Ein ISMS aufbauen

ISMS aufbauen nach BSI-Standard 200-2

Der BSI-Standard 200-2 gliedert den Sicherheitsprozess in Phasen: Initiierung durch die Leitung, Konzeption und Planung, Entscheidung für eine Vorgehensweise, Erstellung der Leitlinie, Aufbau der Organisationsstruktur, Erstellung und Umsetzung der Sicherheitskonzeption sowie Aufrechterhaltung und kontinuierliche Verbesserung. Einige Phasen können parallel laufen, etwa die Planung und der Aufbau der Organisation. Der Standard empfiehlt ausdrücklich viele kleine Schritte statt eines großen Wurfs.

Phase 1: Initiierung durch die Leitung

Die Leitungsebene muss den Prozess initiieren, steuern und kontrollieren. Im Baustein ISMS.1 ist das als Basis-Anforderung formuliert (ISMS.1.A1): Die Institutionsleitung übernimmt die Gesamtverantwortung, legt Zuständigkeiten fest, stattet sie mit Kompetenzen und Ressourcen aus und lässt sich regelmäßig über den Stand informieren. Ohne diesen Auftrag bleibt jedes ISMS ein Nebenprojekt der IT.

Praktisch heißt das:

• schriftlicher Auftrag der Geschäftsführung,
• Benennung einer verantwortlichen Person (ISB),
• Budget und Zeitkontingent, auch wenn es zunächst klein ist,
• erste Sicherheitsziele, zum Beispiel «Kundendaten bleiben vertraulich» oder «Die Auftragsbearbeitung ist nach einem Ausfall innerhalb eines Arbeitstages wieder möglich».

Phase 2: Konzeption und Vorgehensweise

Vor dem Start klärt man die Rahmenbedingungen: gesetzliche und vertragliche Anforderungen, die wichtigsten Geschäftsprozesse und die vorhandenen Ressourcen. Danach wird die Vorgehensweise gewählt. 200-2 bietet drei Wege:

• Basis-Absicherung: breiter Einstieg über alle Bereiche, nur Basis-Anforderungen,
• Kern-Absicherung: die wichtigsten Prozesse und Werte zuerst, dort vollständig,
• Standard-Absicherung: der vollständige Weg mit Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check und gegebenenfalls Risikoanalyse.

Für kleine Betriebe ist die Basis-Absicherung oder der WiBA-Leitfaden des BSI meist der passende Einstieg. Ein CyberRisikoCheck nach DIN SPEC 27076 kann als Bestandsaufnahme dienen.

Phase 3: Leitlinie und Organisation

Die Leitlinie zur Informationssicherheit hält Ziele, Geltungsbereich, Strategie und Organisationsstruktur fest und wird von der Leitung in Kraft gesetzt. Parallel entsteht die Sicherheitsorganisation. In kleinen Institutionen nimmt nach 200-2 oft eine Person alle Aufgaben des Sicherheitsmanagements wahr. Wichtig ist, dass sie direkt an die Geschäftsführung berichten kann.

Phase 4: Sicherheitskonzeption

Je nach Vorgehensweise sieht dieser Schritt unterschiedlich aus. Grundsätzlich wird ein Soll-Ist-Vergleich durchgeführt: Welche Anforderungen aus den relevanten Bausteinen sind erfüllt, welche nicht? Aus den Lücken werden Maßnahmen abgeleitet. Für die Basis-Absicherung beschreibt 200-2 folgende Schritte:

1. Geltungsbereich festlegen,
2. Bausteine auswählen und zuordnen (Modellierung),
3. Reihenfolge der Bearbeitung festlegen,
4. IT-Grundschutz-Check für die Basis-Anforderungen,
5. Maßnahmen für offene Anforderungen ableiten und umsetzen.

Für Bereiche mit hohem oder sehr hohem Schutzbedarf ist später eine Risikoanalyse nach BSI-Standard 200-3 nötig.

Phase 5: Umsetzung planen

Maßnahmen werden priorisiert, mit Verantwortlichen, Terminen und Aufwand versehen und in einem Umsetzungsplan festgehalten. Eine einfache Tabelle reicht. Bewährte Reihenfolge in kleinen Betrieben:

• zuerst Maßnahmen mit großer Wirkung und geringem Aufwand, etwa Zwei-Faktor-Authentifizierung für E-Mail und Fernzugänge, geprüfte Datensicherung, Updates,
• dann organisatorische Regelungen wie Berechtigungen, Ein- und Austritt, Notfallkontakte,
• danach größere Vorhaben wie Netzsegmentierung oder Wechsel von Systemen.

Phase 6: Aufrechterhalten und verbessern

Nach ISMS.1.A11 sollen Sicherheitsprozess, Konzepte, Leitlinie und Organisation regelmäßig auf Wirksamkeit und Angemessenheit geprüft werden, das Sicherheitsniveau mindestens jährlich sowie anlassbezogen. Die Ergebnisse fließen in Management-Berichte (ISMS.1.A12), die priorisierte Maßnahmenvorschläge mit realistischen Aufwandsschätzungen enthalten sollen. Entscheidungen über Restrisiken werden dokumentiert.

Typische Stolpersteine

• Zu großer Anfang: Wer sofort die Standard-Absicherung für alles versucht, verliert oft den Schwung. Besser ist ein breiter Einstieg mit späterem Ausbau.
• Fehlende Zeit: Die zuständige Person braucht ein festes Zeitkontingent, sonst gewinnt das Tagesgeschäft.
• Dienstleister vergessen: Viele kleine Betriebe lagern IT-Betrieb, Hosting oder Buchhaltung aus. Diese Leistungen gehören in den Geltungsbereich.
• Keine Überprüfung: Ohne festen Termin für Überprüfung und Bericht wird aus dem ISMS ein einmaliges Projekt.

Was nach dem ersten Jahr vorliegen sollte

• eine von der Geschäftsführung freigegebene Leitlinie,
• eine benannte und erreichbare Zuständigkeit für Informationssicherheit mit Vertretung,
• eine aktuelle Übersicht über Prozesse, Anwendungen, Systeme, Räume und Dienstleister,
• ein Ergebnis des ersten Checks mit bewerteten Lücken,
• ein Maßnahmenplan, in dem die wichtigsten Punkte erledigt oder terminiert sind,
• Regelungen für Mitarbeitende, Berechtigungen sowie Ein- und Austritt,
• ein einfacher Notfallplan mit Kontakten und ersten Schritten,
• ein Bericht an die Geschäftsführung mit ihren dokumentierten Entscheidungen.

Mehr muss es im ersten Durchlauf nicht sein. Im zweiten Jahr wird der Umfang erweitert, etwa um eine Schutzbedarfsfeststellung für die wichtigsten Prozesse oder ein internes Audit.

Wann sich Unterstützung lohnt

Wenn intern niemand die Zeit oder das Wissen hat, kann ein externer ISB oder Berater den Aufbau begleiten. Die Verantwortung bleibt aber bei der Geschäftsführung, und das Wissen sollte im Betrieb verankert werden, damit das ISMS nicht vom Dienstleister abhängt.