Data Classification – Praxis

Datenklassifizierung ist in Audits haeufig eine der schwaechsten Positionen -- weil Organisationen zwar ein Schema haben, aber keinen Nachweis ueber dessen konsequente Anwendung erbringen koennen. Was Auditoren wirklich wollen und wie Evidence aussehen muss, zeigt dieser Abschnitt.

Was Auditoren konkret pruefen

Bei einer Pruefung von Data Classification fragt der Auditor nicht nach dem Vorhandensein einer Richtlinie, sondern nach dem Nachweis der Wirksamkeit. Das BAM-Objekt CROSS-DC-01 definiert im Evidence-Feld, was konkret vorgelegt werden muss.

BAM-Objekt · Praxis CROSS-DC-01

Gap-CheckLiegt ein datierter, vollstaendiger Nachweis der Wirksamkeit vor?

RemediationDokumentierter Prozess mit Eigentuemerverantwortung und Aktualisierungsnachweis

EvidenceDatiertes Protokoll oder Systemauszug mit Zeitstempel, Scope und Verantwortlichem -- mindestens jaehrlich.

Haeufige Fehler

Klassifizierungsschema in der Richtlinie, aber nicht in der Praxis
Keine Schulungsnachweise fuer Mitarbeiter
Neue Datenkategorien (Cloud-Dienste, KI-Trainingsdaten) fehlen im Schema
Kein Nachweis der Abdeckung -- wie viel Prozent der Daten sind klassifiziert?

Praxis-Tipp

Fuer Data Classification gilt: Auditoren wollen nicht nur das Schema sehen, sondern den Beweis, dass es auf reale Daten angewandt wurde. Stichprobenartige Klassifizierungspruefungen mit Zeitstempel und Ergebnis sind starke Evidence -- besser als abstrakte Richtlinien.

Umsetzung Schritt fuer Schritt

Erster Schritt: Klassifizierungsschema definieren (vier Stufen empfohlen) und in einer verbindlichen Richtlinie dokumentieren. Zweiter Schritt: Alle Datenbestaende inventarisieren und klassifizieren -- beginnend mit den kritischsten Systemen. Dritter Schritt: Schutzmaassnahmen aus der Klassifizierung ableiten: Verschluesselung ab "vertraulich", Zugriffsprotokollierung ab "intern". Vierter Schritt: Jaehrliche Pruefung der Klassifizierung auf Vollstaendigkeit und Aktualitaet dokumentieren.

Evidence-Anforderungen im Audit

Der Auditor erwartet: die datierte Klassifizierungsrichtlinie, ein Daten-Inventar mit Klassifizierungsangaben, Schulungsnachweise fuer Mitarbeiter, Ergebnisse der letzten Klassifizierungspruefung und eine Zuordnung von Schutzmaassnahmen zu Klassifizierungsstufen. Das BAM-Objekt CROSS-DC-01 enthaelt diese Anforderungen als pruefbare Liste.

Naechster Schritt

NIS-2-Stresstest starten

Kostenloser Compliance-Stresstest auf Basis der BAM-Objekte -- unverbindlich, 20 Minuten.

NIS-2-Stresstest starten → BAM Core →

Die strategische Einordnung -- warum Data Classification langfristig mehr als ein Compliance-Pflichtprogramm ist -- findet sich auf Ebene 3.