Mit der kommenden Version 6.0 wird das bereits ausgeblendete Ausmaß-Feld in der Risikobeurteilung endgültig entfernt: Das Feld wurde bereits mit der Veröffentlichung von trax 5.0 im Juli 2023 als veraltet gesetzt und standardmäßig ausgeblendet. Sichtbar ist das Ausmaßfeld seitdem nur für Bestandsrisiken mit angepasstem Ausmaß (< 100%). Bitte passen Sie Ihre Bewertung durch eine entsprechende Neubewertung des Ausgangsrisikos an!

¶Neuerungen in Version 5.8

Neben einigen Fehlerbehebungen und Quality-of-Life-Verbesserungen bringt Version 5.8.0 eine Reihe von Verbesserungen für das KVP-Modul. Insbesondere wurden die Optionen zur Umsetzung von Anforderungen wie DIN ISO/IEC 27001:2024 Abschnitt 10.2 verfeinert. So ist es jetzt möglich festzuhalten, wenn das einem Verbesserungsvorschlag zugrunde liegende Ereignis eine Nichtkonformität darstellt. Wird die Frage bejaht, stehen weitere Felder zur Verfügung, die erweiterte Analyse- bzw. Dokumentationsmöglichkeiten bieten.

In der Kritikalitätsbewertung von Prozessen können nun Anmerkungen zur Kritikalität hinterlegt werden, die auch in den neuen Report Zusammenfassung der Prozesskritikalitäten aufgenommen werden.

Im Compliance Modul wurde der Umgang mit abgeleiteten Maßnahmen verbessert: Diese werden nun in der Risikobeurteilung in Übergreifende Maßnahmen mit Kennzeichnung der Quelle (Compliance) aufgeführt. Bei der Maßnahmenableitung benötigte Anforderungs-Kataloge werden dem Anwendungsbereich automatisch zugeordnet, wenn eine entsprechende Maßnahme abgeleitet wird.

Die Neuerungen im Einzelnen:

¶Erweiterte Optionen im KVP-Modul

Der bisher angebotene Schalter Wird umgesetzt wurde auf vielfachen Wunsch in ein Statusfeld umgewandelt, wie es bereits bei den Aufgaben verwendet wird.

Für bestehende KVP-Elemente wird das Feld nach folgendem Schema migriert:

• KVP-Elemente mit "Wird umgesetzt" = Ja und ohne zugeordnete Maßnahmen erhalten den Status "Vorgeschlagen".
• KVP-Elemente mit "Wird umgesetzt" = Nein und ohne zugeordnete Maßnahmen erhalten den Status "Abgelehnt".
• KVP-Elemente mit zugeordneten Maßnahmen werden in den Status "Abgeschlossen" gesetzt, wenn alle Maßnahmen den Umsetzungsstand 100% haben.
• KVP-Elemente mit zugeordneten Maßnahmen werden in den Status "In Arbeit" gesetzt, wenn Maßnahmen einen Umsetzungsstand < 100% haben.

Die Nachverfolgung der Behandlung von KVP-Einträgen wird jetzt durch die neuen Felder Fälligkeitsdatum und Enddatum erleichtert.

Um den Umgang mit Nichtkonformitäten zu verbessern und eine detaillierte Dokumentation der Umsetzung von Anforderungen wie insbesondere DIN ISO/IEC 27001:2024 Abschnitt 10.2 zu erlauben, ist es nun möglich festzuhalten, wenn ein KVP-Eintrag eine Nichtkonformität darstellt.

Dazu wurde ein entsprechender Schalter im Tab Allgemein eingeführt. Wird dieser Schalter auf [Ja _ ] gesetzt, werden weitere Felder eingeblendet, die erweiterte Analyse- bzw. Dokumentationsmöglichkeiten bieten:

• Schalter "Ursachenanalyse durchgeführt"
• Textfeld "Ursachenanalyse" zur Dokumentation der Ursachenanalyse
• Textfeld "Vergleichbare Nichtkonformitäten": Analyse / Dokumentation zum Potenzial für weitere Nichtkonformitäten
• Schalter "Wirksamkeitsprüfung"
• Textfeld zur Dokumentation der Wirksamkeitsprüfung

Die neuen Optionen erweitern das bisherige Textfeld "Analyse" (jetzt umbenannt in "Prüfung"), in dem diese Schritte bislang manuell erfasst werden mussten.

