{
  "class": "BSI-Methodik-Grundschutz-plus-plus",
  "controls": [
    {
      "class": "BSI-Methodik-Grundschutz-plus-plus",
      "id": "PERF.3.2.1",
      "links": [
        {
          "href": "#PERF.3.1",
          "rel": "related"
        }
      ],
      "parts": [
        {
          "id": "PERF.3.2.1_stm",
          "name": "statement",
          "props": [
            {
              "name": "documentation",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/documentation_guidelines.csv",
              "value": "Auditbericht"
            },
            {
              "name": "result",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/result.csv",
              "value": "für Feststellungen in Audits ein einheitliches Bewertungsschema"
            },
            {
              "name": "action_word",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/action_words.csv",
              "value": "festlegen"
            },
            {
              "name": "modal_verb",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/modal_verbs.csv",
              "value": "SOLLTE"
            }
          ],
          "prose": "Monitoring-Evaluation SOLLTE für Feststellungen in Audits ein einheitliches Bewertungsschema festlegen."
        },
        {
          "id": "PERF.3.2.1_gdn",
          "name": "guidance",
          "prose": "Das Bewertungsschema soll die einheitliche Bewertung, die Wirksamkeit der Auditprozesse und die Vergleichbarkeit von Auditergebnissen sicherstellen."
        }
      ],
      "props": [
        {
          "name": "alt-identifier",
          "value": "cbd3ce59-8979-4ae0-a6ee-f0779d9a2598"
        },
        {
          "name": "sec_level",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/security_level.csv",
          "value": "normal-SdT"
        },
        {
          "name": "effort_level",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/effort_level.csv",
          "value": "3"
        }
      ],
      "title": "Einheitliches Bewertungsschema"
    },
    {
      "class": "BSI-Methodik-Grundschutz-plus-plus",
      "id": "PERF.3.2.2",
      "links": [
        {
          "href": "#PERF.3.1",
          "rel": "related"
        }
      ],
      "parts": [
        {
          "id": "PERF.3.2.2_stm",
          "name": "statement",
          "props": [
            {
              "name": "documentation",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/documentation_guidelines.csv",
              "value": "Auditbericht"
            },
            {
              "name": "result",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/result.csv",
              "value": "alle relevanten Stakeholder über die Auditergebnisse"
            },
            {
              "name": "action_word",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/action_words.csv",
              "value": "informieren"
            },
            {
              "name": "modal_verb",
              "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/modal_verbs.csv",
              "value": "MUSS"
            }
          ],
          "prose": "Monitoring-Evaluation MUSS alle relevanten Stakeholder über die Auditergebnisse informieren."
        },
        {
          "id": "PERF.3.2.2_gdn",
          "name": "guidance",
          "prose": "Eine angemessene Kommunikation der Auditergebnisse an alle relevanten Stakeholder muss sichergestellt werden, um das Bewusstsein für identifizierte Risiken zu schärfen und die Umsetzung von Verbesserungsmaßnahmen zu fördern. Die Auswertung von Auditergebnissen dient dazu, systematische Abweichungen, Schwachstellen und Verbesserungspotenziale im Informationssicherheitsmanagement zu identifizieren. Diese Maßnahmen werden anschließend in den Umsetzungsplan eingefügt und ihre Umsetzung nachverfolgt."
        }
      ],
      "props": [
        {
          "name": "alt-identifier",
          "value": "3f9935bd-65fa-4212-a7e7-726f39933c7d"
        },
        {
          "name": "sec_level",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/security_level.csv",
          "value": "normal-SdT"
        },
        {
          "name": "effort_level",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/effort_level.csv",
          "value": "0"
        }
      ],
      "title": "Kommunikation an Stakeholder"
    }
  ],
  "id": "PERF.3.2",
  "links": [
    {
      "href": "#PERF.3.1",
      "rel": "related"
    }
  ],
  "parts": [
    {
      "id": "PERF.3.2_stm",
      "name": "statement",
      "props": [
        {
          "name": "documentation",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/documentation_guidelines.csv",
          "value": "Auditbericht"
        },
        {
          "name": "result",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/result.csv",
          "value": "ein Verfahren zur Erstellung aussagekräftiger Auditberichte"
        },
        {
          "name": "action_word",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/action_words.csv",
          "value": "verankern"
        },
        {
          "name": "modal_verb",
          "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/modal_verbs.csv",
          "value": "MUSS"
        }
      ],
      "prose": "Monitoring-Evaluation MUSS ein Verfahren zur Erstellung aussagekräftiger Auditberichte verankern."
    },
    {
      "id": "PERF.3.2_gdn",
      "name": "guidance",
      "prose": "Ein Auditbericht muss nachvollziehbar, vollständig und strukturiert dokumentieren, wie das Audit durchgeführt wurde und welche Ergebnisse erzielt wurden. Er enthält Angaben zum Auditziel, Auditumfang, Auditteam, Auditmethoden, den bewerteten Bereichen sowie eine übersichtliche Darstellung der Feststellungen inklusive Abweichungen, Verbesserungspotenzialen und der Bewertung der Wirksamkeit der umgesetzten Sicherheitsmaßnahmen. Die Auditberichte sollten neben den identifizierten Schwachstellen auch positive Feststellungen enthalten, um ein ausgewogenes Bild zu vermitteln und Best Practices zu fördern."
    }
  ],
  "props": [
    {
      "name": "alt-identifier",
      "value": "d173c0e0-9c22-414c-b4c8-633c7a75a406"
    },
    {
      "name": "sec_level",
      "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/security_level.csv",
      "value": "normal-SdT"
    },
    {
      "name": "effort_level",
      "ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/documentation/namespaces/effort_level.csv",
      "value": "0"
    }
  ],
  "title": "Dokumentation von Auditergebnissen"
}