HITGuard Release August 2025/en: Unterschied zwischen den Versionen
Weitere Optionen
Isan (Diskussion | Beiträge) Die Seite wurde neu angelegt: „===Reassessment of a protection needs analysis=== As with gap analyses and review results, there is now also a button (with an upward arrow) for protection needs analyses (PNAs) under Risk Management > Protection needs, which can be used to create a reassessment at the touch of a button. ::left <br clear=all> The master data, participants, and linked resources and data categories are transferred from the selected closed PN…“ |
Isan (Diskussion | Beiträge) Keine Bearbeitungszusammenfassung |
||
| Zeile 4: | Zeile 4: | ||
This release focused heavily on revising and expanding various functions of the protection needs analysis (PNA). On the one hand, we have revised the creation of the protection needs analysis, and on the other hand, you can now create and send out revaluations for protection needs analyses manually or automatically.<p>When should I create a new PNA and when should I conduct a reassessment? In practice, the first PNAs are usually conducted as interviews with the respondents. This allows the procedure to be discussed together and questions to be clarified in person. For future PNAs, regular, e.g., annual, reassessments of the same resources and/or data categories can simply be sent out as self assessments. This saves time for everyone involved and ensures that your analyses are up to date. The new workflow plans will support you in this in the future. | This release focused heavily on revising and expanding various functions of the protection needs analysis (PNA). On the one hand, we have revised the creation of the protection needs analysis, and on the other hand, you can now create and send out revaluations for protection needs analyses manually or automatically.<p>When should I create a new PNA and when should I conduct a reassessment? In practice, the first PNAs are usually conducted as interviews with the respondents. This allows the procedure to be discussed together and questions to be clarified in person. For future PNAs, regular, e.g., annual, reassessments of the same resources and/or data categories can simply be sent out as self assessments. This saves time for everyone involved and ensures that your analyses are up to date. The new workflow plans will support you in this in the future. | ||
===Restructuring of the creation of a new protection needs analysis=== | ====Restructuring of the creation of a new protection needs analysis==== | ||
The process of creating a new protection needs analysis (PNA) under Risk management > Protection needs has been changed so that all data category and resource assignments are now made in step 2. This harmonizes the PNA with the gap analysis, in which the review objects are also added in step 2. | The process of creating a new protection needs analysis (PNA) under Risk management > Protection needs has been changed so that all data category and resource assignments are now made in step 2. This harmonizes the PNA with the gap analysis, in which the review objects are also added in step 2. | ||
::[[Datei:SBA_Neuanlage.png|left]] <br clear=all> | ::[[Datei:SBA_Neuanlage.png|left]] <br clear=all> | ||
The first button allows you to control whether you want to evaluate suggested resources and data categories with the current PNA. Those that are currently not linked to any open PNA, but are linked to at least one closed PNA or via a new link from the structural analysis, are suggested. Any existing historical results can also be transferred here, if such results exist from previous PNAs. | The first button allows you to control whether you want to evaluate suggested resources and data categories with the current PNA. Those that are currently not linked to any open PNA, but are linked to at least one closed PNA or via a new link from the structural analysis, are suggested. Any existing historical results can also be transferred here, if such results exist from previous PNAs. | ||
===Reassessment of a protection needs analysis=== | ====Reassessment of a protection needs analysis==== | ||
As with gap analyses and review results, there is now also a button (with an upward arrow) for protection needs analyses (PNAs) under Risk Management > Protection needs, which can be used to create a reassessment at the touch of a button. | As with gap analyses and review results, there is now also a button (with an upward arrow) for protection needs analyses (PNAs) under Risk Management > Protection needs, which can be used to create a reassessment at the touch of a button. | ||
::[[Datei:Neubewerten_Button.png|left]] <br clear=all> | ::[[Datei:Neubewerten_Button.png|left]] <br clear=all> | ||
| Zeile 15: | Zeile 15: | ||
::[[Datei:Neubewerten_Button.png|left]] <br clear=all> | ::[[Datei:Neubewerten_Button.png|left]] <br clear=all> | ||
