Das IT-Sicherheitskonzept
Was ein IT-Sicherheitskonzept enthält, wie es nach IT-Grundschutz entsteht, welche Teilkonzepte dazugehören und wie kleine Betriebe es schlank halten.
Das IT-Sicherheitskonzept beschreibt, was in Ihrem Betrieb geschützt werden muss, wovor, und mit welchen Maßnahmen. Es ist das zentrale Arbeitsdokument der Informationssicherheit: Hier wird aus Zielen und Risiken ein konkreter Plan.
Was drinsteht
- Welche Abläufe, Daten, Programme, Geräte und Räume es gibt,
- wie wichtig sie sind und was ein Ausfall oder ein Datenabfluss bedeuten würde,
- welche Schutzmaßnahmen vorhanden sind und welche fehlen,
- wer welche fehlende Maßnahme bis wann umsetzt,
- welche Risiken bewusst in Kauf genommen werden.
Unterschied zur Leitlinie
Die Leitlinie sagt, wohin der Betrieb will. Das Sicherheitskonzept sagt, wie er dort hinkommt. Die Geschäftsführung gibt beide frei.
Wie aufwendig ist das?
Ein vollständiges Konzept nach IT-Grundschutz ist für größere Organisationen gedacht und entsprechend umfangreich. Kleine Betriebe können schlank beginnen: mit einer Übersicht der wichtigsten Systeme, einer Bewertung, was besonders schutzbedürftig ist, dem Ergebnis eines Checks und einem Maßnahmenplan. Wichtig ist, dass das Konzept gepflegt wird und nicht nach der Erstellung im Ordner verschwindet.
Der nächste Schritt
Beginnen Sie mit einer Liste Ihrer wichtigsten Geschäftsabläufe und der Programme und Geräte, an denen sie hängen. Das ist die Grundlage jedes Sicherheitskonzepts.
Das Sicherheitskonzept im IT-Grundschutz
Nach dem Baustein ISMS.1 soll für den festgelegten Geltungsbereich (Informationsverbund) ein angemessenes Sicherheitskonzept als zentrales Dokument im Sicherheitsprozess erstellt werden (ISMS.1.A10). Darin müssen aus den Sicherheitszielen, dem identifizierten Schutzbedarf und der Risikobewertung konkrete Maßnahmen für den Informationsverbund abgeleitet werden. Geltende Vorschriften sind zu berücksichtigen. Die vorgesehenen Maßnahmen müssen zeitnah umgesetzt, die Umsetzung geplant und kontrolliert werden. Das Konzept kann aus mehreren Teilkonzepten bestehen, die nacheinander entstehen.
Nach BSI-Standard 200-2 erarbeitet der ISB das Sicherheitskonzept und sorgt für Umsetzung und Aktualisierung. Die Freigabe erfolgt durch die Leitungsebene.
Bestandteile nach Standard-Absicherung
Bei der Standard-Absicherung nach BSI-Standard 200-2 entsteht das IT-Sicherheitskonzept in folgenden Schritten:
- Strukturanalyse: Erfassung von Geschäftsprozessen, Anwendungen, IT-Systemen, Netzen, Räumen und Kommunikationsverbindungen, sinnvoll gruppiert.
- Schutzbedarfsfeststellung: Bewertung, welchen Schutzbedarf die Objekte hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit haben (normal, hoch, sehr hoch).
- Modellierung: Zuordnung der passenden Bausteine aus dem IT-Grundschutz-Kompendium zu den Zielobjekten.
- IT-Grundschutz-Check: Soll-Ist-Vergleich, welche Anforderungen erfüllt sind und welche nicht.
- Risikoanalyse: für Zielobjekte mit hohem oder sehr hohem Schutzbedarf oder ohne passenden Baustein, nach BSI-Standard 200-3.
- Konsolidierung und Umsetzungsplanung: Zusammenführung aller Maßnahmen, Priorisierung, Verantwortliche, Termine und Aufwand.
Bei der Basis-Absicherung entfallen Schutzbedarfsfeststellung und Risikoanalyse zunächst. Geprüft werden nur die Basis-Anforderungen der zugeordneten Bausteine.
Typische Teilkonzepte
Ein Sicherheitskonzept verweist häufig auf eigenständige Teilkonzepte, für die es im Kompendium eigene Bausteine gibt, zum Beispiel:
- Datensicherungskonzept (CON.3),
- Kryptokonzept (CON.1),
- Löschen und Vernichten (CON.6),
- Identitäts- und Berechtigungsmanagement (ORP.4),
- Notfallvorsorge nach BSI-Standard 200-4,
- Behandlung von Sicherheitsvorfällen (DER.2.1),
- Patch- und Änderungsmanagement (OPS.1.1.3).
Teilkonzepte müssen nicht als separate Dokumente vorliegen. Nach 200-2 genügt es häufig, Informationen an geeigneter Stelle festzuhalten, etwa in einem Wiki oder in Tabellen, solange Entscheidungen nachvollziehbar bleiben.
