Ein ISMS aufbauen

Wer ein ISMS aufbauen soll, beginnt fast immer mit der falschen Frage: Welche Maßnahmen brauchen wir? Die richtige Reihenfolge ist umgekehrt. Erst steht fest, was geschützt werden soll und wovor – danach ergeben sich die Maßnahmen von selbst, und zwar begründet statt geraten.

Was ein Managementsystem im laufenden Betrieb leistet, steht unter Informationssicherheitsmanagementsystem; welcher Standard passt, unter ISMS-Beratung. Diese Seite beschreibt den Weg dorthin.

Schritt 1 – Auftrag der Leitung

Ohne einen ausdrücklichen Beschluss der Geschäftsführung endet das Vorhaben in der IT-Abteilung. Das ist der häufigste Grund, warum ein ISMS aufbauen scheitert: Die Bereiche, in denen Informationen tatsächlich entstehen – Vertrieb, Personal, Einkauf, Entwicklung –, fühlen sich nicht angesprochen.

Der Beschluss muss drei Dinge festlegen: das Ziel (Zertifizierung oder nur Nachweisfähigkeit), das Budget und die Person, die verantwortlich ist. Wer diese Rolle nicht besetzen kann oder will, vergibt sie nach außen – siehe externer Informationssicherheitsbeauftragter, ab 257 € im Monat.

Schritt 2 – Geltungsbereich festlegen

Der Geltungsbereich entscheidet über den gesamten Aufwand. Er beschreibt, welche Standorte, Prozesse, Systeme und Organisationseinheiten erfasst sind.

Die Versuchung, alles hineinzunehmen, ist groß und meist ein Fehler. Ein enger, sauber begründeter Bereich – etwa ein Standort und die Prozesse, die Kundendaten verarbeiten – ist zertifizierbar und in Monaten zu erreichen. Ein zu weiter Bereich führt dazu, dass Dokumentation entsteht, die niemand pflegt.

Ausschlüsse sind zulässig, müssen aber begründet werden. „Die Produktion lassen wir weg” genügt nicht; „die Produktion verarbeitet keine der im Werteverzeichnis erfassten Informationen” schon.

Schritt 3 – Werte erfassen

Jetzt wird aufgeschrieben, was es zu schützen gibt: Informationen, Systeme, Anwendungen, Dienstleister, teils auch Räume und Geräte. Für jeden Wert wird festgehalten, wer dafür zuständig ist und wie schutzbedürftig er hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit ist.

Dieser Schritt wird gern übersprungen und rächt sich später doppelt. Ohne Werteverzeichnis lässt sich weder eine Risikobewertung führen noch beim Audit erklären, warum eine Maßnahme getroffen wurde – und warum eine andere unterblieb.

Wo bereits ein Verarbeitungsverzeichnis nach Art. 30 DSGVO existiert, ist ein erheblicher Teil der Arbeit getan. Beide Verzeichnisse verfolgen unterschiedliche Zwecke, greifen aber auf dieselbe Bestandsaufnahme zurück.

Schritt 4 – Risiken bewerten

Für jeden Wert wird betrachtet, was ihm zustoßen kann, wie wahrscheinlich das ist und was es kosten würde. Aus Eintrittswahrscheinlichkeit und Schadenshöhe ergibt sich eine Einstufung, aus der Einstufung die Entscheidung: vermindern, übertragen, vermeiden oder bewusst tragen.

Die vierte Möglichkeit ist die am meisten unterschätzte. Ein Restrisiko zu akzeptieren ist zulässig – vorausgesetzt, die Entscheidung ist dokumentiert und von der richtigen Ebene getroffen. Genau danach wird im Audit gefragt.

Wie eine tragfähige Bewertung entsteht, steht unter Risikomanagement im ISMS.

Schritt 5 – Maßnahmen und Richtlinien

Erst jetzt kommen die Maßnahmen – und sie folgen aus der Bewertung, nicht aus einem Katalog. Bei ISO 27001 wird das Ergebnis in der Anwendbarkeitserklärung festgehalten: Für jede Maßnahme des Anhangs A steht dort, ob sie umgesetzt ist und, wenn nicht, warum nicht.

Parallel entstehen die Regelungen, an die sich die Belegschaft halten soll: Umgang mit Passwörtern und mobilen Geräten, Klassifizierung von Informationen, Verhalten bei Vorfällen, Anforderungen an Dienstleister. Kurz und lesbar schlägt vollständig und ungelesen.

Die Wirksamkeit gegenüber Angriffen prüfen Sie am besten praktisch: mit einer Phishing-Simulation und einem Website-Pentest.

Schritt 6 – Schulung und Betrieb

Ein System, das niemand kennt, wirkt nicht. Die Belegschaft braucht eine Grundschulung und Auffrischungen, dokumentiert mit Teilnahmenachweis – zu erledigen über Security Awareness und Phishing-Awareness.

Zum Betrieb gehört außerdem der Notfall. Was passiert, wenn ein zentrales System ausfällt, gehört in ein Notfallkonzept und muss geübt werden – siehe Notfallübungen.

Schritt 7 – Internes Audit und Managementbewertung

Vor der Zertifizierung prüft die Organisation sich selbst. Das interne Audit stellt fest, ob das, was aufgeschrieben wurde, auch gelebt wird. Die Managementbewertung ist der formale Termin, in dem die Leitung Kennzahlen, Vorfälle, Auditergebnisse und offene Maßnahmen betrachtet und über die Weiterentwicklung entscheidet.

Beides sind keine Formalien: Es sind die beiden Nachweise, deren Fehlen ein Zertifizierungsaudit am zuverlässigsten scheitern lässt.

Danach beginnt der Kreislauf erneut – planen, umsetzen, prüfen, verbessern. Ein ISMS ist an dem Tag fertig, an dem es abgeschaltet wird.

Was das kostet und wie lange es dauert

Der Zeitbedarf hängt fast ausschließlich am Geltungsbereich und daran, wie viel Dokumentation bereits existiert. Eine belastbare Schätzung entsteht nach der ersten Bestandsaufnahme, nicht davor.

Die Kostenrahmen der drei Wege stehen getrennt bereit: ISO 27001, VdS 10000 und TISAX. Geführt wird das System in der ISMS-Software, in der Werte, Risiken, Maßnahmen und Nachweise zusammenlaufen.

Kontakt

Sie wollen wissen, wie groß der Geltungsbereich bei Ihnen sinnvollerweise ist? Das ist die erste Frage, und sie lässt sich im Erstgespräch beantworten.