Ausnahmen

Die Ausnahmebehandlung ermöglicht es, Abweichungen formell zu erfassen und zu verfolgen, die gewährt werden, wenn eine Sicherheitsmaßnahme nicht gemäß den Anforderungen umgesetzt werden kann. Eine Ausnahme ist mit einer nicht konformen Sicherheitsmaßnahme verknüpft und durchläuft einen Genehmigungsworkflow, der von einem Administrator bearbeitet wird.

Liste der Ausnahmen

Diese Ansicht zeigt die Liste der Ausnahmen an und ermöglicht es, sie zu filtern nach:

• Status (Entwurf, Eingereicht, Genehmigt, Abgelehnt, Abgelaufen);

• verknüpfter Kontrolle;

• nur abgelaufenen Ausnahmen.

Überschrittene Enddaten werden rot angezeigt.

Durch Klicken auf eine Zeile gelangen Sie zur Detailansicht der Ausnahme.

Die Schaltfläche „Neu“ steht Benutzern mit der Rolle Administrator oder User zur Verfügung.

Eine Ausnahme anzeigen

Diese Ansicht zeigt die Informationen einer Ausnahme:

• den Namen der Ausnahme;

• den aktuellen Status;

• die verknüpfte Kontrolle (mit einem Link zur entsprechenden Sicherheitsmaßnahme);

• die Beschreibung der Ausnahme;

• die geschäftliche Begründung;

• eventuelle Kompensationsmaßnahmen;

• den Gültigkeitszeitraum (Start- und Enddatum);

• den Ersteller und das Erstellungsdatum;

• den Einreicher und das Einreichungsdatum;

• die Entscheidung (Genehmiger, Datum und Kommentar).

Die verfügbaren Schaltflächen hängen vom Status der Ausnahme und von der Rolle des Benutzers ab:

Schaltfläche	Bedingung
„Absenden“	Status Entwurf — Administrator oder User
„Editieren“	Status Entwurf oder Abgelehnt — Administrator oder User
„Löschen“	nur Administrator
„Genehmigen“	Status Eingereicht — nur Administrator
„Ablehnen“	Status Eingereicht — nur Administrator

Wenn Sie klicken auf:

• „Absenden“, wechselt die Ausnahme in den Status Eingereicht und wird einem Administrator zur Genehmigung vorgelegt;

• „Editieren“, gelangen Sie zur Ansicht zum Ändern der Ausnahme;

• „Löschen“, wird die Ausnahme gelöscht und Sie kehren zur Liste der Ausnahmen zurück;

• „Genehmigen“, wird die Ausnahme angenommen und wechselt in den Status Genehmigt;

• „Ablehnen“, wird die Ausnahme abgelehnt (ein Grund ist erforderlich) und wechselt in den Status Abgelehnt;

• „Abbruch“, kehren Sie zur Liste der Ausnahmen zurück.

Eine Ausnahme erstellen

In der Liste der Ausnahmen öffnet die Schaltfläche „Neu“ das Erstellungsformular.

Diese Ansicht enthält die folgenden Felder:

• den Namen der Ausnahme;

• die verknüpfte Kontrolle (die nicht konforme Sicherheitsmaßnahme, die Anlass der Ausnahme ist);

• die Beschreibung der Ausnahme;

• die geschäftliche Begründung (der Grund, warum die Maßnahme nicht umgesetzt werden kann);

• die Kompensationsmaßnahmen (alternative Maßnahmen, die eingeführt werden, um das Restrisiko zu verringern);

• das Start- und Enddatum der Gültigkeit.

Eine Ausnahme wird mit dem Status Entwurf erstellt. Sie muss ausdrücklich eingereicht werden, bevor ein Administrator sie prüfen kann.

Wenn Sie klicken auf:

• „Sichern“, wird die Ausnahme gespeichert und Sie gelangen zur Detailansicht der Ausnahme;

• „Abbruch“, kehren Sie zur Liste der Ausnahmen zurück.

Eine Ausnahme ändern

Mit dieser Ansicht kann eine Ausnahme mit dem Status Entwurf oder Abgelehnt geändert werden. Ein Administrator kann eine Ausnahme unabhängig von ihrem Status ändern.

Eine abgelehnte Ausnahme, die geändert wird, kehrt automatisch in den Status Entwurf zurück, damit sie korrigiert und erneut eingereicht werden kann.

Diese Ansicht enthält dieselben Felder wie die Erstellungsansicht. Ein Administrator sieht zusätzlich den Status der Ausnahme und kann ihn frei ändern.

Wenn Sie klicken auf:

• „Sichern“, werden die Änderungen gespeichert und Sie gelangen zur Detailansicht der Ausnahme;

• „Abbruch“, kehren Sie zur Detailansicht der Ausnahme zurück.

Genehmigungsworkflow

Der Lebenszyklus einer Ausnahme folgt diesen Schritten:

Entwurf → Eingereicht → Genehmigt
                     ↘ Abgelehnt → (erneut ändern) → Entwurf
Genehmigt → Abgelaufen  (automatisch, wenn das Enddatum überschritten ist)

• Entwurf: Die Ausnahme wird verfasst. Sie kann geändert oder eingereicht werden.

• Eingereicht: Die Ausnahme wartet auf eine Entscheidung. Sie kann nicht mehr geändert werden.

• Genehmigt: Die Ausnahme wird für den festgelegten Gültigkeitszeitraum gewährt.

• Abgelehnt: Die Ausnahme wird verweigert. Ein Ablehnungsgrund ist erforderlich und für den Antragsteller sichtbar. Die Ausnahme kann korrigiert und erneut eingereicht werden.

• Abgelaufen: Eine genehmigte Ausnahme, deren Enddatum überschritten ist, wechselt automatisch in den Status Abgelaufen.

Nachvollziehbarkeit

Jeder Übergang wird mit Zeitstempel versehen und dem Benutzer zugeordnet, der ihn durchgeführt hat. Diese Informationen werden aufbewahrt und in der Detailansicht der Ausnahme angezeigt, sodass die Ausnahme bei einem ISO-27001-Audit begründet werden kann.