrung von IT-Monitoring"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9
      ref_id: OPS.1.1.1.A9.1
      description: Alle IT-Komponenten SOLLTEN in ein einheitliches IT-Monitoring
        eingebunden werden, das alle relevanten Parameter der IT-Komponenten beinhaltet.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9
      ref_id: OPS.1.1.1.A9.2
      description: "Das IT-Monitoring SOLLTE mit dem \xFCbergeordneten Service-Management\
        \ abgestimmt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9
      ref_id: OPS.1.1.1.A9.3
      description: "Der IT-Betrieb SOLLTE das IT-Monitoring entsprechend eines vorher\
        \ festgelegten Monitoring-Plans durchf\xFChren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9
      ref_id: OPS.1.1.1.A9.4
      description: "Je IT-Komponente SOLLTEN angemessene Schwellwerte ermittelt werden,\
        \ die eine Meldung oder einen Alarm ausl\xF6sen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9
      ref_id: OPS.1.1.1.A9.5
      description: "Der IT-Betrieb SOLLTE f\xFCr das IT-Monitoring spezifizieren,\
        \ welche Meldewege genutzt werden und welche Konsequenzen aus den Meldungen\
        \ oder Alarmen gezogen werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9
      ref_id: OPS.1.1.1.A9.6
      description: "Auf Basis von Monitoring-Ergebnissen SOLLTE \xFCberpr\xFCft werden,\
        \ ob die Infrastruktur erweitert oder angepasst wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9
      ref_id: OPS.1.1.1.A9.7
      description: "\xDCber die gewonnenen Erkenntnisse SOLLTEN regelm\xE4\xDFig Reports\
        \ erstellt werden, die das aktuelle Lagebild der betriebenen IT und die zeitliche\
        \ Entwicklung sowie Trends darstellen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9
      ref_id: OPS.1.1.1.A9.8
      description: "Die Konzeption des IT-Monitorings SOLLTE regelm\xE4\xDFig und\
        \ anlassbezogen gepr\xFCft und aktualisiert werden, um dem aktuellen Stand\
        \ der Technik und der betriebenen Infrastruktur zu entsprechen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a9
      ref_id: OPS.1.1.1.A9.9
      description: "Die Monitoring-Daten SOLLTEN nur \xFCber sichere Kommunikationswege\
        \ \xFCbertragen werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A10
      name: "F\xFChren eines Schwachstelleninventars"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10
      ref_id: OPS.1.1.1.A10.1
      description: "Der IT-Betrieb SOLLTE ein Schwachstelleninventar f\xFChren, in\
        \ dem die Schwachstellen aller betriebenen IT-Komponenten und der Umgang mit\
        \ diesen zentral erfasst und gepflegt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10
      ref_id: OPS.1.1.1.A10.2
      description: Der IT-Betrieb SOLLTE die Behandlung der Schwachstellen initiieren,
        nachhalten und sicherstellen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10
      ref_id: OPS.1.1.1.A10.3
      description: Es SOLLTE ein Prozess definiert werden, der den Umgang mit den
        Schwachstellen festlegt.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10
      ref_id: OPS.1.1.1.A10.4
      description: Mindestens SOLLTE spezifiziert werden,
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10
      ref_id: OPS.1.1.1.A10.5
      description: "\u2022 bis wann ein verf\xFCgbares Update, in dem die Schwachstelle\
        \ behoben ist, zu installieren ist,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10
      ref_id: OPS.1.1.1.A10.6
      description: "\u2022 in welchen F\xE4llen und bis wann IT-Komponenten mit Schwachstellen\
        \ au\xDFer Betrieb genommen oder ersetzt werden und"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a10
      ref_id: OPS.1.1.1.A10.7
      description: "\u2022 ob und wie solche IT-Komponenten separiert werden, falls\
        \ weder ein Ersatz noch ein Update m\xF6glich ist."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A11
      name: Festlegung und Einhaltung von SLAs
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a11
      ref_id: OPS.1.1.1.A11.1
      description: "F\xFCr alle IT-Komponenten und alle T\xE4tigkeiten SOLLTE der\
        \ IT-Betrieb Service Level Agreements (SLAs) definieren und \xFCberwachen,\
        \ die dem Schutzbedarf der IT-Komponenten entsprechen und innerhalb der Institution\
        \ abgestimmt sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a11.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a11
      ref_id: OPS.1.1.1.A11.2
      description: "Die festgelegten SLAs SOLLTEN die Rollen und Berechtigungen sowie\
        \ eventuelle Abh\xE4ngigkeiten der jeweiligen T\xE4tigkeit von anderen Organisationseinheiten\
        \ ber\xFCcksichtigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A12
      name: Spezifikation und Umsetzung klarer Betriebsprozesse
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      ref_id: OPS.1.1.1.A12.1
      description: "Der IT-Betrieb SOLLTE f\xFCr alle Aufgaben Betriebsprozesse spezifizieren,\
        \ die f\xFCr die jeweilige Aufgabe alle T\xE4tigkeiten und Abh\xE4ngigkeiten\
        \ umfassen und gew\xE4hrleisten, dass die T\xE4tigkeiten des IT-Betriebs nachvollziehbar\
        \ sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      ref_id: OPS.1.1.1.A12.2
      description: "Es SOLLTE f\xFCr jeden Prozess festgelegt werden, wer den Prozess\
        \ initiieren darf und wer diesen umsetzt."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      ref_id: OPS.1.1.1.A12.3
      description: "F\xFCr jeden Prozess SOLLTEN die organisatorischen Schnittstellen\
        \ zu anderen Gruppen des IT-Betriebs oder anderen Organisationseinheiten spezifiziert\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      ref_id: OPS.1.1.1.A12.4
      description: "Das Personal des IT-Betriebs SOLLTE f\xFCr die relevanten Betriebsprozesse\
        \ eingewiesen werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      ref_id: OPS.1.1.1.A12.5
      description: Wenn Prozesse durchlaufen wurden, SOLLTE dies protokolliert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      ref_id: OPS.1.1.1.A12.6
      description: Das Ergebnis des Durchlaufs SOLLTE protokolliert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      ref_id: OPS.1.1.1.A12.7
      description: "F\xFCr jeden Prozessschritt SOLLTE festgelegt werden, ob dokumentiert\
        \ werden muss, dass er bearbeitet wurde."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      ref_id: OPS.1.1.1.A12.8
      description: "Dar\xFCber hinaus SOLLTE festgelegt werden, wann der Prozess erfolgreich\
        \ abgeschlossen ist."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      ref_id: OPS.1.1.1.A12.9
      description: "Der IT-Betrieb SOLLTE einen Prozess spezifizieren, der grunds\xE4\
        tzlich beschreibt, wie mit Situationen umzugehen ist, die nicht in den regul\xE4\
        ren Betriebsprozessen enthalten sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12.10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a12
      ref_id: OPS.1.1.1.A12.10
      description: Mindestens SOLLTEN Fallback-Prozesse definiert sein und beschrieben
        werden, wie bei fehlerhaftem oder manipuliertem Betrieb vorzugehen ist.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A13
      name: Absicherung der Betriebsmittel und der Dokumentation
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13
      ref_id: OPS.1.1.1.A13.1
      description: "Auf die Betriebsmittel, die Dokumentation und die Betriebshandb\xFC\
        cher SOLLTEN nur berechtigte Personen des IT-Betriebs zugreifen k\xF6nnen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13
      ref_id: OPS.1.1.1.A13.2
      description: "Der IT-Betrieb SOLLTE sicherstellen, dass die Betriebsmittel und\
        \ die Dokumentation zu jeder Zeit verf\xFCgbar sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13
      ref_id: OPS.1.1.1.A13.3
      description: "Falls die IT-Systeme und -Anwendungen der Betriebsmittel \xFC\
        ber die produktive Infrastruktur kommunizieren, SOLLTEN sichere Protokolle\
        \ verwendet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13
      ref_id: OPS.1.1.1.A13.4
      description: "Vertrauliche Daten SOLLTEN ausschlie\xDFlich \xFCber sichere Protokolle\
        \ \xFCbertragen werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a13
      ref_id: OPS.1.1.1.A13.5
      description: Die Betriebsmittel SOLLTEN in das Schwachstellenmanagement und
        das IT-Monitoring eingebunden werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A14
      name: "Ber\xFCcksichtigung der Betreibbarkeit bei Konzeption und Beschaffung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a14.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a14
      ref_id: OPS.1.1.1.A14.1
      description: "F\xFCr die IT-Komponenten SOLLTEN Anforderungen f\xFCr einen effizienten\
        \ und sicheren Betrieb bereits bei der Konzeption und der Beschaffung ber\xFC\
        cksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a14.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a14
      ref_id: OPS.1.1.1.A14.2
      description: "Hierf\xFCr SOLLTEN die Anforderungen des IT-Betriebs erhoben und\
        \ ber\xFCcksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a14.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a14
      ref_id: OPS.1.1.1.A14.3
      description: "Der IT-Betrieb SOLLTE dabei auch die Komplexit\xE4t der IT ber\xFC\
        cksichtigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A15
      name: Planung und Einsatz von Betriebsmitteln
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15
      ref_id: OPS.1.1.1.A15.1
      description: "Der IT-Betrieb SOLLTE f\xFCr alle IT-Komponenten die Betriebsmittel\
        \ bedarfsgerecht planen, beschaffen und einsetzen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15
      ref_id: OPS.1.1.1.A15.2
      description: Der IT-Betrieb SOLLTE die Anforderungen an die jeweiligen Betriebsmittel
        ermitteln und diese mit den anderen betroffenen Organisationseinheiten der
        Institution abstimmen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15
      ref_id: OPS.1.1.1.A15.3
      description: Die Netze, in denen die Betriebsmittel positioniert sind, SOLLTEN
        von den sonstigen Netzen der Institution mindestens logisch getrennt werden
        (siehe Baustein NET.1.1 Netzarchitektur und -design).
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15
      ref_id: OPS.1.1.1.A15.4
      description: "Das Netz f\xFCr die Betriebsmittel SOLLTE abh\xE4ngig von Sicherheitsrichtlinie\
        \ und Funktionsabh\xE4ngigkeiten weiter unterteilt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a15
      ref_id: OPS.1.1.1.A15.5
      description: "Als Basis f\xFCr die weitere Segmentierung SOLLTEN die unterschiedlichen\
        \ Betriebsgruppen und Zielsysteme verwendet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A16
      name: Schulung des Betriebspersonals
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16
      ref_id: OPS.1.1.1.A16.1
      description: "F\xFCr den IT-Betrieb SOLLTE durch einen Schulungsplan sichergestellt\
        \ werden, dass f\xFCr alle IT-Komponenten und Betriebsmittel jeweils mehrere\
        \ Personen die erforderlichen F\xE4higkeiten und Qualifikationen besitzen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16
      ref_id: OPS.1.1.1.A16.2
      description: "In den Schulungsma\xDFnahmen SOLLTEN insbesondere die folgenden\
        \ Themen adressiert werden:"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16
      ref_id: OPS.1.1.1.A16.3
      description: "\u2022 H\xE4rtung und Standard-Konfigurationen"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16
      ref_id: OPS.1.1.1.A16.4
      description: "\u2022 spezifische Sicherheitseinstellungen f\xFCr die betriebenen\
        \ IT-Komponenten und eingesetzten Betriebsmittel"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16
      ref_id: OPS.1.1.1.A16.5
      description: "\u2022 m\xF6gliche Interferenzen zwischen den genutzten Betriebsmitteln"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a16
      ref_id: OPS.1.1.1.A16.6
      description: "\u2022 Abh\xE4ngigkeiten und Schnittstellen der Prozesse des IT-Betriebs\
        \ Wenn neue IT-Komponenten beschafft werden, SOLLTE ein Budget f\xFCr entsprechende\
        \ Schulungsma\xDFnahmen des IT-Betriebs eingeplant werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A17
      name: "Planung des IT-Betriebs unter besonderer Ber\xFCcksichtigung von Mangel-\
        \ und Notsituationen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17
      ref_id: OPS.1.1.1.A17.1
      description: "Der IT-Betrieb SOLLTE f\xFCr die betriebenen IT-Komponenten definieren,\
        \ wann eine Mangel- oder eine Notsituation vorliegt."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17
      ref_id: OPS.1.1.1.A17.2
      description: "F\xFCr diese Situationen SOLLTE nach den Vorgaben des allgemeinen\
        \ Notfallmanagements festgelegt werden, welche IT-Komponenten vorrangig betrieben\
        \ werden oder f\xFCr einen Mindestbetrieb ben\xF6tigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17
      ref_id: OPS.1.1.1.A17.3
      description: 'Die Notfallplanung SOLLTE die folgenden Punkte beinhalten:'
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17
      ref_id: OPS.1.1.1.A17.4
      description: "\u2022 Disaster-Recovery-Plan"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17
      ref_id: OPS.1.1.1.A17.5
      description: "\u2022 Notfallhandbuch f\xFCr die IT-Komponenten unter Einbeziehung\
        \ der gesamten Infrastruktur"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a17
      ref_id: OPS.1.1.1.A17.6
      description: "\u2022 Umgang mit kritischen und l\xE4ngerfristigen betriebsbehindernden\
        \ St\xF6rungen"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a18
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A18
      name: Planung des Einsatzes von Dienstleistenden
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a18.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a18
      ref_id: OPS.1.1.1.A18.1
      description: "Der IT-Betrieb SOLLTE den Einsatz von Dienstleistenden koordinieren\
        \ und diese unter anderem \xFCber SLAs so steuern, dass die Dienstleistung\
        \ in ausreichendem Ma\xDFe erbracht wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a18.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a18
      ref_id: OPS.1.1.1.A18.2
      description: "Der Einsatz von verschiedenen Dienstleistenden SOLLTE aufeinander\
        \ abgestimmt werden, insbesondere falls diese f\xFCr den gleichen T\xE4tigkeitsbereich\
        \ vorgesehen sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a18.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a18
      ref_id: OPS.1.1.1.A18.3
      description: "F\xFCr solche Situationen SOLLTE jeweils eine eindeutige Kommunikationsschnittstelle\
        \ festgelegt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a18.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a18
      ref_id: OPS.1.1.1.A18.4
      description: "Der IT-Betrieb SOLLTE die Festlegungen zum Dienstleistendenmanagement\
        \ sowie die f\xFCr die Dienstleistenden vorgesehenen T\xE4tigkeiten festhalten,\
        \ regelm\xE4\xDFig pr\xFCfen und anpassen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A19
      name: "Regelungen f\xFCr Wartungs- und Reparaturarbeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19
      ref_id: OPS.1.1.1.A19.1
      description: "IT-Komponenten SOLLTEN regelm\xE4\xDFig gewartet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19
      ref_id: OPS.1.1.1.A19.2
      description: Es SOLLTE geregelt sein, welche Sicherheitsaspekte bei Wartungs-
        und Reparaturarbeiten zu beachten sind.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19
      ref_id: OPS.1.1.1.A19.3
      description: "Es SOLLTE festgelegt werden, wer f\xFCr die Wartung oder Reparatur\
        \ von IT-Komponenten zust\xE4ndig ist."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19
      ref_id: OPS.1.1.1.A19.4
      description: "Durchgef\xFChrte Wartungs- und Reparaturarbeiten SOLLTEN dokumentiert\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19
      ref_id: OPS.1.1.1.A19.5
      description: "Es SOLLTE sichergestellt werden, dass Wartungs- und Reparaturarbeiten,\
        \ die durch Dritte ausgef\xFChrt werden, mit den Beteiligten abgestimmt sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a19
      ref_id: OPS.1.1.1.A19.6
      description: "Es SOLLTEN interne Mitarbeitende des IT-Betriebs bestimmt werden,\
        \ die solche Arbeiten autorisieren, gegebenenfalls beobachten oder unterst\xFC\
        tzen und abnehmen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A20
      name: "Pr\xFCfen auf Schwachstellen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20
      ref_id: OPS.1.1.1.A20.1
      description: "Der IT-Betrieb SOLLTE regelm\xE4\xDFig Informationen \xFCber bekannt\
        \ gewordene Schwachstellen bez\xFCglich der IT-Plattformen, Firmware, Betriebssysteme,\
        \ eingesetzter IT-Anwendungen und Dienste einholen, diese f\xFCr die konkreten\
        \ Gegebenheiten analysieren und ber\xFCcksichtigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20
      ref_id: OPS.1.1.1.A20.2
      description: "Die IT-Komponenten SOLLTEN regelm\xE4\xDFig und anlassbezogen\
        \ auf Schwachstellen getestet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20
      ref_id: OPS.1.1.1.A20.3
      description: "F\xFCr jede IT-Komponente SOLLTEN die angemessene Test-Abdeckung,\
        \ -Tiefe und -Methode festgelegt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20
      ref_id: OPS.1.1.1.A20.4
      description: Die Tests und identifizierten Schwachstellen SOLLTEN nachvollziehbar
        erfasst werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20
      ref_id: OPS.1.1.1.A20.5
      description: "Die Schwachstellen SOLLTEN so schnell wie m\xF6glich behoben werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20
      ref_id: OPS.1.1.1.A20.6
      description: "Solange keine entsprechenden Patches zur Verf\xFCgung stehen,\
        \ M\xDCSSEN f\xFCr schwerwiegende Schwachstellen und Bedrohungen andere Ma\xDF\
        nahmen zum Schutz der IT-Komponente getroffen werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a20
      ref_id: OPS.1.1.1.A20.7
      description: "Falls dies f\xFCr eine IT-Komponente nicht m\xF6glich ist, SOLLTE\
        \ diese nicht weiter betrieben werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a21
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A21
      name: Einbinden der Betriebsmittel in das Sicherheitsmonitoring
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a21.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a21
      ref_id: OPS.1.1.1.A21.1
      description: Die IT-Systeme und -Anwendungen, die als Betriebsmittel genutzt
        werden, SOLLTEN in ein Sicherheitsmonitoring eingebunden werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a21.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a21
      ref_id: OPS.1.1.1.A21.2
      description: "Falls die Institution ein System zur zentralen Detektion und automatisierten\
        \ Echtzeit\xFCberpr\xFCfung von Ereignismeldungen einsetzt, SOLLTEN die Betriebsmittel\
        \ darin eingebunden werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a21.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a21
      ref_id: OPS.1.1.1.A21.3
      description: "Betriebsmittel wie IT-Management- und IT-Monitoring-Systeme SOLLTEN\
        \ als Datenquelle f\xFCr das Sicherheitsmonitoring genutzt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a22
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A22
      name: Automatisierte Tests auf Schwachstellen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a22.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a22
      ref_id: OPS.1.1.1.A22.1
      description: "Alle IT-Komponenten SOLLTEN regelm\xE4\xDFig und automatisiert\
        \ auf Schwachstellen getestet werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a22.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a22
      ref_id: OPS.1.1.1.A22.2
      description: Die Ergebnisse der Tests SOLLTEN automatisiert protokolliert und
        anderen Werkzeugen im Sicherheitsmonitoring bereitgestellt werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a22.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a22
      ref_id: OPS.1.1.1.A22.3
      description: Bei kritischen Schwachstellen SOLLTE eine automatisierte Alarmierung
        erfolgen.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a23
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A23
      name: "Durchf\xFChrung von Penetrationstests"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a23.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a23
      ref_id: OPS.1.1.1.A23.1
      description: "F\xFCr alle IT-Komponenten SOLLTEN Penetrationstests durchgef\xFC\
        hrt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a23.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a23
      ref_id: OPS.1.1.1.A23.2
      description: "Hierf\xFCr SOLLTE ein Konzept erstellt und umgesetzt werden, das\
        \ neben den zu verwendenden Testmethoden und Testtiefen auch die Erfolgskriterien\
        \ festlegt."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a24
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A24
      name: Umfassendes Protokollieren der Prozessschritte im IT-Betrieb
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a24.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a24
      ref_id: OPS.1.1.1.A24.1
      description: "F\xFCr die Betriebsprozesse SOLLTE jeder Prozessschritt nachvollziehbar\
        \ protokolliert werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a25
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A25
      name: Sicherstellen von autark funktionierenden Betriebsmitteln
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a25.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a25
      ref_id: OPS.1.1.1.A25.1
      description: "F\xFCr die Betriebsmittel SOLLTE sichergestellt werden, dass diese\
        \ auch bei \xE4u\xDFeren St\xF6rungen genutzt werden k\xF6nnen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a25.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a25
      ref_id: OPS.1.1.1.A25.2
      description: "Insbesondere SOLLTE eine ausgefallende Internet-Anbindung nicht\
        \ zu einer St\xF6rung der Betriebsmittel f\xFChren."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a25.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a25
      ref_id: OPS.1.1.1.A25.3
      description: "Die Betriebsmittel SOLLTEN so konfiguriert und verortet werden,\
        \ dass die Abh\xE4ngigkeiten zwischen den verschiedenen Betriebsmitteln minimiert\
        \ wird."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a25.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a25
      ref_id: OPS.1.1.1.A25.4
      description: "Es SOLLTE verhindert werden, dass der Ausfall eines Betriebsmittels\
        \ zu einer betriebsverhindernden St\xF6rung eines anderen Betriebsmittels\
        \ f\xFChrt."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a26
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1
      ref_id: OPS.1.1.1.A26
      name: Proaktive Instandhaltung im IT-Betrieb
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a26.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a26
      ref_id: OPS.1.1.1.A26.1
      description: "F\xFCr die IT-Systeme SOLLTE eine proaktive Instandhaltung durchgef\xFC\
        hrt werden, in der in festgelegten Intervallen vorbeugende Instandhaltungsma\xDF\
        nahmen durchgef\xFChrt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a26.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.1.a26
      ref_id: OPS.1.1.1.A26.2
      description: "Erg\xE4nzend zu der regelm\xE4\xDFigen Wartung und der proaktiven\
        \ Instandhaltung SOLLTE je IT-Komponente abgewogen werden, ob eine vorausschauende\
        \ Instandhaltung (engl. Predictive Maintenance) genutzt wird."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      assessable: false
      depth: 1
      ref_id: OPS.1.1.2
      name: "Ordnungsgem\xE4\xDFe IT-Administration"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A2
      name: Vertretungsregelungen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a2
      ref_id: OPS.1.1.2.A2.1
      description: "F\xFCr jede Administrationsaufgabe MUSS eine Vertretung benannt\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a2
      ref_id: OPS.1.1.2.A2.2
      description: "Die Vertretung MUSS \xFCber die notwendigen administrativen Berechtigungen\
        \ (organisatorisch und technisch) verf\xFCgen, um die T\xE4tigkeit durchf\xFC\
        hren zu k\xF6nnen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a2
      ref_id: OPS.1.1.2.A2.3
      description: "Eine benannte Vertretung MUSS \xFCber die im Kontext der Administrationsaufgabe\
        \ notwendigen Kenntnisse verf\xFCgen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a2
      ref_id: OPS.1.1.2.A2.4
      description: "Die Regelung der Vertretung MUSS Mangel- und Notfallsituationen\
        \ ber\xFCcksichtigen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A4
      name: "Beendigung der T\xE4tigkeit in der IT-Administration"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4
      ref_id: OPS.1.1.2.A4.1
      description: "Falls eine Person von Administrationsaufgaben entbunden wird,\
        \ M\xDCSSEN ihr alle damit zusammenh\xE4ngenden privilegierten Berechtigungen\
        \ auf organisatorischer und technischer Ebene entzogen werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4
      ref_id: OPS.1.1.2.A4.2
      description: "Insbesondere M\xDCSSEN pers\xF6nliche administrative Konten gesperrt\
        \ und Passw\xF6rter aller administrativer Konten ge\xE4ndert werden, die der\
        \ Person bekannt sind."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4
      ref_id: OPS.1.1.2.A4.3
      description: "Weiterhin M\xDCSSEN alle betroffenen Parteien darauf hingewiesen\
        \ werden, dass diese Person von den entsprechenden Aufgaben entbunden ist\
        \ und daher keine administrativen Berechtigungen mehr haben darf."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4
      ref_id: OPS.1.1.2.A4.4
      description: "Es MUSS geregelt werden unter welchen Rahmenbedingungen gepr\xFC\
        ft wird, ob sich zus\xE4tzliche nicht dokumentierte administrative Rechte\
        \ verschafft wurden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4
      ref_id: OPS.1.1.2.A4.5
      description: "Diese Pr\xFCfung SOLLTE insbesondere erfolgen, falls die Entscheidung\
        \ eine Person von Administrationsaufgaben zu entbinden nicht im Einvernehmen\
        \ mit der entsprechenden Person getroffen wurde."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a4
      ref_id: OPS.1.1.2.A4.6
      description: "Falls solche administrativen Rechte gefunden wurden, M\xDCSSEN\
        \ diese wieder entzogen werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A5
      name: "Nachweisbarkeit von administrativen T\xE4tigkeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5
      ref_id: OPS.1.1.2.A5.1
      description: "Administrative T\xE4tigkeiten M\xDCSSEN nachweisbar sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5
      ref_id: OPS.1.1.2.A5.2
      description: "Daf\xFCr MUSS mindestens festgehalten werden,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5
      ref_id: OPS.1.1.2.A5.3
      description: "\u2022 welche \xC4nderung bei einer T\xE4tigkeit durchgef\xFC\
        hrt wurde,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5
      ref_id: OPS.1.1.2.A5.4
      description: "\u2022 wer eine T\xE4tigkeit durchgef\xFChrt hat und"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5
      ref_id: OPS.1.1.2.A5.5
      description: "\u2022 wann eine T\xE4tigkeit durchgef\xFChrt wurde."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5
      ref_id: OPS.1.1.2.A5.6
      description: "Die Institution MUSS jederzeit nachweisen k\xF6nnen, welche Person\
        \ welche administrativen T\xE4tigkeiten durchgef\xFChrt hat."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5
      ref_id: OPS.1.1.2.A5.7
      description: "Dazu SOLLTEN alle Administrierenden \xFCber eine eigene Zugangskennung\
        \ verf\xFCgen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5
      ref_id: OPS.1.1.2.A5.8
      description: Auch Vertretungen von Administrierenden SOLLTEN eigene Zugangskennungen
        erhalten.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a5
      ref_id: OPS.1.1.2.A5.9
      description: "Jeder Anmeldevorgang (Login) \xFCber eine Administrationskennung\
        \ MUSS protokolliert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A6
      name: "Schutz administrativer T\xE4tigkeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a6
      ref_id: OPS.1.1.2.A6.1
      description: "Administrative Schnittstellen und Funktionen D\xDCRFEN NUR berechtigten\
        \ Personen zur Verf\xFCgung stehen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a6
      ref_id: OPS.1.1.2.A6.2
      description: "F\xFCr diese Schnittstellen und Funktionen M\xDCSSEN geeignete\
        \ Verfahren zur Authentisierung festgelegt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a6
      ref_id: OPS.1.1.2.A6.3
      description: "Es MUSS sichergestellt sein, dass IT-Administrationst\xE4tigkeiten\
        \ nur durchgef\xFChrt werden k\xF6nnen, falls vorher eine dementsprechende\
        \ Authentisierung erfolgt ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a6.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a6
      ref_id: OPS.1.1.2.A6.4
      description: "Es MUSS festgelegt werden, welche Protokolle f\xFCr Administrationsschnittstellen\
        \ verwendet werden d\xFCrfen, so dass die bei der Administration stattfindende\
        \ Kommunikation abgesichert ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A7
      name: "Regelung der IT-Administrationst\xE4tigkeit"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7
      ref_id: OPS.1.1.2.A7.1
      description: "Jede IT-Administrationst\xE4tigkeit SOLLTE einer klar definierten\
        \ Aufgabe zugeordnet sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7
      ref_id: OPS.1.1.2.A7.2
      description: "F\xFCr diese Aufgaben SOLLTE geregelt werden,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7
      ref_id: OPS.1.1.2.A7.3
      description: "\u2022 durch wen diese Aufgabe ausgef\xFChrt werden darf und"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7
      ref_id: OPS.1.1.2.A7.4
      description: "\u2022 durch wen diese Aufgabe beauftragt werden darf."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7
      ref_id: OPS.1.1.2.A7.5
      description: "Es SOLLTE nachvollziehbar sein, in welchen Prozessen sich Administrationsaufgaben\
        \ einf\xFCgen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7
      ref_id: OPS.1.1.2.A7.6
      description: "IT-Administrationst\xE4tigkeiten SOLLTEN nur mit denjenigen Berechtigungen\
        \ durchgef\xFChrt werden, die zur Erf\xFCllung der entsprechenden Aufgabe\
        \ notwendig sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7
      ref_id: OPS.1.1.2.A7.7
      description: "Es SOLLTE festgelegt werden, wie IT-Administrationst\xE4tigkeiten\
        \ auszuf\xFChren sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7
      ref_id: OPS.1.1.2.A7.8
      description: "Die Regelungen f\xFCr IT-Administrationst\xE4tigkeiten SOLLTEN\
        \ regelm\xE4\xDFig und anlassbezogen \xFCberpr\xFCft und aktualisiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a7
      ref_id: OPS.1.1.2.A7.9
      description: "F\xFCr jede IT-Administrationst\xE4tigkeit SOLLTE sichergestellt\
        \ werden, dass diese bei Bedarf auch im Notfall ausgef\xFChrt werden kann."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A8
      name: Administration von Fachanwendungen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a8
      ref_id: OPS.1.1.2.A8.1
      description: "Es SOLLTE geregelt und dokumentiert werden, welche Administrationsaufgaben\
        \ f\xFCr Fachanwendungen vom IT-Betrieb und welche durch die Fachadministration\
        \ durchgef\xFChrt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a8
      ref_id: OPS.1.1.2.A8.2
      description: "F\xFCr Fachanwendungen SOLLTE identifiziert werden, welche Zugriffe\
        \ der IT-Betrieb auf Systemebene ben\xF6tigt."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a8.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a8
      ref_id: OPS.1.1.2.A8.3
      description: "Alle Schnittstellen und Abh\xE4ngigkeiten zwischen der Fachadministration\
        \ und der Administration durch den IT-Betrieb SOLLTEN identifiziert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a8.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a8
      ref_id: OPS.1.1.2.A8.4
      description: "Immer wenn Administrationsprozesse erstellt und gepflegt werden,\
        \ SOLLTEN die Zust\xE4ndigkeiten und Abh\xE4ngigkeiten dieser Schnittstellen\
        \ ber\xFCcksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A11
      name: "Dokumentation von IT-Administrationst\xE4tigkeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.1
      description: "Durchgef\xFChrte IT-Administrationst\xE4tigkeiten SOLLTEN nachvollziehbar\
        \ dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.2
      description: "Es SOLLTE gepr\xFCft werden, welche grunds\xE4tzlichen Anforderungen\
        \ an die Dokumentation der IT-Administrationst\xE4tigkeiten existieren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.3
      description: Es SOLLTE identifiziert werden, welche Ziele mit der Dokumentation
        erreicht werden sollen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.4
      description: Aufgrund dieser Anforderungen und Ziele SOLLTE verbindlich festgelegt
        werden, welche Schritte in welchem Detailierungsgrad dokumentiert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.5
      description: Aus der Dokumentation SOLLTE mindestens hervorgehen,
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.6
      description: "\u2022 welche \xC4nderungen erfolgten,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.7
      description: "\u2022 wann die \xC4nderungen erfolgten,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.8
      description: "\u2022 wer die \xC4nderungen durchgef\xFChrt hat,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.9
      description: "\u2022 auf welcher Grundlage bzw. aus welchem Anlass die \xC4\
        nderungen erfolgt sind und"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.10
      description: "\u2022 inwiefern und aus welchem Grund gegebenenfalls von vorgegebenen\
        \ Standards oder Konfigurationen abgewichen wurde."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.11
      description: "Dokumentation im Kontext einer IT-Administrationst\xE4tigkeit\
        \ SOLLTE in Standard-Arbeitsabl\xE4ufen enthalten sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.12
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.12
      description: "Es SOLLTE geregelt werden, welche M\xF6glichkeiten zu nutzen sind,\
