ISMS: Managementsystem für Informationssicherheit
Was ein ISMS ist, woraus es nach BSI-Standard 200-1 besteht und wie viel Managementsystem ein kleiner Betrieb für seine Informationssicherheit wirklich braucht.
Ein ISMS (Informationssicherheits-Managementsystem) ist kein Programm, das man kauft, sondern die Art, wie ein Betrieb seine Informationssicherheit dauerhaft organisiert: wer zuständig ist, welche Ziele gelten, welche Regeln und Maßnahmen es gibt und wie regelmäßig geprüft wird, ob das alles noch wirkt.
Warum Technik allein nicht reicht
Virenschutz, Firewall und Datensicherung sind wichtig. Ohne Organisation dahinter veralten sie aber, niemand fühlt sich zuständig, und Lücken fallen erst im Ernstfall auf. Ein ISMS sorgt dafür, dass Sicherheit nicht vom Zufall oder von einer einzelnen Person abhängt, sondern zum normalen Ablauf im Betrieb gehört.
Wie groß muss das sein?
Das hängt von Ihrem Betrieb ab. Ein Handwerksbetrieb mit zehn Mitarbeitenden braucht kein dickes Handbuch. Oft genügen eine klare Zuständigkeit, eine kurze Leitlinie, eine Übersicht der wichtigsten Systeme und Daten, ein Maßnahmenplan und ein fester Termin, an dem der Stand überprüft wird. Größere oder regulierte Unternehmen orientieren sich an ISO 27001 oder am IT-Grundschutz des BSI.
Der nächste Schritt
Legen Sie fest, wer im Betrieb die Informationssicherheit koordiniert, und lassen Sie sich als Geschäftsführung mindestens einmal im Jahr den Stand berichten: Was ist erledigt, was ist offen, wo bestehen Risiken. Damit ist der Kern eines ISMS bereits angelegt.
Was ein ISMS nach BSI-Standard 200-1 umfasst
Der BSI-Standard 200-1 beschreibt das ISMS als den Teil des Managementsystems, der festlegt, mit welchen Instrumenten und Methoden die Leitungsebene die Aufgaben rund um Informationssicherheit nachvollziehbar plant, umsetzt, überwacht und verbessert. Als grundlegende Komponenten nennt der Standard:
- Managementprinzipien, also die Grundsätze, nach denen die Leitung Sicherheit steuert,
- Ressourcen (Zeit, Geld, Personal),
- Mitarbeitende, die eingebunden und geschult werden,
- den Sicherheitsprozess mit der Leitlinie zur Informationssicherheit, dem Sicherheitskonzept und der Sicherheitsorganisation.
Die Leitlinie enthält die Sicherheitsziele und die Strategie. Sicherheitskonzept und Sicherheitsorganisation sind nach 200-1 die Werkzeuge, mit denen die Leitung diese Strategie umsetzt. Der Standard ist ausdrücklich kompatibel zu ISO/IEC 27001.
Der Lebenszyklus: Planen, Umsetzen, Prüfen, Verbessern
Sicherheit ist kein Zustand, der einmal erreicht wird. Geschäftsprozesse, IT, Personal und Gefährdungslage ändern sich laufend. Ein ISMS folgt deshalb einem Kreislauf, der häufig als PDCA-Zyklus beschrieben wird (Plan, Do, Check, Act):
- Planen: Ziele festlegen, Geltungsbereich bestimmen, Risiken bewerten, Maßnahmen auswählen.
- Umsetzen: Maßnahmen einführen, Mitarbeitende einweisen, Zuständigkeiten leben.
- Prüfen: Wirksamkeit kontrollieren, etwa durch interne Audits, Kennzahlen oder die Auswertung von Sicherheitsvorfällen.
- Verbessern: Mängel beheben und das Vorgehen anpassen.
ISO/IEC 27001 nennt den PDCA-Zyklus in der aktuellen Fassung nicht mehr ausdrücklich. Der BSI-Standard 200-1 weist aber darauf hin, dass sich alle Aktivitäten zum Aufbau und Betrieb eines ISMS weiterhin nach diesem Zyklus organisieren lassen.
Das ISMS im IT-Grundschutz-Kompendium
Im IT-Grundschutz-Kompendium bildet der Baustein ISMS.1 Sicherheitsmanagement das organisatorische Fundament. Er gilt für den gesamten Informationsverbund. Zu den Basis-Anforderungen gehören unter anderem:
- ISMS.1.A1 Übernahme der Gesamtverantwortung für Informationssicherheit durch die Leitung,
- ISMS.1.A2 Festlegung der Sicherheitsziele und -strategie,
- ISMS.1.A3 Erstellung einer Leitlinie zur Informationssicherheit,
- ISMS.1.A4 Benennung eines oder einer Informationssicherheitsbeauftragten,
- ISMS.1.A6 Aufbau einer geeigneten Organisationsstruktur,
- ISMS.1.A7 Festlegung von Sicherheitsmaßnahmen,
- ISMS.1.A8 Integration der Mitarbeitenden in den Sicherheitsprozess,
- ISMS.1.A9 Integration der Informationssicherheit in organisationsweite Abläufe.
Als Standard-Anforderungen folgen unter anderem das Sicherheitskonzept (A10), die Aufrechterhaltung der Informationssicherheit (A11), Management-Berichte (A12) und die Dokumentation des Sicherheitsprozesses (A13). Nach A11 sollen Überprüfungen des Sicherheitsniveaus regelmäßig, mindestens jährlich, sowie anlassbezogen stattfinden.