====Workflow planning for automated reassessments of protection needs analyses==== | |||
=== | Under Risk Management > Protection needs, there is a new option to create workflow plans. This allows protection needs analyses (PNAs) to be created automatically on a recurring basis as self assessments and sent to the interview partner. There is a new button (purple, far right) that takes the user to an overview of the workflows that have been created. | ||
::[[Datei:WFP_Button.png|left]] <br clear=all> | ::[[Datei:WFP_Button.png|left]] <br clear=all> | ||
::[[Datei:SBA_WFP_Übersicht_RN.png|left]] <br clear=all> | ::[[Datei:SBA_WFP_Übersicht_RN.png|left]] <br clear=all> | ||
Once there, create a new workflow plan with Plus, copy an existing one with the Copy button, or open an existing one by double-clicking on it. It makes sense to divide PNAs into several workflow plans so that they can be revaluated throughout the year, e.g., some in the spring and some in the fall. In the example above, PNAs with Sales are assigned more often than those with Research & Development. However, you can also assign PNAs to individual departments with multiple workflow plans. For example, if you have a workflow plan for the spring and one for the fall, you can assign PNAs to the spring plan. However, you can also assign PNAs with individual departments to multiple workflow plans. For example, if you have created a workflow plan for spring and one for fall that are repeated annually and you want to check a particularly sensitive organizational unit twice a year (in spring and fall), you can assign the PNA to this organizational unit in both workflow plans.<p> | |||
As with a control definition, the next execution and repetition behavior of the workflow is defined in the master data. | |||
::[[Datei:SBA_WFP_Definition_RN.png|left]] <br clear=all> | ::[[Datei:SBA_WFP_Definition_RN.png|left]] <br clear=all> | ||
In the Protection needs analyses tab, you add the desired initial PNAs on the basis of which the reassessments are to be created. If there are conflicts, this is indicated by a yellow or red warning triangle and the problem is described so that you can resolve the conflict or adjust the workflow accordingly.<p> | |||
You can find more information about conflicts [[Special:MyLanguage/Schutzbedarf#Schutzbedarfsanalysen|hier]]. | |||
::[[Datei:WFP_SBAs_mit0Konflikt.png|left]] <br clear=all> | ::[[Datei:WFP_SBAs_mit0Konflikt.png|left]] <br clear=all> | ||
At this point, you also have the option of manually triggering a reassessment of the PNA by using the same button as in the overview under Risk Management > Protection needs (arrow button on the far right).<p> | |||
One week before the workflow is executed, the person responsible receives a reminder e-mail with all the important information, including any problems. This gives them enough time to resolve conflicts, such as PNAs that still need to be closed.<p> | |||
When the workflow is triggered, the person responsible also receives information about what has happened. This means that they receive information about successful mailings and mailings that could not be sent due to unresolved conflicts. This information can then also be found in the Completed workflows tab.<p> | |||
Workflows | Workflows can also be paused for individual organizational units or processes. This can be useful if, for example, you have carried out an unscheduled reassessment shortly before triggering the workflow plan and do not want to send out a new request immediately. In this case, triggering is skipped and the protection needs analysis is only included in the workflow again the next time it is triggered.<p> | ||
If the workflow can be executed without any problems and is not paused, a new protection needs analysis is created as a self assessment, with or without the results of the previous version, depending on the configuration, and sent directly to the interview partner. The start date is the current date of dispatch and the response deadline is based on the deadline or end date of the PNA that served as a template. In the above example, only one PNA was created and sent because the other was paused. The requested PNA can now be answered and returned by the interview partner like any other self assessment. | |||
::[[Datei:WFP_neueSBA.png|left]] <br clear=all> | ::[[Datei:WFP_neueSBA.png|left]] <br clear=all> | ||
<div lang="de" dir="ltr" class="mw-content-ltr"> | <div lang="de" dir="ltr" class="mw-content-ltr"> | ||
Version vom 26. August 2025, 09:50 Uhr
NEW IN RISK MANAGEMENT
New features in the protection needs analysis
This release focused heavily on revising and expanding various functions of the protection needs analysis (PNA). On the one hand, we have revised the creation of the protection needs analysis, and on the other hand, you can now create and send out revaluations for protection needs analyses manually or automatically.
