Normen und Standards

Diese Seite listet Normen, Standards, sowie weitere normative Dokumentation auf, die für Informationssicherheit und den Datenschutz von Interesse sind.

Gesetze

Europäisches Recht

DSGVO

Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr (Datenschutz-Grundverordnung)EU Datenschutz GrundverordnungWeitere Erläuterungen und Beweggründe für einzelne Artikel der DSGVO sind in den Erwägungsgründen beschrieben und erleichtern die Interpretation des Verordnungstextes.Erwägungsgründe zur DSGVO

Bundesrecht

BDSG	Bundesdatenschutzgesetz
BSIG	Gesetz über die Errichtung des Bundesamtes für Sicherheit in der Informationstechnik(BSIG)
SÜG	Gesetz über die Voraussetzungen und das Verfahren von Sicherheitsüberprüfungen des Bundes und den Schutz von Verschlusssachen Sicherheitsüberprüfungsgesetz - (SÜG) Geheimschutzhandbuch des BMWI Weitere landesspezifische SÜG der Bundesländer.
TKG	Telekommunikationsgesetz (TKG)
TMG	Telemediengesetz (TMG)
BSIG	Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz)

Landesrecht

Landesdatenschutzgesetze sind die landesrechtlichen Pendants zum Bundesdatenschutzgesetz. Die Landesdatenschutzgesetze gelten für die jeweiligen Landesbehörden und Kommunalverwaltungen.

DSG BW	Baden-Württemberg Datenschutzgesetz Baden Würtemberg (DSG BW)
BayDSG	Bayern Bayrisches Datenschutzgesetz (BayDSG)
BlnDSG	Berlin Berliner Datenschutzgesetz (BlnDSG)
DSG Bbg	Brandenburg Datenschutzgesetz Brandenburg (DSG Bbg)
BremDSG	Bremen Bremer Datenschutzgesetz (BremDSG)
HmbDSG	Hamburg Hamburger Datenschutzgesetz (HmbDSG)
HDSG	Hessen Hessisches Datenschutzgesetz (HDSG)
DSG M-V	Mecklenburg-Vorpommern Datenschutzgesetz Mecklenburg-Vorpommern (DSG M-V)
NDSG	Niedersachsen Niedersächsisches Datenschutzgesetz (NDSG)
DSG NRW	Nordrhein-Westfalen Datenschutzgesetz Nordrhein-Westfalen (DSG NRW)
DSG RP	Rheinland-Pfalz Datenschutzgesetz Rheinland-Pfalz (DSG RP)
SaarlDSG	Saarland Saarländisches Datenschutzgesetz (SaarlDSG)
SächsDSG	Sachsen Sächsisches Datenschutzgesetz (SächsDSG)
DSG LSA	Sachsen-Anhalt Datenschutzgesetzt Sachsen-Anhalt (DSG LSA)
LDSG SH	Schleswig-Holstein Landesdatenschutzgesetz Schleswig-Holstein (LDSG)
ThürDSG	Thüringen Thüringer Datenschutzgesetz (ThürDSG)

Datenschutz

Standard-Datenschutzmodell

Das Standard-Datenschutzmodell (SDM) wurde von der Datenschutzkonferenz (DSK) entwickelt. Die DSK ist ein Gremium der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder in Deutschland, das sich mit Fragen des Datenschutzes beschäftigt. Das SDM beschreibt eine methodische Vorgehensweise für die Planung, Umsetzung und Überwachung von Datenschutzmaßnahmen in IT-Systemen und dient als Rahmen für die Umsetzung des Datenschutzes in Unternehmen und Organisationen.

SDM-3.0	Standard-Datenschutzmodell Version 3.0
SDM-2.0b	Standard-Datenschutzmodell Version 2.0b
B.11	„Aufbewahren“ (Version 1.0 vom 6. Oktober 2020)
B.41	„Planen und Spezifizieren“ (Version 1.0 vom 25. März 2021)
B.42	„Dokumentieren“ (Version 1.0a vom 2. September 2020)
B.43	„Protokollieren“ (Version 1.0a vom 2. September 2020)
B.50	„Trennen“ (Version 1.0 vom 6. Oktober 2020)
B.51	„Zugriffe auf Daten, Systeme und Prozesse regeln“ (Version 1.0 vom 01.11.2021)
B.60	„Löschen und Vernichten“ (Version 1.0a vom 2. September 2020)
B.61	„Berichtigen“ (Version 1.0 vom 6. Oktober 2020)
B.62	„Einschränken der Verarbeitung“ (Version 1.0 vom 6. Oktober 2020)

BSI IT-Grundschutz

Eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelte Vorgehensweise zum Identifizieren und Umsetzen von Sicherheitsmaßnahmen der unternehmenseigenen IT. Das Ziel des Grundschutzes ist das Erreichen eines mittleren, angemessenen und ausreichenden Schutzniveaus für IT-Systeme.

