{"text_format":"3","workbook":"xlsx","n_sheets":5,"sheets":["Unternehmensdaten","Versicherungsschutz","Risikocheck IT-Sicherheit","Final rating","Data"],"not_rendered":{"charts":3,"defined_names":4},"read":"whole","date_system":"1900"}

{"sheet":"Unternehmensdaten","index":0,"n_rows":41,"n_cols":5,"rows_kept":41,"merged":[[0,0,0,4],[1,2,1,4],[2,0,2,4],[3,0,6,0],[3,2,3,4],[4,2,4,4],[5,2,5,4],[6,2,6,4],[8,0,10,0],[8,2,8,4],[9,2,9,4],[10,2,10,4],[11,0,11,4],[12,2,12,4],[14,0,17,0],[14,4,15,4],[15,1,15,2],[16,4,17,4],[17,1,17,2],[18,0,18,4],[20,0,26,0],[27,0,28,0],[29,0,29,4],[30,2,30,4],[31,0,31,4],[32,0,36,0],[35,2,35,4],[36,2,36,4],[37,0,37,4],[38,0,39,0],[40,2,40,4]]}
["Unternehmensdaten"]
["Kategorie"," ","Antwort"]
["1. Allgemeine Daten"]
["Unternehmens-daten:","1.1) Firmenname: "]
[null,"1.2) Anschrift: "]
[null,"1.3) Website: "]
[null,"1.4) Gründungsjahr:"]
["Tochter-\ngesellschaften:","1.5) Sind weitere Gesellschaften mitzuversichern?\n        Bitte reichen Sie ein Organigramm und eine Umsatzliste mit ein."]
["Ansprechpartner:","1.6) Name, Vorname:"]
[null,"1.7) E-Mail-Adresse:"]
[null,"1.8) Telefonnummer:"]
["2. Geschäftstätigkeit"]
["Geschäftsbereich:","2.1) In welchem Geschäftsbereich ist Ihr Unternehmen tätig?"]
[{"$nulls":4},"Ergänzende Anmerkungen"]
["\nDaten-verarbeitung","2.2) Wie viele Datensätze speichert Ihr Unternehmen?",null,"< 10.000; \n10.000 - 100.000;\n100.000 - 500.000;\n500.000 - 1 Mio.; \n> 1 Mio."]
[null,"Erläuterung: Bei Datensätzen handelt es sich um eine Gruppe von inhaltlich zusammenhängenden Datenfeldern, welche Daten sowohl von privaten als auch juristischen Personen enthalten. Zu diesen gehören bspw. Namen, Adressen, Sozialversicherungsdaten, Kontodaten, Projektdaten, oder Produktdaten von Geschäftspartnern, Mitarbeitern, Kunden, Patienten und anderen Dritten."]
[null,"2.3) Verarbeiten oder speichern Sie Payment Card Industry (PCI)-Daten (Kreditkarteninformationen) in Ihren Systemen weiter?\nWie viele Datensätze werden verarbeitet oder gespeichert?"]
[null,"Erläuterung: Sie unterliegen dieser Regelung genau dann, wenn Sie mit der Kreditkartenindustrie einen Vertrag haben, der Sie zur Einhaltung der PCI-Standards verpflichtet."]
["3. Finanz- / Unternehmenskennzahlen"]
[{"$nulls":4},"Ergänzende Anmerkungen"]
["Umsatz des Unternehmens:","Gesamtumsatz aller mitzuversichernden Unternehmen (in EUR):"]
[null,"… davon anteilig durch Unternehmen (in EUR):"]
[null,"3.1) in Deutschland:"]
[null,"3.2) innerhalb der EU (ohne Deutschland):"]
[null,"3.3) in USA/Kanada:"]
[null,"3.4) in den übrigen Ländern (rest of the world):"]
[null,"3.5) Anteil e-Commerce / Online vom Gesamtumsatz (in %):"]
["Anzahl der Mitarbeiter:","3.6) Gesamt (Anzahl):"]
[null,"3.7)  … davon im IT-Bereich tätig"]
["4. Verfügbarkeitsanforderungen und Abhängigkeit von der IT"]
["Maximale Ausfallzeit","4.1) Beziffern Sie die maximale Zeitspanne, die Ihr Unternehmen bei einem Ausfall der IT-Infrastrukturen weiterarbeiten kann."]
["5. Externe Dienstleister in der IT"]
["Zusammenarbeit mit externen Dienstleistern","5.1) Nutzt Ihre Gesellschaft externe Dienstleister für ausgewählte IT-Dienstleistungen/Services? (bspw. Internetauftritt, Entwicklung, Wartung, Datensicherung,  Rechenzentrumsbetrieb, Cloud)",null,"Ja\nNein"]
[null,"5.2) Droht Ihnen eine Betriebsunterbrechung bei Ausfall o.g. IT-Dienstleister durch einen Cyber-Angriff?"]
[null,"5.3) Möchten Sie dieses Risiko mitversichern?"]
[null,"5.4) Falls ja, welche Dienstleister verarbeiten oder erhalten Zugriff auf diese Daten?"]
[null,"5.5) Falls ja, welche Aufgabe(n) werden vom/von den Dienstleister/n übernommen?"]
["6. Vorschäden"]
["Vorschäden:                                             ","6.1) Hatten Sie Schäden/Vorfälle innerhalb der letzten 5 Jahre durch:\n- Allgemeine Datenschutzverletzungen\n   (z.B. Diebstahl vertraulicher Daten)\n- eine behördliche Untersuchung von Datenschutzvorfällen\n- Beschwerden (z.B. von Mitarbeitern) aufgrund von\n   Datenschutzverletzungen",null,"Ja;\nNein"]
[null,"6.2) Hatten Sie Schäden/Vorfälle innerhalb der letzten 5 Jahre durch:\n- Unbefugtes Eindringen (z.B. Trojanerbefall) in\n   Ihre IT Infrastruktur oder Applikationen \n- Ausfall eines Teils Ihrer IT-Infrastruktur oder\n   Applikationen aufgrund eines unbefugten Eindringens\n- Umsatzausfälle oder sonstige erhebliche Kosten verursacht durch\n   unbefugtes Eindringen in Ihre IT Infrastruktur oder Applikationen",null,"Ja;\nNein"]
["Konkretisierung Vorschäden:                                             ","6.3) Falls Vorschäden vorhanden sind:\n- Was ist vorgefallen?\n- Wie hoch war der Schaden?\n- Welche Maßnahmen haben Sie danach ergriffen? \nBitte führen Sie diese kurz auf."]

{"sheet":"Versicherungsschutz","index":1,"n_rows":43,"n_cols":13,"rows_kept":43,"merged":[[0,1,0,3],[2,2,2,3],[5,1,5,3],[6,1,6,3],[7,1,7,3],[15,1,15,3],[16,1,16,3],[24,1,24,3],[26,1,26,2],[28,1,28,2],[30,1,30,2]]}
[null,"Vorversicherung"]
[null,"Sind Sie bereits gegen Cyber-Risiken versichert?"]