When should I create a new PNA and when should I conduct a reassessment? In practice, the first PNAs are usually conducted as interviews with the respondents. This allows the procedure to be discussed together and questions to be clarified in person. For future PNAs, regular, e.g., annual, reassessments of the same resources and/or data categories can simply be sent out as self assessments. This saves time for everyone involved and ensures that your analyses are up to date. The new workflow plans will support you in this in the future.
Restructuring of the creation of a new protection needs analysis
The process of creating a new protection needs analysis (PNA) under Risk management > Protection needs has been changed so that all data category and resource assignments are now made in step 2. This harmonizes the PNA with the gap analysis, in which the review objects are also added in step 2.
The first button allows you to control whether you want to evaluate suggested resources and data categories with the current PNA. Those that are currently not linked to any open PNA, but are linked to at least one closed PNA or via a new link from the structural analysis, are suggested. Any existing historical results can also be transferred here, if such results exist from previous PNAs.
Reassessment of a protection needs analysis
As with gap analyses and review results, there is now also a button (with an upward arrow) for protection needs analyses (PNAs) under Risk Management > Protection needs, which can be used to create a reassessment at the touch of a button.
The master data, participants, and linked resources and data categories are transferred from the selected closed PNA. The results of the previous PNA can also be adopted for the new review. All you have to do is specify the time period for the new PNA, and the reassessment is already prepared based on the old PNA.
Workflow planning for automated reassessments of protection needs analyses
Under Risk Management > Protection needs, there is a new option to create workflow plans. This allows protection needs analyses (PNAs) to be created automatically on a recurring basis as self assessments and sent to the interview partner. There is a new button (purple, far right) that takes the user to an overview of the workflows that have been created.
Once there, create a new workflow plan with Plus, copy an existing one with the Copy button, or open an existing one by double-clicking on it. It makes sense to divide PNAs into several workflow plans so that they can be revaluated throughout the year, e.g., some in the spring and some in the fall. In the example above, PNAs with Sales are assigned more often than those with Research & Development. However, you can also assign PNAs to individual departments with multiple workflow plans. For example, if you have a workflow plan for the spring and one for the fall, you can assign PNAs to the spring plan. However, you can also assign PNAs with individual departments to multiple workflow plans. For example, if you have created a workflow plan for spring and one for fall that are repeated annually and you want to check a particularly sensitive organizational unit twice a year (in spring and fall), you can assign the PNA to this organizational unit in both workflow plans.
As with a control definition, the next execution and repetition behavior of the workflow is defined in the master data.
In the Protection needs analyses tab, you add the desired initial PNAs on the basis of which the reassessments are to be created. If there are conflicts, this is indicated by a yellow or red warning triangle and the problem is described so that you can resolve the conflict or adjust the workflow accordingly.
You can find more information about conflicts hier.
At this point, you also have the option of manually triggering a reassessment of the PNA by using the same button as in the overview under Risk Management > Protection needs (arrow button on the far right).
One week before the workflow is executed, the person responsible receives a reminder e-mail with all the important information, including any problems. This gives them enough time to resolve conflicts, such as PNAs that still need to be closed.
When the workflow is triggered, the person responsible also receives information about what has happened. This means that they receive information about successful mailings and mailings that could not be sent due to unresolved conflicts. This information can then also be found in the Completed workflows tab.
Workflows can also be paused for individual organizational units or processes. This can be useful if, for example, you have carried out an unscheduled reassessment shortly before triggering the workflow plan and do not want to send out a new request immediately. In this case, triggering is skipped and the protection needs analysis is only included in the workflow again the next time it is triggered.
If the workflow can be executed without any problems and is not paused, a new protection needs analysis is created as a self assessment, with or without the results of the previous version, depending on the configuration, and sent directly to the interview partner. The start date is the current date of dispatch and the response deadline is based on the deadline or end date of the PNA that served as a template. In the above example, only one PNA was created and sent because the other was paused. The requested PNA can now be answered and returned by the interview partner like any other self assessment.
Workflowinformation in der Schutzbedarfsanalyse
Auch direkt in der Schutzbedarfsanalyse selbst erhält man Information über etwaige Workflowpläne, mit denen die Schutzbedarfsanalyse verknüpft ist. Hier wird auch dargestellt, ob sie dort aktiv oder pausiert ist. Wurde die Schutzbedarfsanalyse aus einem Workflowplan heraus angelegt, so wird das ebenfalls angezeigt.
