Request continued operation of a legacy system: exception with risk assessment

Jedes System hat ein Ende: Irgendwann liefert der Hersteller keine Sicherheitsupdates und keinen Support mehr. Man spricht von End of Life (EOL) oder End of Support (EOS). Manchmal lässt sich ein solches System nicht sofort ablösen, zum Beispiel weil eine Fachanwendung nur darauf läuft. Dann darf es weiterlaufen, aber nicht stillschweigend: Der Weiterbetrieb wird als Ausnahme im EOL/Legacy-Register festgehalten, befristet, begründet und von einer zweiten Person genehmigt.

Zur Ausnahme gehört das Risiko selbst. Wer den Weiterbetrieb beantragt, bewertet das Risiko auf derselben Skala wie im IKT-Risikoregister: einmal ohne und einmal mit kompensierenden Maßnahmen. Die genehmigende Person sieht damit, welches Risiko sie akzeptiert. Revision und Prüfung erwarten diesen Nachweis, zum Beispiel nach ISO 27001 oder NIS2. Diese Anleitung zeigt, wie Sie den Antrag stellen.

Die wichtigsten Begriffe

• Ausnahme: ein Eintrag im EOL/Legacy-Register. Ein System darf bis zu einem Datum trotz EOL/EOS weiterlaufen.
• Kompensierende Maßnahmen: Schutz, der das fehlende Update ausgleicht, zum Beispiel ein eigenes Netzsegment oder eingeschränkter Zugriff.
• Risikoszenario: eine kurze Beschreibung, welcher Schaden durch den Weiterbetrieb droht.
• Ausgangsrisiko: Wahrscheinlichkeit mal Auswirkung, ohne die kompensierenden Maßnahmen.
• Restrisiko: Wahrscheinlichkeit mal Auswirkung, mit den Maßnahmen. Genehmigt wird das Restrisiko. Es darf in keiner Dimension über dem Ausgangsrisiko liegen, denn Maßnahmen senken ein Risiko, sie erhöhen es nicht.
• Fassung: Jede Bewertung einer Ausnahme bekommt eine laufende Nummer. Ihr Antrag beginnt mit Fassung 1.

Wahrscheinlichkeit und Auswirkung wählen Sie jeweils aus vier Stufen: gering, mittel, hoch, kritisch. Sie zählen von 1 bis 4. Das Produkt ergibt Punkte von 1 bis 16, und die Punkte bestimmen die Stufe des Risikos:

• 1 bis 2 Punkte: gering
• 3 bis 4 Punkte: mittel
• 6 bis 9 Punkte: hoch
• 12 bis 16 Punkte: kritisch

Beispiel: Die Warenwirtschaft läuft nur auf dem Server srv-win2012-lager, dessen Herstellersupport beendet ist. Ohne Schutz ist die Wahrscheinlichkeit eines Vorfalls hoch (3) und die Auswirkung kritisch (4), das ergibt 12 Punkte: kritisch. Mit eigenem Netzsegment und Zugriff nur über einen Jump-Host sinkt die Wahrscheinlichkeit auf mittel (2) und die Auswirkung auf hoch (3): 6 Punkte, also hoch. Genau dieses Restrisiko bestätigt später die zweite Person.

Schritt 1: Das EOL/Legacy-Register öffnen

Öffnen Sie in der Seitenleiste Konfigurationsverwaltung und darin Nachweise. Wählen Sie den Reiter EOL/Legacy-Register. Sie sehen alle beantragten und genehmigten Ausnahmen, darüber die Filter Zustand und Restrisiko sowie die Knöpfe Als CSV exportieren und Ausnahme beantragen. Bei einem Konfigurationselement ist der Name ein Link auf seine Systemseite.

1Hier stellen Sie eine neue Ausnahme

2Filter nach Zustand und Restrisiko

3Jede Ausnahme steht als Karte mit Bewertung und Plan

Warum hier? Das Register ist die eine Stelle, an der Ausnahmen entstehen und entschieden werden. So gibt es keine Nebenlisten in Tabellen oder Mails, und bei einer Prüfung zeigen Sie auf einen Ort.