[null,"Falls ja, bei welchem Versicherer?"]
[null,"Falls ja, wann endet der Vertrag?"]
[]
[null,"Versicherungsschutz"]
[null,"1. Versicherungssummen"]
[null,"Hinweis: Wir können Ihnen nicht die \"richtige\" Versicherungssumme ausrechnen. Bitte prüfen Sie z.B. anhand der Deckungsbausteine entlang, wo Sie wie stark finanzielle Einbußen erleiden können und addieren Sie die Aufwendungen."]
[]
[null,"Welche Versicherungssummen können wir Ihnen anbieten ?","Alternative 1:"]
[]
[null,null,"Alternative 2:","keine Auswahl"]
[]
[null,null,"Alternative 3:","keine Auswahl"]
[]
[null,"2. Selbstbehalt"]
[null,"Hinweis: Unabhängig von der Höhe des Selbstbehalts können Sie im Notfall unsere 24/7-Cyber-Notfallhotline anrufen."]
[]
[null,"Welchen Selbstbehalt möchten Sie tragen ?","Alternative 1:"]
[]
[null,null,"Alternative 2:","keine Auswahl"]
[]
[null,null,"Alternative 3:","keine Auswahl"]
[]
[null,"3. Gewünschte Zusatzbausteine"]
[]
[null,"3.1. Datenmanipulation (\"Fehlüberweisung\" nach CyberAngriff)",null,"nein"]
[]
[null,"3.2. Cyber-Erpressung (\"Lösegeldversicherung\" bei Cyber-Erpressungen)",null,"nein"]
[]
[null,"3.3. Fehlbedienung (versehentliche Fehlbedienung der IT-Systeme ohne Cyber-Angriff)",null,"nein"]
[]
[{"$nulls":5},"VSU","SB","Zusatzbausteine"]
[{"$nulls":5},"keine Auswahl","keine Auswahl","Datenmanipulation","nein","ja, Sublimit 50.000 EUR","ja, Sublimit 100.000 EUR","ja, Sublimit 250.000 EUR","ja, Sublimit 500.000 EUR"]
[{"$nulls":5},{"v":250000,"d":"250,000 €"},{"v":1000,"d":"1,000 €"},"Erpressung","nein","ja, Sublimit 50.000 EUR","ja, Sublimit 100.000 EUR","ja, Sublimit 250.000 EUR","ja, Sublimit 500.000 EUR"]
[{"$nulls":5},{"v":500000,"d":"500,000 €"},{"v":2500,"d":"2,500 €"},"Fehlbedienung","nein","ja"]
[{"$nulls":5},{"v":1000000,"d":"1,000,000 €"},{"v":5000,"d":"5,000 €"}]
[{"$nulls":5},{"v":2000000,"d":"2,000,000 €"},{"v":10000,"d":"10,000 €"}]
[{"$nulls":5},{"v":3000000,"d":"3,000,000 €"},{"v":25000,"d":"25,000 €"}]
[{"$nulls":5},{"v":5000000,"d":"5,000,000 €"},{"v":50000,"d":"50,000 €"}]
[{"$nulls":5},{"v":7500000,"d":"7,500,000 €"},"keine Auswahl"]
[{"$nulls":5},{"v":10000000,"d":"10,000,000 €"}]
[{"$nulls":5},"keine Auswahl"]

{"sheet":"Risikocheck IT-Sicherheit","index":2,"n_rows":41,"n_cols":6,"rows_kept":41,"merged":[[0,0,0,5],[5,1,5,5],[6,1,6,5],[11,1,11,5],[13,1,13,5],[15,1,15,5],[16,1,16,5],[33,1,33,5],[36,1,36,5],[39,1,39,5]]}
["Angaben zur IT-Sicherheit"]
["Nr.","Kategorien","Frage","Antwortmöglichkeiten","Auswahl","ggf. ergänzende Anmerkungen"]
[null,"Kat. 1: Zertifizierungen"]
[1,"Vorhandene  Zertifizierungen","Besitzen Sie für die Versicherungspolice relevanten Bereiche gültige Zertifizierungen für Informationssicherheit?","1 - Es liegen keine Zertifizierungen vor.\n2 - Prozesse der Informationssicherheit wurden aufgebaut, aber nicht zertifiziert.\n3 - Eine Zertifizierung nach VdS 3473 wurde ist vorhanden (zusätzlich PCI-DSS, falls Kreditkartendaten gespeichert werden) - bitte Zertifikat beifügen.\n4 - Eine Zertifizierung auf Basis von IT-Grundschutz im Rahmen der ISO 27001 ist vorhanden (zusätzlich PCI-DSS, falls Kreditkartendaten gespeichert werden) - bitte Zertifikat beifügen."]
["Die übrigen Fragen sind nicht mehr relevant, wenn eine Zertifizierung vorliegt"]
[null,"Kat. 2: Informationssicherheits- und Risikomanagement"]
[null,"Kat. 2.1: Sicherheitsorganisation"]
[{"$f":"MAX($A$4:A7)+1","v":2},"IT-Sicherheitsrichtlinie \n(Security Policy)","Existiert eine IT-Sicherheitsrichtlinie mit Zielen zur Informationssicherheit?","Eine solche Richtlinie beschreibt den Anspruch an die Informationssicherheit. Hierzu werden Sicherheitsziele definiert und Strategien für die Aufrechterhaltung der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität (Echtheit) von Daten bzw. Informationen verabschiedet.\n1 - Es liegt keine von der Geschäftsführung unterzeichnete IT-Sicherheitsrichtlinie vor.\n2 - Eine IT-Sicherheitsrichtlinie wurde initial erstellt.\n3 - Eine IT-Sicherheitsrichtlinie liegt vor und beinhaltet identifizierte Ziele der Informationssicherheit.\n4 - wie 3, plus: Das Dokument unterliegt einem regelmäßigen Review inkl. Anpassung der Sicherheitsziele."]
[3,"Datenschutz","Existiert ein (auch externer) Datenschutzbeauftragter?","n.v. - Auf Basis der gesetzlichen Vorschriften (z.B. BDSG, ab 25.05.2018 zusätzlich EU-DSGVO) ist die Bestellung eines Datenschutzbeauftragten nicht erforderlich.\n1 - Es ist kein Datenschutzbeauftragter benannt.\n2 - Ein Datenschutzbeauftrager ist benannt.\n3 - Ein Datenschutzbeauftragter ist benannt und angemessen ausgebildet (vgl. § 4f BDSG)\n4 - wie 3, plus: Es erfolgt eine regelmäßige Weiterbildung."]
[4,"IT-Sicherheits-organisation","Existiert eine IT-Sicherheitsorganisation mit definierten Rollen und Verantwortlichkeiten?","1 - Es ist keine IT-Sicherheitsorganisation definiert bzw. kein IT-Sicherheitsbeauftragter benannt.\n2 - Ein IT-Sicherheitsbeauftragter ist benannt.\n3 - Rollen und Verantwortlichkeiten im Bereich der IT-Sicherheit sind benannt und angemessen ausgebildet.\n4 - wie 3, plus: Es erfolgt eine kontinuierliche Weiterbildung."]
