| Berechtigungen nach Rollen vergeben Identitäten & Zugriffe | teilweise | Fileserver-Freigaben 'daten' und 'progs' auf Abteilungsgruppen eingeschränkt, public_dir entfernt. Offen: Berechtigungskonzept und MetaBDE-Autorisierung (Entwickler beauftragt). | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| Notfallplan für IT-Sicherheitsvorfälle Backup & Notfall | nicht erfüllt | Kein Notfallplan; Eskalation informell über die IT-Leitung; Entscheidungswege, Meldepflichten und Wiederanlauf nicht festgelegt. | kritisch | 1 | Geschäftsführung (DI Karl Muster) |
| Administratoren des Verzeichnisdienstes auf das Minimum reduziert Identitäten & Zugriffe | teilweise | Domänen-Admins 2, Organisations-/Schema-Admins leer, beide Admins in Protected Users; quartalsweise Prüfung vereinbart. Offen: TechPartner-Zugriff über Tier-1-Konto mit Freischaltung (Vereinbarung April). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Vollständiges IT-Inventar Organisation | teilweise | Server, Maschinen und Netzgeräte sind in der MetaBDE-Gerätedoku und einer Excel-Liste (2023) erfasst; Drucker, Kameras, Smartphones, Cloud-Dienste und 19 aktive Netzgeräte fehlen, niemand pflegt die Listen laufend. Der Netzscan fand mehr Systeme als jede Liste. | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| Externe Zugänge dokumentiert und kontrolliert Organisation | nicht erfüllt | TechPartner Süd mit Domänen- und Firewall-Admin, Maschinenhersteller per dauerhaftem TeamViewer und VPN-Konto 'wartung-laser' ohne MFA; keine vertragliche Regelung außer Wartungsvertrag 2019, keine Protokollierung. | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| IT-Sicherheitsrichtlinie vorhanden Organisation | nicht erfüllt | Keine IT-Sicherheitsrichtlinie; Benutzerordnung von 2016 im Intranet. | hoch | 2 | Geschäftsführung (DI Karl Muster) |
| Dienstkonten dokumentiert und minimal berechtigt Identitäten & Zugriffe | nicht erfüllt | Dienstkonten für Backup, SQL, Scanner, MetaBDE, ERP teils mit Domänen-Admin; Liste in Devolutions unvollständig; 31 Konten mit „Passwort läuft nie ab“. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Aktuelle Netzwerkdokumentation Organisation | nicht erfüllt | Netzplan von 2021 ohne VLANs und ohne Werk Nord; die tatsächliche Segmentierung ist nur aus der Switch-Konfiguration ersichtlich. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Cloud-Ressourcen inventarisiert Organisation | nicht erfüllt | Acht Cloud-/SaaS-Dienste im Einsatz, keine Liste; Zugänge verteilt auf Devolutions und Fachabteilungen. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Änderungen nachvollziehbar dokumentiert Organisation | nicht erfüllt | Änderungen nach Zuruf, teils in TechPartner-Tickets, intern nicht dokumentiert; keine Freigabe. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Regelung für Homeoffice und mobiles Arbeiten Organisation | nicht erfüllt | Homeoffice per VPN und Terminalserver, teils von privaten PCs; keine schriftliche Regelung. | mittel | 1 | Geschäftsführung (DI Karl Muster) |
| IoT-Geräte inventarisiert Infrastruktur & Endgeräte | nicht erfüllt | Vernetzte Geräte ohne Inventar: 6 Kameras, Zutrittssteuerung, Klimasteuerung, Loxone, 2 Smart-TVs, Produktions-Tablets; Verantwortung verteilt auf Haustechnik, Produktion, Elektriker. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Sicherungskonzept dokumentiert Backup & Notfall | erfüllt | Sicherungskonzept v1.0 (Umfang, Zyklen, Ziele, Verschlüsselung, Verantwortliche, Testintervalle) von der GF freigegeben. | | 1 | IT-Leitung (Daniel Steiner) |
| Vertraulichkeit geregelt Organisation | erfüllt | Alle Mitarbeitenden sind über die Verschwiegenheitsklausel im Dienstvertrag zur Vertraulichkeit verpflichtet (Muster geprüft); mit externen Partnern regelt das der Wartungsvertrag nur allgemein (siehe GOV-09). | | 1 | Geschäftsführung (DI Karl Muster) |