        \ falls IT-Administrationst\xE4tigkeiten au\xDFerplanm\xE4\xDFig durchgef\xFC\
        hrt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.13
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.13
      description: "Es SOLLTE identifiziert werden, unter welchen Umst\xE4nden ein\
        \ Zugriff auf die Dokumentation notwendig ist."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11.14
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a11
      ref_id: OPS.1.1.2.A11.14
      description: "Der Zugriff SOLLTE dementsprechend gew\xE4hrleistet sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a16
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A16
      name: "Erweiterte Sicherheitsma\xDFnahmen f\xFCr Administrationszug\xE4nge"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a16.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a16
      ref_id: OPS.1.1.2.A16.1
      description: "Der Zugang zu administrativen Oberfl\xE4chen und Schnittstellen\
        \ SOLLTE auf IT-Systeme, die zur IT-Administration verwendet werden, beschr\xE4\
        nkt sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a16.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a16
      ref_id: OPS.1.1.2.A16.2
      description: "Daher SOLLTEN Netze, die zur IT-Administration verwendet werden,\
        \ durch Filter- und Segmentierungsma\xDFnahmen von produktiven Netzen zu administrierender\
        \ Komponenten getrennt werden (Out-of-Band-Management)."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a16.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a16
      ref_id: OPS.1.1.2.A16.3
      description: "Wo kein Out-of-Band-Management m\xF6glich ist, SOLLTEN Software-Schnittstellen\
        \ und physische Schnittstellen zur IT-Administration durch zus\xE4tzliche\
        \ Ma\xDFnahmen abgesichert werden und nur f\xFCr Personen erreichbar sein,\
        \ die f\xFCr deren Nutzung berechtigt sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a16.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a16
      ref_id: OPS.1.1.2.A16.4
      description: Hierzu SOLLTE eine Zwei-Faktor-Authentisierung verwendet werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a17
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A17
      name: IT-Administration im Vier-Augen-Prinzip
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a17.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a17
      ref_id: OPS.1.1.2.A17.1
      description: "Es SOLLTE geregelt werden, welche Administrationsaufgaben eine\
        \ zus\xE4tzliche Person erfordern, die die Ausf\xFChrung \xFCberwacht."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a17.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a17
      ref_id: OPS.1.1.2.A17.2
      description: "Diese Person SOLLTE im Kontext der durchzuf\xFChrenden IT-Administrationst\xE4\
        tigkeiten auch \xFCber die zur Ausf\xFChrung notwendigen Qualifikationen verf\xFC\
        gen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a18
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A18
      name: "Durchg\xE4ngige Protokollierung administrativer T\xE4tigkeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a18.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a18
      ref_id: OPS.1.1.2.A18.1
      description: "Bei IT-Komponenten mit hohem Schutzbedarf SOLLTEN alle administrativen\
        \ T\xE4tigkeiten in s\xE4mtlichen Bereichen protokolliert werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a18.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a18
      ref_id: OPS.1.1.2.A18.2
      description: "Dabei SOLLTE jede administrative Aktion vollst\xE4ndig nachvollzogen\
        \ werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a18.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a18
      ref_id: OPS.1.1.2.A18.3
      description: "Die ausf\xFChrenden Administrierenden SOLLTEN keinen Einfluss\
        \ auf Art und Umfang der Protokollierung nehmen k\xF6nnen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a19
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A19
      name: "Nutzung hochverf\xFCgbarer IT-Administrationswerkzeuge"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a19.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a19
      ref_id: OPS.1.1.2.A19.1
      description: Administrationswerkzeuge SOLLTEN redundant ausgelegt werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a19.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a19
      ref_id: OPS.1.1.2.A19.2
      description: "Es SOLLTE sichergestellt werden, dass im St\xF6rungsfall weiterhin\
        \ alle Administrationsaufgaben ohne wesentliche Einschr\xE4nkungen ausgef\xFC\
        hrt werden k\xF6nnen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a21
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A21
      name: Regelung der IT-Administrationsrollen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a21.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a21
      ref_id: OPS.1.1.2.A21.1
      description: "Es M\xDCSSEN Rollen definiert werden, die ausschlie\xDFlich zur\
        \ IT-Administration vergeben werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a21.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a21
      ref_id: OPS.1.1.2.A21.2
      description: "Administrationsrollen M\xDCSSEN aufgrund des tats\xE4chlichen\
        \ Bedarfs im Aufgabenbereich der IT-Administration nachvollziehbar vergeben\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a21.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a21
      ref_id: OPS.1.1.2.A21.3
      description: "Alle notwendigen IT-Administrationst\xE4tigkeiten M\xDCSSEN durch\
        \ Berechtigungen in den Administrationsrollen nach dem Minimalprinzip abgedeckt\
        \ sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a21.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a21
      ref_id: OPS.1.1.2.A21.4
      description: "Die IT-Administration unterschiedlicher Ebenen der IT-Komponenten,\
        \ z. B. die Trennung von Betriebssystem- und Anwendungsadministration, MUSS\
        \ bei der Konzeption der Administrationsrollen ber\xFCcksichtigt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A22
      name: "Trennung von administrativen und anderen T\xE4tigkeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22
      ref_id: OPS.1.1.2.A22.1
      description: "Die durchf\xFChrende Person MUSS wissen, bei welchem Teil ihrer\
        \ Aufgabe es sich um administrative T\xE4tigkeiten handelt."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22
      ref_id: OPS.1.1.2.A22.2
      description: "Aufgaben, die keine Administrationsrechte ben\xF6tigen, D\xDC\
        RFEN NICHT mit Administrationsrechten ausgef\xFChrt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22
      ref_id: OPS.1.1.2.A22.3
      description: Es MUSS sichergestellt werden, dass Administrationswerkzeuge klar
        als solche erkennbar sind.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22
      ref_id: OPS.1.1.2.A22.4
      description: "Wenn eine Anwendung zur Erf\xFCllung einer Administrationsaufgabe\
        \ benutzt wird, DARF NICHT dieselbe Instanz dieser Anwendung f\xFCr andere\
        \ Aufgaben verwendet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22
      ref_id: OPS.1.1.2.A22.5
      description: Dies SOLLTE auf technischer Ebene sichergestellt werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a22
      ref_id: OPS.1.1.2.A22.6
      description: Die Zugangskennungen, die zur IT-Administration genutzt werden,
        SOLLTEN sich von Zugangskennungen unterscheiden, die in anderem Kontext genutzt
        werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A23
      name: "Rollen- und Berechtigungskonzept f\xFCr administrative Zugriffe"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23
      ref_id: OPS.1.1.2.A23.1
      description: "Es SOLLTE ein angemessenes Rollen- und Berechtigungskonzept f\xFC\
        r administrative Zugriffe existieren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23
      ref_id: OPS.1.1.2.A23.2
      description: "Darin SOLLTEN grunds\xE4tzliche Vorgaben gemacht werden, mindestens\
        \ dar\xFCber,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23
      ref_id: OPS.1.1.2.A23.3
      description: "\u2022 wie Administrationsrollen beantragt und zugewiesen werden,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23
      ref_id: OPS.1.1.2.A23.4
      description: "\u2022 welche Arten von Administrationsrollen existieren,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23
      ref_id: OPS.1.1.2.A23.5
      description: "\u2022 welche Arten von Berechtigungen im Kontext der Administrationsrollen\
        \ vergeben werden,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a23
      ref_id: OPS.1.1.2.A23.6
      description: "\u2022 wie f\xFCr die IT-Administration notwendige Berechtigungen\
        \ vergeben werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A24
      name: "Pr\xFCfen von IT-Administrationst\xE4tigkeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24
      ref_id: OPS.1.1.2.A24.1
      description: "Bevor eine IT-Administrationst\xE4tigkeit durchgef\xFChrt wird,\
        \ SOLLTE gepr\xFCft werden, ob der Anlass und die Art der T\xE4tigkeit im\
        \ Kontext der zugrundeliegenden Aufgabe plausibel sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24
      ref_id: OPS.1.1.2.A24.2
      description: "Nachdem eine IT-Administrationst\xE4tigkeit an einer Komponente\
        \ durchgef\xFChrt wurde, SOLLTE gepr\xFCft werden, ob die Konfiguration und\
        \ der Status der Komponente dem gew\xFCnschten Zielzustand entspricht."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24
      ref_id: OPS.1.1.2.A24.3
      description: "Falls eine zus\xE4tzliche Qualit\xE4tssicherung der ausgef\xFC\
        hrten Administrationsaufgabe notwendig ist, SOLLTE diese nicht durch dieselbe\
        \ Person durchgef\xFChrt werden, die die entsprechenden T\xE4tigkeiten durchgef\xFC\
        hrt hat."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24
      ref_id: OPS.1.1.2.A24.4
      description: "F\xFCr IT-Administrationst\xE4tigkeiten mit potenziell weitreichenden\
        \ Folgen SOLLTE gepr\xFCft werden, ob diese T\xE4tigkeiten die Verf\xFCgbarkeit\
        \ der IT-Administration selbst einschr\xE4nken k\xF6nnten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a24
      ref_id: OPS.1.1.2.A24.5
      description: "In diesem Fall SOLLTEN entsprechende Vorkehrungen getroffen werden,\
        \ um einen Rollback der IT-Administrationst\xE4tigkeiten zu erm\xF6glichen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a25
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A25
      name: "Zeitfenster f\xFCr schwerwiegende IT-Administrationst\xE4tigkeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a25.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a25
      ref_id: OPS.1.1.2.A25.1
      description: "F\xFCr IT-Administrationst\xE4tigkeiten mit potenziell weitreichenden\
        \ Folgen SOLLTEN durch den IT-Betrieb Wartungsfenster abgestimmt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a25.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a25
      ref_id: OPS.1.1.2.A25.2
      description: "Falls der IT-Betrieb f\xFCr IT-Administrationst\xE4tigkeiten Vorgaben\
        \ zu Zeitfenstern macht, M\xDCSSEN diese eingehalten werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a26
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A26
      name: Backup der Konfiguration
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a26.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a26
      ref_id: OPS.1.1.2.A26.1
      description: "Alle Konfigurationen SOLLTEN durch regelm\xE4\xDFige Backups auf\
        \ Anwendungsebene und auf IT-Systemebene gesichert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a26.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a26
      ref_id: OPS.1.1.2.A26.2
      description: "Vor IT-Administrationst\xE4tigkeiten mit potenziell weitreichenden\
        \ Folgen SOLLTE ein zus\xE4tzliches Backup gemacht werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a26.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a26
      ref_id: OPS.1.1.2.A26.3
      description: "F\xFCr Backups SOLLTE gew\xE4hrleistet sein, dass sie im Fehlerfall\
        \ wieder eingespielt werden k\xF6nnen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a27
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A27
      name: "Ersatz f\xFCr zentrale IT-Administrationswerkzeuge"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a27.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a27
      ref_id: OPS.1.1.2.A27.1
      description: "F\xFCr zentrale IT-Administrationswerkzeuge SOLLTEN Alternativen\
        \ zur Verf\xFCgung stehen, mit denen im Bedarfsfall administriert werden kann."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a27.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a27
      ref_id: OPS.1.1.2.A27.2
      description: "Hierzu SOLLTEN Sprungsysteme mit Zugriff auf entsprechende Administrationsnetze\
        \ zur Verf\xFCgung stehen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a27.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a27
      ref_id: OPS.1.1.2.A27.3
      description: "Falls solche Alternativen nicht zur Verf\xFCgung stehen, SOLLTE\
        \ zur IT-Administration der Zugang und der direkte Zugriff auf die zu administrierende\
        \ IT m\xF6glich sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a28
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A28
      name: "Protokollierung administrativer T\xE4tigkeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a28.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a28
      ref_id: OPS.1.1.2.A28.1
      description: "Administrative T\xE4tigkeiten SOLLTEN protokolliert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a28.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a28
      ref_id: OPS.1.1.2.A28.2
      description: "Die Protokolldateien SOLLTEN f\xFCr eine angemessene Zeitdauer\
        \ gesch\xFCtzt aufbewahrt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a28.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a28
      ref_id: OPS.1.1.2.A28.3
      description: "Die ausf\xFChrenden Administrierenden SOLLTEN keine M\xF6glichkeiten\
        \ haben, die aufgezeichneten Protokolldateien zu ver\xE4ndern oder zu l\xF6\
        schen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a28.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a28
      ref_id: OPS.1.1.2.A28.4
      description: "Protokolldaten SOLLTEN regelm\xE4\xDFig gepr\xFCft werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a29
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A29
      name: Monitoring der IT-Administrationswerkzeuge
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a29.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a29
      ref_id: OPS.1.1.2.A29.1
      description: "F\xFCr IT-Administrationswerkzeuge SOLLTEN Kenngr\xF6\xDFen zur\
        \ Verf\xFCgbarkeit identifiziert werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a29.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a29
      ref_id: OPS.1.1.2.A29.2
      description: "Diese Kenngr\xF6\xDFen SOLLTEN kontinuierlich \xFCberwacht werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a29.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a29
      ref_id: OPS.1.1.2.A29.3
      description: "Es SOLLTEN tolerierbare Grenzwerte dieser Kenngr\xF6\xDFen festgelegt\
        \ werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a29.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a29
      ref_id: OPS.1.1.2.A29.4
      description: "Werden diese nicht eingehalten, SOLLTEN die zust\xE4ndigen Teams\
        \ automatisch benachrichtigt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a30
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2
      ref_id: OPS.1.1.2.A30
      name: "Sicherheitsmonitoring administrativer T\xE4tigkeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a30.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a30
      ref_id: OPS.1.1.2.A30.1
      description: "Falls ein IT-System zur zentralen Detektion und automatisierten\
        \ Echtzeit\xFCberpr\xFCfung von Ereignismeldungen genutzt wird, SOLLTEN dort\
        \ Ereignisdaten zu administrativen T\xE4tigkeiten ausgewertet werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a30.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.2.a30
      ref_id: OPS.1.1.2.A30.2
      description: Hierzu SOLLTEN bestehende Monitoring-Systeme der IT sowie kritische
        Administrationswerkzeuge in dieses IT-System eingebunden werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      assessable: false
      depth: 1
      ref_id: OPS.1.1.3
      name: "Patch- und \xC4nderungsmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A1
      name: "Konzept f\xFCr das Patch- und \xC4nderungsmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1
      ref_id: OPS.1.1.3.A1.1
      description: "Wenn IT-Komponenten, Software oder Konfigurationsdaten ge\xE4\
        ndert werden, MUSS es daf\xFCr Vorgaben geben, die auch Sicherheitsaspekte\
        \ ber\xFCcksichtigen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1
      ref_id: OPS.1.1.3.A1.2
      description: "Diese M\xDCSSEN in einem Konzept f\xFCr das Patch- und \xC4nderungsmanagement\
        \ festgehalten und befolgt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1
      ref_id: OPS.1.1.3.A1.3
      description: "Alle Patches und \xC4nderungen M\xDCSSEN geeignet geplant, genehmigt\
        \ und dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1
      ref_id: OPS.1.1.3.A1.4
      description: "Patches und \xC4nderungen SOLLTEN vorab geeignet getestet werden\
        \ (siehe hierzu auch OPS.1.1.6 Software-Tests und Freigaben)."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1
      ref_id: OPS.1.1.3.A1.5
      description: "Wenn Patches installiert und \xC4nderungen durchgef\xFChrt werden,\
        \ M\xDCSSEN R\xFCckfall-L\xF6sungen vorhanden sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1
      ref_id: OPS.1.1.3.A1.6
      description: "Bei gr\xF6\xDFeren \xC4nderungen MUSS zudem der oder die ISB beteiligt\
        \ sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1
      ref_id: OPS.1.1.3.A1.7
      description: "Insgesamt MUSS sichergestellt werden, dass das angestrebte Sicherheitsniveau\
        \ w\xE4hrend und nach den \xC4nderungen erhalten bleibt."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a1
      ref_id: OPS.1.1.3.A1.8
      description: "Insbesondere SOLLTEN auch die gew\xFCnschten Sicherheitseinstellungen\
        \ erhalten bleiben."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A2
      name: "Festlegung der Zust\xE4ndigkeiten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a2
      ref_id: OPS.1.1.3.A2.1
      description: "F\xFCr alle Organisationsbereiche M\xDCSSEN Zust\xE4ndige f\xFC\
        r das Patch- und \xC4nderungsmanagement festgelegt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a2
      ref_id: OPS.1.1.3.A2.2
      description: "Die definierten Zust\xE4ndigkeiten M\xDCSSEN sich auch im Berechtigungskonzept\
        \ widerspiegeln."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A3
      name: Konfiguration von Autoupdate-Mechanismen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a3
      ref_id: OPS.1.1.3.A3.1
      description: "Innerhalb der Strategie zum Patch- und \xC4nderungsmanagement\
        \ MUSS definiert werden, wie mit integrierten Update-Mechanismen (Autoupdate)\
        \ der eingesetzten Software umzugehen ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a3
      ref_id: OPS.1.1.3.A3.2
      description: Insbesondere MUSS festgelegt werden, wie diese Mechanismen abgesichert
        und passend konfiguriert werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a3
      ref_id: OPS.1.1.3.A3.3
      description: "Au\xDFerdem SOLLTEN neue Komponenten daraufhin \xFCberpr\xFCft\
        \ werden, welche Update-Mechanismen sie haben."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A5
      name: "Umgang mit \xC4nderungsanforderungen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a5
      ref_id: OPS.1.1.3.A5.1
      description: "Alle \xC4nderungsanforderungen (Request for Changes, RfCs) SOLLTEN\
        \ erfasst und dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a5
      ref_id: OPS.1.1.3.A5.2
      description: "Die \xC4nderungsanforderungen SOLLTEN von den jeweiligen Fachverantwortlichen\
        \ f\xFCr das Patch- und \xC4nderungsmanagement daraufhin kontrolliert werden,\
        \ ob die Aspekte der Informationssicherheit ausreichend ber\xFCcksichtigt\
        \ wurden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A6
      name: "Abstimmung von \xC4nderungsanforderungen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a6
      ref_id: OPS.1.1.3.A6.1
      description: "Der zu einer \xC4nderung zugeh\xF6rige Abstimmungsprozess SOLLTE\
        \ alle relevanten Zielgruppen und die Auswirkungen auf die Informationssicherheit\
        \ ber\xFCcksichtigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a6
      ref_id: OPS.1.1.3.A6.2
      description: "Die von der \xC4nderung betroffenen Zielgruppen SOLLTEN sich nachweisbar\
        \ dazu \xE4u\xDFern k\xF6nnen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a6
      ref_id: OPS.1.1.3.A6.3
      description: "Auch SOLLTE es ein festgelegtes Verfahren geben, wodurch wichtige\
        \ \xC4nderungsanforderungen beschleunigt werden k\xF6nnen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A7
      name: "Integration des \xC4nderungsmanagements in die Gesch\xE4ftsprozesse"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7
      ref_id: OPS.1.1.3.A7.1
      description: "Der \xC4nderungsmanagementprozess SOLLTE in die Gesch\xE4ftsprozesse\
        \ beziehungsweise Fachaufgaben integriert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7
      ref_id: OPS.1.1.3.A7.2
      description: "Bei geplanten \xC4nderungen SOLLTE die aktuelle Situation der\
        \ davon betroffenen Gesch\xE4ftsprozesse ber\xFCcksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7
      ref_id: OPS.1.1.3.A7.3
      description: "Alle relevanten Fachabteilungen SOLLTEN \xFCber anstehende \xC4\
        nderungen informiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7
      ref_id: OPS.1.1.3.A7.4
      description: "Auch SOLLTE es eine Eskalationsebene geben, deren Mitglieder der\
        \ Leitungsebene der Institution angeh\xF6ren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a7
      ref_id: OPS.1.1.3.A7.5
      description: "Die Mitglieder dieser Eskalationsebene SOLLTEN in Zweifelsf\xE4\
        llen \xFCber Priorit\xE4t und Terminplanung einer Hard- oder Software-\xC4\
        nderung entscheiden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A8
      name: "Sicherer Einsatz von Werkzeugen f\xFCr das Patch- und \xC4nderungsmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a8
      ref_id: OPS.1.1.3.A8.1
      description: "Anforderungen und Rahmenbedingungen SOLLTEN definiert werden,\
        \ nach denen Werkzeuge f\xFCr das Patch- und \xC4nderungsmanagement ausgew\xE4\
        hlt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a8
      ref_id: OPS.1.1.3.A8.2
      description: "Au\xDFerdem SOLLTE eine spezifische Sicherheitsrichtlinie f\xFC\
        r die eingesetzten Werkzeuge erstellt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A9
      name: "Test- und Abnahmeverfahren f\xFCr neue Hardware"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9
      ref_id: OPS.1.1.3.A9.1
      description: "Wenn neue Hardware ausgew\xE4hlt wird, SOLLTE gepr\xFCft werden,\
        \ ob die eingesetzte Software und insbesondere die relevanten Betriebssysteme\
        \ mit der Hardware und deren Treibersoftware kompatibel sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9
      ref_id: OPS.1.1.3.A9.2
      description: Neue Hardware SOLLTE getestet werden, bevor sie eingesetzt wird.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9
      ref_id: OPS.1.1.3.A9.3
      description: "Diese SOLLTE ausschlie\xDFlich in einer isolierten Umgebung getestet\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9
      ref_id: OPS.1.1.3.A9.4
      description: "F\xFCr IT-Systeme SOLLTE es ein Abnahmeverfahren und eine Freigabeerkl\xE4\
        rung geben."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9
      ref_id: OPS.1.1.3.A9.5
      description: "Die Zust\xE4ndigen SOLLTEN die Freigabeerkl\xE4rungen an geeigneter\
        \ Stelle schriftlich hinterlegen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a9
      ref_id: OPS.1.1.3.A9.6
      description: "F\xFCr den Fall, dass trotz der Abnahme- und Freigabeverfahren\
        \ im laufenden Betrieb Fehler festgestellt werden, SOLLTE es ein Verfahren\
        \ zur Fehlerbehebung geben."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A10
      name: "Sicherstellung der Integrit\xE4t und Authentizit\xE4t von Softwarepaketen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10
      ref_id: OPS.1.1.3.A10.1
      description: "W\xE4hrend des gesamten Patch- oder \xC4nderungsprozesses SOLLTE\
        \ die Authentizit\xE4t und Integrit\xE4t von Softwarepaketen sichergestellt\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10
      ref_id: OPS.1.1.3.A10.2
      description: "Dazu SOLLTE gepr\xFCft werden, ob f\xFCr die eingesetzten Softwarepakete\
        \ Pr\xFCfsummen oder digitale Signaturen verf\xFCgbar sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10
      ref_id: OPS.1.1.3.A10.3
      description: "Falls ja, SOLLTEN diese vor der Installation des Pakets \xFCberpr\xFC\
        ft werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10
      ref_id: OPS.1.1.3.A10.4
      description: "Ebenso SOLLTE darauf geachtet werden, dass die notwendigen Programme\
        \ zur \xDCberpr\xFCfung vorhanden sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a10
      ref_id: OPS.1.1.3.A10.5
      description: "Software und Updates SOLLTEN grunds\xE4tzlich nur aus vertrauensw\xFC\
        rdigen Quellen bezogen werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A11
      name: Kontinuierliche Dokumentation der Informationsverarbeitung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a11
      ref_id: OPS.1.1.3.A11.1
      description: "\xC4nderungen SOLLTEN in allen Phasen, allen Anwendungen und allen\
        \ Systemen dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a11.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a11
      ref_id: OPS.1.1.3.A11.2
      description: Dazu SOLLTEN entsprechende Regelungen erarbeitet werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A12
      name: "Einsatz von Werkzeugen beim \xC4nderungsmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a12
      ref_id: OPS.1.1.3.A12.1
      description: "Bevor ein Werkzeug zum \xC4nderungsmanagement benutzt wird, SOLLTE\
        \ sorgf\xE4ltig gepr\xFCft werden, ob damit die \xC4nderungen angemessen im\
        \ Informationsverbund verteilt werden k\xF6nnen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a12.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a12
      ref_id: OPS.1.1.3.A12.2
      description: "Zus\xE4tzlich SOLLTEN Unterbrechungspunkte definiert werden k\xF6\
        nnen, an denen die Verteilung einer fehlerhaften \xC4nderung gestoppt wird."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A13
      name: "Erfolgsmessung von \xC4nderungsanforderungen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a13.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a13
      ref_id: OPS.1.1.3.A13.1
      description: "Um zu \xFCberpr\xFCfen, ob eine \xC4nderung erfolgreich war, SOLLTEN\
        \ die jeweiligen Fachverantwortlichen f\xFCr das Patch- und \xC4nderungsmanagement\
        \ sogenannte Nachtests durchf\xFChren."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a13.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a13
      ref_id: OPS.1.1.3.A13.2
      description: "Dazu SOLLTEN sie geeignete Referenzsysteme als Qualit\xE4tssicherungssysteme\
        \ ausw\xE4hlen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a13.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a13
      ref_id: OPS.1.1.3.A13.3
      description: "Die Ergebnisse der Nachtests SOLLTEN im Rahmen des \xC4nderungsprozesses\
        \ dokumentiert werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A14
      name: "Synchronisierung innerhalb des \xC4nderungsmanagements"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a14.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a14
      ref_id: OPS.1.1.3.A14.1
      description: "Im \xC4nderungsmanagementprozess SOLLTE durch geeignete Mechanismen\
        \ sichergestellt werden, dass auch zeitweise oder l\xE4ngerfristig nicht erreichbare\
        \ Ger\xE4te die Patches und \xC4nderungen erhalten."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3
      ref_id: OPS.1.1.3.A15
      name: "Regelm\xE4\xDFige Aktualisierung von IT-Systemen und Software"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15
      ref_id: OPS.1.1.3.A15.1
      description: "IT-Systeme und Software SOLLTEN regelm\xE4\xDFig aktualisiert\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15
      ref_id: OPS.1.1.3.A15.2
      description: "Grunds\xE4tzlich SOLLTEN Patches zeitnah nach Ver\xF6ffentlichung\
        \ eingespielt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15
      ref_id: OPS.1.1.3.A15.3
      description: "Basierend auf dem Konzept f\xFCr das Patch- und \xC4nderungsmanagement\
        \ M\xDCSSEN Patches zeitnah nach Ver\xF6ffentlichung bewertet und entsprechend\
        \ priorisiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15
      ref_id: OPS.1.1.3.A15.4
      description: "F\xFCr die Bewertung SOLLTE gepr\xFCft werden, ob es zu diesem\
        \ Patch bekannte Schwachstellen gibt."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15
      ref_id: OPS.1.1.3.A15.5
      description: Es MUSS entschieden werden, ob der Patch eingespielt werden soll.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15
      ref_id: OPS.1.1.3.A15.6
      description: Wenn ein Patch eingespielt wird, SOLLTE kontrolliert werden, ob
        dieser auf allen relevanten Systemen zeitnah erfolgreich eingespielt wurde.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15
      ref_id: OPS.1.1.3.A15.7
      description: "Wenn ein Patch nicht eingespielt wird, M\xDCSSEN die Entscheidung\
        \ und die Gr\xFCnde daf\xFCr dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15
      ref_id: OPS.1.1.3.A15.8
      description: "Falls Hardware- oder Software-Produkte eingesetzt werden sollen,\
        \ die nicht mehr von den Herstellenden unterst\xFCtzt werden oder f\xFCr die\
        \ kein Support mehr vorhanden ist, MUSS gepr\xFCft werden, ob diese dennoch\
        \ sicher betrieben werden k\xF6nnen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.3.a15
      ref_id: OPS.1.1.3.A15.9
      description: "Ist dies nicht der Fall, D\xDCRFEN diese Hardware- oder Software-Produkte\
        \ NICHT mehr verwendet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      assessable: false
      depth: 1
      ref_id: OPS.1.1.4
      name: Schutz vor Schadprogrammen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A1
      name: "Erstellung eines Konzepts f\xFCr den Schutz vor Schadprogrammen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1
      ref_id: OPS.1.1.4.A1.1
      description: "Es MUSS ein Konzept erstellt werden, das beschreibt, welche IT-Systeme\
        \ vor Schadprogrammen gesch\xFCtzt werden m\xFCssen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1
      ref_id: OPS.1.1.4.A1.2
      description: "Hierbei M\xDCSSEN auch IoT-Ger\xE4te und Produktionssysteme ber\xFC\
        cksichtigt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1
      ref_id: OPS.1.1.4.A1.3
      description: "Au\xDFerdem MUSS festgehalten werden, wie der Schutz zu erfolgen\
        \ hat."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1
      ref_id: OPS.1.1.4.A1.4
      description: "Ist kein verl\xE4sslicher Schutz m\xF6glich, so SOLLTEN die identifizierten\
        \ IT-Systeme NICHT betrieben werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a1
      ref_id: OPS.1.1.4.A1.5
      description: Das Konzept SOLLTE nachvollziehbar dokumentiert und aktuell gehalten
        werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A2
      name: Nutzung systemspezifischer Schutzmechanismen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a2
      ref_id: OPS.1.1.4.A2.1
      description: "Es MUSS gepr\xFCft werden, welche Schutzmechanismen die verwendeten\
        \ IT-Systeme sowie die darauf genutzten Betriebssysteme und Anwendungen bieten."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a2
      ref_id: OPS.1.1.4.A2.2
      description: "Diese Mechanismen M\xDCSSEN genutzt werden, sofern es keinen mindestens\
        \ gleichwertigen Ersatz gibt oder gute Gr\xFCnde dagegen sprechen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a2
      ref_id: OPS.1.1.4.A2.3
      description: "Werden sie nicht genutzt, MUSS dies begr\xFCndet und dokumentiert\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A3
      name: Auswahl eines Virenschutzprogrammes
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3
      ref_id: OPS.1.1.4.A3.1
      description: "Abh\xE4ngig vom verwendeten Betriebssystem, anderen vorhandenen\
        \ Schutzmechanismen sowie der Verf\xFCgbarkeit geeigneter Virenschutzprogramme\
        \ MUSS f\xFCr den konkreten Einsatzzweck ein entsprechendes Schutzprogramm\
        \ ausgew\xE4hlt und installiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3
      ref_id: OPS.1.1.4.A3.2
      description: "F\xFCr Gateways und IT-Systeme, die dem Datenaustausch dienen,\
        \ MUSS ein geeignetes Virenschutzprogramm ausgew\xE4hlt und installiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3
      ref_id: OPS.1.1.4.A3.3
      description: "Es D\xDCRFEN NUR Produkte f\xFCr den Enterprise-Bereich mit auf\
        \ die Institution zugeschnittenen Service- und Supportleistungen eingesetzt\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3
      ref_id: OPS.1.1.4.A3.4
      description: "Produkte f\xFCr die reine Heimanwendung oder Produkte ohne Support\
        \ D\xDCRFEN NICHT im professionellen Wirkbetrieb eingesetzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3
      ref_id: OPS.1.1.4.A3.5
      description: Cloud-Dienste zur Verbesserung der Detektionsleistung der Virenschutzprogramme
        SOLLTEN genutzt werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3
      ref_id: OPS.1.1.4.A3.6
      description: Falls Cloud-Funktionen solcher Produkte verwendet werden, MUSS
        sichergestellt werden, dass dies nicht im Widerspruch zum Daten- oder Geheimschutz
        steht.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a3
      ref_id: OPS.1.1.4.A3.7
      description: "Neben Echtzeit- und On-Demand-Scans MUSS eine eingesetzte L\xF6\
        sung die M\xF6glichkeit bieten, auch komprimierte Daten nach Schadprogrammen\
        \ zu durchsuchen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A5