Schritt 2: Ausnahme beantragen und das System wählen

Klicken Sie auf Ausnahme beantragen. Es öffnet sich das Formular. Legen Sie zuerst fest, wofür die Ausnahme gilt:

• Objektart: Konfigurationselement, Anwendung, Service oder Geschäftsprozess. Vorbelegt ist Konfigurationselement.
• System suchen (bei Anwendung heißt das Feld Anwendung suchen): Tippen Sie mindestens zwei Zeichen des Namens ein, zum Beispiel lager. Unter dem Feld erscheinen die Treffer, etwa srv-win2012-lager · Server. Ein Klick übernimmt den Treffer, das Feld zeigt dann den Namen, etwa srv-win2012-lager (Server), mit Ändern daneben. Bei Konfigurationselement und Anwendung müssen Sie einen Treffer auswählen, sonst bleibt Antrag stellen grau. Bei Service und Geschäftsprozess dürfen Sie auch eine eigene Kennung eintippen.
• Ausnahme gültig bis: das Datum, bis zu dem der Weiterbetrieb gelten soll. Ein Datum in der Vergangenheit lehnt knooing mit „Das Ablaufdatum der Ausnahme liegt in der Vergangenheit.“ ab. Der heutige Tag ist erlaubt.
• Risikoverantwortlicher: die Person, die das Risiko fachlich verantwortet. Sie wählen sie aus den Personen Ihres Mandanten.

Warum befristen? Eine Ausnahme ohne Ende wird zum Dauerzustand. Das Datum zwingt dazu, sich rechtzeitig wieder mit dem System zu befassen: entweder ist es dann abgelöst, oder die Ausnahme wird bewusst neu bewertet.

Beispiel: Julia Beispiel sucht lager, wählt srv-win2012-lager, setzt Ausnahme gültig bis auf den 31.03.2027 und wählt Tobias Beispiel als Risikoverantwortlichen.

1System über die Namenssuche wählen

2Risikobewertung: Szenario, Ausgangsrisiko und Restrisiko

3Vorschau des Restrisikos mit Punkten

4Antrag stellen

Schritt 3: Begründung und kompensierende Maßnahmen eintragen

Beide Felder sind Pflicht:

• Begründung des Weiterbetriebs: Warum wird das System trotz EOL/EOS weiterbetrieben?
• Kompensierende Maßnahmen: Was schützt das System in der Zwischenzeit? Netzsegmentierung, zusätzliches Monitoring, eingeschränkter Zugriff und Ähnliches.

Warum beides? Die Begründung zeigt, dass der Weiterbetrieb eine bewusste Entscheidung ist und keine Nachlässigkeit. Die Maßnahmen sind der Grund, weshalb das Restrisiko niedriger ausfällt als das Ausgangsrisiko. Beides zusammen macht die Risikobewertung nachvollziehbar.

Beispiel: Begründung: „Die Warenwirtschaft läuft nur auf diesem Server. Die Ablösung durch eine neue Lösung ist für das erste Quartal 2027 beauftragt.“ Maßnahmen: „Eigenes Netzsegment ohne Internetzugang, Zugriff nur über Jump-Host, tägliche Sicherung, erweitertes Monitoring.“

Schritt 4: Das Risiko bewerten

Im Kasten Risikobewertung des Weiterbetriebs beschreiben Sie zuerst das Risikoszenario: Welcher Schaden droht durch den Weiterbetrieb? Zum Beispiel ausnutzbare Schwachstellen ohne Herstellerpatches oder ein Ausfall ohne Herstellersupport.

Danach bewerten Sie zweimal jeweils Wahrscheinlichkeit und Auswirkung:

1. Unter Ausgangsrisiko (ohne kompensierende Maßnahmen): Wie schlimm wäre es ohne Schutz?
2. Unter Restrisiko (mit kompensierenden Maßnahmen): Wie schlimm ist es mit dem Schutz, den Sie in Schritt 3 beschrieben haben?

Sobald alle Felder gefüllt sind, rechnet knooing mit. Neben den Auswahlfeldern stehen zum Beispiel Ausgangsrisiko kritisch (12/16) und Restrisiko hoch (6/16). Diese Vorschau hilft Ihnen, die Stufe einzuschätzen. Verbindlich rechnet knooing beim Speichern des Antrags noch einmal selbst.

