Richtlinie zu Anwendungssicherheitsanforderungen – KMU

Die Richtlinie zu Anwendungssicherheitsanforderungen (P25S) etabliert ein verbindliches Rahmenwerk zur Absicherung aller Softwareanwendungen und Systeme innerhalb der Organisation, unabhängig davon, ob sie intern entwickelt oder von Drittanbietern und Cloud-Diensten bezogen werden. Diese Richtlinie ist an international anerkannten Normen und regulatorischen Rahmenwerken ausgerichtet, darunter ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, EU-DSGVO, EU NIS2, EU DORA und COBIT 2019, und stellt damit eine umfassende Abdeckung für Compliance und operative Resilienz sicher. Als dedizierte KMU-Richtlinie, klar gekennzeichnet durch das „S“ in der Dokumentnummer (P25S), ist die Richtlinie speziell für Organisationen angepasst, denen große, spezialisierte IT-Sicherheitsteams wie SOC-Analysten oder CISOs fehlen. Stattdessen wird die Verantwortung beim General Manager (GM) zentralisiert, der die Richtlinie genehmigen, die Richtlinieneinhaltung überwachen, Ausnahmen prüfen und sicherstellen muss, dass sämtliche Software – ob intern oder extern bereitgestellt – eine Reihe von Basissicherheitsanforderungen erfüllt. Dieser Ansatz ermöglicht es KMU, ein robustes Risikoprofil zu erreichen, ohne umfangreiche technische Teams vorzuhalten, indem klare Checklisten und Compliance-Bescheinigungen von Lieferanten genutzt werden. Der Geltungsbereich der Richtlinie erstreckt sich auf alle Anwendungen, die sensible geschäftliche oder personenbezogene Daten verarbeiten, speichern oder übertragen, unabhängig von Entwicklungsursprung oder Plattform. Rollen und Verantwortlichkeiten sind vereinfacht: Der GM ist für die Durchsetzung der Richtlinie verantwortlich; Anwendungsverantwortliche (falls benannt) verifizieren erforderliche Kontrollen und nehmen an Überprüfungen teil; Entwickler und IT-Anbieter implementieren Kontrollen und führen Tests durch; und Drittanbieter müssen die Normen der Organisation vertraglich einhalten. Dies stellt eine umfassende Abdeckung sicher, ohne kleine Teams zu überlasten. Zentrale Ziele sind die Verankerung überprüfbarer Sicherheitskontrollen in jeder Anwendung, der Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Daten sowie die Formalisierung von Anwendungstests, Zugangskontrolle, Protokollierung und Verschlüsselung als Baseline-Anforderungen. Drittanbieter- und Cloud-Anwendungen sind nicht ausgenommen: Alle müssen sichere Anmeldung, Eingabevalidierung, Verschlüsselung während der Übertragung und im Ruhezustand, Aktivitätsprotokollierung sowie zeitnahes Patch- und Firmware-Management aufweisen. Vor der Bereitstellung muss jede Anwendung eine Sicherheitsverifikation bestehen, durchgeführt durch interne IT-Unterstützung bei kleinen Projekten oder unabhängige Prüfer bei komplexen Systemen; sämtliche Aufzeichnungen sind für Auditbereitschaft aufzubewahren. Die Richtlinie definiert außerdem einen formalen Prozess für Risikobehandlung und Ausnahmemanagement, der Flexibilität für Geschäftsanforderungen ermöglicht und zugleich die Einhaltung rechtlicher und vertraglicher Anforderungen wie DSGVO, NIS2 oder DORA priorisiert. Jede anwendungsbezogene Ausnahme muss begründet, risikobeurteilt, vom GM genehmigt und mindestens halbjährlich überprüft werden. Strenge Durchsetzungsmaßnahmen umfassen die Aussetzung nicht konformer Anwendungen, die Beendigung von Lieferantenverträgen sowie detaillierte Protokollierung und Berichterstattung zur Unterstützung interner Kontrollen und externer Audits. Der Überprüfungsprozess der Richtlinie stellt sicher, dass sie mit neuen Bedrohungen, Plattformänderungen und regulatorischen Entwicklungen aktuell bleibt und KMU hilft, in einer dynamischen Landschaft der Anwendungssicherheit Schritt zu halten.