[5,"Interne Audits","Decken interne oder unabhängige Audits informationssicherheits-technische Themengebiete mit ab?","1 - Audits mit Aspekten der informationstechischen Sicherheit werden nicht durchgeführt.\n2 - Audits werden durchgeführt. Das letzte Audit liegt mehr als 24 Monate zurück.\n3 - Audits werden durchgeführt. Das letzte Audit liegt mehr als 12 Monate zurück.\n4 - Audits werden durchgeführt. Das letzte Audit wurde in den letzten 12 Monaten durchgeführt."]
[null,"Kat. 2.2: Sensibilisierung/Schulung zur Informationssicherheit"]
[{"$f":"MAX($A$4:A12)+1","v":6},"Sensibilisierung\nund Schulung der Mitarbeiter","Erfolgen Sensibilisierung und Schulung der Mitarbeiter zur Informations- und Cyber-Sicherheit?","1 - Sensibilisierungs- / Schulungsmaßnahmen für Mitarbeiter werden nicht durchgeführt.\n2 - Es fand eine initiale Sensibilisierung / Schulung der Mitarbeiter statt.\n3 - Mitarbeiter werden regelmäßig sensibilisiert / geschult, Planungen hierzu liegen vor.\n4 - wie 3, plus: Teilnahmenachweise werden geführt und die vorhandene Sensibilisierung / Schulung wird durch definierte Verfahren gemessen."]
[null,"Kat. 3: Einsatz externer Dienstleister / Vertragsmanagement"]
[{"$f":"MAX($A$4:A14)+1","v":7},"IT-Dienstleister","Werden die eigenen Sicherheitsbedarfe bei Auswahl und Beauftragung von IT-Service-Dienstleistern berücksichtigt?","n.v. - nicht relevant, da keine Zusammenarbeit mit externen IT-Dienstleistern.\n1 - Sicherheitsbedarfe sind unbekannt oder werden nicht berücksichtigt.\n2 - Es findet eine allgemeine Berücksichtigung der Zuverlässigkeit des Dienstleisters im Bezug auf IT-Sicherheit statt.\n3 - Sicherheitanforderungen werden mit dem IT-Servicedienstleister ermittelt und vertraglich fixiert.\n4 - wie 3, plus: Sicherheitsanforderungen werden regelmäßig einem Review unterzogen und Verträge ggf. angepasst."]
[null,"Kat. 4: Sicherheit von IT-Systemen"]
[null,"Kat. 4.1: Schutz der IT-Systeme"]
[{"$f":"MAX($A$4:A17)+1","v":8},"Sichere Grundkonfiguration\n(Härtung)","Werden durch Sie oder einen IT-Dienstleister nicht zwingend notwendige Softwarebestandteile und Funktionen Ihres Computersystems entfernt bzw. deaktiviert?","Durch das Härten, d.h. das Entfernen bzw. Deaktivieren nicht mehr benötigter Software reduziert sich die Anzahl der Sicherheitslücken, die mit der meisten Software einhergehen. Ggf. wird für veraltete Software gar kein Sicherheitssupport mehr geleistet, was das Risiko noch erhöht.\n1 - Die eingesetzten IT-Systeme werden nicht gehärtet.\n2 - Für IT-Systeme erfolgte eine initiale Härtung.\n3 - Eine initiale Härtung ist erfolgt. Die Härtungsregeln werden fortlaufend aktualisiert und auf neue Systeme angewandt.\n4 - wie 3, plus: Neue technische Anforderungen werden auch für die Härtung bestehender IT-Systeme umgesetzt."]
[{"$f":"MAX($A$4:A18)+1","v":9},"Schutz vor Schadcode","Wird in Ihrem Unternehmen ein Schutz vor Schadcode umgesetzt?","1 - Es ist kein aktualisierter Virenscanner installiert. \n2 - Auf lokalen IT-Systemen  ist ein aktualisierter Virenscanner installiert. \n3 - Der lokale aktualisierte Virenscanner wird durch zentrale Gateways unterstützt.\n4 - wie 3, plus: Es erfolgt eine regelmäßige Überprüfung der eingesetzten Lösungen sowie eine Auswertung der Protokollierungen."]
[{"$f":"MAX($A$4:A19)+1","v":10},"Mobile Computing","Werden Schutzmaßnahmen für mobile Endgeräte (Laptops, Smartphones etc.) umgesetzt?","1 - Es wurden keine  Schutzmaßnahmen getroffen.\n2 - Für die Nutzung mobiler Endgeräte liegen organisatorische Regelungen vor.\n3 - Ist ein zentrales \"Mobile Device Management\" etabliert. (Möglichkeit Geräte zentral zu verwalten und ggf. Daten aus der Ferne zu löschen).\n4 - wie 3, plus: Es sind weitere technische Maßnahmen (z.B. Schutzcontainer) umgesetzt, alle Maßnahmen werden regelmäßig im Risikomanagement betrachtet und ggf. angepasst."]
[{"$f":"MAX($A$4:A20)+1","v":11},"Technische Schutzsysteme","Sind Firewallsysteme / Sicherheitsgateways im Einsatz?           ","1 - Es sind keine Firewalls/ Sicherheitsgateways im Einsatz.\n2 - Zum Schutz der Infrastruktur werden zentrale Firewalls eingesetzt.\n3 - Es werden verschiedene nach Sicherheitsanforderungen gebildete Netzsegmente durch Firewalls separiert\n4 - wie 3, plus: IDS/IPS/SIEM Systeme werden zusätzlich eingesetzt. Es erfolgt eine regelmäßige Auswertung der Protokollierung."]
[{"$f":"MAX($A$4:A21)+1","v":12},"Patch- und Schwachstellen-management","Existieren Verfahren zum Patch- und Schwachstellenmanagement?","Bei \"Patches\" handelt sich um kleine Updates, die Sicherheitslücken schließen und ggf. noch weitere Programmverbesserungen mit sich bringen.Im Bereich der Standardsoftware wie Mac OS X und Windows gibt es hierfür automatisierte Verfahren, bei Individualsoftware kann auch ein proaktives Handeln notwendig sein, um an Patches zu gelangen.\n1 - Verfahren zum Patch- und Schwachstellenmanagement existieren nicht.\n2 - Patches werden sporadisch installiert. Meldungen zu Sicherheitslücken werden nicht systematisch erfasst. \n3 -  Es existieren Verantwortlichkeiten für die Erfassung von Sicherheitsmeldungen und dem Ausrollen von Patches. \n4 - wie 3, plus: Schwachstellen werden proaktiv analysiert, bewertet und geschlossen."]
[13,"Backups","Werden Backups regelmäßig durchgeführt?","1 - Es werden keine Backups durchgeführt.  \n2 - Es werden Backups erstellt. \n3 - Es gibt einen an den geschäftlichen Anforderungen angepassten Backup-Rhythmus. Backups sind nicht vom Netz erreichbar (Offline-Backup). Die zur Wiederherstellung benötigten Schritte sind dokumentiert.\n4 - Es ist ein mehrstufiges (räumlich, zeitlich) Backup-Konzept etabliert."]