¶Neues Feld für Anmerkungen zur Prozesskritikalität

Im Tab Kritikalität bei Geschäftsprozessen wurde das Feld "Anmerkung zur Kritikalität" eingeführt, um insbesondere für kontextbezogene Bewertungen oder Anpassungen eine Möglichkeit zur Dokumentation einer Begründung zu schaffen. Eintragungen in dieses Feld werden in den neuen Report Zusammenfassung der Prozesskritikalitäten (s.u.) aufgenommen.

¶Neuer Report: Zusammenfassung der Prozesskritikalitäten (BIA)

In der Zusammenfassung der Business Impact Analyse kann nun über die Schaltfläche [ Report ] > | Report erstellen | ein Bericht zur Geschäftsprozess-Kritikalität im Word-Format (.docx) erstellt werden. Der Report berücksichtigt das neu eingeführte Feld "Anmerkung zur Kritikalität" (s.o.).

Bei der Reporterstellung können Sie über eine Checkbox auswählen, ob dem Report eine Seite zur Dokumentenlenkung vorangestellt werden soll. Diese kann nach Erstellung des Reports manuell befüllt werden. Über die Option | Report Übersicht | können zuvor erstellte Reports heruntergeladen oder gelöscht werden.

¶Überarbeitung der Abhängigkeiten von Datumsfeldern

Wurde bei Elementen mit (Aufnahme-) / Start-, Fälligkeits- und Enddatum der Eintrag Enddatum frei gelassen, ergab sich bei dem Versuch zu Speichern ein Validierungsfehler. Damit waren Szenarien, bei denen das Enddatum, verstanden als Datum des tatsächlichen Abschlusses, erst mit Abschluss feststeht nur durch nachträgliche Korrektur eines zuvor geschätzten Wertes erfassbar. Mit der Überarbeitung entfällt die Notwendigkeit bei der Erstellung ein Enddatum zu spezifizieren. Alle Daten dürfen in der Vergangenheit liegen, jedoch

• das Fälligkeitsdatum nicht vor dem Startdatum und
• das Enddatum nicht vor Startdatum liegen.

Es dürfen aber

• Fälligkeits- und Enddatum zunächst frei bleiben,
• alle Daten auf den selben Tag fallen und
• das Enddatum darf auch vor dem Fälligkeitsdatum liegen.

¶Datenschutz-Modul

Verschiedene Kategorien sensibler Daten bei als datenschutzrelevant eingestuften Informationswerten (Informationswert -> Datenschutz) werden nun nach den in den Datenschutzeinstellungen (> Spezielle Arten personenbezogener Daten) definierten Gruppen getrennt dargestellt. Die verschiedenen Kategorien (Gruppen) sind jeweils mit dem dort konfigurierten Namen überschrieben.

¶Compliance-Modul

In Fragebögen abgeleitete Maßnahmen werden nun in der zugehörigen Risikobeurteilung in Übergreifende Maßnahmen mit Kennzeichnung der Quelle (Compliance) aufgeführt.

Bei der Maßnahmenableitung benötigte Anforderungs-Kataloge werden dem Anwendungsbereich automatisch zugeordnet, wenn eine entsprechende Maßnahme abgeleitet wird. Dies erfolgt nur, wenn tatsächlich eine Maßnahme aus dem betreffenden Katalog abgeleitet wird. Werden Maßnahmenableitungen zwar definiert aber nicht ausgelöst, wird der Katalog dem Anwendungsbereich nicht zugeordnet.

¶Weitere Änderungen

• Das Feld "Notbetrieb" im Tab Kritikalität eines Geschäftsprozesses wurde umbenannt zu "Ergänzende Angaben zum Notbetrieb". Diese Umbenennung wird auch im Report und im Geschäftsprozessformular übernommen.
• Es wurde ein Fehler behoben, durch den SoA-Reports unter Umständen HTML-Tags enthalten konnten.
• Es wurde ein Fehler behoben, durch den die Dokumentenlenkung für Reports im Word-Format nicht automatisch befüllt wurde.
• Der Status der Schutzbedarfsberechnung in Risikobeurteilungen wird jetzt auch für Benutzer mit Editor-Berechtigungen korrekt angezeigt.