Files

T

msolarczekandClaude Opus 4.8 522508aaf3 GAP WP2.1: Inline-VA-Verweise + Verify-Fix (F17)

Umsetzung aus dem GAP-Report Runde 2 (Umsetzungsanleitung), Etappe 1.

- WP2.1 (F3–F9, F19, N4, N7, N9): In 14 IMPL-Blöcken den zuständigen VA-Verweis
  inline ergänzt ({{LINK:VA-xx}}) — R02 1.3.1/1.3.2→VA-08, R03 1.4.1→VA-09,
  R04 1.6.1/1.6.2→VA-01 & 1.6.3→VA-02, R05 2.1.3→VA-12, R08 4.1.1/4.1.3/4.2.1→VA-03,
  R09 5.1.2→VA-07, R10 5.2.1→VA-04 & 5.2.6→VA-06, R13 6.1.2/6.1.3→VA-10.
  Damit verweisen alle 23 Controls mit zuständiger VA inline (zuvor 8).
- WP2.3/F17: _verify.py lief nicht (KeyError 'implementation' — Feld existiert nicht
  in mapping.json). Gefixt via .get(): Umsetzungstext wird zur Laufzeit über
  impl_anchor aus der .md aufgelöst (Variante 2 der Anleitung).

Verifiziert: _verify.py Render-Probleme 0, Mapping beidseitig sauber, keine neuen
Befunde (einzig vorbestehendes IMPL 3.1.3 = WP1.3/E2, ISB-Scope). Nicht-destruktiver
Re-Import in den Demo-Mandanten (8 Dokumente aktualisiert, Status/Anforderungen
erhalten); Browser: R02 rendert „(siehe VA-08)" als klickbaren Deep-Link.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-07-22 20:19:05 +02:00

5.6 KiB

Raw Blame History

Richtlinie Kryptografie- und Übertragungsrichtlinie

Dokumenteninformation	Wert
Dokumententyp	Richtlinie
Geltungsbereich	{{ISMS_SCOPE}}
Organisation	{{ORG_NAME}}
Verantwortlich	{{ROLE_IT_LEAD}}
Freigabe durch	{{ROLE_MANAGEMENT}}
Version	{{DOC_VERSION}}
Datum	{{DOC_DATE}}
Status	{{DOC_STATUS}}

1. Zweck

Diese Richtlinie regelt kryptografische Verfahren, Schlüsselverwaltung und Schutz bei der Informationsübertragung. Sie konkretisiert die Informationssicherheitsleitlinie ({{LINK:L00}}) und dient der Erfüllung der Anforderungen des VDA ISA 2027.

2. Geltungsbereich

Diese Richtlinie gilt innerhalb des definierten ISMS-Geltungsbereichs ({{ISMS_SCOPE_DESCRIPTION}}).

3. Anforderungen und Umsetzung

Aufbau je Abschnitt: Anforderung (1:1 aus VDA ISA; [MUSS]/[SOLL] und – bei entsprechendem Schutzbedarf – [HOCH]/[SEHR HOCH]) und Umsetzung bei {{ORG_NAME}} (gebündelt, anzupassen wo erforderlich).

3.1 Einsatz kryptografischer Verfahren (ISA 5.1.1)

Anforderung

[MUSS] Alle eingesetzten kryptografischen Verfahren (z. B. Verschlüsselung, Signatur, Hash-Algorithmen, Protokolle) bieten die im jeweiligen Anwendungsfeld erforderliche Sicherheit nach anerkanntem Industriestandard, soweit rechtlich möglich. {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Ein Konzept für den Einsatz von Kryptografie ist definiert und umgesetzt; dabei werden die einschlägigen Aspekte berücksichtigt. {{/if}} {{#if FLAG_HIGH_PROTECTION}}

[HOCH] Anforderungen an die Schlüsselhoheit (insbesondere bei externer Verarbeitung) sind bestimmt und erfüllt. (C, I) {{/if}}

Umsetzung bei {{ORG_NAME}}

Zulässige Verfahren und Schlüssellängen nach BL-CRY-02 ({{CRYPTO_ALGO}}) entsprechen dem anerkannten Industriestandard und sind vorgegeben; veraltete Verfahren sind untersagt. Ein Kryptokonzept ist dokumentiert (siehe {{LINK:VA-07}}), Schlüssel werden über ihren Lebenszyklus sicher verwaltet (BL-CRY-05).