      name: Betrieb und Konfiguration von Virenschutzprogrammen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5
      ref_id: OPS.1.1.4.A5.1
      description: "Das Virenschutzprogramm MUSS f\xFCr seine Einsatzumgebung geeignet\
        \ konfiguriert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5
      ref_id: OPS.1.1.4.A5.2
      description: "Die Erkennungsleistung SOLLTE dabei im Vordergrund stehen, sofern\
        \ nicht Datenschutz- oder Leistungsgr\xFCnde im jeweiligen Einzelfall dagegen\
        \ sprechen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5
      ref_id: OPS.1.1.4.A5.3
      description: "Wenn sicherheitsrelevante Funktionen des Virenschutzprogramms\
        \ nicht genutzt werden, SOLLTE dies begr\xFCndet und dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5
      ref_id: OPS.1.1.4.A5.4
      description: "Bei Schutzprogrammen, die speziell f\xFCr die Desktop-Virtualisierung\
        \ optimiert sind, SOLLTE nachvollziehbar dokumentiert sein, ob auf bestimmte\
        \ Detektionsverfahren zugunsten der Leistung verzichtet wird."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a5
      ref_id: OPS.1.1.4.A5.5
      description: "Es MUSS sichergestellt werden, dass die Benutzenden keine sicherheitsrelevanten\
        \ \xC4nderungen an den Einstellungen der Antivirenprogramme vornehmen k\xF6\
        nnen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A6
      name: "Regelm\xE4\xDFige Aktualisierung der eingesetzten Virenschutzprogramme"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a6
      ref_id: OPS.1.1.4.A6.1
      description: "Auf den damit ausgestatteten IT-Systemen M\xDCSSEN die Virenschutzprogramme\
        \ nach Empfehlung der herstellenden Institution regelm\xE4\xDFig und zeitnah\
        \ aktualisiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A7
      name: Sensibilisierung und Verpflichtung der Benutzenden
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7
      ref_id: OPS.1.1.4.A7.1
      description: "Benutzende M\xDCSSEN regelm\xE4\xDFig \xFCber die Bedrohung durch\
        \ Schadprogramme aufgekl\xE4rt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7
      ref_id: OPS.1.1.4.A7.2
      description: "Sie M\xDCSSEN die grundlegenden Verhaltensregeln einhalten, um\
        \ die Gefahr eines Befalls durch Schadprogramme zu reduzieren."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7
      ref_id: OPS.1.1.4.A7.3
      description: "Dateien, E-Mails, Webseiten usw. aus nicht vertrauensw\xFCrdigen\
        \ Quellen SOLLTEN NICHT ge\xF6ffnet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7
      ref_id: OPS.1.1.4.A7.4
      description: "Sie M\xDCSSEN entsprechenden Kontaktpersonen f\xFCr den Fall eines\
        \ Verdacht auf eine Infektion mit einem Schadprogramm bekannt sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a7
      ref_id: OPS.1.1.4.A7.5
      description: "Sie M\xDCSSEN sich an die ihnen benannten Kontaktpersonen wenden,\
        \ wenn der Verdacht auf eine Infektion mit einem Schadprogramm besteht."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A9
      name: Meldung von Infektionen mit Schadprogrammen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9
      ref_id: OPS.1.1.4.A9.1
      description: Das eingesetzte Virenschutzprogramm SOLLTE eine Infektion mit einem
        Schadprogramm automatisch blockieren und melden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9
      ref_id: OPS.1.1.4.A9.2
      description: Die automatische Meldung SOLLTE an einer zentralen Stelle angenommen
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9
      ref_id: OPS.1.1.4.A9.3
      description: "Dabei SOLLTEN die zust\xE4ndigen Mitarbeitenden je nach Sachlage\
        \ \xFCber das weitere Vorgehen entscheiden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9
      ref_id: OPS.1.1.4.A9.4
      description: Das Vorgehen bei Meldungen und Alarmen der Virenschutzprogramme
        SOLLTE geplant, dokumentiert und getestet werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a9
      ref_id: OPS.1.1.4.A9.5
      description: "Es SOLLTE insbesondere geregelt sein, was im Falle einer best\xE4\
        tigten Infektion geschehen soll."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A10
      name: Nutzung spezieller Analyseumgebungen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a10
      ref_id: OPS.1.1.4.A10.1
      description: "Automatisierte Analysen in einer speziellen Testumgebung (basierend\
        \ auf Sandboxen bzw. separaten virtuellen oder physischen Systemen) SOLLTEN\
        \ f\xFCr eine Bewertung von verd\xE4chtigen Dateien erg\xE4nzend herangezogen\
        \ werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A11
      name: Einsatz mehrerer Scan-Engines
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a11
      ref_id: OPS.1.1.4.A11.1
      description: "Zur Verbesserung der Erkennungsleistung SOLLTEN f\xFCr besonders\
        \ schutzw\xFCrdige IT-Systeme, wie Gateways und IT-Systeme zum Datenaustausch,\
        \ Virenschutzprogramme mit mehreren alternativen Scan-Engines eingesetzt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A12
      name: "Einsatz von Datentr\xE4gerschleusen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a12
      ref_id: OPS.1.1.4.A12.1
      description: "Bevor insbesondere Datentr\xE4ger von Dritten mit den IT-Systemen\
        \ der Institution verbunden werden, SOLLTEN diese durch eine Datentr\xE4gerschleuse\
        \ gepr\xFCft werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A13
      name: "Umgang mit nicht vertrauensw\xFCrdigen Dateien"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a13.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a13
      ref_id: OPS.1.1.4.A13.1
      description: "Ist es notwendig, nicht vertrauensw\xFCrdige Dateien zu \xF6ffnen,\
        \ SOLLTE dies nur auf einem isolierten IT-System geschehen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a13.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a13
      ref_id: OPS.1.1.4.A13.2
      description: "Die betroffenen Dateien SOLLTEN dort z. B. in ein ungef\xE4hrliches\
        \ Format umgewandelt oder ausgedruckt werden, wenn sich hierdurch das Risiko\
        \ einer Infektion durch Schadsoftware verringert."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4
      ref_id: OPS.1.1.4.A14
      name: Auswahl und Einsatz von Cyber-Sicherheitsprodukten gegen gezielte Angriffe
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a14.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a14
      ref_id: OPS.1.1.4.A14.1
      description: "Der Einsatz sowie der Mehrwert von Produkten und Services, die\
        \ im Vergleich zu herk\xF6mmlichen Virenschutzprogrammen einen erweiterten\
        \ Schutzumfang bieten, SOLLTE gepr\xFCft werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a14.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a14
      ref_id: OPS.1.1.4.A14.2
      description: "Solche Sicherheitsprodukte gegen gezielte Angriffe SOLLTEN z.\
        \ B. bei der Ausf\xFChrung von Dateien in speziellen Analyseumgebungen, bei\
        \ der H\xE4rtung von Clients oder bei der Kapselung von Prozessen eingesetzt\
        \ werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a14.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.4.a14
      ref_id: OPS.1.1.4.A14.3
      description: "Vor einer Kaufentscheidung f\xFCr ein Sicherheitsprodukt SOLLTEN\
        \ Schutzwirkung und Kompatibilit\xE4t zur eigenen IT-Umgebung getestet werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      assessable: false
      depth: 1
      ref_id: OPS.1.1.5
      name: Protokollierung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A1
      name: "Erstellung einer Sicherheitsrichtlinie f\xFCr die Protokollierung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1
      ref_id: OPS.1.1.5.A1.1
      description: "Ausgehend von der allgemeinen Sicherheitsrichtlinie der Institution\
        \ MUSS eine spezifische Sicherheitsrichtlinie f\xFCr die Protokollierung erstellt\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1
      ref_id: OPS.1.1.5.A1.2
      description: "In dieser Sicherheitsrichtlinie M\xDCSSEN nachvollziehbar Anforderungen\
        \ und Vorgaben beschrieben sein, wie die Protokollierung zu planen, aufzubauen\
        \ und sicher zu betreiben ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1
      ref_id: OPS.1.1.5.A1.3
      description: In der spezifischen Sicherheitsrichtlinie MUSS geregelt werden,
        wie, wo und was zu protokollieren ist.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1
      ref_id: OPS.1.1.5.A1.4
      description: Dabei SOLLTEN sich Art und Umfang der Protokollierung am Schutzbedarf
        der Informationen orientieren.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1
      ref_id: OPS.1.1.5.A1.5
      description: Die spezifische Sicherheitsrichtlinie MUSS von dem oder der ISB
        gemeinsam mit den Fachverantwortlichen erstellt werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1
      ref_id: OPS.1.1.5.A1.6
      description: "Sie MUSS allen f\xFCr die Protokollierung zust\xE4ndigen Mitarbeitenden\
        \ bekannt und grundlegend f\xFCr ihre Arbeit sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1
      ref_id: OPS.1.1.5.A1.7
      description: "Wird die spezifische Sicherheitsrichtlinie ver\xE4ndert oder wird\
        \ von den Anforderungen abgewichen, MUSS dies mit dem oder der ISB abgestimmt\
        \ und dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1
      ref_id: OPS.1.1.5.A1.8
      description: "Es MUSS regelm\xE4\xDFig \xFCberpr\xFCft werden, ob die spezifische\
        \ Sicherheitsrichtlinie noch korrekt umgesetzt ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a1
      ref_id: OPS.1.1.5.A1.9
      description: "Die Ergebnisse der \xDCberpr\xFCfung M\xDCSSEN dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A3
      name: Konfiguration der Protokollierung auf System- und Netzebene
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3
      ref_id: OPS.1.1.5.A3.1
      description: "Alle sicherheitsrelevanten Ereignisse von IT-Systemen und Anwendungen\
        \ M\xDCSSEN protokolliert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3
      ref_id: OPS.1.1.5.A3.2
      description: "Sofern die in der Protokollierungsrichtlinie als relevant definierten\
        \ IT-Systeme und Anwendungen \xFCber eine Protokollierungsfunktion verf\xFC\
        gen, MUSS diese benutzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3
      ref_id: OPS.1.1.5.A3.3
      description: "Wenn die Protokollierung eingerichtet wird, M\xDCSSEN dabei die\
        \ Vorgaben des herstellenden Unternehmens f\xFCr die jeweiligen IT-Systeme\
        \ oder Anwendungen beachtet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3
      ref_id: OPS.1.1.5.A3.4
      description: "In angemessenen Intervallen MUSS stichpunktartig \xFCberpr\xFC\
        ft werden, ob die Protokollierung noch korrekt funktioniert."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3
      ref_id: OPS.1.1.5.A3.5
      description: "Die Pr\xFCfintervalle M\xDCSSEN in der Protokollierungsrichtlinie\
        \ definiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a3
      ref_id: OPS.1.1.5.A3.6
      description: "Falls betriebs- und sicherheitsrelevante Ereignisse nicht auf\
        \ einem IT-System protokolliert werden k\xF6nnen, M\xDCSSEN zus\xE4tzliche\
        \ IT-Systeme zur Protokollierung (z. B. von Ereignissen auf Netzebene) integriert\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A4
      name: Zeitsynchronisation der IT-Systeme
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a4
      ref_id: OPS.1.1.5.A4.1
      description: Die Systemzeit aller protokollierenden IT-Systeme und Anwendungen
        MUSS immer synchron sein.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a4
      ref_id: OPS.1.1.5.A4.2
      description: Es MUSS sichergestellt sein, dass das Datums- und Zeitformat der
        Protokolldateien einheitlich ist.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A5
      name: Einhaltung rechtlicher Rahmenbedingungen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5
      ref_id: OPS.1.1.5.A5.1
      description: "Bei der Protokollierung M\xDCSSEN die Bestimmungen aus den aktuellen\
        \ Gesetzen zum Bundes- sowie Landesdatenschutz eingehalten werden (siehe CON.2\
        \ Datenschutz)."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5
      ref_id: OPS.1.1.5.A5.2
      description: "Dar\xFCber hinaus M\xDCSSEN eventuelle Pers\xF6nlichkeitsrechte\
        \ bzw. Mitbestimmungsrechte der Mitarbeitendenvertretungen gewahrt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5
      ref_id: OPS.1.1.5.A5.3
      description: Ebenso MUSS sichergestellt sein, dass alle weiteren relevanten
        gesetzlichen Bestimmungen beachtet werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5
      ref_id: OPS.1.1.5.A5.4
      description: "Protokollierungsdaten M\xDCSSEN nach einem festgelegten Prozess\
        \ gel\xF6scht werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a5
      ref_id: OPS.1.1.5.A5.5
      description: "Es MUSS technisch unterbunden werden, dass Protokollierungsdaten\
        \ unkontrolliert gel\xF6scht oder ver\xE4ndert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A6
      name: Aufbau einer zentralen Protokollierungsinfrastruktur
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6
      ref_id: OPS.1.1.5.A6.1
      description: Alle gesammelten sicherheitsrelevanten Protokollierungsdaten SOLLTEN
        an einer zentralen Stelle gespeichert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6
      ref_id: OPS.1.1.5.A6.2
      description: "Daf\xFCr SOLLTE eine zentrale Protokollierungsinfrastruktur im\
        \ Sinne eines Logserver-Verbunds aufgebaut und in einem hierf\xFCr eingerichteten\
        \ Netzsegment platziert werden (siehe NET.1.1 Netzarchitektur und -design)."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6
      ref_id: OPS.1.1.5.A6.3
      description: "Zus\xE4tzlich zu sicherheitsrelevanten Ereignissen (siehe OPS.1.1.5.A3\
        \ Konfiguration der Protokollierung auf System- und Netzebene) SOLLTE eine\
        \ zentrale Protokollierungsinfrastruktur auch allgemeine Betriebsereignisse\
        \ protokollieren, die auf einen Fehler hindeuten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6
      ref_id: OPS.1.1.5.A6.4
      description: Die Protokollierungsinfrastruktur SOLLTE ausreichend dimensioniert
        sein.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6
      ref_id: OPS.1.1.5.A6.5
      description: "Die M\xF6glichkeit einer Skalierung im Sinne einer erweiterten\
        \ Protokollierung SOLLTE ber\xFCcksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a6
      ref_id: OPS.1.1.5.A6.6
      description: "Daf\xFCr SOLLTEN gen\xFCgend technische, finanzielle und personelle\
        \ Ressourcen verf\xFCgbar sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A8
      name: Archivierung von Protokollierungsdaten
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a8
      ref_id: OPS.1.1.5.A8.1
      description: Protokollierungsdaten SOLLTEN archiviert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a8
      ref_id: OPS.1.1.5.A8.2
      description: "Dabei SOLLTEN die gesetzlich vorgeschriebenen Regelungen ber\xFC\
        cksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A9
      name: "Bereitstellung von Protokollierungsdaten f\xFCr die Auswertung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9
      ref_id: OPS.1.1.5.A9.1
      description: Die gesammelten Protokollierungsdaten SOLLTEN gefiltert, normalisiert,
        aggregiert und korreliert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9
      ref_id: OPS.1.1.5.A9.2
      description: "Die so bearbeiteten Protokollierungsdaten SOLLTEN geeignet verf\xFC\
        gbar gemacht werden, damit sie ausgewertet werden k\xF6nnen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9
      ref_id: OPS.1.1.5.A9.3
      description: "Damit sich die Daten automatisiert auswerten lassen, SOLLTEN die\
        \ Protokollanwendungen \xFCber entsprechende Schnittstellen f\xFCr die Auswertungsprogramme\
        \ verf\xFCgen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9
      ref_id: OPS.1.1.5.A9.4
      description: Es SOLLTE sichergestellt sein, dass bei der Auswertung von Protokollierungsdaten
        die Sicherheitsanforderungen eingehalten werden, die in der Protokollierungsrichtlinie
        definiert sind.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9
      ref_id: OPS.1.1.5.A9.5
      description: "Auch wenn die Daten bereitgestellt werden, SOLLTEN betriebliche\
        \ und interne Vereinbarungen ber\xFCcksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a9
      ref_id: OPS.1.1.5.A9.6
      description: "Die Protokollierungsdaten SOLLTEN zus\xE4tzlich in unver\xE4nderter\
        \ Originalform aufbewahrt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A10
      name: "Zugriffsschutz f\xFCr Protokollierungsdaten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a10
      ref_id: OPS.1.1.5.A10.1
      description: "Es SOLLTE sichergestellt sein, dass die ausf\xFChrenden Administrierenden\
        \ selbst keine Berechtigung haben, die aufgezeichneten Protokollierungsdaten\
        \ zu ver\xE4ndern oder zu l\xF6schen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A11
      name: Steigerung des Protokollierungsumfangs
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a11
      ref_id: OPS.1.1.5.A11.1
      description: "Bei erh\xF6htem Schutzbedarf von Anwendungen oder IT-Systemen\
        \ SOLLTEN grunds\xE4tzlich mehr Ereignisse protokolliert werden, sodass sicherheitsrelevante\
        \ Vorf\xE4lle m\xF6glichst l\xFCckenlos nachvollziehbar sind."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a11.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a11
      ref_id: OPS.1.1.5.A11.2
      description: "Um die Protokollierungsdaten in Echtzeit auswerten zu k\xF6nnen,\
        \ SOLLTEN sie in verk\xFCrzten Zeitabst\xE4nden von den protokollierenden\
        \ IT-Systemen und Anwendungen zentral gespeichert werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a11.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a11
      ref_id: OPS.1.1.5.A11.3
      description: "Die Protokollierung SOLLTE eine Auswertung \xFCber den gesamten\
        \ Informationsverbund erm\xF6glichen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a11.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a11
      ref_id: OPS.1.1.5.A11.4
      description: "Anwendungen und IT-Systeme, mit denen eine zentrale Protokollierung\
        \ nicht m\xF6glich ist, SOLLTEN bei einem erh\xF6hten Schutzbedarf NICHT eingesetzt\
        \ werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A12
      name: "Verschl\xFCsselung der Protokollierungsdaten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a12
      ref_id: OPS.1.1.5.A12.1
      description: "Um Protokollierungsdaten sicher \xFCbertragen zu k\xF6nnen, SOLLTEN\
        \ sie verschl\xFCsselt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a12.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a12
      ref_id: OPS.1.1.5.A12.2
      description: Alle gespeicherten Protokolle SOLLTEN digital signiert werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a12.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a12
      ref_id: OPS.1.1.5.A12.3
      description: "Auch archivierte und au\xDFerhalb der Protokollierungsinfrastruktur\
        \ gespeicherte Protokollierungsdaten SOLLTEN immer verschl\xFCsselt gespeichert\
        \ werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5
      ref_id: OPS.1.1.5.A13
      name: "Hochverf\xFCgbare Protokollierungsinfrastruktur"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a13.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.5.a13
      ref_id: OPS.1.1.5.A13.1
      description: "Eine hochverf\xFCgbare Protokollierungsinfrastruktur SOLLTE aufgebaut\
        \ werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      assessable: false
      depth: 1
      ref_id: OPS.1.1.6
      name: Software-Tests und -Freigaben
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A1
      name: Planung der Software-Tests
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1
      ref_id: OPS.1.1.6.A1.1
      description: "Die Rahmenbedingungen f\xFCr Software-Tests M\xDCSSEN vor den\
        \ Tests innerhalb der Institution entsprechend der Schutzbedarfe, Organisationseinheiten,\
        \ technischen M\xF6glichkeiten und Test-Umgebungen festlegt sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1
      ref_id: OPS.1.1.6.A1.2
      description: Die Software MUSS auf Basis der Anforderungen des Anforderungskatalogs
        zu der Software getestet werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1
      ref_id: OPS.1.1.6.A1.3
      description: "Liegt auch ein Pflichtenheft vor, dann MUSS dieses zus\xE4tzlich\
        \ ber\xFCcksichtigt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1
      ref_id: OPS.1.1.6.A1.4
      description: "Die Testf\xE4lle M\xDCSSEN so ausgew\xE4hlt werden, sodass diese\
        \ m\xF6glichst repr\xE4sentativ alle Funktionen der Software \xFCberpr\xFC\
        fen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1
      ref_id: OPS.1.1.6.A1.5
      description: "Zus\xE4tzlich SOLLTEN auch Negativ-Tests ber\xFCcksichtigt werden,\
        \ die \xFCberpr\xFCfen, ob die Software keine ungewollten Funktionen enth\xE4\
        lt."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1
      ref_id: OPS.1.1.6.A1.6
      description: "Die Testumgebung MUSS so ausgew\xE4hlt werden, sodass diese m\xF6\
        glichst repr\xE4sentativ alle in der Institution eingesetzten Ger\xE4temodelle\
        \ und Betriebssystemumgebungen abdeckt."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a1
      ref_id: OPS.1.1.6.A1.7
      description: "Es SOLLTE dabei getestet werden, ob die Software mit den eingesetzten\
        \ Betriebssystemen in den vorliegenden Konfigurationen kompatibel und funktionsf\xE4\
        hig ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A2
      name: "Durchf\xFChrung von funktionalen Software-Tests"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a2
      ref_id: OPS.1.1.6.A2.1
      description: "Mit funktionalen Software-Tests MUSS die ordnungsgem\xE4\xDFe\
        \ und vollst\xE4ndige Funktion der Software \xFCberpr\xFCft werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a2
      ref_id: OPS.1.1.6.A2.2
      description: "Die funktionalen Software-Tests M\xDCSSEN so durchgef\xFChrt werden,\
        \ dass sie den Produktivbetrieb nicht beeinflussen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A3
      name: Auswertung der Testergebnisse
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a3
      ref_id: OPS.1.1.6.A3.1
      description: "Die Ergebnisse der Software-Tests M\xDCSSEN ausgewertet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a3
      ref_id: OPS.1.1.6.A3.2
      description: "Es SOLLTE ein Soll-Ist-Vergleich mit definierten Vorgaben durchgef\xFC\
        hrt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a3
      ref_id: OPS.1.1.6.A3.3
      description: Die Auswertung MUSS dokumentiert werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A4
      name: Freigabe der Software
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4
      ref_id: OPS.1.1.6.A4.1
      description: "Die fachlich zust\xE4ndige Organisationseinheit MUSS die Software\
        \ freigeben, sobald die Software-Tests erfolgreich durchgef\xFChrt wurden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4
      ref_id: OPS.1.1.6.A4.2
      description: "Die Freigabe MUSS in Form einer Freigabeerkl\xE4rung dokumentiert\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4
      ref_id: OPS.1.1.6.A4.3
      description: "Die freigebende Organisationseinheit MUSS \xFCberpr\xFCfen, ob\
        \ die Software gem\xE4\xDF den Anforderungen getestet wurde."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4
      ref_id: OPS.1.1.6.A4.4
      description: "Die Ergebnisse der Software-Tests M\xDCSSEN mit den vorher festgelegten\
        \ Erwartungen \xFCbereinstimmen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a4
      ref_id: OPS.1.1.6.A4.5
      description: "Auch MUSS \xFCberpr\xFCft werden, ob die rechtlichen und organisatorischen\
        \ Vorgaben eingehalten wurden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A5
      name: "Durchf\xFChrung von Software-Tests f\xFCr nicht funktionale Anforderungen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a5
      ref_id: OPS.1.1.6.A5.1
      description: "Es M\xDCSSEN Software-Tests durchgef\xFChrt werden, die \xFCberpr\xFC\
        fen, ob alle wesentlichen nichtfunktionalen Anforderungen erf\xFCllt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a5
      ref_id: OPS.1.1.6.A5.2
      description: "Insbesondere M\xDCSSEN sicherheitsspezifische Software-Tests durchgef\xFC\
        hrt werden, wenn die Anwendung sicherheitskritische Funktionen mitbringt."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a5
      ref_id: OPS.1.1.6.A5.3
      description: "Die durchgef\xFChrten Testf\xE4lle, sowie die Testergebnisse,\
        \ M\xDCSSEN dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A6
      name: Geordnete Einweisung der Software-Testenden
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a6
      ref_id: OPS.1.1.6.A6.1
      description: "Die Software-Testenden SOLLTEN \xFCber die durchzuf\xFChrenden\
        \ Testarten und die zu testenden Bereiche einer Software von Fachverantwortlichen\
        \ informiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a6
      ref_id: OPS.1.1.6.A6.2
      description: "Dar\xFCber hinaus SOLLTEN die Software-Testende \xFCber die Anwendungsf\xE4\
        lle und m\xF6gliche weitere Anforderungen der Software informiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A7
      name: Personalauswahl der Software-Testenden
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a7
      ref_id: OPS.1.1.6.A7.1
      description: "Bei der Auswahl der Software-Testenden SOLLTEN gesonderte Auswahlkriterien\
        \ ber\xFCcksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a7
      ref_id: OPS.1.1.6.A7.2
      description: Die Software-Testenden SOLLTEN die erforderliche berufliche Qualifikation
        haben.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a7
      ref_id: OPS.1.1.6.A7.3
      description: "Wird Individualsoftware auf Quellcode-Ebene \xFCberpr\xFCft, dann\
        \ SOLLTEN die Testenden \xFCber ausreichendes Fachwissen \xFCber die zu testenden\
        \ Programmiersprache und der Entwicklungsumgebung verf\xFCgen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a7.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a7
      ref_id: OPS.1.1.6.A7.4
      description: "Der Quellcode SOLLTE NICHT ausschlie\xDFlich von Testenden \xFC\
        berpr\xFCft werden, die auch an der Erstellung des Quellcodes beteiligt waren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A10
      name: Erstellung eines Abnahmeplans
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a10
      ref_id: OPS.1.1.6.A10.1
      description: "In einem Abnahmeplan SOLLTEN die durchzuf\xFChrenden Testarten,\
        \ Testf\xE4lle und die erwarteten Ergebnisse dokumentiert sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a10.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a10
      ref_id: OPS.1.1.6.A10.2
      description: "Au\xDFerdem SOLLTE der Abnahmeplan die Freigabekriterien beinhalten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a10.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a10
      ref_id: OPS.1.1.6.A10.3
      description: "Es SOLLTE eine Vorgehensweise f\xFCr die Situation festgelegt\
        \ werden, wenn eine Freigabe abgelehnt wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A11
      name: Verwendung von anonymisierten oder pseudonymisierten Testdaten
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a11
      ref_id: OPS.1.1.6.A11.1
      description: "Wenn Produktivdaten f\xFCr Software-Tests verwendet werden, die\
        \ sch\xFCtzenswerte Informationen enthalten, dann M\xDCSSEN diese Testdaten\
        \ angemessen gesch\xFCtzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a11.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a11
      ref_id: OPS.1.1.6.A11.2
      description: "Enthalten diese Daten personenbezogene Informationen, dann M\xDC\
        SSEN diese Daten mindestens pseudonymisiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a11.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a11
      ref_id: OPS.1.1.6.A11.3
      description: "Falls m\xF6glich, SOLLTEN die Testdaten mit Personenbezug vollst\xE4\
        ndig anonymisiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a11.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a11
      ref_id: OPS.1.1.6.A11.4
      description: "Wenn ein Personenbezug von den Testdaten abgeleitet werden k\xF6\
        nnte, MUSS der oder die Datenschutzbeauftragte und unter Umst\xE4nden die\
        \ Personalvertretung hinzugezogen werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A12
      name: "Durchf\xFChrung von Regressionstests"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12
      ref_id: OPS.1.1.6.A12.1
      description: "Wenn Software ver\xE4ndert wurde, SOLLTEN Regressionstests durchgef\xFC\
        hrt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12
      ref_id: OPS.1.1.6.A12.2
      description: "Hierbei SOLLTE \xFCberpr\xFCft werden, ob bisherige bestehende\
        \ Sicherheitsmechanismen und -einstellungen durch das Update ungewollt ver\xE4\
        ndert wurden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12
      ref_id: OPS.1.1.6.A12.3
      description: "Regressionstests SOLLTEN vollst\xE4ndig durchgef\xFChrt werden\
        \ und hierbei auch Erweiterungen sowie Hilfsmittel umfassen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12
      ref_id: OPS.1.1.6.A12.4
      description: "Werden Testf\xE4lle ausgelassen, SOLLTE dies begr\xFCndet und\
        \ dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a12
      ref_id: OPS.1.1.6.A12.5
      description: "Die durchgef\xFChrten Testf\xE4lle und die Testergebnisse SOLLTEN\
        \ dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A13
      name: Trennung der Testumgebung von der Produktivumgebung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a13.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a13
      ref_id: OPS.1.1.6.A13.1
      description: "Software SOLLTE nur in einer hierf\xFCr vorgesehenen Testumgebung\
        \ getestet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a13.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a13
      ref_id: OPS.1.1.6.A13.2
      description: Die Testumgebung SOLLTE von der Produktivumgebung getrennt betrieben
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a13.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a13
      ref_id: OPS.1.1.6.A13.3
      description: Die in der Testumgebung verwendeten Architekturen und Mechanismen
        SOLLTEN dokumentiert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a13.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a13
      ref_id: OPS.1.1.6.A13.4
      description: Es SOLLTEN Verfahren dokumentiert werden, wie mit der Testumgebung
        nach Abschluss des Software-Tests zu verfahren ist.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A14
      name: "Durchf\xFChrung von Penetrationstests"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14
      ref_id: OPS.1.1.6.A14.1
      description: "F\xFCr Anwendungen beziehungsweise IT-Systeme mit erh\xF6htem\
        \ Schutzbedarf SOLLTEN Penetrationstests als Testmethode durchgef\xFChrt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14
      ref_id: OPS.1.1.6.A14.2
      description: "Ein Konzept f\xFCr Penetrationstests SOLLTE erstellt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14
      ref_id: OPS.1.1.6.A14.3
      description: "Im Konzept f\xFCr Penetrationstests SOLLTEN neben den zu verwendenden\
        \ Testmethoden auch die Erfolgskriterien dokumentiert werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14
      ref_id: OPS.1.1.6.A14.4
      description: Der Penetrationstest SOLLTE nach den Rahmenbedingungen des Penetrationstest-Konzepts
        erfolgen.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a14
      ref_id: OPS.1.1.6.A14.5
      description: "Die durch den Penetrationstest aufgefundenen Sicherheitsl\xFC\
        cken SOLLTEN klassifiziert und dokumentiert sein."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a15
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A15
      name: "\xDCberpr\xFCfung der Installation und zugeh\xF6rigen Dokumentation"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a15.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a15
      ref_id: OPS.1.1.6.A15.1
      description: "Die Installation der Software SOLLTE entsprechend der Regelungen\
        \ zur Installation und Konfiguration von Software (siehe Baustein APP.6 Allgemeine\
        \ Software) \xFCberpr\xFCft werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a15.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a15
      ref_id: OPS.1.1.6.A15.2
      description: "Falls vorhanden, SOLLTE zus\xE4tzlich die Installations- und Konfigurationsdokumentation\
        \ gepr\xFCft werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a16
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6
      ref_id: OPS.1.1.6.A16
      name: "Sicherheits\xFCberpr\xFCfung der Testenden"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a16.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a16
      ref_id: OPS.1.1.6.A16.1
      description: "Sofern Testende auf besonders sch\xFCtzenswerte Informationen\
        \ zugreifen m\xFCssen, SOLLTE die Institution Nachweise \xFCber ihre Integrit\xE4\
        t und Reputation einholen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a16.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a16
      ref_id: OPS.1.1.6.A16.2
      description: "Handelt es sich dabei um klassifizierte Verschlusssachen, SOLLTEN\
        \ sich die Software-Testenden einer Sicherheits\xFCberpr\xFCfung nach dem\
        \ Sicherheits\xFCberpr\xFCfungsgesetz (S\xDCG) unterziehen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a16.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.6.a16
      ref_id: OPS.1.1.6.A16.3
      description: "Hierzu SOLLTE der oder die ISB die Geheimschutzbeauftragten bzw.\
        \ Sicherheitsbevollm\xE4chtigten der Institution einbeziehen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      assessable: false
      depth: 1
      ref_id: OPS.1.1.7
      name: Systemmanagement
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A1
      name: "Anforderungsspezifikation f\xFCr das Systemmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a1
      ref_id: OPS.1.1.7.A1.1
      description: "Anforderungen an die Systemmanagement-Infrastruktur und -Prozesse\
        \ M\xDCSSEN spezifiziert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a1
      ref_id: OPS.1.1.7.A1.2
      description: "Dabei M\xDCSSEN alle wesentlichen Elemente f\xFCr das Systemmanagement\
        \ ber\xFCcksichtigt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a1