Ein schlankes IT-Sicherheitskonzept für kleine Betriebe
Für einen Betrieb mit wenigen Mitarbeitenden hat sich folgende Gliederung bewährt:
- Geltungsbereich und Verweis auf die Leitlinie
- Übersicht des Informationsverbunds: Geschäftsprozesse, Anwendungen (zum Beispiel Warenwirtschaft, Buchhaltung, E-Mail), Geräte, Netz und Internetanschluss, Cloud-Dienste, Räume, Dienstleister. Ein einfacher Netzplan hilft.
- Bewertung: Welche Prozesse und Daten sind besonders wichtig? Was wäre bei Ausfall, Verfälschung oder Bekanntwerden betroffen?
- Ist-Stand: Ergebnis eines strukturierten Checks, zum Beispiel nach WiBA, DIN SPEC 27076 oder IT-Grundschutz-Check der Basis-Anforderungen.
- Maßnahmenplan: offene Punkte mit Priorität, Verantwortlichen, Termin und Status.
- Akzeptierte Risiken: was bewusst nicht oder später umgesetzt wird, mit Begründung und Unterschrift der Geschäftsführung.
- Anhänge oder Verweise: Datensicherung, Berechtigungen, Notfallplan, Dienstleisterliste.
Diese Struktur lässt sich später zur Standard-Absicherung ausbauen, ohne von vorn zu beginnen.
Umsetzungsplan
Der Umsetzungsplan, im IT-Grundschutz auch Realisierungsplan genannt, ist der Teil des Konzepts, der am häufigsten genutzt wird. Für jede Maßnahme sollten mindestens festgehalten werden:
- Bezug, etwa auf eine Anforderung oder ein Risiko,
- Beschreibung der Maßnahme,
- Priorität,
- verantwortliche Person,
- geplanter Termin und Aufwand,
- Status und Datum der Umsetzung.
Die Reihenfolge sollte sich daran orientieren, welche Lücken das größte Risiko darstellen und welche Maßnahmen Voraussetzung für andere sind.
Pflege und Überprüfung
Nach ISMS.1.A11 sollen Sicherheitskonzepte regelmäßig auf Wirksamkeit, Angemessenheit, Vollständigkeit und Aktualität geprüft werden. Anlässe für eine Aktualisierung sind neue Anwendungen oder Dienstleister, Umzüge, Sicherheitsvorfälle, neue gesetzliche Anforderungen und die Ergebnisse von Audits. Für die meisten Dokumente hat sich nach 200-2 eine jährliche Überprüfung bewährt. Damit Änderungen nicht untergehen, sollten Auslöser in bestehende Abläufe eingebaut werden: Wer einen neuen Dienstleister beauftragt, ein System einführt oder einen Standort eröffnet, informiert den ISB. Der aktualisiert dann Übersicht, Bewertung und Maßnahmenplan.
Sicherheitskonzept als Nachweis
Das Sicherheitskonzept ist nicht nur Arbeitsmittel, sondern auch Nachweis. Für NIS-2-pflichtige Einrichtungen verlangt § 30 BSIG, die Einhaltung der Risikomanagementpflichten zu dokumentieren, und nennt ausdrücklich Konzepte in Bezug auf die Risikoanalyse und die Sicherheit in der Informationstechnik. Bei einer ISO-27001-Zertifizierung auf Basis von IT-Grundschutz gehören die Ergebnisse von Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check, Risikoanalyse und Umsetzungsplanung zu den Unterlagen, die für die Prüfung vorgelegt werden. Welche Dokumente genau verlangt sind, führt das BSI in einer Liste der Referenzdokumente.
Auch ohne Pflicht lohnt sich ein gepflegtes Konzept: Fragebögen von Kunden, Versicherern oder Auftraggebern lassen sich deutlich schneller und konsistenter beantworten, wenn Übersicht, Maßnahmen und Entscheidungen an einer Stelle stehen. Vertrauliche Teile, etwa Netzpläne oder bekannte Schwachstellen, sollten dabei nicht ungeprüft herausgegeben werden.
Häufige Schwächen
- Das Konzept beschreibt ein Idealbild, nicht den tatsächlichen Zustand.
- Cloud-Dienste und Dienstleister fehlen in der Übersicht.
- Maßnahmen ohne Verantwortliche und Termine.
- Restrisiken werden nicht ausdrücklich entschieden.
- Das Konzept wird einmal erstellt und dann nicht mehr angefasst.
Häufige Fragen
Was gehört in ein IT-Sicherheitskonzept?
Eine Übersicht über Prozesse, Anwendungen, Systeme und Räume, eine Bewertung ihres Schutzbedarfs, der Ist-Stand der Maßnahmen, ein Umsetzungsplan für die Lücken und die bewusst akzeptierten Restrisiken.
Wer erstellt das IT-Sicherheitskonzept?
Nach BSI-Standard 200-2 erarbeitet der ISB das Sicherheitskonzept mit den Fachverantwortlichen und dem IT-Betrieb. Die Geschäftsführung gibt es frei.
Ist ein IT-Sicherheitskonzept Pflicht?
Eine allgemeine Pflicht für alle Unternehmen gibt es nicht. Für NIS-2-pflichtige Einrichtungen verlangt das BSI-Gesetz unter anderem Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik. Auch Auftraggeber und Versicherer fragen häufig danach.