Vulnerability Management aufbauen: Prozess, SLAs und Evidence

Ein Vulnerability-Management-Prozess ist mehr als regelmäßige Scans. Dieser Artikel zeigt, wie der vollständige Prozess von Scan über Priorisierung bis zur nachgewiesenen Behebung strukturiert wird.

Was Auditoren konkret prüfen

Bei einer Prüfung von Vulnerability Management fragt der Auditor nicht nach dem Vorhandensein einer Richtlinie, sondern nach dem Nachweis der Wirksamkeit. Das BAM-Objekt NIS2-PM-01 definiert im Evidence-Feld, was konkret vorgelegt werden muss.

BAM-Objekt · Praxis NIS2-PM-01

Gap-CheckLiegt ein datierter, vollständiger Nachweis der Wirksamkeit von Vulnerability Management vor?

RemediationVulnerability-Management-Objekt mit Scan-Frequenz, Patch-SLAs nach Kritikalität und Evidence-Anforderungen

EvidenceDatiertes Protokoll oder Systemauszug mit Zeitstempel, Scope und Verantwortlichem – mindestens jährlich.

Häufige Fehler

Kein definierter Patch-SLA je Kritikalitätsstufe
Scans ohne anschließende Remediation
Patch-Stand nicht dokumentiert
Ausnahmen (Exceptions) nicht formal genehmigt

Praxis-Tipp

Für Vulnerability Management gilt: Evidence muss kontinuierlich entstehen, nicht punktuell vor dem Audit. Wer erst kurz vor dem Audit mit der Evidence-Sammlung beginnt, hat für den gesamten Prüfungszeitraum eine Lücke.

Typische Implementierungsreihenfolge

Erfahrungsgemäß folgt die Implementierung einem wiederkehrenden Muster: Zuerst wird eine Richtlinie geschrieben, dann werden Maßnahmen umgesetzt, dann wird kurz vor dem Audit festgestellt, dass der Nachweis fehlt. Der richtige Ansatz: Evidence-Anforderung zuerst klären, dann die Maßnahme so implementieren, dass sie automatisch Evidence erzeugt. Das BAM-Objekt beginnt deshalb mit dem Evidence-Feld, nicht mit dem Requirement.

Verbindung zu anderen Kontrollen

In der Praxis steht keine Kontrolle isoliert. Dieser Bereich ist typischerweise mit Risk Register verknüpft (das Risiko, das die Kontrolle adressiert), mit Audit Trail (der technische Nachweis der Wirksamkeit) und mit Remediation (der Plan für offene Gaps). BAM bildet diese Verknüpfungen im Cross-Framework-Objektmodell ab.

Nächster Schritt

NIS-2-Stresstest starten

Kostenloser Compliance-Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.

NIS-2-Stresstest starten → BAM Core →

Die strategische Einordnung – warum Vulnerability Management langfristig mehr als ein Compliance-Pflichtprogramm ist – findet sich auf Ebene 3.