      ref_id: OPS.1.1.7.A1.3
      description: "Auch M\xDCSSEN die Sicherheitsaspekte f\xFCr das Systemmanagement\
        \ von Beginn an beachtet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a1
      ref_id: OPS.1.1.7.A1.4
      description: "Zudem M\xDCSSEN die Schnittstellen der zu verwaltenden IT-Systeme\
        \ dokumentiert werden, z. B. um die Kompatibilit\xE4t von Systemmanagement-L\xF6\
        sung und zu verwaltendem System zu gew\xE4hrleisten."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A2
      name: Planung des Systemmanagements
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.1
      description: "Die Systemmanagement-L\xF6sung und die zugrundeliegende Infrastruktur\
        \ M\xDCSSEN geeignet geplant werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.2
      description: 'Die Planung MUSS mindestens die folgenden Inhalte umfassen:'
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.3
      description: "\u2022 eine detaillierte Anforderungsanalyse,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.4
      description: "\u2022 ein aussagekr\xE4ftiges Grobkonzept,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.5
      description: "\u2022 einen umfassenden Umsetzungsplan sowie"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.6
      description: "\u2022 Meilensteine f\xFCr Qualit\xE4tssicherung und Abnahme."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.7
      description: "Dabei M\xDCSSEN alle in der Anforderungsspezifikation genannten\
        \ Punkte sowie das Rollen- und Berechtigungskonzept ber\xFCcksichtigt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.8
      description: "Es M\xDCSSEN mindestens die folgenden Themen ber\xFCcksichtigt\
        \ werden:"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.9
      description: "\u2022 Trennung in geeignete Bereiche f\xFCr das Systemmanagement,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.10
      description: "\u2022 Zugriffsm\xF6glichkeiten auf und durch das Systemmanagement,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.11
      description: "\u2022 Berechtigungen des Systemmanagements auf den zu verwaltenden\
        \ Systemen,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.12
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.12
      description: "\u2022 Netzverbindungen f\xFCr den Zugriff auf und durch das Systemmanagement,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.13
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.13
      description: "\u2022 Protokolle f\xFCr den Zugriff von Benutzenden auf die Systemmanagement-L\xF6\
        sung,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.14
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.14
      description: "\u2022 Protokolle f\xFCr die Kommunikation zwischen der Systemmanagement-L\xF6\
        sung und den zu verwaltenden Systemen,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.15
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.15
      description: "\u2022 Anforderungen an Systemmanagement-Werkzeuge,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.16
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.16
      description: "\u2022 Schnittstellen, um erfasste Ereignis- oder Alarmmeldungen\
        \ weiterzuleiten,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.17
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.17
      description: "\u2022 Protokollierung, inklusive erforderlicher Schnittstellen\
        \ zu einer zentralen Protokollierungsl\xF6sung,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.18
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.18
      description: "\u2022 Unterst\xFCtzung durch das herstellende bzw. entwickelnde\
        \ Unternehmen \xFCber den geplanten Einsatzzeitraum,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.19
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.19
      description: "\u2022 M\xF6glichkeiten zum Einspielen von Patches f\xFCr die\
        \ Systemmanagement-L\xF6sung sowie f\xFCr die zu verwaltenden Systeme,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.20
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.20
      description: "\u2022 Reporting und Schnittstellen zu \xFCbergreifenden L\xF6\
        sungen sowie"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2.21
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a2
      ref_id: OPS.1.1.7.A2.21
      description: "\u2022 korrespondierende Anforderungen an die zu verwaltenden\
        \ Systeme."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A3
      name: "Zeitsynchronisation f\xFCr das Systemmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a3
      ref_id: OPS.1.1.7.A3.1
      description: "Alle Komponenten der Systemmanagement-L\xF6sung, inklusive der\
        \ zu verwaltenden Systeme, M\xDCSSEN eine synchrone Uhrzeit nutzen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a3
      ref_id: OPS.1.1.7.A3.2
      description: "Die Systemzeit MUSS f\xFCr jedes zu verwaltende System und f\xFC\
        r die Systemmanagement-L\xF6sung \xFCber geeignete Protokolle synchronisiert\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A4
      name: Absicherung der Systemmanagement-Kommunikation
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a4
      ref_id: OPS.1.1.7.A4.1
      description: "Sobald die Systemmanagement-L\xF6sung und die zu verwaltenden\
        \ Systeme \xFCber die produktive Infrastruktur kommunizieren, M\xDCSSEN daf\xFC\
        r sichere Protokolle verwendet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a4
      ref_id: OPS.1.1.7.A4.2
      description: "Falls keine sicheren Protokolle verwendet werden k\xF6nnen, dann\
        \ MUSS ein eigens daf\xFCr vorgesehenes Administrationsnetz (Out-of-Band-Management)\
        \ verwendet werden (siehe NET.1.1 Netzarchitektur und -design)."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a4.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a4
      ref_id: OPS.1.1.7.A4.3
      description: "Ist auch dies nicht m\xF6glich, dann M\xDCSSEN erg\xE4nzende Sicherheitsmechanismen\
        \ auf anderer Ebene eingesetzt werden, z. B. Tunnelmechanismen \xFCber verschl\xFC\
        sseltes VPN oder vergleichbare L\xF6sungen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A5
      name: "Gegenseitige Authentisierung von Systemmanagement-L\xF6sung und zu verwaltenden\
        \ Systemen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a5
      ref_id: OPS.1.1.7.A5.1
      description: "Die Authentisierung zwischen Systemmanagement-L\xF6sung und zu\
        \ verwaltenden Systemen MUSS in beide Richtungen erfolgen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a5
      ref_id: OPS.1.1.7.A5.2
      description: "Die Authentisierung MUSS in das \xFCbergreifende Authentisierungskonzept\
        \ eingebunden sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a5
      ref_id: OPS.1.1.7.A5.3
      description: Die Authentisierung MUSS mittels sicherer Protokolle erfolgen.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A6
      name: "Absicherung des Zugriffs auf die Systemmanagement-L\xF6sung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6
      ref_id: OPS.1.1.7.A6.1
      description: "Der Zugriff von Benutzenden auf die Systemmanagement-L\xF6sung\
        \ MUSS abgesichert werden durch"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6
      ref_id: OPS.1.1.7.A6.2
      description: "\u2022 eine sichere und angemessene Authentisierung und Autorisierung\
        \ der Benutzenden sowie"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6
      ref_id: OPS.1.1.7.A6.3
      description: "\u2022 eine sichere Verschl\xFCsselung der \xFCbertragenen Daten."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6
      ref_id: OPS.1.1.7.A6.4
      description: "Eine angemessene Authentisierungsmethode MUSS ausgew\xE4hlt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6
      ref_id: OPS.1.1.7.A6.5
      description: Der Auswahlprozess MUSS dokumentiert werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6
      ref_id: OPS.1.1.7.A6.6
      description: "Die St\xE4rke der verwendeten kryptografischen Verfahren und Schl\xFC\
        ssel MUSS regelm\xE4\xDFig \xFCberpr\xFCft und bei Bedarf angepasst werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a6
      ref_id: OPS.1.1.7.A6.7
      description: "Die Systemmanagement-L\xF6sung MUSS \xFCber eine Autorisierungskomponente\
        \ sicherstellen, dass Benutzende ausschlie\xDFlich solche Aktionen durchf\xFC\
        hren k\xF6nnen, zu denen sie berechtigt sind."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A7
      name: "Festlegung einer Sicherheitsrichtlinie f\xFCr das Systemmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.1
      description: "F\xFCr das Systemmanagement SOLLTE eine Sicherheitsrichtlinie\
        \ erstellt und nachhaltig gepflegt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.2
      description: Die Richtlinie SOLLTE allen Personen, die am Systemmanagement beteiligt
        sind, bekannt sein.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.3
      description: "Die Sicherheitsrichtlinie SOLLTE zudem grundlegend f\xFCr die\
        \ Arbeit dieser Personen sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.4
      description: "Es SOLLTE regelm\xE4\xDFig und nachvollziehbar \xFCberpr\xFCft\
        \ werden, dass die in der Richtlinie geforderten Inhalte umgesetzt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.5
      description: Die Ergebnisse SOLLTEN dokumentiert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.6
      description: 'Die Sicherheitsrichtlinie SOLLTE mindestens das Folgende festlegen:'
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.7
      description: "\u2022 die Bereiche des Systemmanagements, die \xFCber zentrale\
        \ Management-Werkzeuge und - Dienste realisiert werden,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.8
      description: "\u2022 die Aufgaben im Systemmanagement, die automatisiert realisiert\
        \ werden sollen,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.9
      description: "\u2022 das Konfigurationsmanagement f\xFCr die Daten, die von\
        \ der Systemmanagement-L\xF6sung verwaltet werden, z. B. Versionierung von\
        \ Konfigurationen,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.10
      description: "\u2022 Vorgaben f\xFCr die Netztrennung,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.11
      description: "\u2022 Vorgaben f\xFCr die Zugriffskontrolle,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.12
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.12
      description: "\u2022 Vorgaben f\xFCr die Protokollierung,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.13
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.13
      description: "\u2022 Vorgaben f\xFCr die Qualit\xE4tssicherung beim Einsatz\
        \ von Automatisierungsfunktionen, z. B. Skripte,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.14
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.14
      description: "\u2022 Vorgaben f\xFCr den Schutz der Kommunikation,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.15
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.15
      description: "\u2022 die operativen Grundregeln des Systemmanagements sowie"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7.16
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a7
      ref_id: OPS.1.1.7.A7.16
      description: "\u2022 Vorgaben f\xFCr die Abstimmung mit dem Netzmanagement,\
        \ z. B. Vergabe von IP-Adressen oder DNS-Namen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A8
      name: Erstellung eines Systemmanagement-Konzepts
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.1
      description: "Ausgehend von der Sicherheitsrichtlinie f\xFCr das Systemmanagement\
        \ SOLLTE ein Systemmanagement-Konzept erstellt und kontinuierlich gepflegt\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.2
      description: "Dabei SOLLTEN mindestens folgende Aspekte bedarfsgerecht ber\xFC\
        cksichtigt werden:"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.3
      description: "\u2022 Methoden, Techniken und Werkzeuge f\xFCr das Systemmanagement,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.4
      description: "\u2022 Absicherung des Zugangs und der Kommunikation,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.5
      description: "\u2022 Absicherung auf Ebene des Netzes, insbesondere Zuordnung\
        \ von Systemmanagement-Komponenten zu Sicherheitszonen,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.6
      description: "\u2022 Umfang des Monitorings und der Alarmierung f\xFCr jedes\
        \ zu verwaltende System,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.7
      description: "\u2022 Protokollierung,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.8
      description: "\u2022 Automatisierung, insbesondere die zentrale Verteilung von\
        \ Konfigurationsdateien auf die zu verwaltenden Systeme,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.9
      description: "\u2022 Vorgaben an Entwicklung und Test von Automatisierungsfunktionen,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.10
      description: "\u2022 Meldeketten bei St\xF6rungen und Sicherheitsvorf\xE4llen,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.11
      description: "\u2022 Bereitstellung von Systemmanagement-Informationen f\xFC\
        r andere Betriebsbereiche,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.12
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.12
      description: "\u2022 Einbindung des Systemmanagements in die Notfallplanung,\
        \ sowie"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8.13
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a8
      ref_id: OPS.1.1.7.A8.13
      description: "\u2022 ben\xF6tigten Netz\xFCbertragungskapazit\xE4ten der Systemmanagement-L\xF6\
        sung."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A9
      name: "Fein- und Umsetzungsplanung f\xFCr das Systemmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a9
      ref_id: OPS.1.1.7.A9.1
      description: "Eine Fein- und Umsetzungsplanung f\xFCr die Systemmanagement-L\xF6\
        sung SOLLTE erstellt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a9
      ref_id: OPS.1.1.7.A9.2
      description: "Dabei SOLLTEN alle in der Sicherheitsrichtlinie und im Systemmanagement-Konzept\
        \ adressierten Punkte ber\xFCcksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A10
      name: "Konzept f\xFCr den sicheren Betrieb der Systemmanagement-L\xF6sung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a10
      ref_id: OPS.1.1.7.A10.1
      description: "Ausgehend von den Sicherheitsrichtlinien und dem Systemmanagement-Konzept\
        \ SOLLTE ein Konzept f\xFCr den sicheren Betrieb der Systemmanagement-L\xF6\
        sung und der zugrundeliegenden Infrastruktur erstellt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a10.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a10
      ref_id: OPS.1.1.7.A10.2
      description: "Auch SOLLTE gepr\xFCft werden, wie sich die Leistungen anderer\
        \ operativer Einheiten einbinden und steuern lassen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A11
      name: "Regelm\xE4\xDFiger Soll-Ist-Vergleich im Rahmen des Systemmanagements"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11
      ref_id: OPS.1.1.7.A11.1
      description: "Der IT-Betrieb SOLLTE regelm\xE4\xDFig \xFCberpr\xFCfen, inwieweit\
        \ die von der Systemmanagement-L\xF6sung verwalteten Daten, Konfigurationen\
        \ und Skripte dem Sollzustand entsprechen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11
      ref_id: OPS.1.1.7.A11.2
      description: "Mindestens folgende Aspekte SOLLTEN im Soll-Ist-Vergleich gepr\xFC\
        ft werden:"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11
      ref_id: OPS.1.1.7.A11.3
      description: "\u2022 die Konfiguration der Systemmanagement-L\xF6sung,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11
      ref_id: OPS.1.1.7.A11.4
      description: "\u2022 die Konfiguration der zu verwaltenden Systeme sowie"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11
      ref_id: OPS.1.1.7.A11.5
      description: "\u2022 die eingesetzten Automatisierungsfunktionen oder Skripte."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11
      ref_id: OPS.1.1.7.A11.6
      description: "Dabei SOLLTE gepr\xFCft werden, ob die genannten Aspekte noch\
        \ die Sicherheitsrichtlinie und Anforderungsspezifikation erf\xFCllen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a11
      ref_id: OPS.1.1.7.A11.7
      description: "Weiter SOLLTE verglichen werden, ob die Softwareversion der Systemmanagement-L\xF6\
        sung aktuell ist."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A12
      name: "Ausl\xF6sung von Aktionen durch die zentralen Komponenten der Systemmanagement-L\xF6\
        sung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a12
      ref_id: OPS.1.1.7.A12.1
      description: "Aktionen, die durch das Systemmanagement auf den verwalteten Systemen\
        \ ausgef\xFChrt werden, SOLLTEN ausschlie\xDFlich von der Systemmanagement-L\xF6\
        sung ausgel\xF6st werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a12.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a12
      ref_id: OPS.1.1.7.A12.2
      description: "Daf\xFCr SOLLTEN nur diejenigen Management-Funktionen auf der\
        \ Systemmanagement-L\xF6sung und den zu verwaltenden Systemen aktiviert werden,\
        \ die tats\xE4chlich ben\xF6tigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A13
      name: "Verpflichtung zur Nutzung der vorgesehenen Schnittstellen f\xFCr das\
        \ Systemmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a13.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a13
      ref_id: OPS.1.1.7.A13.1
      description: "Management-Zugriffe auf zu verwaltende Systeme SOLLTEN ausschlie\xDF\
        lich \xFCber die daf\xFCr vorgesehenen Schnittstellen der Systemmanagement-L\xF6\
        sung erfolgen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a13.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a13
      ref_id: OPS.1.1.7.A13.2
      description: "Falls ein direkter Zugriff auf zu verwaltende Systeme notwendig\
        \ ist, z. B. nach einem Ausfall eines zu verwaltenden Systems, SOLLTEN sowohl\
        \ der direkte Zugriff als auch alle in diesem Rahmen vorgenommenen \xC4nderungen\
        \ dokumentiert und im notwendigen Umfang in die Systemmanagement-L\xF6sung\
        \ eingepflegt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A14
      name: "Zentrale Konfigurationsverwaltung f\xFCr zu verwaltende Systeme"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14
      ref_id: OPS.1.1.7.A14.1
      description: "Software und Konfigurationsdaten f\xFCr die zu verwaltenden Systeme\
        \ SOLLTEN konsequent in einem Konfigurationsmanagement verwaltet werden, das\
        \ eine Versionierung und \xC4nderungsverfolgung erm\xF6glicht."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14
      ref_id: OPS.1.1.7.A14.2
      description: "Die zugeh\xF6rige Dokumentation zur Konfigurationsverwaltung SOLLTE\
        \ vollst\xE4ndig und immer aktuell sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14
      ref_id: OPS.1.1.7.A14.3
      description: "Die ben\xF6tigten Dokumentationen SOLLTEN an zentraler Stelle\
        \ sicher verf\xFCgbar sein sowie in die Datensicherung eingebunden werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14
      ref_id: OPS.1.1.7.A14.4
      description: "Die zentrale Konfigurationsverwaltung SOLLTE nachhaltig gepflegt\
        \ und regelm\xE4\xDFig auditiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14
      ref_id: OPS.1.1.7.A14.5
      description: "S\xE4mtliche Schnittstellen zwischen Systemmanagement-L\xF6sung\
        \ und anderen Anwendungen und Diensten SOLLTEN dokumentiert und vollst\xE4\
        ndig in einem Konfigurationsmanagement verwaltet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14
      ref_id: OPS.1.1.7.A14.6
      description: "Zwischen relevanten Betriebsbereichen SOLLTEN funktionale \xC4\
        nderungen an den Schnittstellen fr\xFChzeitig abgestimmt und dokumentiert\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a14
      ref_id: OPS.1.1.7.A14.7
      description: "Die Konfigurationsdaten f\xFCr die zu verwaltenden Systeme SOLLTEN\
        \ automatisch \xFCber das Netz verteilt und ohne Betriebsunterbrechung installiert\
        \ und aktiviert werden k\xF6nnen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A15
      name: "Status\xFCberwachung, Protokollierung und Alarmierung bei relevanten\
        \ Ereignissen im Systemmanagement-L\xF6sung und den zu verwaltenden Systemen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.1
      description: "Die grundlegenden Performance- und Verf\xFCgbarkeitsparameter\
        \ der Systemmanagement-L\xF6sung und der zu verwaltenden Systeme SOLLTEN kontinuierlich\
        \ \xFCberwacht werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.2
      description: "Daf\xFCr SOLLTEN vorab die jeweiligen Schwellwerte ermittelt werden\
        \ (Baselining)."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.3
      description: "Werden definierte Schwellwerte \xFCberschritten, SOLLTE das zust\xE4\
        ndige Personal automatisch benachrichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.4
      description: "Zur besseren Fehleranalyse SOLLTEN Informationen aus der Status\xFC\
        berwachung anderer Bereiche, z. B. aus einem eigenen Bereich \u201ENetze\u201C\
        , ebenfalls betrachtet werden, um die genaue Ursache f\xFCr eine St\xF6rung\
        \ zu finden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.5
      description: "Wichtige Ereignisse auf zu verwaltenden Systemen und auf der Systemmanagement-L\xF6\
        sung SOLLTEN automatisch an eine zentrale Protokollierungsinfrastruktur \xFC\
        bermittelt und dort protokolliert werden (siehe OPS.1.1.5 Protokollierung)."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.6
      description: "Wichtige Ereignisse SOLLTEN mindestens f\xFCr folgende Aspekte\
        \ definiert werden:"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.7
      description: "\u2022 Ausfall sowie Nichterreichbarkeit von zu verwaltenden Systemen,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.8
      description: "\u2022 Ausfall sowie Nichterreichbarkeit von Systemmanagement-Komponenten,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.9
      description: "\u2022 Hardware-Fehlfunktionen,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.10
      description: "\u2022 Anmeldeversuche an der Systemmanagement-L\xF6sung,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.11
      description: "\u2022 Anmeldeversuche an zu verwaltenden Systemen,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.12
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.12
      description: "\u2022 kritische Zust\xE4nde oder \xDCberlastung der Systemmanagement-L\xF6\
        sung sowie"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.13
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.13
      description: "\u2022 kritische Zust\xE4nde oder \xDCberlastung von zu verwaltenden\
        \ Systemen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.14
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.14
      description: "Ereignismeldungen sowie Protokollierungs-Daten SOLLTEN an ein\
        \ zentrales Logging-System \xFCbermittelt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15.15
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a15
      ref_id: OPS.1.1.7.A15.15
      description: "Alarmmeldungen SOLLTEN sofort, wenn sie auftreten, \xFCbermittelt\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a16
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A16
      name: Einbindung des Systemmanagements in die Notfallplanung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a16.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a16
      ref_id: OPS.1.1.7.A16.1
      description: "Die Systemmanagement-L\xF6sung SOLLTE in die Notfallplanung der\
        \ Institution eingebunden werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a16.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a16
      ref_id: OPS.1.1.7.A16.2
      description: "Dazu SOLLTEN sowohl die Systemmanagement-L\xF6sung als auch die\
        \ Konfigurationen der zu verwaltenden Systeme gesichert und in die Wiederanlaufpl\xE4\
        ne integriert sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a17
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A17
      name: Kontrolle der Systemmanagement-Kommunikation
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a17.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a17
      ref_id: OPS.1.1.7.A17.1
      description: "Die Kommunikation zwischen den Benutzenden und der Systemmanagement-L\xF6\
        sung sowie zwischen der Systemmanagement-L\xF6sung und den zu verwaltenden\
        \ IT-Systemen SOLLTE \xFCber geeignete Filtertechniken auf unbedingt notwendige\
        \ Verbindungen eingeschr\xE4nkt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a18
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A18
      name: "\xDCberpr\xFCfung des Systemzustands"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a18.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a18
      ref_id: OPS.1.1.7.A18.1
      description: "Die Konsistenz zwischen realem Systemzustand und dem von der Systemmanagement-L\xF6\
        sung angenommenen Zustand SOLLTE regelm\xE4\xDFig gepr\xFCft werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a18.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a18
      ref_id: OPS.1.1.7.A18.2
      description: "Werden Abweichungen festgestellt, SOLLTE der in der Systemmanagement-L\xF6\
        sung vorgesehene Zustand wiederhergestellt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a19
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A19
      name: "Absicherung der Systemmanagement-Kommunikation zwischen der Systemmanagement-L\xF6\
        sung und den zu verwaltenden Systemen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a19.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a19
      ref_id: OPS.1.1.7.A19.1
      description: "Die Systemmanagement-Kommunikation zwischen der Systemmanagement-L\xF6\
        sung und den zu verwaltenden Systemen SOLLTE grunds\xE4tzlich verschl\xFC\
        sselt sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a19.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a19
      ref_id: OPS.1.1.7.A19.2
      description: "Die St\xE4rke der verwendeten kryptografischen Verfahren und Schl\xFC\
        ssel SOLLTE regelm\xE4\xDFig \xFCberpr\xFCft und bei Bedarf angepasst werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a20
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A20
      name: "Hochverf\xFCgbare Realisierung der Systemmanagement-L\xF6sung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a20.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a20
      ref_id: OPS.1.1.7.A20.1
      description: "Eine zentrale Systemmanagement-L\xF6sung SOLLTE hochverf\xFCgbar\
        \ betrieben werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a20.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a20
      ref_id: OPS.1.1.7.A20.2
      description: "Dazu SOLLTEN die f\xFCr die Systemmanagement-L\xF6sung eingesetzten\
        \ Server bzw. Werkzeuge inklusive der Netzanbindungen redundant ausgelegt\
        \ sein."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a21
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A21
      name: Physische Trennung der zentralen Systemmanagementnetze
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a21.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a21
      ref_id: OPS.1.1.7.A21.1
      description: "Das Managementnetz f\xFCr das Systemmanagement SOLLTE physisch\
        \ von den funktionalen, insbesondere produktiven, Netzen getrennt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a22
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A22
      name: Einbindung des Systemmanagements in automatisierte Detektionssysteme
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a22.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a22
      ref_id: OPS.1.1.7.A22.1
      description: Die Protokollierung von sicherheitsrelevanten Ereignissen des Systemmanagements
        SOLLTE in ein Security Information and Event Management (SIEM) eingebunden
        werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a22.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a22
      ref_id: OPS.1.1.7.A22.2
      description: Dabei SOLLTE nachvollziehbar festgelegt werden, welche Ereignisse
        an das SIEM weitergeleitet werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a22.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a22
      ref_id: OPS.1.1.7.A22.3
      description: "Im Anforderungskatalog zur Auswahl einer Systemmanagement-L\xF6\
        sung SOLLTEN die erforderlichen Schnittstellen und \xDCbergabeformate spezifiziert\
        \ werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a22.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a22
      ref_id: OPS.1.1.7.A22.4
      description: "Eine Systemmanagement-L\xF6sung SOLLTE mit einem System zur Erkennung\
        \ sicherheitsrelevanter Schwachstellen automatisiert \xFCberwacht werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a23
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A23
      name: "Standort-\xFCbergreifende Zeitsynchronisation f\xFCr das Systemmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a23.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a23
      ref_id: OPS.1.1.7.A23.1
      description: "Die Zeitsynchronisation SOLLTE sowohl f\xFCr die Systemmanagement-L\xF6\
        sung als auch f\xFCr die zu verwaltenden Systeme \xFCber alle Standorte der\
        \ Institution sichergestellt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a23.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a23
      ref_id: OPS.1.1.7.A23.2
      description: "Daf\xFCr SOLLTE eine gemeinsame Referenzzeit benutzt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a24
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A24
      name: "Automatisierte \xDCberpr\xFCfung von sicherheitsrelevanten Konfigurationen\
        \ durch geeignete Detektionssysteme"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a24.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a24
      ref_id: OPS.1.1.7.A24.1
      description: "Sicherheitsrelevante Konfigurationen der Systemmanagement-L\xF6\
        sung und der zu verwaltenden Systeme SOLLTEN durch geeignete Detektionssysteme\
        \ regelm\xE4\xDFig auf Abweichungen vom Sollzustand sowie auf potenzielle\
        \ Schwachstellen \xFCberpr\xFCft werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a25
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A25
      name: Protokollierung und Reglementierung von Systemmanagement-Sitzungen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a25.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a25
      ref_id: OPS.1.1.7.A25.1
      description: "Die Sitzungsinhalte, insbesondere die Aktivit\xE4ten von Benutzenden\
        \ auf der Systemmanagement-L\xF6sung sowie s\xE4mtliche direkte Zugriffe auf\
        \ zu verwaltende Systeme, SOLLTEN kontinuierlich durch eine technische L\xF6\
        sung protokolliert und reglementiert werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a25.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a25
      ref_id: OPS.1.1.7.A25.2
      description: "Dabei SOLLTEN die Aktivit\xE4ten auf Befehlsebene, d. h. manuelle\
        \ und automatisierte Befehle, kontrolliert und gegebenenfalls unterbunden\
        \ werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a25.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a25
      ref_id: OPS.1.1.7.A25.3
      description: "W\xE4hrend der \xDCberwachung SOLLTE nicht nur bei konkreten Regelverst\xF6\
        \xDFen, sondern auch bei Anomalien im Benutzendenverhalten eine Alarmierung\
        \ erfolgen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a26
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7
      ref_id: OPS.1.1.7.A26
      name: "Entkopplung von Zugriffen auf die Systemmanagement-L\xF6sung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a26.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.1.7.a26
      ref_id: OPS.1.1.7.A26.1
      description: "Jeder administrative Zugriff auf die Systemmanagement-L\xF6sung\
        \ SOLLTE durch die Nutzung von Sprungservern abgesichert werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      assessable: false
      depth: 1
      ref_id: OPS.1.2.2
      name: Archivierung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A1
      name: "Ermittlung von Einflussfaktoren f\xFCr die elektronische Archivierung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a1
      ref_id: OPS.1.2.2.A1.1
      description: "Bevor entschieden wird, welche Verfahren und Produkte f\xFCr die\
        \ elektronische Archivierung eingesetzt werden, M\xDCSSEN die technischen,\
        \ rechtlichen und organisatorischen Einflussfaktoren ermittelt und dokumentiert\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a1
      ref_id: OPS.1.2.2.A1.2
      description: "Die Ergebnisse M\xDCSSEN in das Archivierungskonzept einflie\xDF\
        en."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A2
      name: Entwicklung eines Archivierungskonzepts
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2
      ref_id: OPS.1.2.2.A2.1
      description: Es MUSS definiert werden, welche Ziele mit der Archivierung erreicht
        werden sollen.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2
      ref_id: OPS.1.2.2.A2.2
      description: "Hierbei MUSS insbesondere ber\xFCcksichtigt werden, welche Regularien\
        \ einzuhalten sind, welche Mitarbeitende zust\xE4ndig sind und welcher Funktions-\
        \ und Leistungsumfang angestrebt wird."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2
      ref_id: OPS.1.2.2.A2.3
      description: "Die Ergebnisse M\xDCSSEN in einem Archivierungskonzept erfasst\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2
      ref_id: OPS.1.2.2.A2.4
      description: Die Institutionsleitung MUSS in diesen Prozess einbezogen werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a2
      ref_id: OPS.1.2.2.A2.5
      description: "Das Archivierungskonzept MUSS regelm\xE4\xDFig an die aktuellen\
        \ Gegebenheiten der Institution angepasst werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A3
      name: Geeignete Aufstellung von Archivsystemen und Lagerung von Archivmedien
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a3
      ref_id: OPS.1.2.2.A3.1
      description: "Die IT-Komponenten eines Archivsystems M\xDCSSEN in gesicherten\
        \ R\xE4umen aufgestellt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a3
      ref_id: OPS.1.2.2.A3.2
      description: "Es MUSS sichergestellt sein, dass nur berechtigte Personen die\
        \ R\xE4ume betreten d\xFCrfen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a3