[14,"Wiederherstellungs-tests von Backups","Werden Wiederherstellungstests von Backups regelmäßig durchgeführt? ","1 - Es werden keine Wiederherstellungstests durchgeführt.  \n2 - Es ist ein Prozess beschrieben, wie Wiederherstellungstests durchzuführen sind. Bislang sind aber keine oder nur unregelmäßig ein Wiederherstellungstest durchgeführt worden.\n3 - Auf Basis eines Prozesses werden Wiederherstellungstests regelmäßig, mindestens jährlich,  und bei Änderung des Backup-Verfahrens unverzüglich durchgeführt.\n4 - wie 3, plus: Es gibt einen Prozess wie Backupanforderungen zu ermitteln und zu konzeptionieren sind."]
[15,"Notfallmanagement","Existieren Verfahren zum Notfallmanagement?","1 - Es existieren keine Verfahren zum Notfallmanagement.\n2 - Es gibt Wiederanlaufpläne/ Wiederherstellungpläne für die Wiederherstellung nach einem IT-Notfall für die wichtigsten Geschäftsprozesse.\n3 - Es gibt ein übergreifendes Notfallkonzept, in dem beschrieben ist, wie während einem IT-Notfall die Wertschöpfungsprozesse provisorisch aufrecht erhalten werden können.\n4 - wie 3, plus: Es liegen Wiederanlaufpläne zu allen identifizierten Notfallsituationen und für kritische Geschäftsprozesse / Systeme vor. Es ist sichergestellt, dass diese Pläne aktuell sind."]
[{"$f":"MAX($A$4:A25)+1","v":16},"Penetrationstests","Werden technische Penetrationstests / Vulnerability Assessments regelmäßig durchgeführt?","Es handelt sich hierbei um Tests, wie empfindlich Software und Netzwerke auf Angriffe reagieren.\n1 - Es werden keine Penetrationstests / Vulnerability Assessments durchgeführt.\n2 - Penetrationstests / Vulnerability Assessments finden sporadisch statt.\n3 - Penetrationstests / Vulnerability Assessments werden regelmäßig nach definierten Verfahren durchgeführt.\n4 - wie 3, plus: Die Ergebnisse werden bewertet und fließen in das Risikomanagement ein. Schwachstellen werden geschlossen."]
[null,"Kat. 4.2: Netzwerksicherheit"]
[{"$f":"MAX($A$4:A27)+1","v":17},"Netzwerkmanagement","Wie wird das Netzwerkmanagement umgesetzt?","Es handelt sich hierbei um die Überwachung/Verwaltung von IT-Netzwerken und Telekommunikationsnetzen.\n1 - Es erfolgt kein Netzwerkmanagement.\n2 - Das Management und die Administration von Netzwerkkomponenten erfolgt auf Anforderung dezentral.\n3 - Es ist ein zentrales Netzwerkmanagementsystem umgesetzt, das auch WLANs umfasst.\n4 - wie 3, plus: Über das zentrale Netzwerkemanagement können alle Komponenten sicher administriert werden, das Konzept des  Managementsystems wird regelmäßig überprüft und ggf. angepasst."]
[{"$f":"MAX($A$4:A28)+1","v":18},"Geräteidentifikation","Existiert eine Identifikation von Geräten im Netzwerk?","1 - Es erfolgt keine Identifikation von Geräten im Netzwerk.\n2 - Geräte werden nicht identifiziert, die Aktivierung von Netzwerkports wird aber gesteuert.\n3 - Es werden technische Systeme zur Identifikation von Geräten eingesetzt, z.B. MAC-Adressfilter.\n4 - wie 3, plus: Die eingesetzten Verfahren sind qualifiziert (z.B. 802.1x) und unterliegen der ständigen Kontrolle.  Netzwerkports werden bei unberechtigten Geräten automatisch gesperrt."]
[{"$f":"MAX($A$4:A29)+1","v":19},"Externe Zugänge zum Netzwerk \n(z.B. Fernwartungen)","Wie werden externe Zugänge abgesichert?","n.v. - nicht relevant, da keine Zugriffe von außen erfolgen\n1 - Externe Zugänge unterliegen keiner Steuerung.\n2 - Externe Zugänge werden auf Anforderung vergeben, aber nicht überwacht.\n3 - Die Vergabe von externen Zugängen unterliegt einem definierten Prozess, die Überwachung der Zugänge findet statt.\n4 - wie 3, plus: Fernzugänge sind dokumentiert und werden regelmäßig überprüft."]
[null,"Kat. 4.3: Erkennen von Angriffen"]
[{"$f":"MAX($A$4:A31)+1","v":20},"Monitoring and response","Erfolgt ein Monitoring von Netzwerken und IT-Systemen zur Erkennung von Cyber-Angriffen und eine entsprechende Reaktion hierauf?","Monitoring bedeutet das zentrale Überwachen der IT-Infrastruktur hinsichtlich Verfügbarkeit und Performance. Dazu werden die Sicherheitssysteme überwacht, ungewöhnliche Ereignisse angezeigt und weitere Parameter angeschlossener Geräte ausgelesen und geprüft. Response bedeutet, nach vordefinierten Prozessen auf Zwischenfälle bzw. Störungen reagieren zu können.\n1 - Es ist kein Monitoring etabliert.\n2 - Das Monitoring erfolgt mit dem Fokus der Betriebsüberwachung.\n3 - Das bestehende klassische Monitoring ist um Aspekte zur Erkennung von Cyber-Security Ereignissen erweitert worden. Es erfolgt eine strukturierte Reaktion auf Ereignisse.\n4 - wie 3, plus: Die Verfahren hierzu sind dokumentiert und unterliegen der regelmäßigen Überprüfung. Die Ergebnisse werden 24x7 ausgewertet und hierauf reagiert."]
[{"$f":"MAX($A$4:A32)+1","v":21},"Threat Intelligence","In welchem Umfang nutzen Sie Threat Intelligence zum Update Ihrer Sicherheitsmaßnahmen?","Beim \"Threat Intelligence\" bezieht das Unternehmen von Dritten kostenlose (öffentlich verfügbare) oder kostenpflichtige Informationen zu potentiellen bzw. aktuellen Sicherheitslücken, Angriffsszenarien und anderen möglichen Gefahrenquellen.\n1 - Es sind keine Prozesse zur \"Threat Intelligence\" etabliert.\n2 - Die Verantwortlichen erlangen Informationen zu Schwachstellen und Angriffen ad-hoc und nicht geordnet.\n3 - Es existieren Prozesse, über die die Verantwortlichen über neue Angriffsmöglichkeiten und Schwachstellen informiert werden und Sicherheitsmaßnahmen anpassen können.\n4 - wie 3, plus: Die Verfahren hierzu sind dokumentiert und unterliegen der regelmäßigen Überprüfung. Reaktionen auf Meldungen sind 24x7 möglich."]