- Tipp: die Information, ob ein Workflow verknüpft ist und wann dieser das nächste Mal auslöst, kann man sich auch in der Übersicht der Schutzbedarfsanalysen in einer neuen Spalte einblenden.
Mehr zu Workflowplänen finden Sie hier.
Vorlagen für die Bezeichnung der Schutzbedarfsanalyse
- Beispiel: Human Resources (HR) | SBA | 2025-08
Neues KPI „Risiken/Chancen im zeitlichen Verlauf“
Jedes angezeigte Risiko/Chance wird mit seiner eigenen Entwicklungslinie dargestellt und der Zeitraum selbst kann mit dem Schieberegler unter der Grafik – genau wie beim Datenfilter der Kontroll-KPIs – angepasst werden. Wahlweise kann man sich den Hintergrund der Kennzahl mit den Farben der Risikomatrix einfärben, um die Kritikalität der diversen Risiken/Chancen noch schneller zu erkennen.
Übernahme von Begründungen bei Neubewertungen von Abweichungsanalysen und Prüfergebnissen
Die Option steht sowohl beim Erstellen von Neubewertungen mit dem Button in der Übersichtsliste zur Verfügung als auch im Schritt 2 der Abweichungsanalysen, beim Hinzufügen von Prüfobjekten.
Neuerung in der Teil-automatischen Neubewertung von Abweichungsanalysen und Prüfergebnissen
Beispiel: Es wurden Maßnahmen erledigt, deren Umsetzung sich positiv auf Abweichungen zu Prüfobjekten der TogetherExample AG, der HR Abteilung und der R&D Abteilung auswirkt. HITGuard erstellt ab nun nicht eine Teil-automatische Neubewertung, sondern drei: eine für jede Organisationseinheit, die die jeweiligen Prüfobjekte beinhaltet.
Vorbesetzen von Teilnehmern für Abweichungs- und Schutzbedarfsanalysen
Bei der Erstellung von Abweichungs- sowie Schutzbedarfsanalysen und auch beim Erfassen von Prüfergebnissen werden nun Verantwortliche und Interviewpartner über die Organisationseinheiten bzw. Prozesse vorbesetzt. Dafür werden jene Benutzer verwendet, die in der Organisationseinheit bzw. im Prozess als Verantwortliche hinterlegt sind.
Erweiterung der Risikoberichte um Bedrohungen und Monetäre Auswirkungen
In den Risiko- und Chancenberichten gibt es nun die Möglichkeit, auch die mit dem Risiko oder der Chance verknüpften Bedrohungen mit in den Bericht aufzunehmen. Zusätzlich werden auch etwaige angegebene monetäre Auswirkungen im Bericht angedruckt – einmal summiert bei der Übersicht und dann auch individuell pro Risiko/Chance.
Neue Bemessung der RTO/RPO in der Strukturanalyse und im Bericht
- Beispiel: Ich befinde mich in der Organisationssicht als Hauptsicht und habe mir die Ressourcen als Nebensicht eingeblendet, wodurch mir die Anwendungsebene angezeigt wird. Die Brutto-Wiederherstellzeit ist das Ergebnis aller darunter verknüpften Ressourcen, auch derer, die ich nicht eingeblendet habe.
NEUES IM LIEFERANTENRISIKOMANAGEMENT
Erweiterung der Lieferantenverwaltung
Lieferantenkategorien
Zu Lieferanten können ab jetzt auch Kategorien erfasst werden. Dadurch lassen sie sich leichter filtern und sortieren. Die Kategorien können eigens erstellt oder auch direkt bei der Bearbeitung des Lieferanten hinzugefügt werden.
Stammdaten und Bewertung
Die Stammdaten der Lieferanten wurden um die Lieferantenbewertung erweitert. Hier können der vergebene Score und die zugewiesene Schutzbedarfsklasse sowie eine eigene Metrik aus dritten Systemen festgehalten werden. Auch die Kategorien werden an dieser Stelle vergeben bzw. neu erstellt. Zuletzt ist es noch möglich, eine Begründung für die vergebenen Bewertungen zu erfassen.
