Mark Semmler (mse@undisclosed.example.com) — 2026-07-12T08:10:34+00:00

08.02.2026 17:08		aktuell
Zeile 12:		Zeile 12:
	* [[vds10100-0a#a21_definitionen_und_analysen\|Anhang A.2.1]] E1: BSI-Standard 200-3, ISO/IEC 27005 oder ISO 31000		* [[vds10100-0a#a21_definitionen_und_analysen\|Anhang A.2.1]] E1: BSI-Standard 200-3, ISO/IEC 27005 oder ISO 31000
	* Die in [[vds10100-02#normative_verweise\|Abschnitt 2.1]] aufgeführten Verweise auf andere Regelwerke werden an den entsprechenden Textstellen lediglich als Beispiele aufgeführt. Der Organisation steht es damit frei, auch andere Regelwerke zu implementieren, sofern diese als Alternative zu den aufgeführten Beispielen allgemein anerkannt sind und sie die entsprechenden Anforderungen der VdS 10100 erfüllen.		* Die in [[vds10100-02#normative_verweise\|Abschnitt 2.1]] aufgeführten Verweise auf andere Regelwerke werden an den entsprechenden Textstellen lediglich als Beispiele aufgeführt. Der Organisation steht es damit frei, auch andere Regelwerke zu implementieren, sofern diese als Alternative zu den aufgeführten Beispielen allgemein anerkannt sind und sie die entsprechenden Anforderungen der VdS 10100 erfüllen.
-	* Durch die Umsetzung von Teilaspekten der VdS 10100 durch andere, bereits in der Organisation umgesetzte Regelwerke kann der Implementationsaufwand reduziert und die VdS 10100 in bereits bestehende Managementsysteme integriert werden.	+	* Durch die Umsetzung von Teilaspekten der VdS 10100 durch andere, bereits in der Organisation umgesetzte Regelwerke kann der Implementationsaufwand reduziert und die VdS 10100 in bereits bestehende Managementsysteme integriert werden (siehe [[vds10100-01#anwendungshinweise\|Abschnitt 1.2]] E1).
	</WRAP>		</WRAP>

Include - [Include]

Mark Semmler (mse@undisclosed.example.com) — 2026-07-10T08:54:44+00:00

10.07.2026 08:52		aktuell
Zeile 2:		Zeile 2:
	====== Include ======		====== Include ======

-	[[10k_etablierte_normen]]	+	* [[10k_etablierte_normen]]
-	[[ausnahmen]]	+	* [[ausnahmen]]
-	[[cc_footer]]	+	* [[cc_footer]]
-	[[copyright_cc]]	+	* [[copyright_cc]]
-	[[copyright]]	+	* [[copyright]]
-	[[copyright.txt~	+	* [[default_welcome]]
-	default_welcome]]	+	* [[etablierte_normen]]
-	[[etablierte_normen]]	+	* [[feedback_form]]
-	[[feedback_form]]	+	* [[feedback_kommentiert2]]
-	[[feedback_kommentiert2]]	+	* [[feedback_kommentiert]]
-	[[feedback_kommentiert]]	+	* [[footer]]
-	[[footer]]	+	* [[free_version]]
-	[[free_version]]	+	* [[header]]
-	[[header]]	+	* [[konsequenzen]]
-	[[konsequenzen]]	+	* [[no_comment]]
-	[[no_comment]]	+	* [[restricted_access_10kfull]]
-	[[restricted_access_10kfull]]	+	* [[restricted_access]]
-	[[restricted_access]]	+	* [[start]]
-	[[start]]	+	* [[vds10100_b]]
-	[[vds10100_b]]	+	* [[vds10100_c]]
-	[[vds10100_c]]	+	* [[vds10100_dokumentation]]
-	[[vds10100_dokumentation]]	+	* [[vds10100_etablierte_normen]]
-	[[vds10100_etablierte_normen]]	+