[null,"Kat. 5: Datenverwaltung und Speicherung"]
[{"$f":"MAX($A$4:A34)+1","v":22},"Nutzung von Public Cloud Dienstleistungen","Erfolgt die Verarbeitung der Informationen in der Public Cloud nach den Anforderungen der eigenen Informationssicherheit?","n.v. - es wird keine Public Cloud für Daten jedwelcher Art verwendet\n1 - Der Stand der Informationssicherheit genutzter Public Cloud Dienstleistungen ist nicht bekannt.\n2 - Die genutzten Cloud Dienstleistungen sind bekannt, befolgen aber nur deren eigenen Sicherheitsvorgaben.\n3 - Die Verarbeitung der Informationen erfolgt gemäß der Klassifizierung der Informationen und nach den Vorgaben der Informationssicherheit.\n4 - wie 3, plus: Es erfolgt eine regelmäßige Überprüfung der Vorgaben und der Dienstleister."]
[{"$f":"MAX($A$4:A35)+1","v":23},"Datenvernichtung","Existieren Vorgaben zur Datenvernichtung?","1 - Es bestehen keine Vorgaben zur Vernichtung von Daten.\n2 - Datenträger werden gesammelt und der Vernichtung zugeführt. Es wird nicht nach Schutzbedarfen unterschieden, Einzelnachweise liegen nicht vor.\n3 - Datenträger werden gesammelt und der Vernichtung zugeführt. Es wird nach Medien unterschieden, Einzelnachweise liegen bei hohem Schutzbedarf vor.\n4 - wie 3, plus: Die Vorgaben zur Vernichtung werden auch für gespeicherte Daten (z.B. in Datenbanken, Backups oder Archiven) eingehalten. Das Einhalten der Prozesse wird durchgängig kontrolliert und dokumentiert."]
[null,"Kat. 6: Zugangs- und Zugriffskontrolle"]
[{"$f":"MAX($A$4:A37)+1","v":24},"Berechtigungsvergabe und\n-systeme","Existieren Verfahren und Systeme zur Vergabe von Berechtigungen?","1 - Es sind keine Verfahren zur Berechtigungsvergabe etabliert.\n2 - Berechtigungen werden auf Anforderung vergeben und lokal gepflegt.\n3 - Die Vergabe von Berechtigungen erfolgt zentral gepflegt über einen geordneten Antragsprozess inkl. Freigabe.\n4 - wie 3, plus: Vergebene Berechtigungen werden regelmäßig überprüft und automatisch entzogen. Das Berechtigungssystem (Legitimationen) ist rollenb-/tätigkeits-/zuständigkeitsbasiert. Die vergebenen Rollen und Rechte sind dokumentiert, die Prozesse der Berechtigungsvergabe komplett implementiert."]
[{"$f":"MAX($A$4:A38)+1","v":25},"Passwortqualität","Sind Vorgaben zur Passwortqualität umgesetzt?","1 - Es liegen keine Regelungen zum Umgang mit und Qualität von Passworten vor.\n2 - Eine organisatorische Richtlinie regelt die Auswahl von und den Umgang mit Passworten, auf welche die Anwender hingewiesen werden.\n3 - Der Umgang mit Passworten ist durch eine Richtlinie geregelt, die Qualität wird technisch überprüft. Ggf. vorhandene Schlüssel werden zentral verwaltet.\n4 - wie 3, plus: Die Anwender werden regelmäßig geschult, die Richtlinie unterliegt einem regelmäßigen Review. Die Vorgaben zur Passwortqualität werden regelmäßig überprüft."]
[null,"Kat. 7: Physikalische Sicherheit"]
[{"$f":"MAX($A$4:A40)+1","v":26},"Zutrittsschutz","Gibt es einen Zutrittsschutz zu Gebäuden oder IT-Sicherheitszonen?","1 - Es gibt keinen Zutrittsschutz zu Gebäuden oder IT-Sicherheitszonen (z.B. Serverräume).\n2 - Es gibt Zutrittsschutz zum Firmengelände, Gebäude bzw. - falls ein Gebäude mit mehreren Firmen geteilt wird - zum genutzten Teilbereich (Etage, etc.), die auf Antrag gewährt werden. Alternativ ist der Server in einem abgeschlossenen, nur berechtigten Mitarbeiter zugänglichen Raum platziert.\n3 - wie 2, plus: Sicherheitsrelevante Bereiche (z.B. Serverräume) sind für Unberechtigte nicht zugänglich und werden technisch überwacht. Die Vergabe von Zutrittsberechtigungen erfolgt zentral. Externe werden begleitet oder entsprechend der Mitarbeiter geschult.\n4 - wie 3, plus: Die Wirksamkeit und die Vergabeprozesse zu Gebäuden und sicherheitsrelevanten Bereichen werden regelmäßig überprüft. Bei einer Verletzung erfolgt eine 24x7 Reaktion."]

{"sheet":"Final rating","index":3,"n_rows":39,"n_cols":11,"rows_kept":39,"hidden":true,"merged":[[0,0,0,13],[21,8,21,12],[22,8,23,12],[27,10,27,13],[28,3,28,4],[29,3,29,4],[30,3,30,4],[31,3,31,4],[32,3,32,4],[33,3,33,4],[34,3,34,4],[35,3,35,4],[36,3,36,4],[37,3,37,4],[38,3,38,4]]}
["Zusammenfassende Risikobewertung"]
{"$rows_empty":20}
[{"$nulls":8},"Gesamt-Rating"]
[{"$nulls":8},{"$f":"Data!$L$5","v":{"v":0,"d":"0.00"}}]
[]
[]
[]
[]
["lfd. Nr.","Frage","Zeile","Auswahl besonders wichtiger Risikomerkmale (Showstopper)",null,"Rating","Min.Wert","Minimum","Bewertung",{"$f":"SUM(J29:J39)","v":11},"Erste Maßnahme(n)"]
[1,3,9,{"$f":"'Risikocheck IT-Sicherheit'!C9","v":"Existiert ein (auch externer) Datenschutzbeauftragter?"},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E9=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E9=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E9=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E9=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E9=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},2,"       2",{"$f":"IF(Data!G5<G29,\"Warnung\",\"OK\")","v":"Warnung"},{"$f":"IF(I29=\"ok\",0,1)","v":1},{"$f":"IF(I29=\"Warnung\",\"Es ist ein Datenschutzbeauftragter zu benennen.\",\"\")","v":"Es ist ein Datenschutzbeauftragter zu benennen."}]
[{"$f":"A29+1","v":2},4,10,{"$f":"'Risikocheck IT-Sicherheit'!C10","v":"Existiert eine IT-Sicherheitsorganisation mit definierten Rollen und Verantwortlichkeiten?"},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E10=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E10=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E10=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E10=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E10=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},2,"       2",{"$f":"IF(Data!G6<G30,\"Warnung\",\"OK\")","v":"Warnung"},{"$f":"IF(I30=\"ok\",0,1)","v":1},{"$f":"IF(I30=\"Warnung\",\"Es ist ein IT-Sicherheitsbeauftragter zu benennen.\",\"\")","v":"Es ist ein IT-Sicherheitsbeauftragter zu benennen."}]