Ablaufdatum und Beantwortungsfristen
HITGuard warnt Sie nun auch, wenn ein Konflikt zwischen der Beantwortungsfrist einer Lieferantenüberprüfung und dem Ablaufdatum des dazugehörigen Lieferanten besteht. Wenn man eine Beantwortung mit einer Frist anfordert, die nach dem Ablaufdatum liegt, oder ein Ablaufdatum setzt, das vor einer Frist liegt, so wird man vom System darauf hingewiesen und kann die Daten gegebenenfalls noch anpassen.
Lieferanten in der Strukturanalyse
Lieferanten werden nun, sofern das Add-on aktiviert ist, auch in der Strukturanalyse mitberücksichtigt. Hier können sie als Haupt- oder Nebensicht eingeblendet und mit anderen Entitäten verknüpft werden.
Dies erlaubt die Visualisierung der Lieferantenrisiken und ihrer Schutzbedarfe mit all ihren Beziehungen und Abhängigkeiten. Das Verhalten ist damit identisch zum bereits bekannten Verhalten anderer Sichten.
- Beispiel: So können im Unternehmen eingesetzte Systeme mit deren Lieferanten in ihrer Beziehung direkt visualisiert werden.
Mehr zur Strukturanalyse finden Sie hier.
Self Assessments und Interviews für Lieferanten
Mit diesem Release können für Lieferantenbewertungen nicht mehr nur Self Assessments, sondern auch Interviews angelegt werden. Damit haben Sie die Möglichkeit, die Ergebnisse einer Überprüfung selbst einzuarbeiten und dem Lieferantenbenutzer keine Anforderung zur Beantwortung schicken zu müssen, falls dies eher Ihrem Prozess entspricht.
Einfacheres Erkennen von gesperrten Benutzern
Wenn sich ein Lieferantenbenutzer zu oft mit dem falschen Passwort anzumelden versucht, wird er ausgesperrt. Diese Sperre wird dem Lieferantenrisikomanager unter Administration > Lieferanten angezeigt. Sobald sich der Benutzer mit dem Link „Passwort vergessen?“ wieder freigeschalten hat, verschwindet auch das Badge in der Übersicht.
NEUES IM AUDITMANAGEMENT
Neue Seite „Termine“ im Audit
Auf dieser neuen Seite sieht man eine kombinierte Sicht des Kalenders des Audits (mit allen Terminen, inkl. Sonstige) und der zugewiesenen Überprüfungen als Liste. Markiert man in der Übersichtsliste eine Überprüfung, wird sie im Kalender mit einem leuchtenden Rand hervorgehoben.
Herunterladen aller Termine zu einem Audit
Ab diesem Release können alle Termine, die zu einem Audit gehören, auf einmal heruntergeladen und als Termine oder als Besprechungen in einen Kalender importiert werden.
Diese Option besteht sowohl in den Auditkalendern wie auch auf der neuen Termine Seite im Audit.
Erweiterung des Auditberichts um den Score in Zahlen
Im Auditbericht wird ab sofort der Gesamtscore des Audits nicht nur grafisch als Scorelinie dargestellt, sondern auch als Teil der Tabelle der Kopfdaten des Audits. Zugleich ist der Score auch farblich hinterlegt, um schnell erkennen zu können, wie das Audit abgeschnitten hat.
Aktualisierung des OrgEh-Filters bei der Auditerstellung
Durch den ersten Filter, „OrgEh in den letzten X Jahren nicht auditiert.“, werden alle OrgEhs, die in den letzten x Jahren auditiert wurden, ausgegraut dargestellt. Mit dem zweiten Filter, „Vorschlag diese OrgEh in jedem Auditprogramm zu auditieren, ist jede OrgEh selektierbar, die in den Auditinformationen das Häkchen gesetzt hat (unter Administration > OrgEhs) und im aktuell zugewiesenen Auditprogramm noch nicht verwendet wurde.
NEUES ZU MASSNAHMEN & KONTROLLEN
Neuer Kontrolltyp „Detektiv“
Es gibt eine neue Ausprägung des Kontrolltyps parallel zu vorbeugend und korrigierend: detektiv. Dieser Typ ist gedacht für solche Kontrolldefinitionen, mit denen Probleme nicht vermieden oder behoben, sondern initial erkannt werden. Der neue Kontrolltyp ist in alle KPIs integriert und wird auch in den Berichten berücksichtigt.
