BER.1.1 — Verfahren und Regelungen

MUSS Security level: normal-SdT Effort 0 BSI-Stand-der-Technik-Kernel
Statement (Anforderung)

Berechtigung MUSS Verfahren und Regelungen zum Identitäts- und Berechtigungsmanagement verankern.

Guidance (Erläuterung)

Ziel ist einen dokumentierten Prozess einzurichten, der die Vergabe, Verwaltung und Entfernung von Zugangs- und Zugriffsberechtigungen, sowie der damit verbundenen Identitäten regelt. Zu berücksichtigen sind insbesondere Neueinstellungen, Versetzungen und Entlassungen. Empfehlenswert ist es, die Vergabe und den Entzug von Berechtigungen so weit wie möglich zu automatisieren. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.

Statement properties
NameValue
documentation Inventar Berechtigungen
result Verfahren und Regelungen zum Identitäts- und Berechtigungsmanagement
action_word verankern
modal_verb MUSS
Control properties
NameValue
alt-identifier 16d497ce-da97-4c76-89a6-33f53a71d381
sec_level normal-SdT
effort_level 0
Framework mappings this control ↔ the corresponding control in each framework (toggle per framework in Settings)

Auto-generated similarity matches — orientation only, verify before use. The score is the text-similarity confidence, not an authoritative crosswalk.