[{"$f":"A30+1","v":3},6,13,{"$f":"'Risikocheck IT-Sicherheit'!C13","v":"Erfolgen Sensibilisierung und Schulung der Mitarbeiter zur Informations- und Cyber-Sicherheit?"},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E13=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E13=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E13=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E13=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E13=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},3,"            3",{"$f":"IF(Data!G8<G31,\"Warnung\",\"OK\")","v":"Warnung"},1,{"$f":"IF(I31=\"Warnung\",\"Mitarbeiter müssen mind. 1x p.a. geschult werden.\",\"\")","v":"Mitarbeiter müssen mind. 1x p.a. geschult werden."}]
[{"$f":"A31+1","v":4},8,18,{"$f":"'Risikocheck IT-Sicherheit'!C18","v":"Werden durch Sie oder einen IT-Dienstleister nicht zwingend notwendige Softwarebestandteile und Funktionen Ihres Computersystems entfernt bzw. deaktiviert?"},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E18=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E18=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E18=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E18=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E18=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},2,"       2",{"$f":"IF(Data!G10<G32,\"Warnung\",\"OK\")","v":"Warnung"},1,{"$f":"IF(I32=\"Warnung\",\"Eine einmalige Härtung ist zwingend erforderlich.\",\"\")","v":"Eine einmalige Härtung ist zwingend erforderlich."}]
[5,9,19,{"$f":"'Risikocheck IT-Sicherheit'!C19","v":"Wird in Ihrem Unternehmen ein Schutz vor Schadcode umgesetzt?"},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E19=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E19=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E19=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E19=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E19=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},2,"       2",{"$f":"IF(Data!G11<G33,\"Warnung\",\"OK\")","v":"Warnung"},1,{"$f":"IF(I33=\"Warnung\",\"Es muss ein aktueller Virenscanner installiert sein.\",\"\")","v":"Es muss ein aktueller Virenscanner installiert sein."}]
[6,12,22,{"$f":"'Risikocheck IT-Sicherheit'!C22","v":"Existieren Verfahren zum Patch- und Schwachstellenmanagement?"},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E22=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E22=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E22=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E22=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E22=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},2,"       2",{"$f":"IF(Data!G14<G34,\"Warnung\",\"OK\")","v":"Warnung"},1,{"$f":"IF(I34=\"Warnung\",\"Patches müssen nach Eingang installiert werden.\",\"\")","v":"Patches müssen nach Eingang installiert werden."}]
[7,13,23,{"$f":"'Risikocheck IT-Sicherheit'!C23","v":"Werden Backups regelmäßig durchgeführt?"},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E23=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E23=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E23=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E23=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E23=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},3,"            3",{"$f":"IF(Data!G15<G35,\"Warnung\",\"OK\")","v":"Warnung"},1,{"$f":"IF(I35=\"Warnung\",\"Regelmäßigkeit + Offline-Aufbewahrung + Dokumentation!\",\"\")","v":"Regelmäßigkeit + Offline-Aufbewahrung + Dokumentation!"}]
[8,14,24,{"$f":"'Risikocheck IT-Sicherheit'!C24","v":"Werden Wiederherstellungstests von Backups regelmäßig durchgeführt? "},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E24=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E24=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E24=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E24=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E24=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},3,"            3",{"$f":"IF(Data!G16<G36,\"Warnung\",\"OK\")","v":"Warnung"},1,{"$f":"IF(I36=\"Warnung\",\"Backups müssen mind. 1x jährlich getestet werden.\",\"\")","v":"Backups müssen mind. 1x jährlich getestet werden."}]
[9,19,30,{"$f":"'Risikocheck IT-Sicherheit'!C30","v":"Wie werden externe Zugänge abgesichert?"},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E30=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E30=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E30=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E30=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E30=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},2,"       2",{"$f":"IF(Data!G21<G37,\"Warnung\",\"OK\")","v":"Warnung"},1,{"$f":"IF(I37=\"Warnung\",\"Zugriffe (ext. Zugang) nur auf Anforderung vergeben.\",\"\")","v":"Zugriffe (ext. Zugang) nur auf Anforderung vergeben."}]
[10,25,39,{"$f":"'Risikocheck IT-Sicherheit'!C39","v":"Sind Vorgaben zur Passwortqualität umgesetzt?"},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E39=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E39=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E39=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E39=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E39=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},3,"            3",{"$f":"IF(Data!G27<G38,\"Warnung\",\"OK\")","v":"Warnung"},1,{"$f":"IF(I38=\"Warnung\",\"Aufbau einer Passwortrichtlinie gemäß Antwort 3.\",\"\")","v":"Aufbau einer Passwortrichtlinie gemäß Antwort 3."}]
[11,26,41,{"$f":"'Risikocheck IT-Sicherheit'!C41","v":"Gibt es einen Zutrittsschutz zu Gebäuden oder IT-Sicherheitszonen?"},null,{"$f":"IF('Risikocheck IT-Sicherheit'!E41=\"n.v.\",\"n.v.\",IF('Risikocheck IT-Sicherheit'!$E$4=3,\"            3\",IF('Risikocheck IT-Sicherheit'!$E$4=4,\"                 4\",IF('Risikocheck IT-Sicherheit'!E41=1,\"  1\",IF('Risikocheck IT-Sicherheit'!E41=2,\"       2\",IF('Risikocheck IT-Sicherheit'!E41=3,\"            3\",IF('Risikocheck IT-Sicherheit'!E41=4,\"                 4\",\"        n.v.\")))))))","v":"        n.v."},2,"       2",{"$f":"IF(Data!G28<G39,\"Warnung\",\"OK\")","v":"Warnung"},1,{"$f":"IF(I39=\"Warnung\",\"Server in abgeschlossem Raum platzieren.\",\"\")","v":"Server in abgeschlossem Raum platzieren."}]

