Vorlage

Verordnung «%ASFF_YYYY_ID»

c. überprüfen, ob die Tests von den im Plan benannten Testern durchgeführt werden;

c. die verwendeten Werkzeuge und deren Versionen notieren und mit den in der Spezifikation definierten abgleichen.

Der Leitende Auditor darf nicht:

a. aktiv an den Testaktivitäten teilnehmen oder eine Rolle oder eine Funktion übernehmen, die vom Personal des Antragstellers ausgeführt werden sollte;

b. Meinungen oder Vorschläge abgeben oder Fragen beantworten;

c. den Testprozess, die Einrichtung oder die Ergebnisse in irgendeiner Weise beeinflussen.

Der leitende Auditor kann den Test jederzeit unterbrechen, wenn eine schwerwie- gende Nichtkonformität festgestellt wird, die die Testergebnisse ungültig machen würde. In diesem Fall wird dies dem Antragsteller unverzüglich mitgeteilt.

2.5.4 Ergebnisse der Testbeobachtung

Der leitende Auditor muss einen Bericht mit mindestens folgenden Angaben erstellen:

a. Datum, Uhrzeit, Ort;

b. beteiligtes Personal und ihre Rollen;

c. Ziel und Kontext der Tests;

d. Version der ausgeführten Testfälle;

e. Abweichungen zwischen erwarteten und tatsächlichen Ergebnissen;

f. Dritteinschätzung der Ergebnisse.

2.6 Auditierung – Stufe 3

Die Wirksamkeit und die Relevanz der Artefakte und der Prozesse müssen bewertet und die Einschätzung durch die relevanten Stakeholder muss bestätigt werden. Dazu wird nach der Vorprüfung der Sicherheitsartefakte und der zugehörigen Prozesse ein formelles Audit mit folgenden Schwerpunkten durchgeführt:

- Prüfung der Sicherheitsfunktionen des geprüften Objekts;

- Bewertung des Implementierungs- und Reifegrads der unterstützenden Pro- zesse.

Auditthemen sind insbesondere:

- Sicherheitsorganisation und Kompetenzen;

- kontinuierlicher Verbesserungsprozess;

- interne Cybersicherheits-Audits

- Lebenszyklus;

- Qualitätsmanagementsystem;