      ref_id: OPS.1.2.2.A3.3
      description: "Archivspeichermedien M\xDCSSEN geeignet gelagert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A4
      name: Konsistente Indizierung von Daten bei der Archivierung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a4
      ref_id: OPS.1.2.2.A4.1
      description: "Alle in einem Archiv abgelegten Daten, Dokumente und Datens\xE4\
        tze M\xDCSSEN eindeutig indiziert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a4
      ref_id: OPS.1.2.2.A4.2
      description: "Dazu MUSS bereits w\xE4hrend der Konzeption festgelegt werden,\
        \ welche Struktur und welchen Umfang die Indexangaben f\xFCr ein Archiv haben\
        \ sollen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A5
      name: "Regelm\xE4\xDFige Aufbereitung von archivierten Datenbest\xE4nden"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5
      ref_id: OPS.1.2.2.A5.1
      description: "\xDCber den gesamten Archivierungszeitraum hinweg MUSS sichergestellt\
        \ werden, dass"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5
      ref_id: OPS.1.2.2.A5.2
      description: "\u2022 das verwendete Datenformat von den benutzten Anwendungen\
        \ verarbeitet werden kann,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5
      ref_id: OPS.1.2.2.A5.3
      description: "\u2022 die gespeicherten Daten auch zuk\xFCnftig lesbar und so\
        \ reproduzierbar sind, dass Semantik und Beweiskraft beibehalten werden,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5
      ref_id: OPS.1.2.2.A5.4
      description: "\u2022 das benutzte Dateisystem auf dem Speichermedium von allen\
        \ beteiligten Komponenten verarbeitet werden kann,"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5
      ref_id: OPS.1.2.2.A5.5
      description: "\u2022 die Speichermedien jederzeit technisch einwandfrei gelesen\
        \ werden k\xF6nnen sowie"
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a5
      ref_id: OPS.1.2.2.A5.6
      description: "\u2022 die verwendeten kryptografischen Verfahren zur Verschl\xFC\
        sselung und zum Beweiswerterhalt mittels digitaler Signatur, Siegel, Zeitstempel\
        \ oder technischen Beweisdaten (Evidence Records) dem Stand der Technik entsprechen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A6
      name: "Schutz der Integrit\xE4t der Indexdatenbank von Archivsystemen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a6
      ref_id: OPS.1.2.2.A6.1
      description: "Die Integrit\xE4t der Indexdatenbank MUSS sichergestellt und \xFC\
        berpr\xFCfbar sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a6
      ref_id: OPS.1.2.2.A6.2
      description: "Au\xDFerdem MUSS die Indexdatenbank regelm\xE4\xDFig gesichert\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a6
      ref_id: OPS.1.2.2.A6.3
      description: "Die Datensicherungen M\xDCSSEN wiederherstellbar sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a6.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a6
      ref_id: OPS.1.2.2.A6.4
      description: "Mittlere und gro\xDFe Archive SOLLTEN \xFCber redundante Indexdatenbanken\
        \ verf\xFCgen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A7
      name: "Regelm\xE4\xDFige Datensicherung der System- und Archivdaten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a7
      ref_id: OPS.1.2.2.A7.1
      description: "Alle Archivdaten, die zugeh\xF6rigen Indexdatenbanken sowie die\
        \ Systemdaten M\xDCSSEN regelm\xE4\xDFig gesichert werden (siehe CON.3 Datensicherungskonzept)."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A8
      name: Protokollierung der Archivzugriffe
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8
      ref_id: OPS.1.2.2.A8.1
      description: "Alle Zugriffe auf elektronische Archive M\xDCSSEN protokolliert\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8
      ref_id: OPS.1.2.2.A8.2
      description: "Daf\xFCr SOLLTEN Datum, Uhrzeit, Benutzender, Client und die ausgef\xFC\
        hrten Aktionen sowie Fehlermeldungen aufgezeichnet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8
      ref_id: OPS.1.2.2.A8.3
      description: Im Archivierungskonzept SOLLTE festgelegt werden, wie lange die
        Protokolldaten aufbewahrt werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8
      ref_id: OPS.1.2.2.A8.4
      description: "Die Protokolldaten der Archivzugriffe SOLLTEN regelm\xE4\xDFig\
        \ ausgewertet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8
      ref_id: OPS.1.2.2.A8.5
      description: Dabei SOLLTEN die institutionsinternen Vorgaben beachtet werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8
      ref_id: OPS.1.2.2.A8.6
      description: "Auch SOLLTE definiert sein, welche Ereignisse welchen Mitarbeitenden\
        \ angezeigt werden, wie z. B. Systemfehler, Timeouts oder wenn Datens\xE4\
        tze kopiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a8
      ref_id: OPS.1.2.2.A8.7
      description: "Kritische Ereignisse SOLLTEN sofort nach der Erkennung gepr\xFC\
        ft und, falls n\xF6tig, weiter eskaliert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A9
      name: "Auswahl geeigneter Datenformate f\xFCr die Archivierung von Dokumenten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9
      ref_id: OPS.1.2.2.A9.1
      description: "F\xFCr die Archivierung MUSS ein geeignetes Datenformat ausgew\xE4\
        hlt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9
      ref_id: OPS.1.2.2.A9.2
      description: "Es MUSS gew\xE4hrleisten, dass sich Archivdaten sowie ausgew\xE4\
        hlte Merkmale des urspr\xFCnglichen Dokumentmediums langfristig und originalgetreu\
        \ reproduzieren lassen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9
      ref_id: OPS.1.2.2.A9.3
      description: "Die Dokumentstruktur des ausgew\xE4hlten Datenformats MUSS eindeutig\
        \ interpretierbar und elektronisch verarbeitbar sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9
      ref_id: OPS.1.2.2.A9.4
      description: "Die Syntax und Semantik der verwendeten Datenformate SOLLTE dokumentiert\
        \ und von einer Standardisierungsorganisation ver\xF6ffentlicht sein."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a9
      ref_id: OPS.1.2.2.A9.5
      description: "Es SOLLTE f\xFCr eine beweis- und revisionssichere Archivierung\
        \ ein verlustfreies Bildkompressionsverfahren benutzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A10
      name: "Erstellung einer Richtlinie f\xFCr die Nutzung von Archivsystemen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.1
      description: Es SOLLTE sichergestellt werden, dass Mitarbeitende das Archivsystem
        so benutzen, wie es im Archivierungskonzept vorgesehen ist.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.2
      description: Dazu SOLLTE eine Administrations- und eine Benutzungsrichtlinie
        erstellt werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.3
      description: 'Die Administrationsrichtlinie SOLLTE folgende Punkte enthalten:'
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.4
      description: "\u2022 Festlegung der Verantwortung f\xFCr Betrieb und Administration,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.5
      description: "\u2022 Vereinbarungen \xFCber Leistungsparameter beim Betrieb\
        \ (unter anderem Service Level Agreements),"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.6
      description: "\u2022 Modalit\xE4ten der Vergabe von Zutritts- und Zugriffsrechten,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.7
      description: "\u2022 Modalit\xE4ten der Vergabe von Zugangsrechten zu den vom\
        \ Archiv bereitgestellten Diensten,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.8
      description: "\u2022 Regelungen zum Umgang mit archivierten Daten und Archivmedien,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.9
      description: "\u2022 \xDCberwachung des Archivsystems und der Umgebungsbedingungen,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.10
      description: "\u2022 Regelungen zur Datensicherung,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.11
      description: "\u2022 Regelungen zur Protokollierung sowie"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10.12
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a10
      ref_id: OPS.1.2.2.A10.12
      description: "\u2022 Trennung von Produzenten und Konsumenten (OAIS-Modell)."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A11
      name: Einweisung in die Administration und Bedienung des Archivsystems
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.1
      description: "Die zust\xE4ndigen Mitarbeitende des IT-Betriebs und die Benutzenden\
        \ SOLLTEN f\xFCr ihren Aufgabenbereich geschult werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.2
      description: 'Die Schulung der Mitarbeitenden des IT-Betriebs SOLLTE folgende
        Themen umfassen:'
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.3
      description: "\u2022 Systemarchitektur und Sicherheitsmechanismen des verwendeten\
        \ Archivsystems und des darunterliegenden Betriebssystems,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.4
      description: "\u2022 Installation und Bedienung des Archivsystems und Umgang\
        \ mit Archivmedien,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.5
      description: "\u2022 Dokumentation der Administrationst\xE4tigkeiten sowie"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.6
      description: "\u2022 Eskalationsprozeduren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.7
      description: 'Die Schulung der Benutzende SOLLTE folgende Themen umfassen:'
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.8
      description: "\u2022 Umgang mit dem Archivsystem,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.9
      description: "\u2022 Bedienung des Archivsystems sowie"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.10
      description: "\u2022 rechtliche Rahmenbedingungen der Archivierung."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11.11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a11
      ref_id: OPS.1.2.2.A11.11
      description: "Die Durchf\xFChrung der Schulungen sowie die Teilnahme SOLLTEN\
        \ dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A12
      name: "\xDCberwachung der Speicherressourcen von Archivmedien"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a12
      ref_id: OPS.1.2.2.A12.1
      description: "Die auf den Archivmedien vorhandene freie Speicherkapazit\xE4\
        t SOLLTE kontinuierlich \xFCberwacht werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a12.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a12
      ref_id: OPS.1.2.2.A12.2
      description: "Sobald ein definierter Grenzwert unterschritten wird, M\xDCSSEN\
        \ zust\xE4ndige Mitarbeitende automatisch alarmiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a12.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a12
      ref_id: OPS.1.2.2.A12.3
      description: Die Alarmierung SOLLTE rollenbezogen erfolgen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a12.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a12
      ref_id: OPS.1.2.2.A12.4
      description: "Es M\xDCSSEN immer ausreichend leere Archivmedien verf\xFCgbar\
        \ sein, um Speicherengp\xE4ssen schnell vorbeugen zu k\xF6nnen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A13
      name: "Regelm\xE4\xDFige Revision der Archivierungsprozesse"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a13.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a13
      ref_id: OPS.1.2.2.A13.1
      description: "Es SOLLTE regelm\xE4\xDFig \xFCberpr\xFCft werden, ob die Archivierungsprozesse\
        \ noch korrekt und ordnungsgem\xE4\xDF funktionieren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a13.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a13
      ref_id: OPS.1.2.2.A13.2
      description: "Dazu SOLLTE eine Checkliste erstellt werden, die Fragen zu Verantwortlichkeiten,\
        \ Organisationsprozessen, zum Einsatz der Archivierung, zur Redundanz der\
        \ Archivdaten, zur Administration und zur technischen Beurteilung des Archivsystems\
        \ enth\xE4lt."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a13.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a13
      ref_id: OPS.1.2.2.A13.3
      description: Die Auditergebnisse SOLLTEN nachvollziehbar dokumentiert und mit
        dem Soll-Zustand abgeglichen werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a13.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a13
      ref_id: OPS.1.2.2.A13.4
      description: Abweichungen SOLLTE nachgegangen werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A14
      name: "Regelm\xE4\xDFige Beobachtung des Marktes f\xFCr Archivsysteme"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14
      ref_id: OPS.1.2.2.A14.1
      description: "Der Markt f\xFCr Archivsysteme SOLLTE regelm\xE4\xDFig und systematisch\
        \ beobachtet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14
      ref_id: OPS.1.2.2.A14.2
      description: 'Dabei SOLLTEN unter anderem folgende Kriterien beobachtet werden:'
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14
      ref_id: OPS.1.2.2.A14.3
      description: "\u2022 Ver\xE4nderungen bei Standards,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14
      ref_id: OPS.1.2.2.A14.4
      description: "\u2022 Wechsel der Technik bei herstellenden Unternehmen von Hard-\
        \ und Software,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14
      ref_id: OPS.1.2.2.A14.5
      description: "\u2022 ver\xF6ffentlichte Sicherheitsl\xFCcken oder Schwachstellen\
        \ sowie"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a14
      ref_id: OPS.1.2.2.A14.6
      description: "\u2022 der Verlust der Sicherheitseignung bei kryptografischen\
        \ Algorithmen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a15
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A15
      name: "Regelm\xE4\xDFige Aufbereitung von kryptografisch gesicherten Daten bei\
        \ der Archivierung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a15.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a15
      ref_id: OPS.1.2.2.A15.1
      description: "Es SOLLTE kontinuierlich beobachtet werden, wie sich das Gebiet\
        \ der Kryptografie entwickelt, um beurteilen zu k\xF6nnen, ob ein Algorithmus\
        \ weiterhin zuverl\xE4ssig und ausreichend sicher ist (siehe auch OPS.1.2.2.A20\
        \ Geeigneter Einsatz kryptografischer Verfahren bei der Archivierung)."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a15.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a15
      ref_id: OPS.1.2.2.A15.2
      description: Archivdaten, die mit kryptografischen Verfahren gesichert wurden,
        die sich in absehbarer Zeit nicht mehr zur Sicherung eignen werden, SOLLTEN
        rechtzeitig mit geeigneten Verfahren neu gesichert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A16
      name: "Regelm\xE4\xDFige Erneuerung technischer Archivsystem-Komponenten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16
      ref_id: OPS.1.2.2.A16.1
      description: "Archivsysteme SOLLTEN \xFCber lange Zeitr\xE4ume auf dem aktuellen\
        \ technischen Stand gehalten werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16
      ref_id: OPS.1.2.2.A16.2
      description: "Neue Hard- und Software SOLLTE vor der Installation in einem laufenden\
        \ Archivsystem ausf\xFChrlich getestet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16
      ref_id: OPS.1.2.2.A16.3
      description: "Wenn neue Komponenten in Betrieb genommen oder neue Dateiformate\
        \ eingef\xFChrt werden, SOLLTE ein Migrationskonzept erstellt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16
      ref_id: OPS.1.2.2.A16.4
      description: "Darin SOLLTEN alle \xC4nderungen, Tests und erwarteten Testergebnisse\
        \ beschrieben sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16
      ref_id: OPS.1.2.2.A16.5
      description: Die Konvertierung der einzelnen Daten SOLLTE dokumentiert werden
        (Transfervermerk).
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a16
      ref_id: OPS.1.2.2.A16.6
      description: "Wenn Archivdaten in neue Formate konvertiert werden, SOLLTE gepr\xFC\
        ft werden, ob die Daten aufgrund rechtlicher Anforderungen zus\xE4tzlich in\
        \ ihren urspr\xFCnglichen Formaten zu archivieren sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a17
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A17
      name: Auswahl eines geeigneten Archivsystems
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a17.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a17
      ref_id: OPS.1.2.2.A17.1
      description: "Ein neues Archivsystem SOLLTE immer auf Basis der im Archivierungskonzept\
        \ beschriebenen Vorgaben ausgew\xE4hlt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a17.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a17
      ref_id: OPS.1.2.2.A17.2
      description: "Es SOLLTE die dort formulierten Anforderungen erf\xFCllen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A18
      name: Verwendung geeigneter Archivmedien
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18
      ref_id: OPS.1.2.2.A18.1
      description: "F\xFCr die Archivierung SOLLTEN geeignete Medien ausgew\xE4hlt\
        \ und benutzt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18
      ref_id: OPS.1.2.2.A18.2
      description: "Dabei SOLLTEN folgende Aspekte ber\xFCcksichtigt werden:"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18
      ref_id: OPS.1.2.2.A18.3
      description: "\u2022 das zu archivierende Datenvolumen,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18
      ref_id: OPS.1.2.2.A18.4
      description: "\u2022 die mittleren Zugriffszeiten sowie"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18
      ref_id: OPS.1.2.2.A18.5
      description: "\u2022 die mittleren gleichzeitigen Zugriffe auf das Archivsystem."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a18
      ref_id: OPS.1.2.2.A18.6
      description: "Ebenfalls SOLLTEN die Archivmedien die Anforderungen an eine Langzeitarchivierung\
        \ hinsichtlich Revisionssicherheit und Lebensdauer erf\xFCllen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A19
      name: "Regelm\xE4\xDFige Funktions- und Recoverytests bei der Archivierung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19
      ref_id: OPS.1.2.2.A19.1
      description: "F\xFCr die Archivierung SOLLTEN regelm\xE4\xDFige Funktions- und\
        \ Recoverytests durchgef\xFChrt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19
      ref_id: OPS.1.2.2.A19.2
      description: "Die Archivierungsdatentr\xE4ger SOLLTEN mindestens einmal j\xE4\
        hrlich daraufhin \xFCberpr\xFCft werden, ob sie noch lesbar und integer sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19
      ref_id: OPS.1.2.2.A19.3
      description: "F\xFCr die Fehlerbehebung SOLLTEN geeignete Prozesse definiert\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19
      ref_id: OPS.1.2.2.A19.4
      description: "Weiterhin SOLLTEN die Hardwarekomponenten des Archivsystems regelm\xE4\
        \xDFig auf ihre einwandfreie Funktion hin gepr\xFCft werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a19
      ref_id: OPS.1.2.2.A19.5
      description: "Es SOLLTE regelm\xE4\xDFig gepr\xFCft werden, ob alle Archivierungsprozesse\
        \ fehlerfrei funktionieren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a20
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A20
      name: Geeigneter Einsatz kryptografischer Verfahren bei der Archivierung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a20.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a20
      ref_id: OPS.1.2.2.A20.1
      description: "Um lange Aufbewahrungsfristen abdecken zu k\xF6nnen, SOLLTEN Archivdaten\
        \ nur mit kryptografischen Verfahren auf Basis aktueller Standards und Normen\
        \ gesichert werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a21
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2
      ref_id: OPS.1.2.2.A21
      name: "\xDCbertragung von Papierdaten in elektronische Archive"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a21.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.2.a21
      ref_id: OPS.1.2.2.A21.1
      description: "Werden z. B. Dokumente auf Papier digitalisiert und in ein elektronisches\
        \ Archiv \xFCberf\xFChrt, SOLLTE sichergestellt werden, dass die digitale\
        \ Kopie mit dem Originaldokument bildlich und inhaltlich \xFCbereinstimmt."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4
      assessable: false
      depth: 1
      ref_id: OPS.1.2.4
      name: Telearbeit
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4
      ref_id: OPS.1.2.4.A1
      name: "Regelungen f\xFCr Telearbeit"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a1
      ref_id: OPS.1.2.4.A1.1
      description: "Alle relevanten Aspekte der Telearbeit M\xDCSSEN geregelt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a1
      ref_id: OPS.1.2.4.A1.2
      description: "Zu Informationszwecken M\xDCSSEN den Telearbeitenden die geltenden\
        \ Regelungen oder ein daf\xFCr vorgesehenes Merkblatt ausgeh\xE4ndigt werden,\
        \ das die zu beachtenden Sicherheitsma\xDFnahmen erl\xE4utert."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a1
      ref_id: OPS.1.2.4.A1.3
      description: "Alle strittigen Punkte M\xDCSSEN entweder durch Betriebsvereinbarungen\
        \ oder durch zus\xE4tzlich zum Arbeitsvertrag getroffene individuelle Vereinbarungen\
        \ zwischen dem Mitarbeitenden und der Institution geregelt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a1
      ref_id: OPS.1.2.4.A1.4
      description: "Die Regelungen M\xDCSSEN regelm\xE4\xDFig aktualisiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4
      ref_id: OPS.1.2.4.A2
      name: Sicherheitstechnische Anforderungen an den Telearbeitsrechner
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a2
      ref_id: OPS.1.2.4.A2.1
      description: "Es M\xDCSSEN sicherheitstechnische Anforderungen festgelegt werden,\
        \ die ein IT-System f\xFCr die Telearbeit erf\xFCllen muss."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a2
      ref_id: OPS.1.2.4.A2.2
      description: Es MUSS sichergestellt werden, dass nur autorisierte Personen Zugang
        zu den Telearbeitsrechnern haben.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a2
      ref_id: OPS.1.2.4.A2.3
      description: "Dar\xFCber hinaus MUSS der Telearbeitsrechner so abgesichert werden,\
        \ dass er nur f\xFCr autorisierte Zwecke benutzt werden kann."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4
      ref_id: OPS.1.2.4.A5
      name: Sensibilisierung und Schulung der Mitarbeitenden
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a5
      ref_id: OPS.1.2.4.A5.1
      description: "Anhand eines Leitfadens M\xDCSSEN die Mitarbeitenden f\xFCr die\
        \ Gefahren sensibilisiert werden, die mit der Telearbeit verbunden sind."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a5
      ref_id: OPS.1.2.4.A5.2
      description: "Au\xDFerdem M\xDCSSEN sie in die entsprechenden Sicherheitsma\xDF\
        nahmen der Institution eingewiesen und im Umgang mit diesen geschult werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a5
      ref_id: OPS.1.2.4.A5.3
      description: "Die Schulungs- und Sensibilisierungsma\xDFnahmen f\xFCr Mitarbeitenden\
        \ SOLLTEN regelm\xE4\xDFig wiederholt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4
      ref_id: OPS.1.2.4.A6
      name: "Erstellen eines Sicherheitskonzeptes f\xFCr Telearbeit"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a6
      ref_id: OPS.1.2.4.A6.1
      description: "Es SOLLTE ein Sicherheitskonzept f\xFCr die Telearbeit erstellt\
        \ werden, das Sicherheitsziele, Schutzbedarf, Sicherheitsanforderungen sowie\
        \ Risiken beschreibt."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a6
      ref_id: OPS.1.2.4.A6.2
      description: "Das Konzept SOLLTE regelm\xE4\xDFig aktualisiert und \xFCberarbeitet\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a6
      ref_id: OPS.1.2.4.A6.3
      description: "Das Sicherheitskonzept zur Telearbeit SOLLTE auf das \xFCbergreifende\
        \ Sicherheitskonzept der Institution abgestimmt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4
      ref_id: OPS.1.2.4.A7
      name: "Regelung der Nutzung von Kommunikationsm\xF6glichkeiten bei Telearbeit"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a7
      ref_id: OPS.1.2.4.A7.1
      description: "Es SOLLTE klar geregelt werden, welche Kommunikationsm\xF6glichkeiten\
        \ bei der Telearbeit unter welchen Rahmenbedingungen genutzt werden d\xFC\
        rfen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a7
      ref_id: OPS.1.2.4.A7.2
      description: Die dienstliche und private Nutzung von Internetdiensten bei der
        Telearbeit SOLLTE geregelt werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a7
      ref_id: OPS.1.2.4.A7.3
      description: "Dabei SOLLTE auch gekl\xE4rt werden, ob eine private Nutzung generell\
        \ erlaubt oder unterbunden wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4
      ref_id: OPS.1.2.4.A8
      name: Informationsfluss zwischen Mitarbeitenden und Institution
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a8
      ref_id: OPS.1.2.4.A8.1
      description: "Ein regelm\xE4\xDFiger innerbetrieblicher Informationsaustausch\
        \ zwischen den Mitarbeitenden und der Institution SOLLTE gew\xE4hrleistet\
        \ sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a8
      ref_id: OPS.1.2.4.A8.2
      description: "Alle Mitarbeitenden SOLLTEN zeitnah \xFCber ge\xE4nderte Sicherheitsanforderungen\
        \ und andere sicherheitsrelevante Aspekte informiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a8.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a8
      ref_id: OPS.1.2.4.A8.3
      description: "Allen Kollegen und Kolleginnen der jeweiligen Mitarbeitenden SOLLTE\
        \ bekannt sein, wann und wo diese erreicht werden k\xF6nnen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a8.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a8
      ref_id: OPS.1.2.4.A8.4
      description: "Technische und organisatorische Telearbeitsregelungen zur Aufgabenbew\xE4\
        ltigung, zu Sicherheitsvorf\xE4llen und sonstigen Problemen SOLLTEN geregelt\
        \ und an die Mitarbeitenden kommuniziert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4
      ref_id: OPS.1.2.4.A9
      name: "Betreuungs- und Wartungskonzept f\xFCr Telearbeitspl\xE4tze"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a9
      ref_id: OPS.1.2.4.A9.1
      description: "F\xFCr Telearbeitspl\xE4tze SOLLTE ein spezielles Betreuungs-\
        \ und Wartungskonzept erstellt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a9
      ref_id: OPS.1.2.4.A9.2
      description: "Darin SOLLTEN folgende Aspekte geregelt werden: Kontaktperson\
        \ des IT-Betriebs, Wartungstermine, Fernwartung, Transport der IT-Ger\xE4\
        te und Einf\xFChrung von Standard-Telearbeitsrechnern."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a9.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a9
      ref_id: OPS.1.2.4.A9.3
      description: "Damit die Mitarbeitenden einsatzf\xE4hig bleiben, SOLLTEN f\xFC\
        r sie Kontaktpersonen f\xFCr Hard- und Softwareprobleme benannt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4
      ref_id: OPS.1.2.4.A10
      name: "Durchf\xFChrung einer Anforderungsanalyse f\xFCr den Telearbeitsplatz"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a10
      ref_id: OPS.1.2.4.A10.1
      description: "Bevor ein Telearbeitsplatz eingerichtet wird, SOLLTE eine Anforderungsanalyse\
        \ durchgef\xFChrt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a10.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a10
      ref_id: OPS.1.2.4.A10.2
      description: "Daraus SOLLTE z. B. hervorgehen, welche Hard- und Software-Komponenten\
        \ f\xFCr den Telearbeitsplatz ben\xF6tigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a10.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a10
      ref_id: OPS.1.2.4.A10.3
      description: Die Anforderungen an den jeweiligen Telearbeitsplatz SOLLTEN mit
        den IT-Verantwortlichen abgestimmt werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a10.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.4.a10
      ref_id: OPS.1.2.4.A10.4
      description: Es SOLLTE immer festgestellt und dokumentiert werden, welchen Schutzbedarf
        die am Telearbeitsplatz verarbeiteten Informationen haben.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      assessable: false
      depth: 1
      ref_id: OPS.1.2.5
      name: Fernwartung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A1
      name: Planung des Einsatzes der Fernwartung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a1
      ref_id: OPS.1.2.5.A1.1
      description: Der Einsatz der Fernwartung MUSS an die Institution angepasst werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a1
      ref_id: OPS.1.2.5.A1.2
      description: Die Fernwartung MUSS hinsichtlich technischer und organisatorischer
        Aspekte bedarfsgerecht geplant werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a1
      ref_id: OPS.1.2.5.A1.3
      description: "Dabei MUSS mindestens ber\xFCcksichtigt werden, welche IT-Systeme\
        \ ferngewartet werden sollen und wer daf\xFCr zust\xE4ndig ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A2
      name: Sicherer Verbindungsaufbau bei der Fernwartung von Clients
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a2
      ref_id: OPS.1.2.5.A2.1
      description: Wird per Fernwartung auf Desktop-Umgebungen von Clients zugegriffen,
        MUSS die Fernwartungssoftware so konfiguriert sein, dass sie eine Verbindung
        erst nach expliziter Zustimmung der Benutzenden aufbaut.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A3
      name: Absicherung der Schnittstellen zur Fernwartung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3
      ref_id: OPS.1.2.5.A3.1
      description: "Die m\xF6glichen Zug\xE4nge und Kommunikationsverbindungen f\xFC\
        r die Fernwartung M\xDCSSEN auf das notwendige Ma\xDF beschr\xE4nkt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3
      ref_id: OPS.1.2.5.A3.2
      description: "Alle Fernwartungsverbindungen M\xDCSSEN nach dem Fernzugriff getrennt\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3
      ref_id: OPS.1.2.5.A3.3
      description: "Es MUSS sichergestellt werden, dass Fernwartungssoftware nur auf\
        \ IT-Systemen installiert ist, auf denen sie ben\xF6tigt wird."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3
      ref_id: OPS.1.2.5.A3.4
      description: "Fernwartungsverbindungen \xFCber nicht vertrauensw\xFCrdige Netze\
        \ M\xDCSSEN verschl\xFCsselt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a3
      ref_id: OPS.1.2.5.A3.5
      description: "Alle anderen Fernwartungsverbindungen SOLLTEN verschl\xFCsselt\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A5
      name: Einsatz von Online-Diensten
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a5
      ref_id: OPS.1.2.5.A5.1
      description: "Die Institution SOLLTE festlegen, unter welchen Umst\xE4nden Online-Dienste\
        \ zur Fernwartung genutzt werden d\xFCrfen, bei denen die Verbindung \xFC\
        ber einen externen Server hergestellt wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a5
      ref_id: OPS.1.2.5.A5.2
      description: "Der Einsatz solcher Dienste SOLLTE generell auf m\xF6glichst wenige\
        \ F\xE4lle beschr\xE4nkt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a5
      ref_id: OPS.1.2.5.A5.3
      description: Die IT-Systeme SOLLTEN keine automatisierten Verbindungen zum Online-Dienst
        aufbauen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a5.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a5
      ref_id: OPS.1.2.5.A5.4
      description: "Es SOLLTE sichergestellt werden, dass der eingesetzte Online-Dienst\
        \ die \xFCbertragenen Informationen Ende-zu-Ende-verschl\xFCsselt."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A6
      name: "Erstellung einer Richtlinie f\xFCr die Fernwartung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a6
      ref_id: OPS.1.2.5.A6.1
      description: Die Institution SOLLTE eine Richtlinie zur Fernwartung erstellen,
        in der alle relevanten Regelungen zur Fernwartung dokumentiert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a6
      ref_id: OPS.1.2.5.A6.2
      description: "Die Richtlinie SOLLTE allen Zust\xE4ndigen bekannt sein, die an\
        \ der Konzeption, dem Aufbau und dem Betrieb der Fernwartung beteiligt sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A7
      name: Dokumentation bei der Fernwartung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a7
      ref_id: OPS.1.2.5.A7.1
      description: Die Fernwartung SOLLTE geeignet dokumentiert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a7
      ref_id: OPS.1.2.5.A7.2
      description: "Aus der Dokumentation SOLLTE hervorgehen, welche Fernwartungszug\xE4\
        nge existieren und ob diese aktiviert sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a7
      ref_id: OPS.1.2.5.A7.3
      description: "Die Dokumente SOLLTEN an geeigneten Orten und vor unberechtigtem\
        \ Zugriff gesch\xFCtzt abgelegt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a7.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a7
      ref_id: OPS.1.2.5.A7.4
      description: "Die Dokumente SOLLTEN im Rahmen des Notfallmanagements zur Verf\xFC\
        gung stehen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A8
      name: Sichere Protokolle bei der Fernwartung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a8
      ref_id: OPS.1.2.5.A8.1
      description: Nur als sicher eingestufte Kommunikationsprotokolle SOLLTEN eingesetzt
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a8
      ref_id: OPS.1.2.5.A8.2
      description: "Daf\xFCr SOLLTEN sichere kryptografische Verfahren verwendet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a8.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a8
      ref_id: OPS.1.2.5.A8.3
      description: "Die St\xE4rke der verwendeten kryptografischen Verfahren und Schl\xFC\
        ssel SOLLTE regelm\xE4\xDFig \xFCberpr\xFCft und bei Bedarf angepasst werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a8.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a8
      ref_id: OPS.1.2.5.A8.4
      description: "Wird auf die Fernwartungszug\xE4nge von IT-Systemen im internen\
        \ Netz \xFCber ein \xF6ffentliches Datennetz zugegriffen, SOLLTE ein abgesichertes\
        \ Virtuelles Privates Netz (VPN) genutzt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A9
      name: Auswahl und Beschaffung geeigneter Fernwartungswerkzeuge
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a9
      ref_id: OPS.1.2.5.A9.1
      description: Die Auswahl geeigneter Fernwartungswerkzeuge SOLLTE sich aus den
        betrieblichen, sicherheitstechnischen und datenschutzrechtlichen Anforderungen
