Einzelne Schutzmaßnahmen wie Firewall, Virenschutz oder Backup sind wichtig. Sie sagen aber noch nichts darüber aus, ob ein Unternehmen seine Risiken kennt, Prioritäten richtig setzt und Lücken rechtzeitig bemerkt. Ein ISMS schafft dafür den organisatorischen Rahmen. Es ist kein Softwareprodukt, sondern ein Managementsystem, vergleichbar mit einem Qualitätsmanagementsystem.
Der bekannteste Standard für ein ISMS ist ISO/IEC 27001. Daneben ist besonders in Deutschland der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) verbreitet. Auch Regelwerke wie NIS2 verlangen Risikomanagementmaßnahmen, die sich mit einem ISMS strukturiert umsetzen und nachweisen lassen.
Wie funktioniert ein ISMS?
Ein ISMS wird meist als Kreislauf beschrieben, angelehnt an das Modell Plan-Do-Check-Act:
- Planen: Geltungsbereich festlegen, Informationswerte erfassen, Risiken bewerten und Maßnahmen auswählen, siehe IT-Risikoanalyse.
- Umsetzen: Maßnahmen einführen, Richtlinien in Kraft setzen, Mitarbeitende schulen.
- Überprüfen: Wirksamkeit messen, interne Audits durchführen, Vorfälle auswerten.
- Verbessern: Abweichungen korrigieren und das System anpassen.
Getragen wird das ISMS von der Geschäftsleitung, die Ziele und Ressourcen festlegt. Operativ koordiniert es meist eine Informationssicherheitsbeauftragte oder ein Informationssicherheitsbeauftragter. Zentrale Dokumente sind eine Sicherheitsleitlinie, die Risikobewertung und ein Maßnahmenplan.
Typische Beispiele
- Ein Zulieferer führt ein ISMS ein, weil große Auftraggeber einen Nachweis der Informationssicherheit verlangen.
- Ein Unternehmen, das unter NIS2 fällt, organisiert Risikomanagement, Zuständigkeiten und Nachweise über sein ISMS.
- Nach einem Sicherheitsvorfall wird über das ISMS analysiert, welche Maßnahme nicht gegriffen hat, und der Maßnahmenplan angepasst.
Worauf Unternehmen achten sollten
- Den Geltungsbereich realistisch wählen und schrittweise erweitern.
- Die Geschäftsleitung aktiv einbinden, denn ohne ihre Unterstützung bleibt ein ISMS auf dem Papier.
- Die Dokumentation schlank halten und auf das tatsächlich Gelebte ausrichten.
- Die Wirksamkeit an wenigen aussagekräftigen Kennzahlen messen, etwa am Stand offener Maßnahmen oder an den Ergebnissen von Übungen.
- Bestehende Abläufe wie Change Management, Datenschutz und Notfallplanung einbinden, statt Parallelstrukturen aufzubauen.
Abgrenzung
Ein ISMS schützt alle Informationen eines Unternehmens, also auch Konstruktionspläne, Verträge oder Preiskalkulationen. Der Datenschutz nach DSGVO betrifft dagegen nur personenbezogene Daten. Beide überschneiden sich stark: Viele technische und organisatorische Maßnahmen, die der Datenschutz verlangt, lassen sich direkt aus einem funktionierenden ISMS ableiten.
Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.
NIS2 Cockpit ansehen