Framework Mapped control Mapped control title Match
GitHub Security Controls 🐙 GH-IAM-01 SSO via corporate IdP
GitHub Security Controls 🐙 GH-IAM-02 MFA enforced
NIS2 🇪🇺 Art. 21(2)(j) MFA enforced
BSI: IT-Grundschutz-Kompendium 🇩🇪 ORP.4 (requirement IDs to pin) MFA enforced
ISO 27001:2013 & 27001:2022 🌐 A.5.17; A.8.5 MFA enforced
GitHub Security Controls 🐙 GH-IAM-03 Managed user lifecycle
GitHub Security Controls 🐙 GH-IAM-04 Deprovisioning and recertification
GitHub Security Controls 🐙 GH-IAM-05 Team-based access only
GitHub Security Controls 🐙 GH-IAM-06 Outside collaborator control
GitHub Security Controls 🐙 GH-IAM-07 PAT governance
GitHub Security Controls 🐙 GH-IAM-08 Deploy key hygiene
GitHub Security Controls 🐙 GH-IAM-09 GitHub Apps instead of bot users
GitHub Security Controls 🐙 GH-IAM-10 Network access control
Sub-controls
Raw OSCAL JSON (complete control) 
{
  "class": "BSI-Stand-der-Technik-Kernel",
  "controls": [
    {
      "class": "BSI-Stand-der-Technik-Kernel",
      "id": "BER.1.1.1",
      "parts": [
        {
          "id": "BER.1.1.1_stm",
          "name": "statement",
          "props": [
            {
              "name": "documentation",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv",
              "value": "Prozess Identitäts- und Berechtigungsmanagement"
            },
            {
              "name": "result",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv",
              "value": "die Verfahren und Regelungen"
            },
            {
              "name": "action_word",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv",
              "value": "dokumentieren"
            },
            {
              "name": "modal_verb",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv",
              "value": "MUSS"
            }
          ],
          "prose": "Berechtigung MUSS die Verfahren und Regelungen dokumentieren."
        },
        {
          "id": "BER.1.1.1_gdn",
          "name": "guidance",
          "prose": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten."
        }
      ],
      "props": [
        {
          "name": "alt-identifier",
          "value": "552ed210-7580-4b3e-91f3-72f46b75406c"
        },
        {
          "name": "sec_level",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv",
          "value": "normal-SdT"
        },
        {
          "name": "effort_level",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv",
          "value": "0"
        }
      ],
      "title": "Dokumentation"
    },
    {
      "class": "BSI-Stand-der-Technik-Kernel",
      "id": "BER.1.1.2",
      "params": [
        {
          "id": "ber.1.1.2-prm1",
          "label": "zuständigen Personen oder Rollen",
          "props": [
            {
              "name": "alt-identifier",
              "value": "9d1f9325-ae2e-471f-8ce1-b05def44443c"
            }
          ]
        }
      ],
      "parts": [
        {
          "id": "BER.1.1.2_stm",
          "name": "statement",
          "props": [
            {
              "name": "documentation",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv",
              "value": "Geschäftsverteilungsplan"
            },
            {
              "name": "result",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv",
              "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben"
            },
            {
              "name": "result_specification",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv",
              "value": "{{zuständigen Personen oder Rollen}}"
            },
            {
              "name": "action_word",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv",
              "value": "zuweisen"
            },
            {
              "name": "modal_verb",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv",
              "value": "MUSS"
            }
          ],
          "prose": "Berechtigung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben {{ insert: param, ber.1.1.2-prm1 }} zuweisen."
        },
        {
          "id": "BER.1.1.2_gdn",
          "name": "guidance",
          "prose": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\"Accountability\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es, die Zuweisung anhand von Rollen (z. B. \"Anwendungsverantwortlicher\", \"Netzwerkadministrator\", \"Change Manager\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist."
        }
      ],
      "props": [
        {
          "name": "alt-identifier",
          "value": "9d1f9325-ae2e-471f-8ce1-b05def44443c"
        },
        {
          "name": "sec_level",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv",
          "value": "normal-SdT"
        },
        {
          "name": "effort_level",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv",
          "value": "0"
        }
      ],
      "title": "Zuweisung der Aufgaben"
    },
    {
      "class": "BSI-Stand-der-Technik-Kernel",
      "id": "BER.1.1.3",
      "parts": [
        {
          "id": "BER.1.1.3_stm",
          "name": "statement",
          "props": [
            {
              "name": "documentation",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv",
              "value": "Prozess Identitäts- und Berechtigungsmanagement"
            },
            {
              "name": "result",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv",
              "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen"
            },
            {
              "name": "action_word",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv",
              "value": "informieren"
            },
            {
              "name": "modal_verb",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv",
              "value": "MUSS"
            }
          ],
          "prose": "Berechtigung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren."
        },
        {
          "id": "BER.1.1.3_gdn",
          "name": "guidance",
          "prose": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen."
        }
      ],
      "props": [
        {
          "name": "alt-identifier",
          "value": "1eb287af-27f5-4cec-b181-1ef3a8135224"
        },
        {
          "name": "sec_level",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv",
          "value": "normal-SdT"
        },
        {
          "name": "effort_level",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv",
          "value": "0"
        }
      ],
      "title": "Bekanntgabe"
    }
  ],
  "id": "BER.1.1",
  "parts": [
    {
      "id": "BER.1.1_stm",
      "name": "statement",
      "props": [
        {
          "name": "documentation",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv",
          "value": "Inventar Berechtigungen"
        },
        {
          "name": "result",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv",
          "value": "Verfahren und Regelungen zum Identitäts- und Berechtigungsmanagement"
        },
        {
          "name": "action_word",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv",
          "value": "verankern"
        },
        {
          "name": "modal_verb",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv",
          "value": "MUSS"
        }
      ],
      "prose": "Berechtigung MUSS Verfahren und Regelungen zum Identitäts- und Berechtigungsmanagement verankern."
    },
    {
      "id": "BER.1.1_gdn",
      "name": "guidance",
      "prose": "Ziel ist einen dokumentierten Prozess einzurichten, der die Vergabe, Verwaltung und Entfernung von Zugangs- und Zugriffsberechtigungen, sowie der damit verbundenen Identitäten regelt. Zu berücksichtigen sind insbesondere Neueinstellungen, Versetzungen und Entlassungen. Empfehlenswert ist es, die Vergabe und den Entzug von Berechtigungen so weit wie möglich zu automatisieren. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik."
    }
  ],
  "props": [
    {
      "name": "alt-identifier",
      "value": "16d497ce-da97-4c76-89a6-33f53a71d381"
    },
    {
      "name": "sec_level",
      "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv",
      "value": "normal-SdT"
    },
    {
      "name": "effort_level",
      "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv",
      "value": "0"
    }
  ],
  "title": "Verfahren und Regelungen"
}
View JSON API Download JSON