Was ist ein ISMS?
Ein Informationssicherheitsmanagementsystem organisiert den Schutz geschäftsrelevanter Informationen als dauerhaften Managementprozess.
Es legt fest, welche Informationen, Systeme und Geschäftsprozesse geschützt werden müssen, welche Risiken bestehen, wer Entscheidungen trifft und wie Sicherheitsmaßnahmen geplant, umgesetzt und überprüft werden.
Ein ISMS nach ISO/IEC 27001 soll insbesondere die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch einen risikobasierten Ansatz schützen. Der Umfang kann dabei an Größe und Bedarf der jeweiligen Organisation angepasst werden.
Welche Schutzziele verfolgt ein ISMS?
Im Mittelpunkt stehen typischerweise drei grundlegende Schutzziele:
- Vertraulichkeit: Informationen dürfen nur von berechtigten Personen eingesehen oder verwendet werden.
- Integrität: Informationen und Systeme müssen richtig, vollständig und vor unberechtigten Veränderungen geschützt sein.
- Verfügbarkeit: Informationen, Systeme und Dienste müssen bei Bedarf nutzbar sein.
Je nach Unternehmen können weitere Ziele hinzukommen, beispielsweise Authentizität, Nachvollziehbarkeit oder Verbindlichkeit.
Welche Bestandteile gehören zu einem ISMS?
Ein praxistaugliches ISMS umfasst typischerweise:
- einen klar definierten Geltungsbereich,
- eine Informationssicherheitsleitlinie,
- eindeutige Rollen und Verantwortlichkeiten,
- eine Übersicht relevanter Informationen, Systeme und Prozesse,
- ein Verfahren zur Risikobewertung,
- einen Maßnahmen- und Risikobehandlungsplan,
- Regelungen für Sicherheitsvorfälle,
- Notfall- und Wiederherstellungsprozesse,
- Lieferanten- und Dienstleistermanagement,
- Schulungen und Sensibilisierung,
- Kontrollen, interne Audits und Managementbewertungen.
Was bedeutet der risikobasierte Ansatz?
Ein ISMS verlangt nicht, dass jedes denkbare Risiko mit maximalem Aufwand verhindert wird.
Stattdessen werden Risiken systematisch betrachtet. Dabei wird beispielsweise geprüft:
- welche Informationen oder Systeme betroffen sind,
- welche Bedrohungen bestehen,
- welche Schwachstellen ausgenutzt werden könnten,
- wie wahrscheinlich ein Schadensereignis ist,
- welche Auswirkungen zu erwarten wären,
- welche Schutzmaßnahmen bereits bestehen.
Aus dieser Bewertung wird entschieden, welche Risiken reduziert, vermieden, übertragen oder bewusst akzeptiert werden.
Wer trägt Verantwortung für das ISMS?
Die Geschäftsleitung trägt die Gesamtverantwortung für Informationssicherheit.
Sie muss Ziele und Rahmenbedingungen festlegen, Verantwortlichkeiten benennen, Ressourcen bereitstellen und wesentliche Entscheidungen treffen.
Ein Informationssicherheitsbeauftragter kann das System koordinieren, Risiken aufbereiten und die Umsetzung begleiten. Die operative Verantwortung bleibt jedoch auf mehrere Bereiche verteilt, beispielsweise:
- IT,
- Personalwesen,
- Einkauf,
- Fachabteilungen,
- Datenschutz,
- Gebäude- und Zutrittssicherheit,
- Notfallmanagement.
Ist eine Zertifizierung notwendig?
Ein ISMS kann unabhängig von einer Zertifizierung aufgebaut und betrieben werden.
Eine Zertifizierung nach ISO/IEC 27001 bestätigt durch eine unabhängige Stelle, dass das Managementsystem die Anforderungen des Standards erfüllt.
Sie kann sinnvoll oder erforderlich sein, wenn:
- Kunden einen formalen Nachweis verlangen,
- Ausschreibungen eine Zertifizierung voraussetzen,
- regulatorische oder vertragliche Anforderungen bestehen,
- Vertrauen gegenüber Geschäftspartnern gestärkt werden soll.
Auch ohne Zertifizierung bietet ein strukturiertes ISMS einen erheblichen organisatorischen Nutzen.
Wie wird ein ISMS aufgebaut?
Ein sinnvoller Aufbau erfolgt schrittweise:
- Geltungsbereich und Ziele festlegen
- Verantwortlichkeiten definieren
- kritische Informationen, Prozesse und Systeme erfassen
- Risiken bewerten
- vorhandene Sicherheitsmaßnahmen prüfen
- Lücken und Prioritäten bestimmen
- Maßnahmen planen und umsetzen
- Dokumentation und Nachweise aufbauen
- Wirksamkeit regelmäßig kontrollieren
Das BSI beschreibt ein ISMS ebenfalls als Managementsystem, das organisatorisch verankert und fortlaufend gepflegt werden muss.
Wie bleibt ein ISMS wirksam?
Informationssicherheit verändert sich mit der Organisation.
Neue Systeme, Cloud-Dienste, Dienstleister, Beschäftigte, gesetzliche Anforderungen und Bedrohungen können die Risikosituation jederzeit verändern.
Ein ISMS benötigt deshalb regelmäßige Prüfungen, beispielsweise:
- Aktualisierung der Risikobewertung,
- Überprüfung offener Maßnahmen,
- Kontrolle von Berechtigungen,
- Wiederherstellungs- und Notfalltests,
- Schwachstellen-Scans,
- interne Audits,
- Managementbewertungen,
- Auswertung von Sicherheitsvorfällen.
Welchen Nutzen hat ein ISMS?
Ein funktionierendes ISMS schafft Transparenz über Risiken, Verantwortlichkeiten und Sicherheitsmaßnahmen.
Es unterstützt Unternehmen dabei:
- Sicherheitsmaßnahmen nachvollziehbar zu priorisieren,
- gesetzliche und vertragliche Anforderungen zu erfüllen,
- Ausfälle und Sicherheitsvorfälle besser zu beherrschen,
- Kundenanforderungen strukturiert nachzuweisen,
- Doppelarbeit und widersprüchliche Regelungen zu vermeiden,
- Informationssicherheit dauerhaft weiterzuentwickeln.
Ein ISMS ist damit kein statischer Dokumentenordner, sondern ein Steuerungsinstrument für eine belastbare Informationssicherheitsorganisation.