{"sheet":"Data","index":4,"n_rows":66,"n_cols":13,"rows_kept":66,"hidden":true,"merged":[[35,3,35,8],[45,3,45,10],[50,3,50,10],[57,3,57,7],[58,3,59,3],[61,3,61,8],[62,3,63,3]]}
[{"$nulls":3},"Zusammenfassung Eingaben"]
[null,"Kat.","U-Kat.","Frage","n.v.-Option","Thema","Wert","SHOWSTOPPER"]
[1,1,null,{"$f":"'Risikocheck IT-Sicherheit'!C4","v":"Besitzen Sie für die Versicherungspolice relevanten Bereiche gültige Zertifizierungen für Informationssicherheit?"},null,"Vorhandene  Zertifizierungen",{"$f":"'Risikocheck IT-Sicherheit'!E4","v":0},{"$nulls":3},"Rating 1",{"$f":"ROUND(SUM(J38:J44)/7,2)","v":{"$error":"#DIV/0!"}},"gleiche Gewichtung der 7 Gruppen"]
[{"$f":"A3+1","v":2},2,1,{"$f":"'Risikocheck IT-Sicherheit'!C8","v":"Existiert eine IT-Sicherheitsrichtlinie mit Zielen zur Informationssicherheit?"},null,"IT-Sicherheitsrichtlinie \n(Security Policy)",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E8))","v":0},{"$nulls":3},"Rating 2",{"$f":"ROUND(SUM($G$3:$G$28)/COUNTIF($G$3:$G$28,\">0\"),2)","v":{"$error":"#DIV/0!"}},"gleiche Gewichtung aller Fragen"]
[{"$f":"A4+1","v":3},2,1,{"$f":"'Risikocheck IT-Sicherheit'!C9","v":"Existiert ein (auch externer) Datenschutzbeauftragter?"},"n.v.","Datenschutz",{"$f":"IF('Risikocheck IT-Sicherheit'!E9=\"n.v.\",\"n.v.\",IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E9)))","v":0},"SHOWSTOPPER",{"$f":"IF(G5=\"n.v.\",0,1)","v":1},null,"Rating 3",{"$f":"(G33+G31*2)/(G34+G32*2)","v":{"v":0,"d":"0.00"}},"Showstopper zählen doppelt"]
[4,2,1,{"$f":"'Risikocheck IT-Sicherheit'!C10","v":"Existiert eine IT-Sicherheitsorganisation mit definierten Rollen und Verantwortlichkeiten?"},null,"IT-Sicherheitsorganisation",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E10))","v":0},"SHOWSTOPPER",{"$f":"IF(G6=\"n.v.\",0,1)","v":1}]
[5,2,1,{"$f":"'Risikocheck IT-Sicherheit'!C11","v":"Decken interne oder unabhängige Audits informationssicherheits-technische Themengebiete mit ab?"},null,"Interne Audits",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E11))","v":0}]
[6,2,2,{"$f":"'Risikocheck IT-Sicherheit'!C13","v":"Erfolgen Sensibilisierung und Schulung der Mitarbeiter zur Informations- und Cyber-Sicherheit?"},null,"Sensibilisierung und Schulung der Mitarbeiter",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E13))","v":0},"SHOWSTOPPER",{"$f":"IF(G8=\"n.v.\",0,1)","v":1}]
[7,3,null,{"$f":"'Risikocheck IT-Sicherheit'!C15","v":"Werden die eigenen Sicherheitsbedarfe bei Auswahl und Beauftragung von IT-Service-Dienstleistern berücksichtigt?"},"n.v.","IT-Dienstleister",{"$f":"IF('Risikocheck IT-Sicherheit'!E15=\"n.v.\",\"n.v.\",IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E15)))","v":0}]
[8,4,1,{"$f":"'Risikocheck IT-Sicherheit'!C18","v":"Werden durch Sie oder einen IT-Dienstleister nicht zwingend notwendige Softwarebestandteile und Funktionen Ihres Computersystems entfernt bzw. deaktiviert?"},null,"Sichere Grundkonfiguration",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E18))","v":0},"SHOWSTOPPER",{"$f":"IF(G10=\"n.v.\",0,1)","v":1}]
[9,4,1,{"$f":"'Risikocheck IT-Sicherheit'!C19","v":"Wird in Ihrem Unternehmen ein Schutz vor Schadcode umgesetzt?"},null,"Schutz vor Schadcode",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E19))","v":0},"SHOWSTOPPER",{"$f":"IF(G11=\"n.v.\",0,1)","v":1}]
[10,4,1,{"$f":"'Risikocheck IT-Sicherheit'!C20","v":"Werden Schutzmaßnahmen für mobile Endgeräte (Laptops, Smartphones etc.) umgesetzt?"},null,"Mobile Computing",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E20))","v":0}]
[11,4,1,{"$f":"'Risikocheck IT-Sicherheit'!C21","v":"Sind Firewallsysteme / Sicherheitsgateways im Einsatz?           "},null,"Technische Schutzsysteme",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E21))","v":0}]
[12,4,1,{"$f":"'Risikocheck IT-Sicherheit'!C22","v":"Existieren Verfahren zum Patch- und Schwachstellenmanagement?"},null,"Patch- und Schwachstellen-management",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E22))","v":0},"SHOWSTOPPER",{"$f":"IF(G14=\"n.v.\",0,1)","v":1}]
[13,4,1,{"$f":"'Risikocheck IT-Sicherheit'!C23","v":"Werden Backups regelmäßig durchgeführt?"},null,"Backup",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E23))","v":0},"SHOWSTOPPER",{"$f":"IF(G15=\"n.v.\",0,1)","v":1}]
[14,4,1,{"$f":"'Risikocheck IT-Sicherheit'!C24","v":"Werden Wiederherstellungstests von Backups regelmäßig durchgeführt? "},null,"Wiederherstellungstests",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E24))","v":0},"SHOWSTOPPER",{"$f":"IF(G16=\"n.v.\",0,1)","v":1}]
[15,4,1,{"$f":"'Risikocheck IT-Sicherheit'!C25","v":"Existieren Verfahren zum Notfallmanagement?"},null,"Notfallmanagement",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E25))","v":0}]
[16,4,1,{"$f":"'Risikocheck IT-Sicherheit'!C26","v":"Werden technische Penetrationstests / Vulnerability Assessments regelmäßig durchgeführt?"},null,"Penetrationstests",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E26))","v":0}]
[17,4,2,{"$f":"'Risikocheck IT-Sicherheit'!C28","v":"Wie wird das Netzwerkmanagement umgesetzt?"},null,"Netzwerkmanagement",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E28))","v":0}]
[18,4,2,{"$f":"'Risikocheck IT-Sicherheit'!C29","v":"Existiert eine Identifikation von Geräten im Netzwerk?"},null,"Geräteidentifikation",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E29))","v":0}]
[19,4,2,{"$f":"'Risikocheck IT-Sicherheit'!C30","v":"Wie werden externe Zugänge abgesichert?"},"n.v.","Externe Zugänge zum Netzwerk ",{"$f":"IF('Risikocheck IT-Sicherheit'!E30=\"n.v.\",\"n.v.\",IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E30)))","v":0},"SHOWSTOPPER",{"$f":"IF(G21=\"n.v.\",0,1)","v":1}]