        der Institution ergeben.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a9
      ref_id: OPS.1.2.5.A9.2
      description: Alle Beschaffungsentscheidungen SOLLTEN mit den System- und Anwendungsverantwortlichen
        sowie dem oder der Informationssicherheitsbeauftragten abgestimmt werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A10
      name: Umgang mit Fernwartungswerkzeugen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10
      ref_id: OPS.1.2.5.A10.1
      description: "Es SOLLTEN organisatorische Verwaltungsprozesse zum Umgang mit\
        \ den ausgew\xE4hlten Fernwartungswerkzeugen etabliert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10
      ref_id: OPS.1.2.5.A10.2
      description: "Es SOLLTE eine Bedienungsanleitung f\xFCr den Umgang mit den Fernwartungswerkzeugen\
        \ vorliegen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10
      ref_id: OPS.1.2.5.A10.3
      description: "Erg\xE4nzend zu den allgemeinen Schulungsma\xDFnahmen SOLLTEN\
        \ Musterabl\xE4ufe f\xFCr die passive und die aktive Fernwartung erstellt\
        \ und kommuniziert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10
      ref_id: OPS.1.2.5.A10.4
      description: "Zus\xE4tzlich zu den allgemeinen Schulungsma\xDFnahmen SOLLTE\
        \ der IT-Betrieb besonders im Umgang mit den Fernwartungswerkzeugen sensibilisiert\
        \ und geschult werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a10
      ref_id: OPS.1.2.5.A10.5
      description: "Es SOLLTE ein Ansprechpartner oder eine Ansprechpartnerin f\xFC\
        r alle fachlichen Fragen zu den Fernwartungswerkzeugen benannt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A14
      name: Dedizierte Clients und Konten bei der Fernwartung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a14.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a14
      ref_id: OPS.1.2.5.A14.1
      description: "Zur Fernwartung SOLLTEN IT-Systeme eingesetzt werden, die ausschlie\xDF\
        lich zur Administration von anderen IT-Systemen dienen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a14.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a14
      ref_id: OPS.1.2.5.A14.2
      description: Alle weiteren Funktionen auf diesen IT-Systemen SOLLTEN deaktiviert
        werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a14.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a14
      ref_id: OPS.1.2.5.A14.3
      description: "Die Netzkommunikation der Administrationssysteme SOLLTE so eingeschr\xE4\
        nkt werden, dass nur Verbindungen zu IT-Systemen m\xF6glich sind, die administriert\
        \ werden sollen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a14.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a14
      ref_id: OPS.1.2.5.A14.4
      description: "F\xFCr Fernwartungszug\xE4nge SOLLTEN dedizierte Konten verwendet\
        \ werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a17
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A17
      name: Authentisierungsmechanismen bei der Fernwartung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a17.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a17
      ref_id: OPS.1.2.5.A17.1
      description: "F\xFCr die Fernwartung SOLLTEN Mehr-Faktor-Verfahren zur Authentisierung\
        \ eingesetzt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a17.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a17
      ref_id: OPS.1.2.5.A17.2
      description: "Die Auswahl der Authentisierungsmethode und die Gr\xFCnde, die\
        \ zu der Auswahl gef\xFChrt haben, SOLLTEN dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a17.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a17
      ref_id: OPS.1.2.5.A17.3
      description: "Fernwartungszug\xE4nge SOLLTEN im Identit\xE4ts- und Berechtigungsmanagement\
        \ der Institution ber\xFCcksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A19
      name: Fernwartung durch Dritte
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19
      ref_id: OPS.1.2.5.A19.1
      description: "Wird die Fernwartung von Externen durchgef\xFChrt, SOLLTEN alle\
        \ Fernwartungsaktivit\xE4ten von internen Mitarbeitenden beobachtet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19
      ref_id: OPS.1.2.5.A19.2
      description: "Alle Fernwartungsvorg\xE4nge durch Dritte SOLLTEN aufgezeichnet\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19
      ref_id: OPS.1.2.5.A19.3
      description: "Mit externem Wartungspersonal M\xDCSSEN vertragliche Regelungen\
        \ \xFCber die Sicherheit der betroffenen IT-Systeme und Informationen geschlossen\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19
      ref_id: OPS.1.2.5.A19.4
      description: Die Pflichten und Kompetenzen des externen Wartungspersonals SOLLTEN
        in den vertraglichen Regelungen festgehalten werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19
      ref_id: OPS.1.2.5.A19.5
      description: "Sollten Dienstleistende mehrere Kunden und Kundinnen fernwarten,\
        \ MUSS gew\xE4hrleistet sein, dass die Netze der Kunden und Kundinnen nicht\
        \ miteinander verbunden werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a19
      ref_id: OPS.1.2.5.A19.6
      description: "Die Fernwartungsschnittstellen SOLLTEN so konfiguriert sein, dass\
        \ es Dienstleistenden nur m\xF6glich ist, auf die IT-Systeme und Netzsegmente\
        \ zuzugreifen, die f\xFCr seine Arbeit ben\xF6tigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a20
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A20
      name: Betrieb der Fernwartung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a20.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a20
      ref_id: OPS.1.2.5.A20.1
      description: "Ein Meldeprozess f\xFCr Support- und Fernwartungsanliegen SOLLTE\
        \ etabliert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a20.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a20
      ref_id: OPS.1.2.5.A20.2
      description: Es SOLLTEN Mechanismen zur Erkennung und Abwehr von hochvolumigen
        Angriffen, TCP-State-Exhaustion-Angriffen und Angriffen auf Applikationsebene
        implementiert sein.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a20.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a20
      ref_id: OPS.1.2.5.A20.3
      description: "Alle Fernwartungsvorg\xE4nge SOLLTEN protokolliert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a21
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A21
      name: "Erstellung eines Notfallplans f\xFCr den Ausfall der Fernwartung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a21.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a21
      ref_id: OPS.1.2.5.A21.1
      description: "Es SOLLTE ein Konzept entwickelt werden, wie die Folgen eines\
        \ Ausfalls von Fernwartungskomponenten minimiert werden k\xF6nnen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a21.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a21
      ref_id: OPS.1.2.5.A21.2
      description: Dieses SOLLTE festhalten, wie im Falle eines Ausfalls zu reagieren
        ist.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a21.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a21
      ref_id: OPS.1.2.5.A21.3
      description: "Durch den Notfallplan SOLLTE sichergestellt sein, dass St\xF6\
        rungen, Sch\xE4den und Folgesch\xE4den minimiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a21.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a21
      ref_id: OPS.1.2.5.A21.4
      description: "Au\xDFerdem SOLLTE festgelegt werden, wie eine zeitnahe Wiederherstellung\
        \ des Normalbetriebs erfolgen kann."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a22
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A22
      name: Redundante Kommunikationsverbindungen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a22.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a22
      ref_id: OPS.1.2.5.A22.1
      description: "F\xFCr Fernwartungszug\xE4nge SOLLTEN redundante Kommunikationsverbindungen\
        \ eingerichtet werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a22.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a22
      ref_id: OPS.1.2.5.A22.2
      description: Die Institution SOLLTE Anbindungen zum Out-Of-Band-Management vorhalten.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A24
      name: Absicherung integrierter Fernwartungssysteme
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24
      ref_id: OPS.1.2.5.A24.1
      description: "Bei der Beschaffung von neuen IT-Systemen SOLLTE gepr\xFCft werden,\
        \ ob diese IT-Systeme oder einzelne Komponenten der IT-Systeme \xFCber Funktionen\
        \ zur Fernwartung verf\xFCgen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24
      ref_id: OPS.1.2.5.A24.2
      description: Werden diese Funktionen nicht verwendet, SOLLTEN sie deaktiviert
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24
      ref_id: OPS.1.2.5.A24.3
      description: "Die Funktionen SOLLTEN ebenfalls deaktiviert werden, wenn sie\
        \ durch bekannte Sicherheitsl\xFCcken gef\xE4hrdet sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24
      ref_id: OPS.1.2.5.A24.4
      description: "Werden Fernwartungsfunktionen verwendet, die in die Firmware einzelner\
        \ Komponenten integriert sind, SOLLTEN deren Funktionen und der Zugriff darauf\
        \ so weit wie m\xF6glich eingeschr\xE4nkt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a24
      ref_id: OPS.1.2.5.A24.5
      description: Die Fernwartungsfunktionen SOLLTEN nur aus einem getrennten Managementnetz
        erreichbar sein.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a25
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5
      ref_id: OPS.1.2.5.A25
      name: Entkopplung der Kommunikation bei der Fernwartung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a25.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a25
      ref_id: OPS.1.2.5.A25.1
      description: "Direkte Fernwartungszugriffe von einem Fernwartungs-Client au\xDF\
        erhalb der Managementnetze auf ein IT-System SOLLTEN vermieden werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a25.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a25
      ref_id: OPS.1.2.5.A25.2
      description: Ist ein solcher Zugriff notwendig, SOLLTE die Kommunikation entkoppelt
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a25.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a25
      ref_id: OPS.1.2.5.A25.3
      description: Dazu SOLLTEN Sprungserver verwendet werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a25.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.5.a25
      ref_id: OPS.1.2.5.A25.4
      description: "Der Zugriff auf Sprungserver SOLLTE nur von vertrauensw\xFCrdigen\
        \ IT-Systemen aus m\xF6glich sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      assessable: false
      depth: 1
      ref_id: OPS.1.2.6
      name: NTP-Zeitsynchronisation
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A1
      name: Planung des NTP- Einsatzes
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1
      ref_id: OPS.1.2.6.A1.1
      description: Der IT-Betrieb MUSS planen, wo und wie NTP eingesetzt wird.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1
      ref_id: OPS.1.2.6.A1.2
      description: "Dies SOLLTE vollst\xE4ndig dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1
      ref_id: OPS.1.2.6.A1.3
      description: Dabei MUSS ermittelt werden, welche Anwendungen auf eine genaue
        Zeitinformation angewiesen sind.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1
      ref_id: OPS.1.2.6.A1.4
      description: "Die Anforderungen des Informationsverbunds hinsichtlich genauer\
        \ Zeit der IT-Systeme M\xDCSSEN definiert und dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1
      ref_id: OPS.1.2.6.A1.5
      description: Der IT-Betrieb MUSS definieren, welche NTP-Server von welchen NTP-Clients
        genutzt werden sollen.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a1
      ref_id: OPS.1.2.6.A1.6
      description: Es MUSS festgelegt werden, ob NTP-Server im Client-Server- oder
        im Broadcast-Modus arbeiten.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A2
      name: Sichere Nutzung fremder Zeitquellen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a2
      ref_id: OPS.1.2.6.A2.1
      description: "Falls Zeitinformationen von einem NTP-Server au\xDFerhalb des\
        \ Netzes der Institution bezogen werden, dann MUSS der IT-Betrieb beurteilen,\
        \ ob der NTP-Server hinreichend verl\xE4sslich ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a2
      ref_id: OPS.1.2.6.A2.2
      description: "Der IT-Betrieb MUSS sicherstellen, dass nur als verl\xE4sslich\
        \ eingestufte NTP-Server verwendet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a2
      ref_id: OPS.1.2.6.A2.3
      description: Der IT-Betrieb MUSS die Nutzungsregeln des NTP-Servers kennen und
        beachten.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A3
      name: Sichere Konfiguration von NTP-Servern
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a3
      ref_id: OPS.1.2.6.A3.1
      description: "Der IT-Betrieb MUSS den NTP-Server so konfigurieren, dass Clients\
        \ nur dann Einstellungen des NTP-Servers ver\xE4ndern k\xF6nnen, wenn dies\
        \ explizit vorgesehen ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a3
      ref_id: OPS.1.2.6.A3.2
      description: "Dar\xFCber hinaus MUSS sichergestellt werden, dass nur vertrauensw\xFC\
        rdige Clients Status-Informationen abfragen k\xF6nnen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a3
      ref_id: OPS.1.2.6.A3.3
      description: "Falls die internen NTP-Server der Institution nicht selbst hinreichend\
        \ genaue Zeitquellen nutzen, dann MUSS der IT-Betrieb diese NTP-Server so\
        \ konfigurieren, dass sie regelm\xE4\xDFig genaue Zeitinformationen von externen\
        \ NTP-Servern abfragen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A4
      name: "Nichtber\xFCcksichtigung unaufgeforderter Zeitinformationen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a4
      ref_id: OPS.1.2.6.A4.1
      description: Der IT-Betrieb MUSS alle NTP-Clients so konfigurieren, dass sie
        Zeitinformationen verwerfen, die sie unaufgefordert von anderen IT-Systemen
        erhalten.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A5
      name: "Nutzung des Client-Server-Modus f\xFCr NTP"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a5
      ref_id: OPS.1.2.6.A5.1
      description: Der IT-Betrieb SOLLTE alle IT-Systeme so konfigurieren, dass sie
        den NTP-Dienst im Client-Server-Modus nutzen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a5
      ref_id: OPS.1.2.6.A5.2
      description: NTP-Server SOLLTEN Zeitinformationen nur dann an Clients versenden,
        wenn diese aktiv anfragen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A6
      name: "\xDCberwachung von IT-Systemen mit NTP-Nutzung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6
      ref_id: OPS.1.2.6.A6.1
      description: "Der IT-Betrieb SOLLTE die Verf\xFCgbarkeit, die Kapazit\xE4t und\
        \ die Systemzeit der internen NTP-Server \xFCberwachen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6
      ref_id: OPS.1.2.6.A6.2
      description: 'Der IT-Betrieb SOLLTE IT-Systeme, die ihre Zeit per NTP synchronisieren,
        so konfigurieren, dass sie folgende Ereignisse protokollieren:'
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6
      ref_id: OPS.1.2.6.A6.3
      description: "\u2022 unerwartete Neustarts des IT-Systems,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6
      ref_id: OPS.1.2.6.A6.4
      description: "\u2022 unerwartete Neustarts des NTP-Dienstes,"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6
      ref_id: OPS.1.2.6.A6.5
      description: "\u2022 Fehler im Zusammenhang mit dem NTP-Dienst sowie"
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6
      ref_id: OPS.1.2.6.A6.6
      description: "\u2022 ungew\xF6hnliche Zeitinformationen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a6
      ref_id: OPS.1.2.6.A6.7
      description: "Falls der NTP-Server von sich aus regelm\xE4\xDFig Zeitinformationen\
        \ versendet (Broadcast-Modus), dann SOLLTE der IT-Betrieb die NTP-Clients\
        \ daraufhin \xFCberwachen, ob sie ungew\xF6hnliche Zeitinformationen erhalten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A7
      name: Sichere Konfiguration von NTP-Clients
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7
      ref_id: OPS.1.2.6.A7.1
      description: Der IT-Betrieb SOLLTE festlegen, welche Zeitinformationen ein IT-System
        verwenden soll, wenn es neu gestartet wurde.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7
      ref_id: OPS.1.2.6.A7.2
      description: Der IT-Betrieb SOLLTE festlegen, welche Zeitinformationen ein IT-System
        verwenden soll, wenn sein NTP-Dienst neu gestartet wurde.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7
      ref_id: OPS.1.2.6.A7.3
      description: Der IT-Betrieb SOLLTE festlegen, wie NTP-Clients auf stark abweichende
        Zeitinformationen reagieren.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7
      ref_id: OPS.1.2.6.A7.4
      description: Insbesondere SOLLTE entschieden werden, ob stark abweichende Zeitinformationen
        von NTP-Servern nach einem Systemneustart akzeptiert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7
      ref_id: OPS.1.2.6.A7.5
      description: "Der IT-Betrieb SOLLTE Grenzwerte f\xFCr stark abweichende Zeitinformationen\
        \ festlegen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a7
      ref_id: OPS.1.2.6.A7.6
      description: Der IT-Betrieb SOLLTE sicherstellen, dass NTP-Clients auch dann
        noch ausreichende Zeitinformationen erhalten, wenn sie von einem NTP-Server
        aufgefordert werden, weniger oder gar keine Anfragen zu senden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A8
      name: Einsatz sicherer Protokolle zur Zeitsynchronisation
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a8
      ref_id: OPS.1.2.6.A8.1
      description: "Der IT-Betrieb SOLLTE pr\xFCfen, ob sichere Protokolle zur Zeitsynchronisation\
        \ eingesetzt werden k\xF6nnen (z. B. Network Time Security (NTS))."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a8
      ref_id: OPS.1.2.6.A8.2
      description: "Falls dies m\xF6glich ist, SOLLTEN sichere Protokolle eingesetzt\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A9
      name: "Verf\xFCgbarkeit ausreichend vieler genauer Zeitquellen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a9
      ref_id: OPS.1.2.6.A9.1
      description: "Falls korrekte Systemzeiten von erheblicher Bedeutung sind, dann\
        \ SOLLTE eine Institution \xFCber mehrere Stratum-1-NTP-Server in ihrem Netz\
        \ verf\xFCgen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a9
      ref_id: OPS.1.2.6.A9.2
      description: Die IT-Systeme des Informationsverbunds mit NTP-Dienst SOLLTEN
        die Stratum-1-NTP-Server direkt oder indirekt als Zeitreferenz nutzen.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a9.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a9
      ref_id: OPS.1.2.6.A9.3
      description: "Die Straum-1-Server SOLLTEN jeweils \xFCber verschiedene Zeitquellen\
        \ verf\xFCgen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A10
      name: "Ausschlie\xDFlich interne NTP-Server"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a10
      ref_id: OPS.1.2.6.A10.1
      description: "Jedes IT-System des Informationsverbunds mit NTP-Dienst SOLLTE\
        \ Zeitinformationen ausschlie\xDFlich von NTP-Servern innerhalb des Netzes\
        \ der Institution beziehen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A11
      name: Redundante NTP-Server
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a11
      ref_id: OPS.1.2.6.A11.1
      description: "IT-Systeme, bei denen die Genauigkeit der Systemzeit von erheblicher\
        \ Bedeutung ist, SOLLTEN Zeitinformationen von mindestens vier unabh\xE4ngigen\
        \ NTP-Servern beziehen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6
      ref_id: OPS.1.2.6.A12
      name: "NTP-Server mit authentifizierten Ausk\xFCnften"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a12
      ref_id: OPS.1.2.6.A12.1
      description: "NTP-Server SOLLTEN sich bei der Kommunikation gegen\xFCber Clients\
        \ authentisieren."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a12.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a12
      ref_id: OPS.1.2.6.A12.2
      description: "Dies SOLLTE auch f\xFCr die Server gelten, von denen der NTP-Server\
        \ seinerseits Zeitinformationen erh\xE4lt."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a12.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.1.2.6.a12
      ref_id: OPS.1.2.6.A12.3
      description: Die NTP-Clients SOLLTEN nur authentifizierte NTP-Daten akzeptieren.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      assessable: false
      depth: 1
      ref_id: OPS.2.2
      name: Cloud-Nutzung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A1
      name: "Erstellung einer Strategie f\xFCr die Cloud-Nutzung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1
      ref_id: OPS.2.2.A1.1
      description: "Eine Strategie f\xFCr die Cloud-Nutzung MUSS erstellt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1
      ref_id: OPS.2.2.A1.2
      description: "Darin M\xDCSSEN Ziele, Chancen und Risiken definiert werden, die\
        \ die Institution mit der Cloud-Nutzung verbindet."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1
      ref_id: OPS.2.2.A1.3
      description: "Zudem M\xDCSSEN die rechtlichen und organisatorischen Rahmenbedingungen\
        \ sowie die technischen Anforderungen untersucht werden, die sich aus der\
        \ Nutzung von Cloud-Diensten ergeben."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1
      ref_id: OPS.2.2.A1.4
      description: "Die Ergebnisse dieser Untersuchung M\xDCSSEN in einer Machbarkeitsstudie\
        \ dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1
      ref_id: OPS.2.2.A1.5
      description: "Es MUSS festgelegt werden, welche Dienste in welchem Bereitstellungsmodell\
        \ zuk\xFCnftig von Cloud-Diensteanbietenden bezogen werden sollen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1
      ref_id: OPS.2.2.A1.6
      description: "Zudem MUSS sichergestellt werden, dass bereits in der Planungsphase\
        \ zur Cloud-Nutzung alle grundlegenden technischen und organisatorischen Sicherheitsaspekte\
        \ ausreichend ber\xFCcksichtigt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1
      ref_id: OPS.2.2.A1.7
      description: "F\xFCr den geplanten Cloud-Dienst SOLLTE eine grobe individuelle\
        \ Sicherheitsanalyse durchgef\xFChrt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1
      ref_id: OPS.2.2.A1.8
      description: "Diese SOLLTE wiederholt werden, wenn sich technische und organisatorische\
        \ Rahmenbedingungen wesentlich ver\xE4ndern."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1.9
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a1
      ref_id: OPS.2.2.A1.9
      description: "F\xFCr gr\xF6\xDFere Cloud-Projekte SOLLTE zudem eine Roadmap\
        \ erarbeitet werden, die festlegt, wann und wie ein Cloud-Dienst eingef\xFC\
        hrt wird."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A2
      name: "Erstellung einer Sicherheitsrichtlinie f\xFCr die Cloud-Nutzung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a2
      ref_id: OPS.2.2.A2.1
      description: "Auf Basis der Strategie f\xFCr die Cloud-Nutzung MUSS eine Sicherheitsrichtlinie\
        \ f\xFCr die Cloud-Nutzung erstellt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a2
      ref_id: OPS.2.2.A2.2
      description: Sie MUSS konkrete Sicherheitsvorgaben beinhalten, mit denen sich
        Cloud-Dienste innerhalb der Institution umsetzen lassen.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a2
      ref_id: OPS.2.2.A2.3
      description: "Au\xDFerdem M\xDCSSEN darin spezielle Sicherheitsanforderungen\
        \ an die Cloud-Diensteanbietenden sowie das festgelegte Schutzniveau f\xFC\
        r Cloud-Dienste hinsichtlich Vertraulichkeit, Integrit\xE4t und Verf\xFCgbarkeit\
        \ dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a2
      ref_id: OPS.2.2.A2.4
      description: "Wenn Cloud-Dienste von internationalen Anbietenden genutzt werden,\
        \ M\xDCSSEN die speziellen l\xE4nderspezifischen Anforderungen und gesetzlichen\
        \ Bestimmungen ber\xFCcksichtigt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A3
      name: "Service-Definition f\xFCr Cloud-Dienste"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a3
      ref_id: OPS.2.2.A3.1
      description: "F\xFCr jeden Cloud-Dienst MUSS eine Service-Definition erarbeitet\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a3
      ref_id: OPS.2.2.A3.2
      description: Zudem SOLLTEN alle geplanten und genutzten Cloud-Dienste dokumentiert
        werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A4
      name: Festlegung von Verantwortungsbereichen und Schnittstellen
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a4
      ref_id: OPS.2.2.A4.1
      description: "Basierend auf der Service-Definition f\xFCr Cloud-Dienste M\xDC\
        SSEN alle relevanten Schnittstellen und Verantwortlichkeiten f\xFCr die Cloud-Nutzung\
        \ identifiziert und dokumentiert werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a4
      ref_id: OPS.2.2.A4.2
      description: Es MUSS klar erkennbar sein, wie die Verantwortungsbereiche zwischen
        Cloud-Diensteanbietenden und der auftraggebenden Institution voneinander abgegrenzt
        sind.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A5
      name: Planung der sicheren Migration zu einem Cloud-Dienst
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5
      ref_id: OPS.2.2.A5.1
      description: Bevor zu einem Cloud-Dienst migriert wird, SOLLTE ein Migrationskonzept
        erstellt werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5
      ref_id: OPS.2.2.A5.2
      description: "Daf\xFCr SOLLTEN zun\xE4chst organisatorische Regelungen sowie\
        \ die Aufgabenverteilung festgelegt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5
      ref_id: OPS.2.2.A5.3
      description: Zudem SOLLTEN bestehende Betriebsprozesse hinsichtlich der Cloud-Nutzung
        identifiziert und angepasst werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5
      ref_id: OPS.2.2.A5.4
      description: "Es SOLLTE sichergestellt werden, dass die eigene IT ausreichend\
        \ im Migrationsprozess ber\xFCcksichtigt wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a5
      ref_id: OPS.2.2.A5.5
      description: "Auch SOLLTEN die Zust\xE4ndigen ermitteln, ob die Mitarbeitenden\
        \ auf Seiten der Institution zus\xE4tzlich geschult werden sollten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A6
      name: Planung der sicheren Einbindung von Cloud-Diensten
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a6
      ref_id: OPS.2.2.A6.1
      description: "Bevor ein Cloud-Dienst genutzt wird, SOLLTE sorgf\xE4ltig geplant\
        \ werden, wie er in die IT der Institution eingebunden werden soll."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a6
      ref_id: OPS.2.2.A6.2
      description: "Hierf\xFCr SOLLTE mindestens gepr\xFCft werden, ob Anpassungen\
        \ der Schnittstellen, der Netzanbindung, des Administrationsmodells sowie\
        \ des Datenmanagementmodells notwendig sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a6
      ref_id: OPS.2.2.A6.3
      description: "Die Ergebnisse SOLLTEN dokumentiert und regelm\xE4\xDFig aktualisiert\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A7
      name: "Erstellung eines Sicherheitskonzeptes f\xFCr die Cloud-Nutzung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a7
      ref_id: OPS.2.2.A7.1
      description: "Auf Grundlage der identifizierten Sicherheitsanforderungen (siehe\
        \ OPS.2.2.A2 Erstellung einer Sicherheitsrichtlinie f\xFCr die Cloud-Nutzung)\
        \ SOLLTE ein Sicherheitskonzept f\xFCr die Nutzung von Cloud-Diensten erstellt\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A8
      name: "Sorgf\xE4ltige Auswahl von Cloud-Diensteanbietenden"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a8
      ref_id: OPS.2.2.A8.1
      description: "Basierend auf der Service-Definition f\xFCr den Cloud-Dienst SOLLTE\
        \ ein detailliertes Anforderungsprofil f\xFCr Cloud-Diensteanbietende erstellt\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a8
      ref_id: OPS.2.2.A8.2
      description: Eine Leistungsbeschreibung und ein Lastenheft SOLLTEN erstellt
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a8.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a8
      ref_id: OPS.2.2.A8.3
      description: "F\xFCr die Bewertung von Cloud-Diensteanbietenden SOLLTEN auch\
        \ erg\xE4nzende Informationsquellen herangezogen werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a8.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a8
      ref_id: OPS.2.2.A8.4
      description: "Ebenso SOLLTEN verf\xFCgbare Service-Beschreibungen der Cloud-Diensteanbietenden\
        \ sorgf\xE4ltig gepr\xFCft und hinterfragt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A9
      name: Vertragsgestaltung mit den Cloud-Diensteanbietenden
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9
      ref_id: OPS.2.2.A9.1
      description: Die vertraglichen Regelungen zwischen der auftraggebenden Institution
        und den Cloud-Diensteanbietenden SOLLTEN in Art, Umfang und Detaillierungsgrad
        dem Schutzbedarf der Informationen angepasst sein, die im Zusammenhang mit
        der Cloud-Nutzung stehen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9
      ref_id: OPS.2.2.A9.2
      description: Es SOLLTE geregelt werden, an welchem Standort die Cloud-Diensteanbietenden
        ihre Leistung erbringen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9
      ref_id: OPS.2.2.A9.3
      description: "Zus\xE4tzlich SOLLTEN Eskalationsstufen und Kommunikationswege\
        \ zwischen der Institution und den Cloud-Diensteanbietenden definiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9
      ref_id: OPS.2.2.A9.4
      description: "Auch SOLLTE vereinbart werden, wie die Daten der Institution sicher\
        \ zu l\xF6schen sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9
      ref_id: OPS.2.2.A9.5
      description: "Ebenso SOLLTEN K\xFCndigungsregelungen schriftlich fixiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a9
      ref_id: OPS.2.2.A9.6
      description: "Die Cloud-Diensteanbietenden SOLLTEN alle Subunternehmen offenlegen,\
        \ die sie f\xFCr den Cloud-Dienst ben\xF6tigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A10
      name: Sichere Migration zu einem Cloud-Dienst
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10
      ref_id: OPS.2.2.A10.1
      description: Die Migration zu einem Cloud-Dienst SOLLTE auf Basis des erstellten
        Migrationskonzeptes erfolgen.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10
      ref_id: OPS.2.2.A10.2
      description: "W\xE4hrend der Migration SOLLTE \xFCberpr\xFCft werden, ob das\
        \ Sicherheitskonzept f\xFCr die Cloud-Nutzung an potenzielle neue Anforderungen\
        \ angepasst werden muss."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10
      ref_id: OPS.2.2.A10.3
      description: "Auch SOLLTEN alle Notfallvorsorgema\xDFnahmen vollst\xE4ndig und\
        \ aktuell sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10
      ref_id: OPS.2.2.A10.4
      description: "Die Migration zu einem Cloud-Dienst SOLLTE zun\xE4chst in einem\
        \ Testlauf \xFCberpr\xFCft werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a10
      ref_id: OPS.2.2.A10.5
      description: "Ist der Cloud-Dienst in den produktiven Betrieb \xFCbergegangen,\
        \ SOLLTE abgeglichen werden, ob die Cloud-Diensteanbietenden die definierten\
        \ Anforderungen der Institution erf\xFCllen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A11
      name: "Erstellung eines Notfallkonzeptes f\xFCr einen Cloud-Dienst"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a11
      ref_id: OPS.2.2.A11.1
      description: "F\xFCr die genutzten Cloud-Dienste SOLLTE ein Notfallkonzept erstellt\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a11.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a11
      ref_id: OPS.2.2.A11.2
      description: "Es SOLLTE alle notwendigen Angaben zu Zust\xE4ndigkeiten und Kontaktpersonen\
        \ enthalten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a11.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a11
      ref_id: OPS.2.2.A11.3
      description: Zudem SOLLTEN detaillierte Regelungen hinsichtlich der Datensicherung
        getroffen werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a11.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a11
      ref_id: OPS.2.2.A11.4
      description: Auch Vorgaben zu redundant auszulegenden Management-Tools und Schnittstellensystemen
        SOLLTEN festgehalten sein.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A12
      name: Aufrechterhaltung der Informationssicherheit im laufenden Cloud-Nutzungs-Betrieb
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a12
      ref_id: OPS.2.2.A12.1
      description: "Alle f\xFCr die eingesetzten Cloud-Dienste erstellten Dokumentationen\
        \ und Richtlinien SOLLTEN regelm\xE4\xDFig aktualisiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a12.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a12
      ref_id: OPS.2.2.A12.2
      description: "Es SOLLTE au\xDFerdem periodisch kontrolliert werden, ob die vertraglich\
        \ zugesicherten Leistungen erbracht werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a12.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a12
      ref_id: OPS.2.2.A12.3
      description: "Auch SOLLTEN sich die Cloud-Diensteanbietenden und die Institution\
        \ nach M\xF6glichkeit regelm\xE4\xDFig abstimmen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a12.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a12
      ref_id: OPS.2.2.A12.4
      description: "Ebenso SOLLTE geplant und ge\xFCbt werden, wie auf Systemausf\xE4\
        lle zu reagieren ist."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A13
      name: Nachweis einer ausreichenden Informationssicherheit bei der Cloud-Nutzung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a13.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a13
      ref_id: OPS.2.2.A13.1
      description: "Die Institution SOLLTE sich von den Cloud-Diensteanbietenden regelm\xE4\
        \xDFig nachweisen lassen, dass die vereinbarten Sicherheitsanforderungen erf\xFC\
        llt sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a13.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a13
      ref_id: OPS.2.2.A13.2
      description: Der Nachweis SOLLTE auf einem international anerkannten Regelwerk
        basieren (z. B. IT-Grundschutz, ISO/IEC 27001, Anforderungskatalog Cloud Computing
        (C5), Cloud Controls Matrix der Cloud Security Alliance).
