Welche UAE-IA-(NESA)-Controls sind unabhängig von der Unternehmensgröße immer anwendbar?

Kurzantwort. Es sind die Management-Controls aus Annex A der UAE Information Assurance Regulation, verteilt auf fünf Familien: M1 Strategie und Planung, M2 Informationssicherheits-Risikomanagement, M3 Awareness und Schulung, M4 Personalsicherheit sowie M6 Leistungsbewertung und Verbesserung. Die Unternehmensgröße ändert die Anwendbarkeit nicht, und das Weglassen eines einzelnen ist eine Nichtkonformität.

Das ist der häufigste Fehler im Umlauf, und er verändert Scope und Reihenfolge zugleich. Mehrere Zusammenfassungen beschreiben die 39 P1-Controls als die immer anwendbare Basis. Die Regulierung führt beide in getrennten Anhängen, und sie beantworten verschiedene Fragen.

Anwendbarkeit beantwortet, ob ein Control überhaupt gilt. Always-Applicable-Controls gelten unabhängig vom Ergebnis der Risikobewertung. Alles Übrige wird über die Risikobewertung ausgewählt und im Statement of Applicability begründet.

Priorität beantwortet, wann umgesetzt wird. Jedes Control liegt in einer von vier Stufen, P1 bis P4, die die Umsetzungsreihenfolge bestimmen. P2, P3 und P4 dürfen risikobasiert hoch- oder herabgestuft werden. P1-Controls dürfen, soweit anwendbar, ergänzt, aber nie reduziert werden.

Die Folge: Es gibt P1-Controls, die nicht immer anwendbar sind, und immer anwendbare Controls außerhalb von P1. Wer beides als eine Menge behandelt, erhält einen Plan, der stellenweise zu groß und an anderer Stelle gefährlich unvollständig ist.

M1, Strategie und Planung. Verständnis der Organisation und ihres Kontexts, nachweisbares Bekenntnis der Leitung, definierte Rollen und Verantwortlichkeiten, eine Informationssicherheitsrichtlinie samt unterstützender Richtlinien, Ressourcen, interne und externe Kommunikation sowie Dokumentation. Prüfer suchen Freigabenachweise und Belege für die Nutzung, nicht ein Dokument, das existiert.

M2, Risikomanagement der Informationssicherheit. Die größte Gruppe. Richtlinie, Identifikation, Analyse, Bewertung, Behandlungsoptionen, Identifikation der Controls, Risikobehandlungsplan, Statement of Applicability, Sicherheitsziele sowie laufende Überwachung, Überprüfung, Kommunikation und Konsultation. Ist Ihr Risikoregister eine Tabelle ohne Verantwortlichen, scheitert diese Familie zuerst.

M3, Awareness und Schulung. Ein Programm, dokumentierter Schulungsbedarf, ein Umsetzungsplan und Nachweise der Durchführung. Eine jährliche Folienschulung genügt allein nicht, denn drei der vier Controls betreffen Planung und Nachweis statt Durchführung.

M4, Personalsicherheit. Der gesamte Beschäftigungszyklus: Richtlinie, Überprüfung von Bewerbern, Vertragsbedingungen, Managementverantwortung, Disziplinarverfahren sowie das Trio bei Austritt aus Verantwortlichkeiten, Rückgabe von Werten und Entzug von Zugriffsrechten. Die Austrittskontrollen fallen am häufigsten durch, weil sie einen gemeinsamen Prozess von HR und IT voraussetzen.

M6, Leistungsbewertung und Verbesserung. Überwachung, Messung, Analyse und Bewertung, interne Audits, Korrekturmaßnahmen und kontinuierliche Verbesserung. Das ist die Schleife, die alles Vorherige prüfbar macht statt nur vorhanden.

Die vollständige Liste mit Control-IDs steht in Dokumentreihenfolge auf unserer UAE-IA-(NESA)-Referenzseite.

Annex A nennt insgesamt 34 Management-Controls, während die Tabelle direkt darunter 35 Bezeichner auflistet. Arbeiten Sie mit den Bezeichnern statt mit der Zahl. Werden Sie nach Nachweisen für die 34 immer anwendbaren Controls gefragt, legen Sie die Bezeichnerliste vor, und die Abweichung erledigt sich.

An der Anwendbarkeit nicht. Sie ändert, wie die Controls umgesetzt werden, nicht ob. Eine Gesellschaft mit zwanzig Personen braucht weiterhin definierte Rollen nach M1.1.3, nur liegen diese Rollen bei zwei Personen statt bei einer Abteilung. Sie braucht weiterhin interne Audits nach M6.2.2, nur kann jemand aus einer anderen Funktion prüfen statt ein eigenes Auditteam, sofern Unabhängigkeit vom Prüfgegenstand gegeben ist.

Wirklich spürbar wird die Größe bei der Nachweis-Pipeline. Kleine Teams, die Nachweise manuell sammeln, binden dafür einen unverhältnismäßigen Teil ihrer Kapazität. Genau deshalb sollte die Sammlung automatisiert werden, bevor eingestellt wird. Wie wir diese Ebene bauen, steht unter IT Security Governance in den VAE.

Der Großteil der Arbeit überträgt sich. M1 bis M6 decken sich weitgehend mit den ISO-27001-Kapiteln zu Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Zwei Artefakte übertragen sich fast direkt: der Risikobehandlungsplan und das Statement of Applicability, die M2.3.3 und M2.3.4 namentlich verlangen.

Nicht übertragbar ist die Prioritätsstufung, die kein ISO-Äquivalent hat und Ihre Umsetzungsreihenfolge bestimmt. Beachten Sie außerdem, dass Konformität hier über Prüfung und Nachweise belegt wird und nicht über ein Zertifikat: Ein NESA-Zertifikat gibt es nicht. Kunden und Behörden verlangen einen Gap-Analyse-Bericht gegen die Standards. Siehe Information Security Audit in Dubai.