BSI Standards

Standard 200-1	Managementsysteme für Informationssicherheit (ISMS) BSI-Stan­dard 200-1: Ma­na­ge­ment­sys­te­me für In­for­ma­ti­ons­si­cher­heit
Standard 200-2	IT-Grundschutz-Methodik BSI-Stan­dard 200-2: IT-Grund­schutz-Me­tho­dik IT-Grundschutz Kompedium (Ed. 2022) IT-Grundschutz Kompedium Umsetzungshinweise Leit­fa­den Ba­sis-Ab­si­che­rung nach IT-Grundschutz
Standard 200-3	Risikomanagement BSI-Stan­dard 200-3: Ri­si­ko­ma­na­ge­ment
Standard 200-4	Business Continuity Management BSI-Stan­dard 200-4: Business Continuity Management

ISi-Reihe

Die ISi-Reihe (BSI-Standards zur Internet-Sicherheit) gibt konkrete technische Empfehlungen zu verschiedenen Themenbereichen der IT-Sicherheit.

• Leitlinie IPv6
• Sichere Anbindung von lokalen Netzen an das Internet (ISi-LANA)
• Sicherer Fernzugriff auf das interne Netz (ISi-Fern)
• Sicheres Bereitstellen von Web-Angeboten (ISi-Web-Server)
• Sicherer Betrieb von E-Mail-Servern (ISi-Mail-Server)
• Absicherung eines Servers (ISi-Server)
• Sichere Nutzung von Webangeboten (ISi-Web-Client)
• Sichere Nutzung von E-Mail (ISi-Mail-Client)

Hochverfügbarkeitskompendium

Das BSI stellt mit dem HV-Kompendium Instrumente zur Verfügung, die bei der Identifikation kritischer Geschäftsprozesse und der Ermittlung deren Qualitätsanforderungen ansetzen und daraus Vorschläge für ein anforderungskonformes Service-Design ableiten.

Band G	Einführung und methodische Grundlagen.
Band B	Bausteine mit Architekturen und Maßnahmenempfehlungen zur Realisierung hoher Verfügbarkeit.
Band M	Maßnahmenempfehlungen komprimiert in einem Maßnahmenkatalog.
Band AH	Architekturmodelle, Steuerungsinstrumente und weitere Hilfsmittel.

Weitergehende Dokumentation:

• HV-Benchmark
• HV-Bench­mark kom­pakt
• Re­chen­zen­trums-De­fi­ni­ti­on
• Standort-Kriterien für Rechenzentren
• Brennstofflagerung für Netzersatzanlagen
• Redundanz - Modularität - Skalierbarkeit

Cloud Computing (C5)

C5:2020	Der Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue) spezifiziert Mindestanforderungen an sicheres Cloud Computing und richtet sich in erster Linie an professionelle Cloud-Anbieter, deren Prüfer und Kunden.
BSI Eckpunktepapier	BSI Eckpunktepapier "Sicherheitsempfehlungen für Cloud Computing Anbieter (Mindestsicherheitsanforderungen in der Informationssicherheit)" für sicheres Cloud Computing.

KRITIS

Kritische Infrastrukturen (KRITIS) bezeichnet Infrastrukturen (Anlagen, Organisationen oder Systeme), die von wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen (Gesundheit, Sicherheit, Versorgung, Finanzen, Verkehr) sind und deren Störung oder Zerstörung erhebliche Auswirkungen hätte.

BSIG	Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz)
Aktualisierung	Zweites Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme

DIN/ISO/IEC

Das DIN (Deutsches Institut für Normung) ist die nationale Organisation für Normen. Die ISO (International Organization for Standardization) und die IEC (International Electrotechnical Commission) sind internationale Vereinigungen von Normungsorganisationen zur Erarbeitung internationaler Normen.Diese Normen sind nicht frei verfügbar.

ISO 27000

Die ISO/IEC 27000-Reihe ist eine Reihe von Standards zur Informationssicherheit.