Vorbesetzen des Maßnahmenverantwortlichen aus dem Risiko
Wenn im Kontext eines Risikos eine neue Maßnahme angelegt wird, so wird ihr Verantwortlicher mit dem Verantwortlichen des Risikos vorbesetzt, kann aber manuell angepasst werden.
NEUES IM DATENSCHUTZ
Dokumente Externer in der Übersicht
Sind bei einem Externen im Datenschutz Dokumente hinterlegt, kann diese Information jetzt auch in der Übersicht der Externen eingesehen werden. Damit ist es möglich, schneller einen Überblick darüber zu gewinnen, wo Dokumente vorhanden sind und wo sie eventuell noch erstellt bzw. hochgeladen werden müssen. Die Spalte ist standardmäßig eingeblendet, kann aber über die Spaltenauswahl auch jederzeit wieder ausgeblendet werden.
NEUES IM DOKU-MANAGEMENT
Verschlagwortung abgelegter Dokumente
Schlagwörter können unter Doku-Management > Dokumente | Schlagwörter erstellt und verwaltet werden. Zusätzlich kann man Schlagwörter auch direkt beim Bearbeiten eines Dokumenteneintrags erstellen und zur Sammlung hinzufügen.
Gleichzeitiger Download mehrerer Elemente
Wir haben die Downloadoptionen im Doku-Management dahingehend erweitert, dass das Herunterladen nicht mehr auf einzelne Dokumente beschränkt ist. Es ist jetzt möglich, einen gesamten Ordner sowie dessen Unterordner herunterzuladen oder auch mehrere Dokumente zum Download auszuwählen. Tut man dies, erhält man eine Zip-Datei mit allen selektierten Elementen. Links werden in einer .txt Datei aufgelistet, die heruntergeladen wird.
Erweiterte Suche/Filterung im Doku-Management
Das Doku-Management bietet nun die neue Möglichkeit einer erweiterten Suche. Damit können Dokumente nicht nur nach ihrem Dateinamen gesucht werden, sondern auch nach ihren Schlagwörtern und den verknüpften Kapiteln von Standards/Normen. Diese Suche durchsucht zusätzlich zum aktuellen Ordner auch all seine Unterordner.
ALLGEMEINES
Erweiterte Funktionalität bei Archivberichten
Erstellt man einen Bericht mit Revisionsinformation im Berichtsarchiv als PDF, so wird die Versionsnummer automatisiert hochgezählt. Der dritte erstellte PDF-Bericht zu einem bestimmten Audit hätte also bspw. automatisch die Revisionsnummer 3.
Neue Normen verfügbar
Die folgenden neuen Normen sind mit diesem Update in HITGuard verfügbar:
- NIS-2 IT-Act - Anhang der Durchführungsverordnung (EU) 2024/2690
- DORA - Digital Operations Resilience Act
- C5:2020 - Kriterienkatalog Cloud Computing
Sie können diese Normen unter Administration > Standards und Normen importieren.
Anpassung bestehender Normen
Die EN ISO/IEC 27001:2022 wurde um das Kapitel DE: 6.3 Planung von Änderungen erweitert.
Es wurden nachfolgende Normen in ihrer Kurzbezeichnung (keine inhaltlichen Änderungen) für normspezifische Berichtsauswertungen korrigiert: EN ISO/IEC 27017:2015
- EN ISO/IEC 27002:2022
- EN ISO/IEC 27002:2013
- EN ISO/IEC 27001:2013
- EN ISO 50001:2018
- EN ISO 9001:2015-11
- EN ISO 9000:2015-11
- EN ISO 45001:2023-12
- EN ISO 14001:2015
- EN IEC 62443-3-3:2019
Neue Mappings in bestehenden Normen
Die EN ISO/IEC 27001:2022 enthält nun ausgehende Mappings zu folgenden Normen: VDA ISA 6.0
- ISO 27002:2022
- DORA - Digital Operations Resilience Act
- NIS-2 IT-Act - Anhang der Durchführungsverordnung (EU) 2024/2690
- C5:2020 - Kriterienkatalog Cloud Computing