Microsoft Security

Keine Risikobewertungen durchgeführt
Beispiel: Es wurden noch nie formale Risikobewertungen durchgeführt.

Risikobewertungen sporadisch und unvollständig
Beispiel: Risikobewertungen werden nur nach Vorfällen oder auf ad-hoc-Basis durchgeführt.

Regelmäßige, aber nicht umfassende Risikobewertungen
Beispiel: Jährliche Risikobewertungen finden statt, decken aber nicht alle Systeme und Prozesse ab.

Umfassende, regelmäßige Risikobewertungen
Beispiel: Quartalsweise Risikobewertungen, die alle kritischen Systeme und Prozesse umfassen.

Keine Sicherheitsrichtlinien vorhanden
Beispiel: Es existieren keine formalen Sicherheitsrichtlinien.

Sicherheitsrichtlinien existieren, aber nicht implementiert
Beispiel: Sicherheitsrichtlinien wurden entwickelt, aber den Mitarbeitern nicht kommuniziert.

Sicherheitsrichtlinien implementiert, aber nicht regelmäßig aktualisiert
Beispiel: Sicherheitsrichtlinien sind implementiert, werden aber nur alle paar Jahre überprüft.

Sicherheitsrichtlinien implementiert und regelmäßig aktualisiert
Beispiel: Sicherheitsrichtlinien werden regelmäßig überprüft und bei Bedarf angepasst.

Keine Maßnahmen zur Compliance
Beispiel: Es gibt keine spezifischen Maßnahmen zur Einhaltung der NIS2-Richtlinie.

Teilweise Maßnahmen zur Compliance
Beispiel: Einige Maßnahmen zur Einhaltung der NIS2-Richtlinie wurden ergriffen, aber nicht vollständig.

Meistens compliant, gelegentliche Lücken
Beispiel: Die meisten Anforderungen der NIS2-Richtlinie sind erfüllt, aber es gibt gelegentliche Lücken.

Vollständig compliant mit regelmäßigen Audits
Beispiel: Alle Anforderungen der NIS2-Richtlinie werden erfüllt und durch regelmäßige Audits überprüft.

Keine Schulungen vorhanden
Beispiel: Es gibt keine Schulungen zu Cybersicherheit für Mitarbeiter.

Sporadische Schulungen, nicht umfassend
Beispiel: Cybersicherheitsschulungen werden unregelmäßig und nur für bestimmte Mitarbeitergruppen durchgeführt.

Regelmäßige Schulungen, aber nicht alle Mitarbeiter erfasst
Beispiel: Es gibt regelmäßige Schulungen, aber nicht alle Mitarbeiter nehmen daran teil.

Umfassende, regelmäßige Schulungen für alle Mitarbeiter
Beispiel: Alle Mitarbeiter erhalten mindestens einmal jährlich umfassende Schulungen zu Cybersicherheit.

Kein Vorfallmanagement vorhanden
Beispiel: Es gibt keine formalen Prozesse oder Teams für das Management von Sicherheitsvorfällen.

Vorfallmanagement vorhanden, aber nicht effektiv
Beispiel: Es gibt einen Vorfallmanagementplan, aber er wird selten befolgt oder ist ineffektiv.

Vorfallmanagement effektiv, aber nicht umfassend
Beispiel: Vorfälle werden effektiv behandelt, aber der Plan deckt nicht alle möglichen Szenarien ab.

Effektives und umfassendes Vorfallmanagement
Beispiel: Vorfallmanagement ist umfassend und alle potenziellen Vorfälle werden abgedeckt.

Keine Notfallpläne vorhanden
Beispiel: Es gibt keine Notfallpläne für den Fall eines Cybervorfalls.

Notfallpläne vorhanden, aber nicht getestet
Beispiel: Notfallpläne existieren, wurden aber noch nie getestet.

Notfallpläne vorhanden und getestet, aber nicht regelmäßig
Beispiel: Notfallpläne wurden getestet, aber die Tests sind unregelmäßig.

Umfassende und regelmäßig getestete Notfallpläne
Beispiel: Notfallpläne sind umfassend und werden regelmäßig getestet.

Keine Krisenmanagementpläne vorhanden
Beispiel: Es gibt keine Krisenmanagementpläne für Cyberkrisen.

Krisenmanagementpläne vorhanden, aber nicht getestet
Beispiel: Krisenmanagementpläne existieren, wurden aber noch nie in einer Übung getestet.

Krisenmanagementpläne vorhanden und getestet, aber nicht regelmäßig
Beispiel: Krisenmanagementpläne wurden getestet, aber die Tests sind unregelmäßig.

Umfassende und regelmäßig getestete Krisenmanagementpläne
Beispiel: Krisenmanagementpläne sind umfassend und werden regelmäßig getestet.

Keine IT-forensischen Fähigkeiten vorhanden
Beispiel: Es gibt keine IT-forensischen Fähigkeiten oder Ressourcen.

IT-forensische Fähigkeiten vorhanden, aber begrenzt
Beispiel: IT-forensische Fähigkeiten sind vorhanden, aber nur auf einfache Vorfälle beschränkt.

Gute IT-forensische Fähigkeiten, aber nicht vollständig
Beispiel: IT-forensische Fähigkeiten sind gut, aber es fehlen spezialisierte Tools oder Expertise.

Umfassende IT-forensische Fähigkeiten
Beispiel: Es gibt umfassende IT-forensische Fähigkeiten und spezialisierte Tools.

Keine Sicherheitsarchitektur vorhanden
Beispiel: Es existiert keine formale Sicherheitsarchitektur.

Sicherheitsarchitektur vorhanden, aber nicht umfassend
Beispiel: Sicherheitsarchitektur ist vorhanden, aber nicht alle Systeme sind integriert.

Sicherheitsarchitektur umfassend, aber nicht vollständig integriert
Beispiel: Sicherheitsarchitektur ist umfassend, aber einige Systeme sind nicht vollständig integriert.

Vollständig integrierte und umfassende Sicherheitsarchitektur
Beispiel: *Alle Systeme sind in eine umfassende Sicherheitsarchitektur integriert.