Was ist ein ISMS?

Ein Information Security Management System, kurz ISMS, organisiert, wie ein Unternehmen Informationssicherheitsrisiken erkennt, behandelt, überprüft und kommuniziert. Es verbindet Verantwortlichkeiten, Menschen, Prozesse und technische Kontrollen. Damit wird Sicherheit nicht als lose Sammlung einzelner Tools betrieben, sondern als wiederholbarer Managementprozess.

Welche Ziele verfolgt ein ISMS?

Ein ISMS soll die in der CIA-Triade beschriebenen Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit von Informationen entsprechend ihrem Schutzbedarf erhalten. Dabei geht es nicht nur um personenbezogene Daten oder IT-Systeme. Auch Verträge, Entwicklungswissen, Papierunterlagen, Dienstleister und die Verfügbarkeit kritischer Geschäftsprozesse können zum Scope gehören. Welche Kontrollen angemessen sind, folgt aus den tatsächlichen Risiken und Zielen des Unternehmens.

Aus welchen Bestandteilen besteht ein ISMS?

Der Scope ist besonders wichtig. Ein eng abgegrenztes ISMS kann sinnvoll sein, wenn zunächst ein einzelner Dienst betrachtet wird. Es darf aber keine wesentlichen Abhängigkeiten verschweigen. Cloud-Plattformen, zentrale Identitätsdienste und externe Administratoren müssen berücksichtigt werden, wenn sie die Sicherheit des betrachteten Dienstes beeinflussen.

Wie funktioniert Risikomanagement im ISMS?

1. Werte und Prozesse bestimmen: Was muss geschützt werden und wer trägt die Verantwortung?
2. Bedrohungen und Schwachstellen betrachten: Welche Ereignisse können Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigen?
3. Risiko bewerten: Auswirkung und Eintrittsmöglichkeit nach festgelegten Kriterien einordnen.
4. Risiko behandeln: Das Risiko vermeiden, reduzieren, übertragen oder bewusst akzeptieren.
5. Wirksamkeit prüfen: Kontrollieren, ob die Maßnahme umgesetzt wurde und das Risiko tatsächlich begrenzt.

Eine umfangreiche Risikoliste allein ist noch kein funktionierendes ISMS. Zu jedem wesentlichen Risiko braucht es eine Entscheidung, einen Verantwortlichen, einen Zieltermin und einen Status. Akzeptierte Risiken müssen ebenfalls begründet und von der zuständigen Stelle getragen werden.

Wie wird ein ISMS eingeführt?

Die Einführung beginnt mit Auftrag und Unterstützung der Leitung. Danach werden Scope, Sicherheitsziele und Risikomethode festgelegt, vorhandene Kontrollen bewertet und Lücken priorisiert. Richtlinien sollten reale Abläufe beschreiben und nicht aus Vorlagen übernommen werden, die im Unternehmen niemand befolgt. Schulung, Incident-Prozess, Lieferantensteuerung und interne Prüfung gehören ebenso zur Umsetzung wie Firewalls oder ein belastbares Schwachstellenmanagement.

ISMS und ISO 27001

ISO/IEC 27001 legt prüfbare Anforderungen an ein ISMS fest. Ein Unternehmen kann ein ISMS auch ohne Zertifizierung betreiben. Umgekehrt bezieht sich ein Zertifikat immer auf den angegebenen Scope und bedeutet nicht, dass jede Anwendung frei von Schwachstellen ist. Andere Rahmenwerke wie der IT-Grundschutz können bei Auswahl und Ausgestaltung konkreter Maßnahmen helfen. Regulatorische Anforderungen wie NIS2 können zusätzlich bestimmen, welche Organisationen bestimmte Risikomanagement- und Meldepflichten erfüllen müssen.

Woran erkennt man ein wirksames ISMS?

Ein wirksames ISMS liefert aktuelle Entscheidungen statt nur Dokumente für das nächste Audit. Verantwortliche kennen ihre Risiken, Maßnahmen haben einen überprüfbaren Status und Vorfälle führen zu Verbesserungen. Geeignete Kennzahlen können etwa überfällige kritische Maßnahmen, Zeit bis zur Bearbeitung von Vorfällen oder den Anteil geprüfter Lieferanten zeigen. Entscheidend ist nicht eine möglichst große Zahl an Richtlinien, sondern ob das System Risiken dauerhaft sichtbar und steuerbar macht.