Reassess approved exceptions and maintain the modernization plan

Eine genehmigte Ausnahme ist keine Momentaufnahme, die man abheftet. Das Risiko eines Altsystems ändert sich: eine neue Schwachstelle wird bekannt, eine Schutzmaßnahme fällt weg, oder der Hersteller bietet doch noch ein Sicherheitsupdate an. Dann muss die Bewertung folgen. Diese Anleitung zeigt, wie Sie eine genehmigte Ausnahme neu bewerten, wie Sie den Verlauf für Revision und Aufsicht nachweisen und wie Sie den Modernisierungsplan bis zur Ablösung pflegen.

Wie eine Ausnahme entsteht und genehmigt wird, steht in Weiterbetrieb eines Altsystems beantragen und Ausnahmen genehmigen oder ablehnen.

Schritt 1: Die Ausnahme neu bewerten

Öffnen Sie in der Konfigurationsverwaltung die Seite Nachweise, Reiter EOL/Legacy-Register. Bei der genehmigten Ausnahme klicken Sie rechts auf Risiko neu bewerten. Über der Bewertung steht der Hinweis „Die neue Bewertung ersetzt die genehmigte und braucht eine neue Genehmigung durch eine zweite Person. Bis dahin gilt die Ausnahme als beantragt.“ Das Formular ist mit der bisherigen Fassung vorbelegt.

Passen Sie das Risikoszenario und die Stufen an, wo sich etwas geändert hat. Die Vorschau zeigt wieder Ausgangsrisiko und Restrisiko mit Punkten. Klicken Sie dann auf Neubewertung beantragen.

Beispiel: Für Windows Server 2012 wird eine Lücke im Netzwerkdienst mit fertigem Angriffscode bekannt. Julia Beispiel bewertet die Ausnahme für srv-win2012-lager neu. Das Ausgangsrisiko liegt jetzt bei Wahrscheinlichkeit kritisch und Auswirkung kritisch (16 Punkte), das Restrisiko bei hoch mal hoch (9 Punkte).

1Hinweis: neue Genehmigung nötig

2Neues Risikoszenario

3Neues Restrisiko mit Punkten

4Neubewertung beantragen

Warum ersetzt die neue Bewertung die genehmigte? Genehmigt war die alte Fassung, und die Person, die genehmigt hat, kannte die neue Lücke nicht. Deshalb geht die Ausnahme zurück auf beantragt, und eine zweite Person muss die neue Fassung ausdrücklich genehmigen. Wer neu bewertet, gilt als Antragsteller und darf die neue Fassung deshalb nicht selbst genehmigen. Die frühere Freigabe bleibt als Nachweis bestehen.

Nach dem Klick zeigt die Karte beantragt, die neue Stufe (Restrisiko hoch (9/16)) und Risikobewertung (Fassung 2, bewertet von Julia Beispiel …). Sie sehen jetzt „Ihr Antrag: Eine zweite Person entscheidet.“ Tobias Beispiel sieht dagegen Genehmigen und Ablehnen.

Gut zu wissen:

• Auch einen offenen Antrag bewertet nur die antragstellende Person neu. Ihr offener Antrag wird dabei durch einen neuen ersetzt. Wer einen fremden Antrag nicht tragen will, lehnt ihn mit Begründung ab.
• Eine Neubewertung ist nur bei Ausnahmen möglich, die noch gelten. Bei abgelehnten, abgelaufenen oder abgeschlossenen Ausnahmen oder nach dem Datum bei gültig bis beantragen Sie eine neue Ausnahme.

Schritt 2: Die neue Fassung entscheiden lassen

Die zweite Person entscheidet wie beim ersten Antrag, siehe Ausnahmen genehmigen oder ablehnen. Genehmigt sie, steht die Ausnahme wieder auf genehmigt, jetzt mit Fassung 2. Lehnt sie ab, steht sie auf abgelehnt, und Sie beantragen den Weiterbetrieb neu.

Schritt 3: Den Verlauf prüfen

Klicken Sie bei der Ausnahme auf Verlauf anzeigen. Es erscheint der Abschnitt Verlauf der Bewertungen und Entscheidungen mit einer Zeile je Fassung. Eine Zeile enthält:

• die Fassung, das Restrisiko und das Ausgangsrisiko mit Punkten,
• wer die Fassung beantragt hat und wann,
• die Entscheidung: Genehmigt, Abgelehnt, Offen oder Ersetzt. Bei Genehmigt und Abgelehnt stehen Person, Datum und Begründung dabei. Ersetzt heißt: Der offene Antrag wurde durch eine neue Fassung abgelöst.