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a13.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a13
      ref_id: OPS.2.2.A13.3
      description: "Die Institution SOLLTE pr\xFCfen, ob der Geltungsbereich und Schutzbedarf\
        \ die genutzten Cloud-Dienste erfasst."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a13.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a13
      ref_id: OPS.2.2.A13.4
      description: "Nutzen Cloud-Diensteanbietende Subunternehmen, um die Cloud-Dienste\
        \ zu erbringen, SOLLTEN Cloud-Diensteanbietende der Institution regelm\xE4\
        \xDFig nachweisen, dass diese Subunternehmen die notwendigen Audits durchf\xFC\
        hren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A14
      name: "Geordnete Beendigung eines Cloud-Nutzungs-Verh\xE4ltnisses"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a14.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a14
      ref_id: OPS.2.2.A14.1
      description: "Wenn das Dienstleistungsverh\xE4ltnis mit den Cloud-Diensteanbietenden\
        \ beendet wird, SOLLTE sichergestellt sein, dass dadurch die Gesch\xE4ftst\xE4\
        tigkeit oder die Fachaufgaben der Institution nicht beeintr\xE4chtigt wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a14.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a14
      ref_id: OPS.2.2.A14.2
      description: "Die Vertr\xE4ge mit den Cloud-Diensteanbietenden SOLLTEN regeln,\
        \ wie das jeweilige Dienstleistungsverh\xE4ltnis geordnet aufgel\xF6st werden\
        \ kann."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a15
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A15
      name: "Sicherstellung der Portabilit\xE4t von Cloud-Diensten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a15.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a15
      ref_id: OPS.2.2.A15.1
      description: "Die Institution SOLLTE alle Anforderungen definieren, die es erm\xF6\
        glichen, Cloud-Diensteanbietende zu wechseln oder den Cloud-Dienst bzw. die\
        \ Daten in die eigene IT-Infrastruktur zur\xFCckzuholen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a15.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a15
      ref_id: OPS.2.2.A15.2
      description: "Zudem SOLLTE die Institution regelm\xE4\xDFig Portabilit\xE4tstests\
        \ durchf\xFChren."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a15.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a15
      ref_id: OPS.2.2.A15.3
      description: "In den Vertr\xE4gen mit den Cloud-Diensteanbietenden SOLLTEN Vorgaben\
        \ festgehalten werden, mit denen sich die notwendige Portabilit\xE4t gew\xE4\
        hrleisten l\xE4sst."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a16
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A16
      name: "Durchf\xFChrung eigener Datensicherungen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a16.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a16
      ref_id: OPS.2.2.A16.1
      description: "Die Institution SOLLTE pr\xFCfen, ob, zus\xE4tzlich zu den vertraglich\
        \ festgelegten Datensicherungen der Cloud-Diensteanbietenden, eigene Datensicherungen\
        \ erstellt werden sollen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a16.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a16
      ref_id: OPS.2.2.A16.2
      description: Zudem SOLLTE sie detaillierte Anforderungen an einen Backup-Service
        erstellen.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a17
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A17
      name: "Einsatz von Verschl\xFCsselung bei Cloud-Nutzung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a17.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a17
      ref_id: OPS.2.2.A17.1
      description: "Wenn Daten durch Cloud-Diensteanbietende verschl\xFCsselt werden,\
        \ SOLLTE vertraglich geregelt werden, welche Verschl\xFCsselungsmechanismen\
        \ und welche Schl\xFCssell\xE4ngen eingesetzt werden d\xFCrfen."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a17.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a17
      ref_id: OPS.2.2.A17.2
      description: "Wenn eigene Verschl\xFCsselungsmechanismen genutzt werden, SOLLTE\
        \ ein geeignetes Schl\xFCsselmanagement sichergestellt sein."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a17.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a17
      ref_id: OPS.2.2.A17.3
      description: "Bei der Verschl\xFCsselung SOLLTEN die eventuellen Besonderheiten\
        \ des gew\xE4hlten Cloud-Service-Modells ber\xFCcksichtigt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a18
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A18
      name: Einsatz von Verbunddiensten
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a18.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a18
      ref_id: OPS.2.2.A18.1
      description: "Es SOLLTE gepr\xFCft werden, ob bei einem Cloud-Nutzungs-Vorhaben\
        \ Verbunddienste (Federation Services) eingesetzt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a18.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a18
      ref_id: OPS.2.2.A18.2
      description: "Es SOLLTE sichergestellt sein, dass in einem SAML (Security Assertion\
        \ Markup Language)-Ticket nur die erforderlichen Informationen an die Cloud-Diensteanbietenden\
        \ \xFCbertragen werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a18.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a18
      ref_id: OPS.2.2.A18.3
      description: "Die Berechtigungen SOLLTEN regelm\xE4\xDFig \xFCberpr\xFCft werden,\
        \ sodass nur berechtigten Benutzenden ein SAML-Ticket ausgestellt wird."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a19
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2
      ref_id: OPS.2.2.A19
      name: "Sicherheits\xFCberpr\xFCfung von Mitarbeitenden"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a19.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a19
      ref_id: OPS.2.2.A19.1
      description: "Mit externen Cloud-Diensteanbietenden SOLLTE vertraglich vereinbart\
        \ werden, dass in geeigneter Weise \xFCberpr\xFCft wird, ob das eingesetzte\
        \ Personal qualifiziert und vertrauensw\xFCrdig ist."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a19.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.2.a19
      ref_id: OPS.2.2.A19.2
      description: Dazu SOLLTEN gemeinsam Kriterien festgelegt werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      assessable: false
      depth: 1
      ref_id: OPS.2.3
      name: 'Nutzung von Outsourcing '
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A1
      name: "Erstellung von Anforderungsprofilen f\xFCr Prozesse"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a1
      ref_id: OPS.2.3.A1.1
      description: "Falls keine Business-Impact-Analyse (BIA) vorhanden ist, M\xDC\
        SSEN Anforderungsprofile in Form von Steckbriefen f\xFCr die Prozesse angefertigt\
        \ werden, die potenziell ausgelagert werden sollen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a1
      ref_id: OPS.2.3.A1.2
      description: "Diese Anforderungsprofile M\xDCSSEN die Funktion, verarbeite Daten,\
        \ Schnittstellen sowie eine Bewertung der Informationssicherheit enthalten."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a1
      ref_id: OPS.2.3.A1.3
      description: "Insbesondere M\xDCSSEN die Abh\xE4ngigkeiten zwischen den Prozessen\
        \ sowie zu untergeordneten Teilprozessen ber\xFCcksichtigt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a1
      ref_id: OPS.2.3.A1.4
      description: "Die Anforderungsprofile M\xDCSSEN die Kritikalit\xE4t des jeweiligen\
        \ Prozesses f\xFCr den ordentlichen Gesch\xE4ftsbetrieb abbilden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A2
      name: Verfolgung eines risikoorientierten Ansatzes im Auslagerungsmanagement
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a2
      ref_id: OPS.2.3.A2.1
      description: "F\xFCr Prozesse, die potenziell ausgelagert werden sollen, MUSS\
        \ risikoorientiert betrachtet und entschieden werden, ob diese ausgelagert\
        \ werden k\xF6nnen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a2
      ref_id: OPS.2.3.A2.2
      description: "F\xFCr diese Bewertung SOLLTEN die Anforderungsprofile als Grundlage\
        \ genutzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a2
      ref_id: OPS.2.3.A2.3
      description: Wenn der Prozess ausgelagert wird, SOLLTE das Resultat im Auslagerungsregister
        abgelegt werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a2
      ref_id: OPS.2.3.A2.4
      description: "Um \xC4nderungen an Prozessen oder der Gef\xE4hrdungslage zu ber\xFC\
        cksichtigen, M\xDCSSEN in regelm\xE4\xDFigen Abst\xE4nden sowie anlassbezogen\
        \ die ausgelagerten Prozesse erneut risikoorientiert betrachtet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A3
      name: Festlegung von Eignungsanforderungen an Anbietende von Outsourcing
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3
      ref_id: OPS.2.3.A3.1
      description: "Interne Eignungsanforderungen an potenzielle Anbietende von Outsourcing\
        \ M\xDCSSEN festgelegt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3
      ref_id: OPS.2.3.A3.2
      description: "Diese Eignungsanforderungen M\xDCSSEN die erforderlichen Kompetenzen,\
        \ um den Prozess aus Sicht der Informationssicherheit abzusichern, sowie die\
        \ Reputation hinsichtlich der Vertrauensw\xFCrdigkeit und Zuverl\xE4ssigkeit\
        \ ber\xFCcksichtigen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3
      ref_id: OPS.2.3.A3.3
      description: "Diese Eignungsanforderungen SOLLTEN auf Basis der Unternehmensstrategie\
        \ (siehe OPS.2.3.A8 Erstellung einer Strategie f\xFCr Outsourcing-Vorhaben)\
        \ erstellt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3
      ref_id: OPS.2.3.A3.4
      description: "Es MUSS gepr\xFCft werden, ob potenzielle Interessenkonflikte\
        \ vorliegen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3
      ref_id: OPS.2.3.A3.5
      description: "Ferner SOLLTEN die Anbietenden von Outsourcing regelm\xE4\xDF\
        ig gegen die Eignungsanforderungen gepr\xFCft werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a3
      ref_id: OPS.2.3.A3.6
      description: "Wenn die Anbietenden von Outsourcing nicht die Eignungsanforderungen\
        \ erf\xFCllen, SOLLTEN Handlungsma\xDFnahmen getroffen und in einem Ma\xDF\
        nahmenkatalog festgehalten werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A4
      name: "Grundanforderungen an Vertr\xE4ge mit Anbietenden von Outsourcing"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4
      ref_id: OPS.2.3.A4.1
      description: "Einheitliche Grundanforderungen an Outsourcing-Vertr\xE4ge M\xDC\
        SSEN entwickelt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4
      ref_id: OPS.2.3.A4.2
      description: "Diese Grundanforderungen M\xDCSSEN Aspekte der Informationssicherheit,\
        \ einen Zustimmungsvorbehalt bei Weiterverlagerungen sowie ein Recht auf Pr\xFC\
        fung, Revision und Audit beinhalten."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4
      ref_id: OPS.2.3.A4.3
      description: "Bei der Entwicklung der Grundanforderungen SOLLTEN die Resultate\
        \ der risikoorientierten Betrachtung sowie Eignungsanforderungen an Anbietende\
        \ von Outsourcing mit einflie\xDFen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4
      ref_id: OPS.2.3.A4.4
      description: "Mit den Anbietenden von Outsourcing SOLLTE eine Verschwiegenheitserkl\xE4\
        rung zum Schutz von sensiblen Daten vereinbart werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4
      ref_id: OPS.2.3.A4.5
      description: "Die Grundanforderungen M\xDCSSEN in Vereinbarungen und Vertr\xE4\
        gen einheitlich umgesetzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a4
      ref_id: OPS.2.3.A4.6
      description: "Auf Basis der Grundanforderungen SOLLTE eine einheitliche Vertragsvorlage\
        \ erstellt und f\xFCr alle Outsourcing-Vorhaben genutzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A5
      name: "Vereinbarung der Mandantenf\xE4higkeit"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a5
      ref_id: OPS.2.3.A5.1
      description: "In einer Vereinbarung zur Mandantenf\xE4higkeit mit den Anbietenden\
        \ von Outsourcing MUSS sichergestellt werden, dass die Daten und Verarbeitungskontexte\
        \ durch den Anbietenden von Outsourcing ausreichend sicher getrennt sind."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a5
      ref_id: OPS.2.3.A5.2
      description: In dieser Vereinbarung SOLLTE ein Mandantentrennungskonzept von
        den Anbietenden von Outsourcing gefordert werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a5
      ref_id: OPS.2.3.A5.3
      description: "Das Mandantentrennungskonzept SOLLTE zwischen mandantenabh\xE4\
        ngigen und mandanten\xFCbergreifenden Daten und Objekten unterscheiden und\
        \ darlegen, mit welchen Mechanismen die Anbietenden von Outsourcing trennen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A6
      name: "Festlegung von Sicherheitsanforderungen und Erstellung eines Sicherheitskonzeptes\
        \ f\xFCr das Outsourcing-Vorhaben"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6
      ref_id: OPS.2.3.A6.1
      description: "Mit den Anbietenden von Outsourcing MUSS vertraglich vereinbart\
        \ werden, dass IT-Grundschutz umgesetzt oder mindestens die Anforderungen\
        \ aus den relevanten Bausteinen geeignet erf\xFCllt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6
      ref_id: OPS.2.3.A6.2
      description: "Dar\xFCber hinaus SOLLTE mit den Anbietenden von Outsourcing vereinbart\
        \ werden, dass sie ein Managementsystem f\xFCr Informationssicherheit (ISMS)\
        \ etablieren."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6
      ref_id: OPS.2.3.A6.3
      description: "Die Nutzenden von Outsourcing M\xDCSSEN f\xFCr jedes Outsourcing-Vorhaben\
        \ ein Sicherheitskonzept basierend auf den sich aus dem IT-Grundschutz ergebenen\
        \ Sicherheitsanforderungen erstellen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6
      ref_id: OPS.2.3.A6.4
      description: Dabei MUSS das Sicherheitskonzept der Nutzenden mit den Anbietenden
        von Outsourcing abgestimmt werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6
      ref_id: OPS.2.3.A6.5
      description: "Ebenso SOLLTE jeder Anbietende ein individuelles Sicherheitskonzept\
        \ f\xFCr das jeweilige Outsourcing-Vorhaben vorlegen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6
      ref_id: OPS.2.3.A6.6
      description: "Das Sicherheitskonzept der Anbietenden von Outsourcing und dessen\
        \ Umsetzung SOLLTE zu einem gesamten Sicherheitskonzept zusammengef\xFChrt\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6
      ref_id: OPS.2.3.A6.7
      description: "Wenn Risikoanalysen notwendig sind, M\xDCSSEN Vereinbarungen getroffen\
        \ werden, wie die Risikoanalyse gepr\xFCft und gegebenenfalls in das eigene\
        \ Risikomanagement \xFCberf\xFChrt werden kann."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a6
      ref_id: OPS.2.3.A6.8
      description: "Die Nutzenden von Outsourcing oder unabh\xE4ngige Dritte M\xDC\
        SSEN regelm\xE4\xDFig \xFCberpr\xFCfen, ob das Sicherheitskonzept wirksam\
        \ ist."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A7
      name: "Regelungen f\xFCr eine geplante oder ungeplante Beendigung eines Outsourcing-Verh\xE4\
        ltnisses"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a7
      ref_id: OPS.2.3.A7.1
      description: "F\xFCr geplante sowie ungeplante Beendigungen des Outsourcing-Verh\xE4\
        ltnisses M\xDCSSEN Regelungen getroffen werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a7
      ref_id: OPS.2.3.A7.2
      description: "Es MUSS festgelegt werden, wie alle Informationen, Daten und Hardware\
        \ der Nutzenden vom Anbietenden von Outsourcing zur\xFCckgegeben werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a7
      ref_id: OPS.2.3.A7.3
      description: "Hierbei M\xDCSSEN gesetzliche Vorgaben zur Aufbewahrung von Daten\
        \ beachtet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a7.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a7
      ref_id: OPS.2.3.A7.4
      description: "Ferner SOLLTE \xFCberpr\xFCft werden, ob die Zugangs-, Zutritts-\
        \ und Zugriffsrechte f\xFCr die Anbietenden von Outsourcing mit der Beendigung\
        \ des Outsourcing-Verh\xE4ltnisses aufgehoben wurden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A8
      name: "Erstellung einer Strategie f\xFCr Outsourcing-Vorhaben"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8
      ref_id: OPS.2.3.A8.1
      description: "Eine Strategie f\xFCr Outsourcing-Vorhaben SOLLTE erstellt und\
        \ etabliert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8
      ref_id: OPS.2.3.A8.2
      description: In dieser Strategie SOLLTEN die Ziele, Chancen und Risiken der
        Outsourcing-Vorhaben beschrieben werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8
      ref_id: OPS.2.3.A8.3
      description: "Die Strategie SOLL der Institution einen Rahmen f\xFCr die Anforderungsprofile,\
        \ die Eignungsanforderung an Anbietende von Outsourcing sowie dem Auslagerungsmanagement\
        \ vorgeben."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8
      ref_id: OPS.2.3.A8.4
      description: "Dar\xFCber hinaus SOLLTEN neben den wirtschaftlichen, technischen,\
        \ organisatorischen und rechtlichen Rahmenbedingungen auch die relevanten\
        \ Aspekte der Informationssicherheit ber\xFCcksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8
      ref_id: OPS.2.3.A8.5
      description: "Es SOLLTE eine Multi-Sourcing Strategie verfolgt werden, um Engp\xE4\
        sse sowie Abh\xE4ngigkeiten von Anbietenden von Outsourcing zu vermeiden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a8
      ref_id: OPS.2.3.A8.6
      description: "Die Nutzenden von Outsourcing SOLLTEN ausreichend F\xE4higkeiten,\
        \ Kompetenzen sowie Ressourcen behalten, um einer Abh\xE4ngigkeit gegen\xFC\
        ber den Anbietenden von Outsourcing vorzubeugen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A9
      name: Etablierung einer Richtlinie zur Auslagerung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a9
      ref_id: OPS.2.3.A9.1
      description: "Auf Basis der Strategie f\xFCr Outsourcing-Vorhaben SOLLTE eine\
        \ Richtlinie f\xFCr den Bezug von Outsourcing-Dienstleistungen erstellt und\
        \ in der Institution etabliert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a9
      ref_id: OPS.2.3.A9.2
      description: "Diese SOLLTE die allgemeinen Anforderungen basierend auf der Anforderung\
        \ OPS.2.3.A4 Grundanforderungen an Vertr\xE4ge mit Anbietenden von Outsourcing\
        \ sowie weitere Aspekte der Informationssicherheit f\xFCr Outsourcing-Vorhaben\
        \ standardisieren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a9.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a9
      ref_id: OPS.2.3.A9.3
      description: "Das Test- und Freigabeverfahren f\xFCr Outsourcing-Vorhaben SOLLTE\
        \ in dieser Richtlinie geregelt sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a9.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a9
      ref_id: OPS.2.3.A9.4
      description: "Dar\xFCber hinaus SOLLTEN Ma\xDFnahmen ber\xFCcksichtigt sein,\
        \ um Compliance-Risiken bei Anbietenden von Outsourcing sowie bei Sub-Dienstleistenden\
        \ zu bew\xE4ltigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A10
      name: "Etablierung einer zust\xE4ndigen Person f\xFCr das Auslagerungsmanagement"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10
      ref_id: OPS.2.3.A10.1
      description: "Die verschiedenen Outsourcing-Vorhaben SOLLTEN durch eine zust\xE4\
        ndige Person f\xFCr das Auslagerungsmanagement verwaltet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10
      ref_id: OPS.2.3.A10.2
      description: "Die zust\xE4ndige Person SOLLTE ernannt und die Befugnisse festgelegt\
        \ und dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10
      ref_id: OPS.2.3.A10.3
      description: "Die zust\xE4ndige Person SOLLTE als Schnittstelle in der Kommunikation\
        \ zwischen den Nutzenden und Anbietenden von Outsourcing eingesetzt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10
      ref_id: OPS.2.3.A10.4
      description: "Dar\xFCber hinaus SOLLTE die zust\xE4ndige Person Berichte \xFC\
        ber das Outsourcing in regelm\xE4\xDFigen Abst\xE4nden und anlassbezogen anfertigen\
        \ und der Institutionsleitung \xFCbergeben."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10
      ref_id: OPS.2.3.A10.5
      description: "In der Vertragsgestaltung SOLLTE die zust\xE4ndige Person einbezogen\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10
      ref_id: OPS.2.3.A10.6
      description: "Die zust\xE4ndige Person SOLLTE ein angemessenes Kontingent von\
        \ Arbeitstagen f\xFCr die Aufgaben des Auslagerungsmanagements einger\xE4\
        umt bekommen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a10
      ref_id: OPS.2.3.A10.7
      description: "Dar\xFCber hinaus SOLLTE die zust\xE4ndige Person hinsichtlich\
        \ Informationssicherheit geschult und sensibilisiert sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A11
      name: "F\xFChrung eines Auslagerungsregisters"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a11
      ref_id: OPS.2.3.A11.1
      description: "Die zust\xE4ndige Person f\xFCr das Auslagerungsmanagement SOLLTE\
        \ ein Auslagerungsregister erstellen und pflegen, dass die Dokumentation der\
        \ Outsourcing-Prozesse und Vorhaben in der Institution zentralisiert."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a11.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a11
      ref_id: OPS.2.3.A11.2
      description: "Dieses SOLLTE auf der Basis der Anforderungsprofile erstellt werden\
        \ und Informationen zu den Anbietenden von Outsourcing, Leistungskennzahlen,\
        \ Kritikalit\xE4t des Prozesses, abgeschlossene Vertr\xE4gen und Vereinbarungen\
        \ sowie \xC4nderungen enthalten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a11.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a11
      ref_id: OPS.2.3.A11.3
      description: "\xC4nderungen am Auslagerungsregister SOLLTEN geeignet nachgehalten\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A12
      name: Erstellung von Auslagerungsberichten
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a12
      ref_id: OPS.2.3.A12.1
      description: "Die zust\xE4ndige Person f\xFCr das Auslagerungsmanagement SOLLTE\
        \ regelm\xE4\xDFig interne Auslagerungsberichte auf Basis des Auslagerungsregisters\
        \ erstellen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a12.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a12
      ref_id: OPS.2.3.A12.2
      description: Diese Auslagerungsberichte SOLLTEN den aktuellen Status des Outsourcing-Vorhabens
        mit allgemeinen Problemen und Risiken sowie Aspekte der Informationssicherheit
        enthalten.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a12.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a12
      ref_id: OPS.2.3.A12.3
      description: Der Auslagerungsbericht SOLLTE der Institutionsleitung vorgelegt
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A13
      name: Bereitstellung der erforderlichen Kompetenzen bei der Vertragsgestaltung
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a13.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a13
      ref_id: OPS.2.3.A13.1
      description: "Die Vertr\xE4ge SOLLTEN durch verschiedene Vertreter aus unterschiedlichen\
        \ Bereichen gestaltet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a13.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a13
      ref_id: OPS.2.3.A13.2
      description: "Dabei SOLLTE ein Interessenkonflikt zwischen operativem Gesch\xE4\
        ft und Informationssicherheit vermieden werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A14
      name: "Erweiterte Anforderungen an Vertr\xE4ge mit Anbietenden von Outsourcing"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14
      ref_id: OPS.2.3.A14.1
      description: "Mit Anbietenden von Outsourcing SOLLTE vereinbart werden, auf\
        \ welche Bereiche und Dienste die Anbietenden im Netz der Nutzenden von Outsourcing\
        \ zugreifen d\xFCrfen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14
      ref_id: OPS.2.3.A14.2
      description: Der Umgang mit anfallenden Metadaten SOLLTE geregelt werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14
      ref_id: OPS.2.3.A14.3
      description: "Die Nutzenden SOLLTEN Leistungskennzahlen f\xFCr die Anbietenden\
        \ von Outsourcing definieren und im Vertrag festlegen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14
      ref_id: OPS.2.3.A14.4
      description: "F\xFCr den Fall, dass die vereinbarten Leistungskennzahlen unzureichend\
        \ erf\xFCllt werden, SOLLTEN mit den Anbietenden von Outsourcing Konsequenzen,\
        \ wie z. B. Vertragsstrafen, festgelegt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14
      ref_id: OPS.2.3.A14.5
      description: "Die Vertr\xE4ge SOLLTEN K\xFCndigungsoptionen, um das Outsourcing-Verh\xE4\
        ltnisses aufzul\xF6sen, enthalten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14
      ref_id: OPS.2.3.A14.6
      description: "Hierbei SOLLTE auch geregelt sein, wie das Eigentum der Nutzenden\
        \ von Outsourcing zur\xFCckgegeben wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a14
      ref_id: OPS.2.3.A14.7
      description: Im Vertrag SOLLTEN Verantwortlichkeiten hinsichtlich des Notfall-
        und Krisenmanagements definiert und benannt werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A15
      name: Anbindung an die Netze der Outsourcing-Partner
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15
      ref_id: OPS.2.3.A15.1
      description: Bevor das Datennetz der Nutzenden an das Datennetz der Anbietenden
        von Outsourcing angebunden wird, SOLLTEN alle sicherheitsrelevanten Aspekte
        schriftlich vereinbart werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15
      ref_id: OPS.2.3.A15.2
      description: "Es SOLLTE gepr\xFCft und dokumentiert werden, dass die Vereinbarungen\
        \ f\xFCr die Netzanbindung eingehalten werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15
      ref_id: OPS.2.3.A15.3
      description: "Das geforderte Sicherheitsniveau SOLLTE nachweislich bei den Anbietenden\
        \ von Outsourcing umgesetzt und \xFCberpr\xFCft werden, bevor die Netzanbindung\
        \ zu den Nutzenden von Outsourcing aktiviert wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15
      ref_id: OPS.2.3.A15.4
      description: Bevor die Netze angebunden werden, SOLLTE mit Testdaten die Verbindung
        getestet werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a15
      ref_id: OPS.2.3.A15.5
      description: Gibt es Sicherheitsprobleme auf einer der beiden Seiten, SOLLTE
        festgelegt sein, wer informiert und wie eskaliert wird.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a16
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A16
      name: "Pr\xFCfung der Anbietenden von Outsourcing"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a16.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a16
      ref_id: OPS.2.3.A16.1
      description: "Die Anbietenden von Outsourcing SOLLTEN hinsichtlich der vertraglich\
        \ festgelegten Sicherheitsanforderungen \xFCberpr\xFCft und die Resultate\
        \ dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a16.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a16
      ref_id: OPS.2.3.A16.2
      description: "Die Anbietenden von Outsourcing sind in regelm\xE4\xDFigen Abst\xE4\
        nden und anlassbezogen zu auditieren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A17
      name: "Regelungen f\xFCr den Einsatz des Personals von Anbietenden von Outsourcing"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17
      ref_id: OPS.2.3.A17.1
      description: "Die Besch\xE4ftigten der Anbietenden von Outsourcing SOLLTEN schriftlich\
        \ verpflichtet werden, einschl\xE4gige Gesetze, Vorschriften sowie die Regelungen\
        \ der Nutzenden von Outsourcing einzuhalten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17
      ref_id: OPS.2.3.A17.2
      description: "Die Besch\xE4ftigten der Anbietenden von Outsourcing SOLLTEN geregelt\
        \ in ihre Aufgaben eingewiesen und \xFCber bestehende Regelungen zur Informationssicherheit\
        \ unterrichtet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17
      ref_id: OPS.2.3.A17.3
      description: "F\xFCr die Besch\xE4ftigten der Anbietenden von Outsourcing SOLLTEN\
        \ Vertretungsregelungen existieren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17
      ref_id: OPS.2.3.A17.4
      description: "Es SOLLTE ein geregeltes Verfahren festgelegt werden, das beschreibt,\
        \ wie das Auftragsverh\xE4ltnis mit den Besch\xE4ftigten der Anbietenden von\
        \ Outsourcing beendet wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a17
      ref_id: OPS.2.3.A17.5
      description: Fremdpersonal der Anbietenden von Outsourcing, das kurzfristig
        oder nur einmal eingesetzt wird, SOLLTE wie Besuchende behandelt werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a18
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A18
      name: "\xDCberpr\xFCfung der Vereinbarungen mit Anbietenden von Outsourcing"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a18.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a18
      ref_id: OPS.2.3.A18.1
      description: "Vereinbarungen mit Anbietenden von Outsourcing hinsichtlich der\
        \ Angemessenheit der festgelegten Sicherheitsanforderungen sowie sonstigen\
        \ Sicherheitsanforderungen SOLLTEN in regelm\xE4\xDFigen Abst\xE4nden und\
        \ anlassbezogen \xFCberpr\xFCft werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a18.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a18
      ref_id: OPS.2.3.A18.2
      description: Vereinbarungen mit Anbietenden von Outsourcing mit unzureichend
        festgelegten Sicherheitsanforderungen SOLLTEN nachgebessert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a18.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a18
      ref_id: OPS.2.3.A18.3
      description: "Die Anbietenden von Outsourcing SOLLTEN dazu verpflichtet werden,\
        \ bei ver\xE4nderter Gef\xE4hrdungs- oder Gesetzeslage, die festgelegten Sicherheitsanforderungen\
        \ nachzubessern."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a19
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A19
      name: "\xDCberpr\xFCfung der Handlungsalternativen hinsichtlich einer geplanten\
        \ oder ungeplanten Beendigung eines Outsourcing-Verh\xE4ltnisses"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a19.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a19
      ref_id: OPS.2.3.A19.1
      description: "Handlungsalternativen SOLLTEN entwickelt werden f\xFCr den Fall\
        \ einer geplanten oder ungeplanten Beendigung des Outsourcing-Verh\xE4ltnisses."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a19.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a19
      ref_id: OPS.2.3.A19.2
      description: "Das Resultat SOLLTE in einem Ma\xDFnahmenkatalog f\xFCr geplante\
        \ und ungeplante Beendigung des Outsourcing-Verh\xE4ltnisses dokumentiert\
        \ werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a19.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a19
      ref_id: OPS.2.3.A19.3
      description: "Dabei SOLLTEN auch alternative Anbietende von Outsourcing ermittelt\
        \ werden, die \xFCber das notwendige Niveau an Informationssicherheit verf\xFC\
        gen, um den Prozess sicher umzusetzen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a19.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a19
