In diesem Bereich finden Sie eine Kommentierung der VdS 10000. Die Kommentierung erläutert die einzelnen Texte, Definitionen, Normative Verwwise, Empfehlungen und Maßnahmen der VdS 10000. Sie richtet sich an Organisationen und Berater, die sich mit der VdS 10000 vertraut machen wollen und dient darüber hinaus als Nachschlagewerk bei Fragen rund um die Implementierung der Richtlinie.

Die unterschiedlichen Inhalte der VdS 10000 sind in der Kommentierung gekennzeichnet:

Die VdS 10000 beinhalten drei unterschiedlichen Arten von Maßnahmen.

Grundanforderungen sind Maßnahmen, die immer umgesetzt werden müssen.

Sie sind in den Kapiteln 1, 4 bis 9 und 18, in den Abschnitten 10.1, 10.2, 10.4, 11.1 bis 11.3, 12.1 und 12.2, 13.1 und 13.2, 14.1 bis 14.3, 15.1, 16.1 bis 16.4, 17.1 und 17.2 sowie in den Anhängen A 1 und A2 zu finden.

Die Maßnahmen des Basisschutzes müssen nur umgesetzt werden, wenn die betroffenen Teile der IT-Infrastruktur technisch dazu in der Lage sind. Wenn eine Maßnahme des Basisschutzes nicht umgesetzt werden kann, empfehlen die VdS 10000 die Durchführung einer Risikoanalyse und -behandlung mit der Fragestellung: „Welche Risiken entstehen der Organisation, weil die Maßnahme nicht umgesetzt werden kann?“ Darüber hinaus kann sich die Organisation nach Belieben gegen die Umsetzung jeder einzelnen Maßnahme des Basisschutzes entscheiden (diese Maßnahmen können vermieden werden). Die Ablehnung einer Maßnahme des Basisschutzes verlangt die Durchführung einer entsprechenden Risikoanalyse und -behandlung mit der Fragestellung: „Welche Risiken entstehen der Organisation, weil die Maßnahme nicht umgesetzt wird?“

Die Maßnahmen des Basisschutzes sind in den Abschnitten 10.3.1 bis 10.3.8 (IT-Systeme) 11.4.1 bis 11.4.4 (Netzwerke und Verbindungen) sowie 16.5.1 bis 16.5.4 (Datensicherung und Archivierung) zu finden.

Die zusätzlichen Maßnahmen für kritische IT-Ressourcen müssen umgesetzt werden, auch wenn dies mit der vorhandenen IT-Infrastruktur nicht möglich ist. Die Organisation muss ggf. die notwendigen Anpassungen an der IT-Infrastruktur vornehmen.

Eine Ausnahme stellen die zusätzlichen Maßnahmen für kritische IT-Systeme (Abschnitte 10.5.1 bis 10.5.10) dar. Bei ihnen kann sich die Organisation nach Belieben gegen ihre Umsetzung entscheiden. Die Ablehnung einer Maßnahme verlangt die Durchführung einer entsprechenden Risikoanalyse und -behandlung mit der Fragestellung: „Welche Risiken entstehen der Organisation, weil die Maßnahme nicht umgesetzt wird?“

Die zusätzlichen Maßnahmen für kritische Teile der IT-Infrastruktur sind in den Abschnitten 10.5.1 bis 10.5.10 (IT-Systeme), 11.5 (Netzwerke), 12.3 (Mobile Datenträger) und 13.3 (Umgebung), 14.4 (IT-Outsourcing und Cloud Computing), 15.2 (Zugänge und Zugriffsrechte), 16.6 (Datensicherung und Archivierung) und 17.3 (Störungen und Ausfälle) zu finden.