Beispiel: Zeile 1: „Fassung 1, Restrisiko hoch (6/16), Ausgangsrisiko kritisch (12/16). Beantragt von Julia Beispiel am …. Genehmigt von Tobias Beispiel am …: Netzsegment und Jump-Host geprüft …“ Zeile 2: „Fassung 2, Restrisiko hoch (9/16), Ausgangsrisiko kritisch (16/16). Beantragt von Julia Beispiel am …“, danach die Entscheidung über Fassung 2.

Mit Verlauf ausblenden schließen Sie den Abschnitt wieder. Den Verlauf sehen alle, die das Register lesen dürfen.

1Risiko neu bewerten

2Verlauf ein- und ausblenden

3Fassung 1 bis 3 mit Entscheidung und Begründung

Warum der Verlauf? Revision und Aufsicht fragen nicht nur, was heute gilt. Sie fragen, welche Bewertung zu welchem Zeitpunkt galt und wer sie mit welcher Begründung akzeptiert hat. Der Verlauf liest die unveränderlichen Freigabeanträge und nicht die aktuelle Bewertung, die sich überschreiben lässt. Er ist deshalb der Beleg, den Sie in einer Prüfung vorlegen können.

Schritt 4: Den Modernisierungsplan pflegen

Bei einer genehmigten Ausnahme steht unter der Karte das Feld Modernisierungsplan aktualisieren mit Fällig bis. Passen Sie Text oder Datum an und klicken Sie auf Speichern. Die Karte zeigt danach zum Beispiel „Modernisierungsplan: Umstellung auf die neue Warenwirtschaft, Pilotbetrieb ab April (fällig 31.5.2027)“.

Beispiel: Der Plan lautet „Umstellung auf die neue Warenwirtschaft“. Julia Beispiel hängt „, Pilotbetrieb ab April“ an und speichert.

1Modernisierungsplan aktualisieren

2Speichern

3Abschließen

Warum ohne neue Freigabe? Der Ablöseplan läuft nach der Genehmigung weiter, ändert aber nicht das Risiko. Die Risikobewertung bleibt unberührt, die Karte bleibt genehmigt in derselben Fassung. Ändert sich dagegen das Risiko selbst, nutzen Sie die Neubewertung aus Schritt 1.

Schritt 5: Die Ausnahme abschließen

Ist das System abgelöst, klicken Sie bei der genehmigten Ausnahme auf Abschließen. Die Karte verschwindet aus der Auswahl beantragt und genehmigt. Sie finden sie im Filter Zustand unter abgeschlossen wieder. Beantragte oder abgelehnte Ausnahmen haben keinen Knopf Abschließen: Ein Abschluss ist die Feststellung, dass eine genehmigte Ausnahme erledigt ist, keine zweite Entscheidung am offenen Antrag vorbei.

Warum abschließen? Abgeschlossene Ausnahmen verschwinden aus der Standardansicht, und das Register zeigt nur noch, was tatsächlich offen ist. Nachlesen können Sie sie weiterhin über den Filter.

Wenn etwas nicht klappt

• Risiko neu bewerten fehlt. Die Ausnahme ist nicht genehmigt und nicht Ihr eigener offener Antrag, sie ist abgelehnt, abgelaufen oder abgeschlossen, oder Ihnen fehlt das Bearbeitungsrecht. Bei einer abgelaufenen oder abgelehnten Ausnahme beantragen Sie eine neue.
• Beim Genehmigen erscheint die Meldung „Die Risikobewertung wurde inzwischen geändert (jetzt Fassung …). Prüfen Sie die aktuelle Bewertung und entscheiden Sie erneut.“ Während das Genehmigungsfenster offen war, hat jemand die Bewertung neu gefasst. knooing weist die veraltete Genehmigung ab, lädt die Liste neu und schließt das Fenster. Es wurde nichts genehmigt. Öffnen Sie Genehmigen erneut, prüfen Sie die aktuelle Fassung und entscheiden Sie neu. So gilt eine Genehmigung immer der Bewertung, die Sie tatsächlich gesehen haben.
• Der Verlauf zeigt „Ohne Bewertung“. Der Antrag stammt aus der Zeit vor der Bewertungspflicht. Wie Sie die Bewertung nachtragen, steht in Register auswerten und Altbestand nachtragen.
• Speichern beim Plan ist grau. Es gibt noch keine Änderung. Der Knopf wird aktiv, sobald Sie Text oder Datum ändern.