      ref_id: OPS.2.3.A19.4
      description: "Dies SOLLTE in regelm\xE4\xDFigen Abst\xE4nden und anlassbezogen\
        \ gepr\xFCft werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A20
      name: Etablierung sowie Einbeziehung von Anbietenden von Outsourcing im Notfallkonzept
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20
      ref_id: OPS.2.3.A20.1
      description: Ein Notfallkonzept SOLLTE in der Institution etabliert sein.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20
      ref_id: OPS.2.3.A20.2
      description: "Dies SOLLTE auf der Basis einer Business-Impact-Analyse basieren\
        \ und die Abh\xE4ngigkeiten der ausgelagerten Prozesse mit den intern verbliebenen\
        \ Prozessen ber\xFCcksichtigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20
      ref_id: OPS.2.3.A20.3
      description: "Das Notfallkonzept SOLLTE den Anbietenden von Outsourcing in seiner\
        \ Notfallvorsorge und -bew\xE4ltigung ber\xFCcksichtigen und mit diesem abgestimmt\
        \ sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20
      ref_id: OPS.2.3.A20.4
      description: "Dabei SOLLTEN die Schnittstellen zu Anbietenden von Outsourcing\
        \ mit Verantwortlichen benannt und besetzt werden, um einen Informationsaustausch\
        \ sowie eine effektive Kollaboration in einer Not- oder Krisensituation zu\
        \ erm\xF6glichen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20
      ref_id: OPS.2.3.A20.5
      description: "Gemeinsame Not- und Krisenfallpl\xE4ne SOLLTEN f\xFCr eine St\xF6\
        rung oder einen Ausfall der Anbietenden von Outsourcing erstellt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a20
      ref_id: OPS.2.3.A20.6
      description: "Standardisierte Protokolle und Berichte SOLLTEN zur Meldung von\
        \ Sicherheitsvorf\xE4llen etabliert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a21
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A21
      name: "Abschluss von ESCROW-Vertr\xE4gen bei softwarenahen Dienstleistungen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a21.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a21
      ref_id: OPS.2.3.A21.1
      description: Wird Software von Anbietenden von Outsourcing bezogen, SOLLTE ein
        ESCROW-Vertrag abgeschlossen werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a21.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a21
      ref_id: OPS.2.3.A21.2
      description: "Dieser SOLLTE Verwertungs- und Bearbeitungsrechte der Software\
        \ sowie Herausgabef\xE4lle des Quellcodes regeln."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a21.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a21
      ref_id: OPS.2.3.A21.3
      description: "Dar\xFCber hinaus SOLLTE festgelegt werden, wie h\xE4ufig der\
        \ Quellcode hinterlegt und dokumentiert wird."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a21.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a21
      ref_id: OPS.2.3.A21.4
      description: "Weiterhin SOLLTEN Geheimhaltungspflichten \xFCber den hinterlegten\
        \ Quellcode und die zugeh\xF6rige Dokumentation geregelt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a22
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A22
      name: "Durchf\xFChrung von gemeinsamen Notfall- und Krisen\xFCbungen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a22.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a22
      ref_id: OPS.2.3.A22.1
      description: "Gemeinsame Notfall- und Krisen\xFCbungen mit den Anbietenden von\
        \ Outsourcing SOLLTEN durchgef\xFChrt und dokumentiert werden (siehe DER.4\
        \ Notfallmanagement)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a22.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a22
      ref_id: OPS.2.3.A22.2
      description: "Das Resultat der \xDCbung SOLLTE dazu genutzt werden, um das Notfallkonzept\
        \ sowie insbesondere die gemeinsamen Ma\xDFnahmenpl\xE4ne zu verbessern."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a22.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a22
      ref_id: OPS.2.3.A22.3
      description: "Die Notfall- und Krisen\xFCbungen SOLLTEN regelm\xE4\xDFig und\
        \ anlassbezogen durchgef\xFChrt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a23
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A23
      name: "Einsatz von Verschl\xFCsselungen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a23.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a23
      ref_id: OPS.2.3.A23.1
      description: "Sensible Daten SOLLTEN angemessen verschl\xFCsselt werden, wenn\
        \ sie zum Anbietenden von Outsourcing \xFCbertragen werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a23.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a23
      ref_id: OPS.2.3.A23.2
      description: "Die abgelegten Daten SOLLTEN durch eine Datenverschl\xFCsselung\
        \ oder eine Verschl\xFCsselung des Speichermediums gesch\xFCtzt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a23.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a23
      ref_id: OPS.2.3.A23.3
      description: "Nach M\xF6glichkeit SOLLTE eine vom BSI gepr\xFCfte und freigegebene\
        \ Verschl\xFCsselungssoftware genutzt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a24
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A24
      name: "Sicherheits- und Eignungs\xFCberpr\xFCfung von Mitarbeitenden"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a24.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a24
      ref_id: OPS.2.3.A24.1
      description: "Mit externen Anbietenden von Outsourcing SOLLTE vertraglich vereinbart\
        \ werden, dass die Vertrauensw\xFCrdigkeit des eingesetzten Personals geeignet\
        \ \xFCberpr\xFCft wird."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a24.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a24
      ref_id: OPS.2.3.A24.2
      description: Dazu SOLLTEN gemeinsam Kriterien festgelegt und dokumentiert werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a25
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3
      ref_id: OPS.2.3.A25
      name: "Errichtung und Nutzung einer Sandbox f\xFCr eingehende Daten vom Anbietenden\
        \ von Outsourcing"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a25.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a25
      ref_id: OPS.2.3.A25.1
      description: "F\xFCr eingehende Daten vom Anbietenden von Outsourcing SOLLTE\
        \ eine Sandbox eingerichtet werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a25.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a25
      ref_id: OPS.2.3.A25.2
      description: "Hierbei SOLLTEN E-Mail-Anh\xE4nge in der Sandbox standardisiert\
        \ ge\xF6ffnet werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a25.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.2.3.a25
      ref_id: OPS.2.3.A25.3
      description: Updates und Anwendungen eines softwarenahen Anbietenden von Outsourcing
        SOLLTEN in der Sandbox initial getestet werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      assessable: false
      depth: 1
      ref_id: OPS.3.2
      name: 'Anbieten von Outsourcing '
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A1
      name: Einhaltung der Schutzziele der Informationssicherheit durch ein Informationssicherheitsmanagement
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a1
      ref_id: OPS.3.2.A1.1
      description: "Der Schutzbedarf f\xFCr Vertraulichkeit, Integrit\xE4t und Verf\xFC\
        gbarkeit von Nutzenden von Outsourcing MUSS im Outsourcing-Prozess ber\xFC\
        cksichtigen werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a1
      ref_id: OPS.3.2.A1.2
      description: Dabei MUSS sichergestellt werden, dass das von den Nutzenden von
        Outsourcing geforderte Minimum an Informationssicherheit eingehalten wird.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a1
      ref_id: OPS.3.2.A1.3
      description: "Zudem M\xDCSSEN die geltenden regulatorischen und gesetzlichen\
        \ Aspekte ber\xFCcksichtigt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A2
      name: "Grundanforderungen an Vertr\xE4ge mit Nutzenden von Outsourcing"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2
      ref_id: OPS.3.2.A2.1
      description: "Einheitliche Grundanforderungen an Outsourcing-Vertr\xE4ge M\xDC\
        SSEN entwickelt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2
      ref_id: OPS.3.2.A2.2
      description: "Diese SOLLTEN einheitlich in Vertr\xE4gen umgesetzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2
      ref_id: OPS.3.2.A2.3
      description: "Diese Grundanforderungen M\xDCSSEN Aspekte der Informationssicherheit\
        \ und Sicherheitsanforderungen der Nutzenden von Outsourcing beinhalten."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2
      ref_id: OPS.3.2.A2.4
      description: "Zudem M\xDCSSEN sie beinhalten, wie mit Weiterverlagerungen durch\
        \ die Anbietenden umgegangen wird."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2
      ref_id: OPS.3.2.A2.5
      description: "Die Grundanforderungen M\xDCSSEN beinhalten, dass die Nutzenden\
        \ das Recht haben Pr\xFCfungen, Revisionen und Auditierungen durchzuf\xFC\
        hren, um sicherzustellen, dass die vertraglich geregelten Anforderungen an\
        \ die Informationssicherheit eingehalten werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2
      ref_id: OPS.3.2.A2.6
      description: "Mit den Nutzenden von Outsourcing SOLLTE eine Verschwiegenheitserkl\xE4\
        rung zum Schutz von sensiblen Daten, Vereinbarungen zum Informationsaustausch\
        \ und Service-Level-Agreements vereinbart werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2
      ref_id: OPS.3.2.A2.7
      description: "Die Grundanforderungen M\xDCSSEN in Vereinbarungen und Vertr\xE4\
        gen einheitlich umgesetzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2.8
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a2
      ref_id: OPS.3.2.A2.8
      description: "Auf Basis der Grundanforderungen SOLLTE eine einheitliche Vertragsvorlage\
        \ erstellt und f\xFCr alle Outsourcing-Vorhaben genutzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A3
      name: Weitergabe der vertraglich geregelten Bestimmungen mit Nutzenden von Outsourcing
        an Sub-Dienstleistende
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a3
      ref_id: OPS.3.2.A3.1
      description: "Werden Prozesse von Anbietenden von Outsourcing weiter an Sub-Dienstleistende\
        \ verlagert, M\xDCSSEN die vertraglichen Bestimmungen mit den Nutzenden von\
        \ Outsourcing an die Sub-Dienstleistenden weitergegeben werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a3
      ref_id: OPS.3.2.A3.2
      description: "Dies MUSS in den Vertr\xE4gen mit den Sub-Dienstleistenden entsprechend\
        \ festlegt und durchgesetzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a3
      ref_id: OPS.3.2.A3.3
      description: "Auf Nachfrage von Nutzenden von Outsourcing M\xDCSSEN diese Vertr\xE4\
        ge vorgelegt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A4
      name: Erstellung eines Mandantentrennungskonzepts
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4
      ref_id: OPS.3.2.A4.1
      description: Es MUSS ein Mandantentrennungskonzept erstellt und umgesetzt werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4
      ref_id: OPS.3.2.A4.2
      description: Das Mandantentrennungskonzept MUSS sicherstellen, dass Daten und
        Verarbeitungskontexte verschiedener Nutzender von Outsourcing ausreichend
        sicher getrennt werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4
      ref_id: OPS.3.2.A4.3
      description: "Dabei MUSS zwischen mandantenabh\xE4ngigen und mandanten\xFCbergreifenden\
        \ Daten und Objekten unterschieden werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4
      ref_id: OPS.3.2.A4.4
      description: Es MUSS dargelegt werden, mit welchen Mechanismen die Anbietenden
        von Outsourcing die Mandanten trennen.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4
      ref_id: OPS.3.2.A4.5
      description: "Die ben\xF6tigten Mechanismen zur Mandantentrennung M\xDCSSEN\
        \ durch die Anbietenden von Outsourcing ausreichend umgesetzt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4
      ref_id: OPS.3.2.A4.6
      description: "Das Mandantentrennungskonzept MUSS durch die Anbietenden von Outsourcing\
        \ erstellt und den Nutzenden von Outsourcing zur Verf\xFCgung gestellt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a4
      ref_id: OPS.3.2.A4.7
      description: "Dar\xFCber hinaus MUSS es f\xFCr den Schutzbedarf der Daten der\
        \ Nutzenden von Outsourcing eine angemessene Sicherheit bieten."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A5
      name: "Erstellung eines Sicherheitskonzepts f\xFCr die Outsourcing-Dienstleistung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5
      ref_id: OPS.3.2.A5.1
      description: "Die Anbietenden von Outsourcing M\xDCSSEN f\xFCr ihre Dienstleistungen\
        \ ein Sicherheitskonzept erstellen."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5
      ref_id: OPS.3.2.A5.2
      description: "F\xFCr individuelle Outsourcing-Vorhaben M\xDCSSEN zus\xE4tzlich\
        \ spezifische Sicherheitskonzepte erstellt werden, die auf den Sicherheitsanforderungen\
        \ der Nutzenden von Outsourcing basieren."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5
      ref_id: OPS.3.2.A5.3
      description: "Das Sicherheitskonzept f\xFCr das jeweilige Outsourcing-Vorhaben\
        \ SOLLTE jedem und jeder Nutzenden von Outsourcing vorgelegt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5
      ref_id: OPS.3.2.A5.4
      description: "Das Sicherheitskonzept der Anbietenden von Outsourcing und dessen\
        \ Umsetzung SOLLTE zu einem gesamten Sicherheitskonzept zusammengef\xFChrt\
        \ werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5
      ref_id: OPS.3.2.A5.5
      description: "Anbietende und Nutzende von Outsourcing M\xDCSSEN gemeinsam Sicherheitsziele\
        \ erarbeiten und diese dokumentieren."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5
      ref_id: OPS.3.2.A5.6
      description: "Es MUSS au\xDFerdem eine gemeinsame Klassifikation f\xFCr alle\
        \ schutzbed\xFCrftigen Informationen erstellt werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a5
      ref_id: OPS.3.2.A5.7
      description: "Dar\xFCber hinaus M\xDCSSEN die Anbietenden von Outsourcing regelm\xE4\
        \xDFig \xFCberpr\xFCfen, ob das Sicherheitskonzept umgesetzt wurde."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A6
      name: "Regelungen f\xFCr eine geplante und ungeplante Beendigung eines Outsourcing-Verh\xE4\
        ltnisses"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6
      ref_id: OPS.3.2.A6.1
      description: "Es M\xDCSSEN Regelungen getroffen werden, wie verfahren wird,\
        \ wenn Outsourcing-Verh\xE4ltnisse geplant oder ungeplant beendet werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6
      ref_id: OPS.3.2.A6.2
      description: "Es MUSS festgelegt werden, wie alle Informationen, Daten und Hardware\
        \ der Nutzenden von den Anbietenden von Outsourcing zur\xFCckgegeben werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6
      ref_id: OPS.3.2.A6.3
      description: "Anschlie\xDFend M\xDCSSEN die verbleibenden Datenbest\xE4nde der\
        \ Nutzenden von Outsourcing nach Ablauf der gesetzlichen Vorgaben zur Datenaufbewahrung\
        \ sicher gel\xF6scht werden."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6
      ref_id: OPS.3.2.A6.4
      description: Dies MUSS durch die Anbietenden von Outsourcing dokumentiert werden.
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a6
      ref_id: OPS.3.2.A6.5
      description: "Ferner SOLLTE \xFCberpr\xFCft werden, ob die Zugangs-, Zutritts-\
        \ und Zugriffsrechte f\xFCr die Nutzenden von Outsourcing aufgehoben wurden,\
        \ nachdem das Outsourcing-Verh\xE4ltnis beendet wurde."
      implementation_groups:
      - B
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A7
      name: Bereitstellung der ausgelagerten Dienstleistung durch multiple Sub-Dienstleistende
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a7
      ref_id: OPS.3.2.A7.1
      description: "Werden Prozesse von Anbietenden von Outsourcing weiter an Sub-Dienstleistende\
        \ verlagert, SOLLTEN die Anbietenden von Outsourcing mehrere qualifizierte\
        \ Sub-Dienstleistende zur Verf\xFCgung haben, falls Sub-Dienstleistende ausfallen\
        \ oder k\xFCndigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a7
      ref_id: OPS.3.2.A7.2
      description: Dies SOLLTE gemeinsam mit den Nutzenden von Outsourcing dokumentiert
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A8
      name: "Erstellung einer Richtlinie f\xFCr die Outsourcing-Dienstleistungen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a8
      ref_id: OPS.3.2.A8.1
      description: "Es SOLLTE eine Richtlinie f\xFCr das Anbieten von Outsourcing-Dienstleistungen\
        \ erstellt und in der Institution etabliert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a8.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a8
      ref_id: OPS.3.2.A8.2
      description: Diese SOLLTE das Test- und Freigabeverfahren regeln.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a8.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a8
      ref_id: OPS.3.2.A8.3
      description: "Dabei SOLLTE die Weiterverlagerung an Sub-Dienstleistende ber\xFC\
        cksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a8.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a8
      ref_id: OPS.3.2.A8.4
      description: "Die Richtlinie SOLLTE Ma\xDFnahmen ber\xFCcksichtigen, um Compliance-Risiken\
        \ bei Anbietenden von Outsourcing sowie bei Sub-Dienstleistenden zu bew\xE4\
        ltigen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A9
      name: "\xDCberpr\xFCfung der Vereinbarung mit Nutzenden von Outsourcing"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a9
      ref_id: OPS.3.2.A9.1
      description: "Vereinbarungen mit Nutzenden von Outsourcing hinsichtlich der\
        \ Angemessenheit der festgelegten Sicherheitsanforderungen sowie sonstigen\
        \ Sicherheitsanforderungen SOLLTEN in regelm\xE4\xDFigen Abst\xE4nden und\
        \ anlassbezogen \xFCberpr\xFCft werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a9
      ref_id: OPS.3.2.A9.2
      description: Vereinbarungen mit Nutzenden von Outsourcing mit unzureichend festgelegten
        Sicherheitsanforderungen SOLLTEN nachgebessert werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a9.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a9
      ref_id: OPS.3.2.A9.3
      description: "Bei ver\xE4nderter Gef\xE4hrdungs- oder Gesetzeslage SOLLTEN die\
        \ festgelegten Sicherheitsanforderungen nachgebessert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a9.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a9
      ref_id: OPS.3.2.A9.4
      description: "Alle \xC4nderungen SOLLTEN durch die Anbietenden von Outsourcing\
        \ dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A10
      name: Etablierung eines sicheren Kommunikationskanals und Festlegung der Kommunikationspartner
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10
      ref_id: OPS.3.2.A10.1
      description: Die Anbietenden von Outsourcing SOLLTEN einen sicheren Kommunikationskanal
        zu den Nutzenden von Outsourcing einrichten.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10
      ref_id: OPS.3.2.A10.2
      description: "Es SOLLTE dokumentiert sein, welche Informationen \xFCber diesen\
        \ Kommunikationskanal an den Outsourcing-Partner \xFCbermittelt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10
      ref_id: OPS.3.2.A10.3
      description: "Dabei SOLLTE sichergestellt werden, dass an den jeweiligen Enden\
        \ des Kommunikationskanals entsprechend Zust\xE4ndige benannt sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10
      ref_id: OPS.3.2.A10.4
      description: "Dabei SOLLTE regelm\xE4\xDFig und anlassbezogen \xFCberpr\xFC\
        ft werden, ob diese Personen noch in ihrer Funktion als dedizierte Kommunikationspartner\
        \ besch\xE4ftigt sind."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a10
      ref_id: OPS.3.2.A10.5
      description: Zwischen den Outsourcing-Partnern SOLLTE geregelt sein, nach welchen
        Kriterien welcher Kommunikationspartner welche Informationen erhalten darf.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A11
      name: Etablierung eines Notfallkonzepts
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a11.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a11
      ref_id: OPS.3.2.A11.1
      description: Ein Notfallkonzept SOLLTE in der Institution etabliert sein.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a11.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a11
      ref_id: OPS.3.2.A11.2
      description: "In diesem Notfallkonzept SOLLTEN Nutzende von Outsourcing sowie\
        \ Sub-Dienstleistende ber\xFCcksichtigt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A12
      name: "Durchf\xFChrung einer risikoorientierten Betrachtung von Prozessen, Anwendungen\
        \ und IT-Systemen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a12.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a12
      ref_id: OPS.3.2.A12.1
      description: "Werden Prozesse, Anwendungen oder IT-Systeme neu aufgebaut und\
        \ Kunden bereitgestellt, SOLLTEN diese regelm\xE4\xDFig und anlassbezogen\
        \ risikoorientiert betrachtet und dokumentiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a12.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a12
      ref_id: OPS.3.2.A12.2
      description: "Aus den sich daraus ergebenen Ergebnissen SOLLTEN geeignete Ma\xDF\
        nahmen festgelegt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a12.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a12
      ref_id: OPS.3.2.A12.3
      description: "Dar\xFCber hinaus SOLLTEN die Resultate dazu verwendet werden,\
        \ um das Informationssicherheitsmanagement weiter zu verbessern."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A13
      name: Anbindung an die Netze der Outsourcing-Partner
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13
      ref_id: OPS.3.2.A13.1
      description: Bevor das Datennetz der Anbietenden an das Datennetz der Nutzenden
        von Outsourcing angebunden wird, SOLLTEN alle sicherheitsrelevanten Aspekte
        schriftlich vereinbart werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13
      ref_id: OPS.3.2.A13.2
      description: "Bevor beide Netze verbunden werden, SOLLTEN sie auf bekannte Sicherheitsl\xFC\
        cken analysiert werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13
      ref_id: OPS.3.2.A13.3
      description: "Es SOLLTE gepr\xFCft werden, ob die Vereinbarungen f\xFCr die\
        \ Netzanbindung eingehalten werden und das geforderte Sicherheitsniveau nachweislich\
        \ erreicht wird."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13
      ref_id: OPS.3.2.A13.4
      description: Bevor die Netze angebunden werden, SOLLTE mit Testdaten die Verbindung
        getestet werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a13
      ref_id: OPS.3.2.A13.5
      description: Gibt es Sicherheitsprobleme auf einer der beiden Seiten, SOLLTE
        festgelegt sein, wer informiert und wie eskaliert wird.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A14
      name: "\xDCberwachung der Prozesse, Anwendungen und IT-Systeme"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a14.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a14
      ref_id: OPS.3.2.A14.1
      description: "Die f\xFCr Kunden eingesetzten Prozesse, Anwendungen und IT-Systeme\
        \ SOLLTEN kontinuierlich \xFCberwacht werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a15
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A15
      name: "Berichterstattung gegen\xFCber den Nutzenden von Outsourcing"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a15.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a15
      ref_id: OPS.3.2.A15.1
      description: "Die Anbietenden von Outsourcing SOLLTEN den Nutzenden von Outsourcing\
        \ in festgelegten Abst\xE4nden Berichte \xFCber den ausgelagerten Prozess\
        \ bereitstellen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a15.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a15
      ref_id: OPS.3.2.A15.2
      description: "Es SOLLTE ein Bericht an die Nutzenden von Outsourcing versendet\
        \ werden, wenn \xC4nderungen am Prozess durch die Anbietenden von Outsourcing\
        \ oder Sub-Dienstleistenden stattfanden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a15.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a15
      ref_id: OPS.3.2.A15.3
      description: Dazu SOLLTEN standardisierte Protokolle zur Berichterstattung etabliert
        werden.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A16
      name: "Transparenz \xFCber die Outsourcing-Kette der ausgelagerten Kundenprozesse"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16
      ref_id: OPS.3.2.A16.1
      description: "Die Anbietenden von Outsourcing SOLLTEN ein Auslagerungsregister\
        \ f\xFCr die in Kundenprozessen eingesetzten Sub-Dienstleistenden f\xFChren."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16
      ref_id: OPS.3.2.A16.2
      description: "Dieses SOLLTE Informationen zu den Sub-Dienstleistenden, Leistungskennzahlen,\
        \ Kritikalit\xE4t der Prozesse, abgeschlossenen Vertr\xE4gen und Vereinbarung\
        \ sowie \xC4nderungen enthalten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16
      ref_id: OPS.3.2.A16.3
      description: "\xC4nderungen am Auslagerungsregister SOLLTEN nachgehalten werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16
      ref_id: OPS.3.2.A16.4
      description: Das Auslagerungsregister SOLLTE auch die Weiterverlagerungen durch
        die Sub-Dienstleistenden behandeln.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a16
      ref_id: OPS.3.2.A16.5
      description: "Die Anbietenden von Outsourcing SOLLTEN das Auslagerungsregister\
        \ regelm\xE4\xDFig und anlassbezogen \xFCberpr\xFCfen."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a17
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A17
      name: Zutritts-, Zugangs- und Zugriffskontrolle
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a17.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a17
      ref_id: OPS.3.2.A17.1
      description: "Zutritts-, Zugangs- und Zugriffsberechtigungen SOLLTEN sowohl\
        \ f\xFCr das Personal der Anbietenden von Outsourcing als auch f\xFCr das\
        \ Personal der Nutzenden von Outsourcing geregelt sein."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a17.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a17
      ref_id: OPS.3.2.A17.2
      description: "Ebenfalls SOLLTEN Zutritts-, Zugangs- und Zugriffsberechtigungen\
        \ f\xFCr Auditoren und andere Pr\xFCfer festgelegt werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a17.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a17
      ref_id: OPS.3.2.A17.3
      description: "Dabei SOLLTEN nur so viele Rechte vergeben werden, wie f\xFCr\
        \ die T\xE4tigkeit notwendig ist."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a18
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A18
      name: "Regelungen f\xFCr den Einsatz von Sub-Dienstleistenden"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a18.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a18
      ref_id: OPS.3.2.A18.1
      description: "Personal der Anbietenden von Outsourcing sowie der Sub-Dienstleistenden\
        \ SOLLTEN in ihre Aufgaben eingewiesen und \xFCber bestehende Regelungen zur\
        \ Informationssicherheit der Anbietenden von Outsourcing unterrichtet werden."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a18.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a18
      ref_id: OPS.3.2.A18.2
      description: "Soweit es gefordert ist, SOLLTEN das Personal der Anbietenden\
        \ von Outsourcing sowie der Sub-Dienstleistenden nach Vorgaben der Nutzenden\
        \ von Outsourcing \xFCberpr\xFCft werden, z. B. durch ein F\xFChrungszeugnis."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a18.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a18
      ref_id: OPS.3.2.A18.3
      description: "Das Personal der Anbietenden von Outsourcing sowie der Sub-Dienstleistenden\
        \ SOLLTEN schriftlich dazu verpflichtet werden, einschl\xE4gige Gesetze und\
        \ Vorschriften, Vertraulichkeitsvereinbarungen sowie interne Regelungen einzuhalten."
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a18.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a18
      ref_id: OPS.3.2.A18.4
      description: Es SOLLTEN Vertretungsregelungen in allen Bereichen existieren.
      implementation_groups:
      - S
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a19
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A19
      name: "Sicherheits\xFCberpr\xFCfung von Besch\xE4ftigten"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a19.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a19
      ref_id: OPS.3.2.A19.1
      description: "Die Vertrauensw\xFCrdigkeit des Personals der Anbietenden von\
        \ Outsourcing SOLLTE durch geeignete Nachweise \xFCberpr\xFCft werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a19.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a19
      ref_id: OPS.3.2.A19.2
      description: Es SOLLTEN mit den Nutzenden von Outsourcing vertragliche Kriterien
        vereinbart werden.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a20
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A20
      name: "Verschl\xFCsselte Daten\xFCbertragung und -speicherung"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a20.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a20
      ref_id: OPS.3.2.A20.1
      description: "F\xFCr die \xDCbertragung von Daten von und zu den Nutzenden von\
        \ Outsourcing sowie die Speicherung SOLLTE mit den Nutzenden von Outsourcing\
        \ eine sicheres Verschl\xFCsselungsverfahren festgelegt werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a20.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a20
      ref_id: OPS.3.2.A20.2
      description: "Dabei SOLLTE sich die eingesetzte Verschl\xFCsselungsmethode am\
        \ Schutzbedarf der Daten orientieren."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a20.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a20
      ref_id: OPS.3.2.A20.3
      description: "Die Verschl\xFCsselungsmethode SOLLTE regelm\xE4\xDFig und anlassbezogen\
        \ auf ihre Funktionsf\xE4higkeit hin \xFCberpr\xFCft werden."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a21
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2
      ref_id: OPS.3.2.A21
      name: "Durchf\xFChrung von gemeinsamen Notfall- und Krisen\xFCbungen"
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a21.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a21
      ref_id: OPS.3.2.A21.1
      description: "Gemeinsame Notfall- und Krisen\xFCbungen mit den Nutzenden von\
        \ Outsourcing SOLLTEN durchgef\xFChrt und dokumentiert werden (siehe DER.4\
        \ Notfallmanagement)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a21.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a21
      ref_id: OPS.3.2.A21.2
      description: "Das Resultat der \xDCbung SOLLTE dazu genutzt werden, um das Notfallkonzept\
        \ sowie insbesondere die gemeinsamen Ma\xDFnahmenpl\xE4ne zu verbessern."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a21.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:bs-it-gs-2023-ops-betrieb:ops.3.2.a21
      ref_id: OPS.3.2.A21.3
      description: "Die Notfall- und Krisen\xFCbungen SOLLTEN regelm\xE4\xDFig und\
        \ anlassbezogen durchgef\xFChrt werden."
      implementation_groups:
      - E