Mark Semmler (mse@undisclosed.example.com) — 2026-07-09T15:40:18+00:00

04.07.2026 11:41		aktuell
Zeile 1:		Zeile 1:
	Diese Vorgabe gibt der Organisation die Möglichkeit, für alle Maßnahmen der Kategorie C in Eigenverantwortung geeignete, verhältnismäßige und wirksame (siehe [[https://www.gesetze-im-internet.de/bsig_2025/__30.html\|§30 Abs. 1 Satz 1 BISG n.F.]]) Formen der Umsetzung zu entwickeln:		Diese Vorgabe gibt der Organisation die Möglichkeit, für alle Maßnahmen der Kategorie C in Eigenverantwortung geeignete, verhältnismäßige und wirksame (siehe [[https://www.gesetze-im-internet.de/bsig_2025/__30.html\|§30 Abs. 1 Satz 1 BISG n.F.]]) Formen der Umsetzung zu entwickeln:
-	* Maßnahmen der Kategorie C müssen nur bei jenen IT-Ressourcen umgesetzt werden, die dazu technisch in der Lage sind. Schutzmaßnahmen der Kategorie C setzen auf der vorhandenen IT-Infrastruktur auf; für die Umsetzung werden keine Neuanschaffungen von Soft- oder Hardware verlangt.	+	* IT-Systeme der Schutzkategorie „nachrangig“ können von der Implementation der Maßnahmen der Kategorie C pauschal ausgenommen werden (siehe [[vds10100-0a#a25_risikobehandlung\|Anhang A.2.5]] E3).
		+	* Maßnahmen der Kategorie C müssen nur bei jenen IT-Ressourcen umgesetzt werden, die dazu technisch in der Lage sind. Schutzmaßnahmen der Kategorie C setzen auf der vorhandenen IT-Infrastruktur auf; für die Umsetzung werden keine Neuanschaffungen von Soft- oder Hardware verlangt.
		+	* Wenn bei betroffenen IT-Ressourcen eine Maßnahme der Kategorie C technisch nicht umgesetzt werden kann, empfiehlt die VdS 10100, die dadurch entstehende Schwachstelle in das Risikomanagement (siehe [[vds10100-0a#a2_risikomanagement\|Anhang A.2]]) aufzunehmen:
		+	* Der Untersuchungsgegenstand der Risikoidentifikation, -analyse und -behandlung sind jene IT-Ressourcen, die die Maßnahme technisch nicht (vollständig) umsetzen können.
		+	* Die fehlende Umsetzung der Maßnahme wird als Schwachstelle angesehen. Die zu untersuchende Fragestellung lautet: "Welche Risiken entstehen, weil die betroffenen IT-Ressourcen X technisch nicht dazu in der Lage sind, die Maßnahme Y (vollständig) umzusetzen?"
		+	* Diese Vorgehensweise soll die Sensibilisierung der Beteiligten erhöhen und schließlich eine Eindämmung der bestehenden Risiken erreichen.
	* Auch für jene IT-Ressourcen, die technisch dazu in der Lage sind eine Maßnahme der Kategorie C umzusetzen, besitzt die Organisation Entscheidungsfreiheit. Die Organisation darf frei entscheiden, bei welchen IT-Ressourcen eine Maßnahme der Kategorie C vollständig umgesetzt wird, bei welchen IT-Ressourcen die Umsetzung nur teilweise erfolgt und bei welchen IT-Ressourcen sie komplett unterbleibt - die Organisation darf für jede Maßnahme der Kategorie C den Geltungsbereich und den Implementierungsgrad frei wählen.		* Auch für jene IT-Ressourcen, die technisch dazu in der Lage sind eine Maßnahme der Kategorie C umzusetzen, besitzt die Organisation Entscheidungsfreiheit. Die Organisation darf frei entscheiden, bei welchen IT-Ressourcen eine Maßnahme der Kategorie C vollständig umgesetzt wird, bei welchen IT-Ressourcen die Umsetzung nur teilweise erfolgt und bei welchen IT-Ressourcen sie komplett unterbleibt - die Organisation darf für jede Maßnahme der Kategorie C den Geltungsbereich und den Implementierungsgrad frei wählen.