Liegt das Restrisiko in einer Dimension über dem Ausgangsrisiko, erscheint die rote Meldung „Das Restrisiko darf in keiner Dimension über dem Ausgangsrisiko liegen: Kompensierende Maßnahmen senken ein Risiko, sie erhöhen es nicht.“ Solange sie steht, bleibt Antrag stellen grau. Korrigieren Sie dann die Stufen.

Warum zwei Werte? Nur der Abstand zwischen beiden zeigt, was die Maßnahmen bewirken. Ein Restrisiko allein sagt nicht, ob der Schutz wirkt oder ob das System von Anfang an harmlos war. Die zweite Person prüft, ob Ihre Einschätzung zu den beschriebenen Maßnahmen passt.

Beispiel: Ausgangsrisiko: Wahrscheinlichkeit hoch, Auswirkung kritisch. Restrisiko: Wahrscheinlichkeit mittel, Auswirkung hoch.

Optional tragen Sie unten noch Modernisierungs-/Ablöseplan (optional) und Fällig bis (optional) ein, zum Beispiel „Ablösung der Warenwirtschaft durch die neue Lösung“. Den Plan pflegen Sie später weiter, siehe Ausnahmen neu bewerten und Modernisierungsplan pflegen.

Schritt 5: Den Antrag stellen

Klicken Sie auf Antrag stellen. Eine neue Karte erscheint mit dem Zustand beantragt und Ihrem Restrisiko als Stufe, zum Beispiel Restrisiko hoch (6/16). Auf der Karte stehen:

• die Zeile Risikobewertung (Fassung 1, bewertet von Julia Beispiel am …) mit dem Risikoszenario,
• Ausgangsrisiko und Restrisiko mit Wahrscheinlichkeit, Auswirkung und Punkten,
• Risikoverantwortlich: Tobias Beispiel. Beantragt von Julia Beispiel,
• der Hinweis „Ihr Antrag: Eine zweite Person entscheidet.“

Rechts stehen für Sie nur Risiko neu bewerten und Verlauf anzeigen, keine Knöpfe zum Genehmigen.

1Status beantragt

2Restrisiko mit Punkten

3Karte mit Bewertung und Hinweis Ihr Antrag

Warum kann ich nicht selbst genehmigen? Das Vier-Augen-Prinzip: Wer einen Antrag stellt, darf ihn nicht entscheiden. Die Bewertung ist außerdem festgehalten wie ein Beleg. Der Antrag trägt eine feste Kopie der Fassung, die zur Entscheidung vorgelegt wurde, und diese Kopie lässt sich nachträglich nicht mehr ändern. So steht später eindeutig fest, worüber entschieden wurde. Alle anderen Personen mit Bearbeitungsrecht für die Konfigurationsverwaltung werden über die Glocke benachrichtigt, mehr dazu im nächsten Artikel. Sobald entschieden ist, bekommen Sie selbst die Nachricht Entscheidung zu Ihrem Freigabeantrag.

Wenn etwas nicht klappt

• Antrag stellen ist grau. Es fehlt eine Pflichtangabe: das ausgewählte System (bei Konfigurationselement und Anwendung als Treffer), die Begründung, die kompensierenden Maßnahmen, der Risikoverantwortliche, das Datum bei Ausnahme gültig bis oder ein Teil der Risikobewertung. Prüfen Sie auch, ob die rote Meldung zum Restrisiko sichtbar ist.
• Bei System suchen erscheint kein Treffer. Prüfen Sie die Schreibweise und den Namen im Bestand. Die Suche startet ab zwei Zeichen.
• Ausnahme beantragen fehlt. Ihnen fehlt das Recht, die Konfigurationsverwaltung zu bearbeiten. Wenden Sie sich an die Administration Ihres Mandanten.
• Ohne Risikobewertung lässt sich kein Antrag mehr stellen. Das ist gewollt. Bestehende Ausnahmen aus der Zeit davor tragen die Bewertung nachträglich ein, siehe Register auswerten und Altbestand nachtragen.