ISMS

Ein Informationssicherheits-Managementsystem (ISMS) ist kein Produkt und keine Software, sondern ein Ordnungsrahmen: die Sammlung aller Regeln, Zuständigkeiten und Abläufe, mit denen eine Organisation die Sicherheit ihrer Informationen bewusst steuert statt sie dem Zufall zu überlassen. Geschützt werden dabei drei Eigenschaften – Vertraulichkeit, Integrität und Verfügbarkeit.

Was zu einem ISMS gehört

Am Anfang steht der Anwendungsbereich: welche Standorte, Systeme und Prozesse überhaupt einbezogen werden. Darauf setzen die Kernbestandteile auf – eine von der Leitung verabschiedete Sicherheitsrichtlinie, ein Verzeichnis der schützenswerten Werte, eine Risikobeurteilung samt dokumentierter Entscheidung über den Umgang mit jedem Risiko, konkrete Maßnahmen und benannte Verantwortliche. Ohne diese Dokumentation lässt sich später nichts nachweisen.

Der PDCA-Zyklus

Ein ISMS ist auf Wiederholung angelegt und folgt dem Muster Plan – Do – Check – Act: planen, umsetzen, Wirksamkeit prüfen, nachsteuern. Genau dieser letzte Schritt unterscheidet ein ISMS von einem einmaligen Sicherheitsprojekt. Bedrohungslage, IT-Landschaft und Geschäftsprozesse ändern sich – ein Maßnahmenkatalog von vorletztem Jahr schützt nicht mehr zuverlässig.

Normen und Prüfverfahren

Der international maßgebliche Standard ist ISO/IEC 27001; nach ihm lässt sich ein ISMS von einer akkreditierten Stelle zertifizieren. Im deutschen Raum ist der BSI IT-Grundschutz eine gleichwertige Alternative mit stärker vorgegebenen Bausteinen. Die Automobilindustrie nutzt mit TISAX ein eigenes Verfahren, das auf denselben Grundgedanken aufbaut.

Wer ein ISMS braucht

Für Betreiber kritischer Anlagen ist ein ISMS seit Jahren Pflicht. Mit der NIS2-Richtlinie kommt ein deutlich größerer Kreis mittelständischer Unternehmen hinzu, für die Risikomanagement, Meldewege und Nachweispflichten verbindlich werden. Unabhängig davon verlangen immer mehr Auftraggeber von ihren Lieferanten einen Nachweis, bevor sie sensible Daten übergeben.

Aus Sicht des Datenschutzes greift derselbe Gedanke: Artikel 32 DSGVO fordert angemessene technische und organisatorische Maßnahmen. Ein funktionierendes ISMS ist der geordnete Weg, diese Forderung zu erfüllen und belegen zu können.

Cyber-Security-Glossar