	* Wenn sich die Organisation bewusst gegen die (vollständige) Umsetzung einer Maßnahme der Kategorie C entscheidet, gilt:		* Wenn sich die Organisation bewusst gegen die (vollständige) Umsetzung einer Maßnahme der Kategorie C entscheidet, gilt:
	* Die Organisation muss ihre Entscheidung nicht begründen oder dokumentieren.		* Die Organisation muss ihre Entscheidung nicht begründen oder dokumentieren.
-	* Sie ist dazu verpflichtet, die dadurch entstehende Schwachstelle in das Risikomanagement (siehe [[vds10100-0a#a2_risikomanagement\|Anhang A.2]]) aufzunehmen. Der Untersuchungsgegenstand der Risikoidentifikation, -analyse und -behandlung sind jene IT-Systeme, bei denen die Maßnahme nicht oder nicht vollständig umgesetzt wird, obwohl sie dazu technisch in der Lage wären. Die zu untersuchende Fragestellung lautet: „Welche Risiken entstehen weil Maßnahme X nicht bzw. nicht vollständig umgesetzt wird, obwohl dies technisch möglich wäre?“ Durch die Risikoidentifizierung und -analyse wird systematisch ermittelt, welche Risiken die Organisation durch ihre Entscheidung in Kauf nimmt. Im Zuge der Risikobehandlung muss sie "geeignete, verhältnismäßige und wirksame Maßnahmen zur Vermeidung, Reduzierung oder Übertragung der Risiken" definieren, dokumentieren und umsetzen (siehe [[vds10100-0a#a25_risikobehandlung\|Anhang A.2.5]] A2). Es besteht die Möglichkeit, Risiken zu akzeptieren, wenn ihre Schadenhöhen und/oder Eintrittswahrscheinlichkeiten unterhalb der Risikoakzeptanzgrenze liegen (siehe [[vds10100-0a#a25_risikobehandlung\|Anhang A.2.5]] E3) oder wenn dies vom Topmanagement gewollt ist (siehe [[vds10100-0a#a25_risikobehandlung\|Anhang A.2.5]] A5).	+	* Sie ist dazu verpflichtet, die dadurch entstehende Schwachstelle in das Risikomanagement (siehe [[vds10100-0a#a2_risikomanagement\|Anhang A.2]]) aufzunehmen. Der Untersuchungsgegenstand der Risikoidentifikation, -analyse und -behandlung sind jene IT-Systeme, bei denen die Maßnahme nicht oder nicht vollständig umgesetzt wird, obwohl sie dazu technisch in der Lage wären. Die zu untersuchende Fragestellung lautet: „Welche Risiken entstehen weil Maßnahme X nicht bzw. nicht vollständig umgesetzt wird, obwohl dies technisch möglich wäre?“ Durch die Risikoidentifizierung und -analyse wird systematisch ermittelt, welche Risiken die Organisation durch ihre Entscheidung in Kauf nimmt. Im Zuge der Risikobehandlung muss sie "geeignete, verhältnismäßige und wirksame Maßnahmen zur Vermeidung, Reduzierung oder Übertragung der Risiken" definieren, dokumentieren und umsetzen (siehe [[vds10100-0a#a25_risikobehandlung\|Anhang A.2.5]] A2). Dabei besteht die Möglichkeit, Risiken zu akzeptieren, wenn ihre Schadenhöhen und/oder Eintrittswahrscheinlichkeiten unterhalb der Risikoakzeptanzgrenze liegen (siehe [[vds10100-0a#a25_risikobehandlung\|Anhang A.2.5]] E3) oder wenn dies vom Topmanagement gewollt ist (siehe [[vds10100-0a#a25_risikobehandlung\|Anhang A.2.5]] A5).
	* Maßnahmen dieser Kategorie sind in der ersten Spalte der Tabellen mit dem Buchstaben "C" gekennzeichnet (z. B. "C1" oder "C2.5").		* Maßnahmen dieser Kategorie sind in der ersten Spalte der Tabellen mit dem Buchstaben "C" gekennzeichnet (z. B. "C1" oder "C2.5").

Das Portal rund um die VdS 10000.

Include - [Include]