🏠[[Startseite ISMS]]  
📘 Kapitel:[[02. Risikoanalyse und Maßnahmen]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[Datenschutzbeauftragte(r)]]

---

## 1. Zweck des Dokuments
Dieses Dokument beschreibt die Klassifikation von Daten und die Schutzbedarfsanalyse im Rahmen des ISMS der Beispiel-Unternehmen GmbH. Ziel ist es, Daten nach ihrer Sensibilität und ihrem Schutzbedarf zu kategorisieren, um angemessene Sicherheitsmaßnahmen sicherzustellen.

---

## 2. Klassifizierung der Daten

### 2.1 Kategorien
- **Vertrauliche Daten**:
  - Zugang nur für autorisierte Personen.
  - Beispiele: Kunden- und Mitarbeiterdaten, Geschäftsgeheimnisse, Finanzdaten.
  - **Schutzmaßnahmen**: Verschlüsselung, Zugriffskontrollen, Multi-Faktor-Authentifizierung (MFA).
- **Interne Daten**:
  - Informationen, die nur innerhalb des Unternehmens vertraulich behandelt werden.
  - Beispiele: Interne Berichte, Marketingpläne, firmeninterne E-Mails.
  - **Schutzmaßnahmen**: Zugriffsbeschränkungen, Passwortschutz.
- **Öffentliche Daten**:
  - Daten, die veröffentlicht werden können und keine besonderen Schutzmaßnahmen erfordern.
  - Beispiele: Pressemitteilungen, öffentlich zugängliche Informationen.
  - **Schutzmaßnahmen**: Keine spezifischen Schutzmaßnahmen erforderlich.

### 2.2 Klassifizierungsprozess
- Die Klassifizierung von Daten erfolgt durch die jeweiligen Datenverantwortlichen (z. B. Abteilungsleiter).
- Neue Daten werden standardmäßig als "Intern" eingestuft, bis eine spezifische Klassifikation durch die [[Datenschutzbeauftragte(r)]] vorgenommen wird.

---

## 3. Schutzbedarf und Maßnahmen

### 3.1 Schutzbedarfsanalyse
- Jede Datenkategorie wird anhand der folgenden Kriterien bewertet:
  - **Vertraulichkeit**: Wie kritisch ist es, unbefugten Zugriff zu verhindern?
  - **Integrität**: Welche Auswirkungen hätte eine Veränderung der Daten?
  - **Verfügbarkeit**: Wie wichtig ist die ständige Verfügbarkeit der Daten für das Unternehmen?

| **Kategorie**       | **Vertraulichkeit** | **Integrität** | **Verfügbarkeit** | **Maßnahmen**                             |
|---------------------|---------------------|----------------|-------------------|-------------------------------------------|
| **Vertrauliche Daten** | Hoch                | Hoch           | Mittel            | Verschlüsselung, Zugriffsbeschränkungen    |
| **Interne Daten**     | Mittel              | Mittel         | Mittel            | Passwortschutz, interne Richtlinien        |
| **Öffentliche Daten**  | Niedrig             | Niedrig        | Hoch              | Keine besonderen Maßnahmen erforderlich   |

### 3.2 Maßnahmenumsetzung
- Die definierten Maßnahmen für jede Kategorie werden in IT-Systemen und Prozessen implementiert.
- Verantwortlichkeiten:
  - **[[IT-Verantwortliche(r)]]**: Umsetzung technischer Maßnahmen.
  - **[[Datenschutzbeauftragte(r)]]**: Sicherstellung der Einhaltung datenschutzrechtlicher Anforderungen.

---

## 4. Überprüfung und Optimierung

### 4.1 Regelmäßige Überprüfung
- Die Klassifikation und Schutzbedarfsanalyse werden mindestens einmal jährlich überprüft.
- Änderungen in der IT-Landschaft oder im Unternehmensumfeld fließen in die Analyse ein.

### 4.2 Optimierung
- Erkenntnisse aus neuen Bedrohungen oder Schwachstellen werden analysiert, und die Schutzmaßnahmen werden entsprechend angepasst.

---

## 5. Verantwortlichkeiten

- **[[Datenschutzbeauftragte(r)]]**:
  - Überwachung und Genehmigung der Klassifikation und Schutzbedarfsanalyse.
  - Sicherstellung der Einhaltung gesetzlicher Anforderungen.
- **[[IT-Verantwortliche(r)]]**:
  - Umsetzung der technischen Maßnahmen.
  - Überwachung der Zugriffskontrollen und Sicherheitsmaßnahmen.

---

## 6. Verknüpfte Dokumente
- [[01.55 Datenschutzrichtlinie]]
- [[01.51 IT-Sicherheitsrichtlinie]]
- [[02.01 Risikoanalyse ISMS 2024]]

---

🏷️ **Tags:**  
- #Datenklassifikation #Schutzbedarf #ISMS_Maßnahme #ISO_Kontrolle_8_2 #ISO_Kontrolle_8_3