Wer im ISMS welche Rolle hat
- Geschäftsführung: trägt die Gesamtverantwortung, gibt Ziele und Ressourcen vor, entscheidet über Restrisiken und lässt sich regelmäßig berichten.
- Informationssicherheitsbeauftragter (ISB): steuert und koordiniert den Sicherheitsprozess, berät die Leitung und prüft die Umsetzung.
- Fachverantwortliche: kennen ihre Prozesse und Daten und bewerten mit, wie schutzbedürftig sie sind.
- IT-Betrieb oder Dienstleister: setzt technische Maßnahmen um und meldet Auffälligkeiten.
- Alle Mitarbeitenden: halten sich an die Regeln, melden Vorfälle und nehmen an Schulungen teil.
In größeren Organisationen kommen ein IS-Management-Team oder Bereichs-Sicherheitsbeauftragte hinzu. In kleinen Betrieben liegen mehrere Rollen oft bei derselben Person. Das ist zulässig, solange klar ist, wer was entscheidet, und niemand seine eigene Arbeit allein kontrolliert.
ISMS, ISO 27001 und IT-Grundschutz
ISO/IEC 27001 legt fest, welche Anforderungen ein ISMS erfüllen muss, und ist Grundlage für Zertifizierungen. Der IT-Grundschutz des BSI beschreibt mit den Standards 200-1 bis 200-3 und dem Kompendium zusätzlich sehr konkret, wie ein ISMS aufgebaut und mit Maßnahmen gefüllt wird. Wer beides verbinden will, kann eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz anstreben.
Das BSI entwickelt den Grundschutz derzeit weiter (Grundschutz++). Nach Angaben des BSI bleibt der bestehende IT-Grundschutz während einer mehrjährigen Übergangszeit anwendbar, und beide Ansätze sind kompatibel zu ISO 27001.
Wie viel ISMS braucht ein kleiner Betrieb?
Der BSI-Standard 200-2 zeigt für kleine Institutionen eine Organisationsform, in der alle Sicherheitsaufgaben bei einer Person, dem ISB, zusammenlaufen. Er betont außerdem, dass der Dokumentationsaufwand angemessen bleiben soll und dass es meist genügt, Informationen in vorhandenen Texten, Tabellen oder einem Wiki festzuhalten.
Für Betriebe, die noch am Anfang stehen, bietet das BSI den Weg in die Basis-Absicherung (WiBA) mit Checklisten an. Das BSI beschreibt diese Checklisten als Möglichkeit, grundlegende Sicherheitsanforderungen schnell umzusetzen, ohne sofort ein vollständiges ISMS aufbauen zu müssen. Größere Betriebe können damit einen Grundstein legen und das ISMS schrittweise ausbauen.
Ein pragmatischer Mindestumfang für kleine Unternehmen:
- benannte Zuständigkeit für Informationssicherheit, intern oder extern,
- kurze Leitlinie mit Zielen und Geltungsbereich, von der Geschäftsführung freigegeben,
- Übersicht über Geschäftsprozesse, Anwendungen, Systeme und Dienstleister,
- Maßnahmenplan mit Verantwortlichen und Terminen,
- jährliche Überprüfung mit kurzem Bericht an die Leitung.
ISMS und NIS-2
Für besonders wichtige und wichtige Einrichtungen verlangt das BSI-Gesetz in § 30 geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen, darunter Konzepte zur Risikoanalyse und Verfahren zur Bewertung der Wirksamkeit. Die Einhaltung ist zu dokumentieren. Das Gesetz schreibt kein bestimmtes Managementsystem und kein Zertifikat vor. Ein ISMS ist aber der übliche Rahmen, um diese Anforderungen geordnet zu erfüllen und nachzuweisen.
Typische Fehler
- Das ISMS wird als reines IT-Projekt verstanden, die Geschäftsführung bleibt außen vor.
- Es entstehen umfangreiche Dokumente, die niemand liest oder pflegt.
- Nach der Einführung findet keine Überprüfung mehr statt, der Kreislauf bricht ab.
- Dienstleister und Cloud-Dienste werden im Geltungsbereich vergessen.
Häufige Fragen
Was bedeutet ISMS?
ISMS steht für Informationssicherheits-Managementsystem. Gemeint sind die Regeln, Zuständigkeiten und Abläufe, mit denen ein Betrieb Informationssicherheit plant, umsetzt, überprüft und verbessert.
Ist ein ISMS Pflicht?
Für die meisten Unternehmen nicht. Wer unter NIS-2 fällt, muss aber Risikomanagementmaßnahmen umsetzen und dokumentieren, und Kunden oder Versicherer fragen zunehmend nach einem geordneten Sicherheitsmanagement. Ein ISMS ist dafür der übliche Rahmen.
Brauche ich für ein ISMS eine spezielle Software?
Nein. Für kleine Betriebe reichen oft Tabellen, ein Wiki oder vorhandene Ablagen. ISMS-Werkzeuge erleichtern die Arbeit bei vielen Systemen, Standorten oder einer angestrebten Zertifizierung.
Was ist der Unterschied zwischen ISMS und ISO 27001?
Das ISMS ist das Managementsystem im eigenen Betrieb. ISO 27001 ist eine Norm, die beschreibt, welche Anforderungen ein ISMS erfüllen muss, und gegen die man es zertifizieren lassen kann.