[20,4,3,{"$f":"'Risikocheck IT-Sicherheit'!C32","v":"Erfolgt ein Monitoring von Netzwerken und IT-Systemen zur Erkennung von Cyber-Angriffen und eine entsprechende Reaktion hierauf?"},null,"Monitoring and response",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E32))","v":0}]
[21,4,3,{"$f":"'Risikocheck IT-Sicherheit'!C33","v":"In welchem Umfang nutzen Sie Threat Intelligence zum Update Ihrer Sicherheitsmaßnahmen?"},null,"Threat Intelligence",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E33))","v":0}]
[22,5,null,{"$f":"'Risikocheck IT-Sicherheit'!C35","v":"Erfolgt die Verarbeitung der Informationen in der Public Cloud nach den Anforderungen der eigenen Informationssicherheit?"},"n.v.","Nutzung von Public Cloud Dienst-leistungen",{"$f":"IF('Risikocheck IT-Sicherheit'!E35=\"n.v.\",\"n.v.\",IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E35)))","v":0}]
[23,5,null,{"$f":"'Risikocheck IT-Sicherheit'!C36","v":"Existieren Vorgaben zur Datenvernichtung?"},null,"Datenvernichtung",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E36))","v":0}]
[24,6,null,{"$f":"'Risikocheck IT-Sicherheit'!C38","v":"Existieren Verfahren und Systeme zur Vergabe von Berechtigungen?"},null,"Berechtigungsvergabe und -systeme",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E38))","v":0}]
[25,6,null,{"$f":"'Risikocheck IT-Sicherheit'!C39","v":"Sind Vorgaben zur Passwortqualität umgesetzt?"},null,"Passwortqualität",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E39))","v":0},"SHOWSTOPPER",{"$f":"IF(G27=\"n.v.\",0,1)","v":1}]
[26,7,null,{"$f":"'Risikocheck IT-Sicherheit'!C41","v":"Gibt es einen Zutrittsschutz zu Gebäuden oder IT-Sicherheitszonen?"},null,"Zutrittsschutz",{"$f":"IF($G$3=3,3,IF($G$3=4,4,'Risikocheck IT-Sicherheit'!E41))","v":0},"SHOWSTOPPER",{"$f":"IF(G28=\"n.v.\",0,1)","v":1}]
[{"$nulls":3},"Summe alle",null,null,{"$f":"SUM(G3:G28)","v":0}]
[{"$nulls":3},"Anzahl Werte",null,null,{"$f":"COUNTIF(G3:G28,\">0\")","v":0}]
[{"$nulls":3},"Summe Showstopper \"aktiv\"",null,null,{"$f":"SUMIF(I3:I28,1,G3:G28)","v":0}]
[{"$nulls":3},"Anzahl Showstopper \"aktiv\"",null,null,{"$f":"COUNTIF(I3:I28,\">0\")","v":11}]
[{"$nulls":3},"Summe OHNE Showstopper \"aktiv\"",null,null,{"$f":"G29-G31","v":0}]
[{"$nulls":3},"Anzahl OHNE Showstopper \"aktiv\"",null,null,{"$f":"G30-G32","v":-11}]
[]
[{"$nulls":3},"Daten und Beschriftung Spider Diagramm"]
[{"$nulls":3},"Themengebiet",null,"Max","Soll","Min","Null","Ist","Zertification/ Questionnaire Override"]
[{"$nulls":3},"Kat. 1: Zertifizierung",null,4,3,2,1,{"$f":"IF(K38>2,K38,G3)","v":{"v":0,"d":"0.00"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 2: Informationssicherheits- und Risikomanagement",null,4,3,2,1,{"$f":"IF(K39>2,K39,J47)","v":{"$error":"#DIV/0!"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 3: Einsatz externer Dienstleister / Vertragsmanagement",null,4,3,2,1,{"$f":"IF(K40>2,K40,G9)","v":{"v":0,"d":"0.00"}},{"$f":"IF(\"nein\"=Unternehmensdaten!C33,4,IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0))","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 4: Sicherheit von IT-Systemen",null,4,3,2,1,{"$f":"IF(K41>2,K41,J52)","v":{"$error":"#DIV/0!"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 5: Datenverwaltung und Speicherung",null,4,3,2,1,{"$f":"IF(K42>2,K42,SUM(G24:G25)/COUNTIF(G24:G25,\">0\"))","v":{"$error":"#DIV/0!"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 6: Zugangs- und Zugriffskontrolle",null,4,3,2,1,{"$f":"IF(K43>2,K43,SUM(G26:G27)/COUNTIF(G26:G27,\">0\"))","v":{"$error":"#DIV/0!"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 7: Physikalische Sicherheit",null,4,3,2,1,{"$f":"IF(K44>2,K44,G28)","v":{"v":0,"d":"0.00"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[]
[{"$nulls":3},"Detailwerte Kat. 2 inkl. Unterkapitel"]
[{"$nulls":3},"Kat. 2: Informationssicherheits- und Risikomanagement",{"$nulls":5},{"$f":"SUM(J48:J49)/2","v":{"$error":"#DIV/0!"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 2.1: Sicherheitsorganisation",{"$nulls":5},{"$f":"SUM(G4:G7)/COUNTIF(G4:G7,\">0\")","v":{"$error":"#DIV/0!"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 2.2: Awareness zur Informationssicherheit",{"$nulls":5},{"$f":"G8","v":{"v":0,"d":"0.00"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[]
[{"$nulls":3},"Detailwerte Kat. 4 inkl. Unterkapitel"]
[{"$nulls":3},"Kat. 4: Sicherheit von IT-Systemen",{"$nulls":5},{"$f":"SUM(J53:J55)/3","v":{"$error":"#DIV/0!"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 4.1: Schutz der IT-Systeme",{"$nulls":5},{"$f":"SUM(G10:G18)/(COUNTIF(G10:G18,\">0\"))","v":{"$error":"#DIV/0!"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 4.2: Netzwerksicherheit",{"$nulls":5},{"$f":"SUM(G19:G21)/(COUNTIF(G19:G21,\">0\"))","v":{"$error":"#DIV/0!"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[{"$nulls":3},"Kat. 4.3: Erkennen von Angriffen",{"$nulls":5},{"$f":"SUM(G22:G23)/(COUNTIF(G22:G23,\">0\"))","v":{"$error":"#DIV/0!"}},{"$f":"IF('Risikocheck IT-Sicherheit'!$E$4>=3,'Risikocheck IT-Sicherheit'!$E$4,0)","v":{"v":0,"d":"0.00"}}]
[]
[]
[{"$nulls":3},"Inhalte Detailgrafiken Kat. 2 inkl. Unterkapitel"]
[{"$nulls":3},"Details Kat. 2: ISM und Risk-Management",null,"Kat. 2: gesamt","Kat. 2.1: Sicherheitsorganisation","Kat. 2.2: Awareness"]
[{"$nulls":5},{"$f":"J47*1000","v":{"$error":"#DIV/0!"}},{"$f":"J48*1000","v":{"$error":"#DIV/0!"}},{"$f":"J49*1000","v":{"v":0,"d":"0.00"}}]
[]
[{"$nulls":3},"Inhalte Detailgrafiken Kat. 4 inkl. Unterkapitel"]
[{"$nulls":3},"Details Kat. 4: Sicherheit von IT-Systemen",null,"Kat. 4: gesamt","Kat. 4.1: Schutz der IT-Systeme","Kat. 4.2: Netzwerksicherheit","Kat. 4.3: Erkennen von Angriffen"]
[{"$nulls":5},{"$f":"J52*1000","v":{"$error":"#DIV/0!"}},{"$f":"J53*1000","v":{"$error":"#DIV/0!"}},{"$f":"J54*1000","v":{"$error":"#DIV/0!"}},{"$f":"J55*1000","v":{"$error":"#DIV/0!"}}]
[]
[{"$nulls":11},{"$f":"RANDBETWEEN(1,4)","v":1}]