ISO 27001	Information security management systems – Requirements Definiert die Anforderungen an ein ISMS (Basis für eine Zertifizierung nach ISO 27001).
ISO 27002	Code of practice for information security Management Enthält Empfehlungen für die Umsetzung der ISO 27001 Anforderungen.
ISO 27003	Information security management systems – Implementation Guidelines Ein Leitfaden zur Implementierung eines ISMS nach ISO 27001
ISO 27004	Information security management measurements Definiert Kennzahlen für ein ISMS.
ISO 27005	Information security risk Management. Leitfaden für das Informationssicherheits-Risikomanagement
ISO 27011	Information Security Mgmt guidelines for telecommunications organizations based on ISO/IEC 27002 Leitfaden für das Informationssicherheits-Management im Telekom-Sektor
ISO 27799	Health informatics - Information security management in health using ISO/IEC 27002 Leitfaden für Medizinische Informatik - Informationsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002
DIN SPEC 27076	Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen Das Förderprojekt mIT Standard sicher entwickelte den Standard zur IT-Sicherheitsberatung für kleine und Kleinstunternehmen.

weitere DIN/ISO-Normen

DIN SPEC 27076	CyberRisikoCheck (kostenlos beim Beuth-Verlag) IT-Sicherheitsberatung für kleine und Kleinstunternehmen
ISO 15408	Common Criteria Informationstechnik - IT-Sicherheitsverfahren - Evaluationskriterien für IT-Sicherheit ISO 15408-1: Einführung und allgemeines Modell ISO 15408-2: funktionale Sicherheitsanforderungen ISO 15408-3: Anforderungen an die Vertrauenswürdigkeit
DIN 66399-1	Büro- und Datentechnik – Vernichten von Datenträgern – Teil 1: Grundlagen und Begriffe Teil 2: Anforderungen an Maschinen zur Vernichtung von Datenträgern Teil 3: Prozess der Datenträgervernichtung
DIN 66398	Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten

Institut der Wirtschaftsprüfer (IDW-Verlautbarungen)

Das Institut der Wirtschaftsprüfer in Deutschland e.V. (IDW), repräsentiert Wirtschaftsprüfer und Wirtschaftsprüfungsgesellschaften.Das IDW  publiziert mit den "IDW-Verlautbarungen" berufsständische Standards wie z.B. die IDW Prüfungsstandards (IDW PS). Diese Standards kommen im Rahmen von Wirtschaftsprüfungen auch für die Prüfung der IT zum Einsatz.Diese Normen sind nicht frei verfügbar.

(IDW Verlautbarungen - IDW Prüfungsstandards)

Hier sind die einige IT-Lastige Prüfstandards gesondert gelistet:

IDW PS 330	Abschlussprüfung bei Einsatz von Informationstechnologie Bezugsquelle IDW-Shop: IDW PS 330 ISACA-Leitfaden IDW PS 330 <> ISO 27001 Referenztabelle (PDF)
IDW PS 850	Projektbegleitende Prüfung bei Einsatz von Informationstechnologie Bezugsquelle IDW-Shop: IDW PS 850
IDW PS 860	IT-Prüfung außerhalb der Abschlussprüfung Bezugsquelle IDW-Shop: IDW PS 860
IDW PS 951	Prüfung des internen Kontrollsystems beim Dienstleistungsunternehmen für auf das Dienstleistungsunternehmen ausgelagerte Funktionen (bei Outsourcing und Cloud Computing) Bezugsquelle IDW-Shop: IDW PS 951

Weitere Normen und Standards

RFC	Die "Request for Comments" (RFC) ist eine Reihe technischer und organisatorischer quasi-Standard-Dokumente des RFC-Editors zum Internet. Auflistung der RFCs bei RFC-Editors
FIPS	Federal Information Processing Standard (FIPS) sind öffentliche Standards der Vereinigten Staaten. Diese werden von der US-Bundesregierung festgelegt und gelten für alle zivilen Regierungseinrichtungen in den USA und deren Vertragslieferanten. Auflistung der FIPS Stadards
CISIS12	Ein einfaches, zertifizierbares ISMS ist das Compliance Informations Sicherheitsmanagement Systemen in 12 Schritten (CISIS12), das in zwölf Schritten konkrete Handlungsanweisungen bietet und daher mit geringen Vorkenntnissen schnell eingeführt werden kann. https://cisis12.de/
ITIL	IT Infrastructure Library