Bei hohem Schutzbedarf sind Anforderungen an die Schlüsselhoheit (insbesondere bei externer Verarbeitung) bestimmt und erfüllt. {{/if}}

3.2 Schutz bei der Informationsübertragung (ISA 5.1.2)

Anforderung

[MUSS] Die zur Informationsübertragung genutzten Netzdienste sind identifiziert und dokumentiert.

[MUSS] Richtlinien und Verfahren entsprechend den Klassifizierungsanforderungen für die Nutzung von Netzdiensten sind definiert und umgesetzt.

[MUSS] Maßnahmen zum Schutz übertragener Inhalte gegen unbefugten Zugriff sind umgesetzt. {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Maßnahmen zur Sicherstellung korrekter Adressierung und korrekter Informationsübertragung sind umgesetzt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Elektronischer Datenaustausch erfolgt mittels Inhalts- oder Transportverschlüsselung entsprechend der jeweiligen Klassifizierung. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Fernzugriffsverbindungen zum Netzwerk der Organisation verfügen über angemessene Sicherheitsmerkmale; dabei werden die einschlägigen Aspekte berücksichtigt. {{/if}} {{#if FLAG_HIGH_PROTECTION}}

[HOCH] Informationen werden verschlüsselt übertragen (mindestens Transportverschlüsselung) oder durch gleichwertig wirksame Maßnahmen geschützt. (C) {{/if}} {{#if FLAG_VERY_HIGH_PROTECTION}}

[SEHR HOCH] Informationen werden inhaltsverschlüsselt übertragen. (C) {{/if}}

Umsetzung bei {{ORG_NAME}}

Genutzte Netzdienste sind identifiziert und dokumentiert; Richtlinien/Verfahren entsprechend der Klassifizierung sind umgesetzt. Informationen werden schutzbedarfsgerecht bei der Übertragung geschützt (mindestens {{TLS_MIN}}, BL-CRY-01), korrekte Adressierung sichergestellt und Fernzugriffe abgesichert; Regeln für E-Mail-/Dateiverschlüsselung sind definiert (BL-CRY-04, Krypto-/Schlüsselverwaltung siehe {{LINK:VA-07}}).

Bei hohem Schutzbedarf werden Informationen mindestens transportverschlüsselt oder gleichwertig geschützt übertragen; bei sehr hohem Schutzbedarf erfolgt eine Inhaltsverschlüsselung. {{/if}}

4. Verbindlichkeit

Diese Richtlinie ist für alle betroffenen Rollen im Geltungsbereich verbindlich. Die Einhaltung wird durch {{ROLE_IT_LEAD}} überwacht.

5. Rollen und Verantwortlichkeiten

Rolle	Verantwortung in dieser Richtlinie
{{ROLE_IT_LEAD}}	Verfahren/Schlüssel
{{ROLE_ISB}}	Zulässige Algorithmen

6. Überprüfung und Aktualisierung

Diese Richtlinie wird mindestens {{REVIEW_CYCLE}} sowie anlassbezogen durch {{ROLE_IT_LEAD}} überprüft und durch {{ROLE_MANAGEMENT}} freigegeben.

7. Nachweise

Die Nachweise werden nicht in diesem Dokument geführt, sondern zentral im Nachweisregister ({{LINK:NACHWEISREGISTER}}) sowie in den zugehörigen Einträgen des ISMS-Tools ({{TOOL_NAME}}).

8. Verwandte Dokumente

Zugehörige Verfahren: {{LINK:VA-07}}
Technische Sicherheits-Baseline: {{LINK:BASELINE}}
ISA-Mapping-Matrix: {{LINK:ISA_MAPPING}}
Nachweisregister: {{LINK:NACHWEISREGISTER}}
Weitere: {{LINK:R08}}, {{LINK:R10}}, {{LINK:R12}}

5.6 KiB Raw Blame History Unescape Escape