ISMS – Informationssicherheits-Managementsystem

Abkürzung: ISMS

Ein Informationssicherheits-Managementsystem ist das Verfahren, mit dem eine Organisation Informationssicherheit plant, umsetzt, überprüft und verbessert. Es umfasst Leitlinien, Zuständigkeiten, Prozesse und Nachweise — nicht die Schutzmaßnahmen selbst.

Der Unterschied ist entscheidend und wird oft eingeebnet: Eine Firewall ist eine Maßnahme. Die Festlegung, wer entscheidet, ob sie gebraucht wird, wer ihre Regeln freigibt und wann das überprüft wird, gehört zum ISMS.

Warum es organisatorisch ist

Technische Sicherheit ist käuflich, Informationssicherheit nicht. Der Grund liegt in drei Eigenschaften, die sich durch kein Produkt lösen lassen:

Sicherheit ist eine Abwägung. Vollständiger Schutz ist weder bezahlbar noch arbeitsfähig. Jemand muss entscheiden, welches Restrisiko getragen wird — und diese Entscheidung muss von jemandem getroffen werden, der sie verantworten darf.

Sicherheit verfällt. Systeme ändern sich, Bedrohungen auch. Ein einmal erstelltes Sicherheitskonzept ist nach zwei Jahren überwiegend Fiktion, wenn niemand es fortschreibt.

Sicherheit muss nachweisbar sein. Gegenüber Kunden, Prüfern und zunehmend gegenüber Aufsichtsbehörden genügt es nicht, sicher zu sein. Man muss zeigen können, wie man darauf gekommen ist.

Ein ISMS kauft deshalb keine Sicherheit. Es macht Entscheidungen nachvollziehbar und sorgt dafür, dass sie wiederkehren.

Der Regelkreis

Alle gängigen Modelle beschreiben denselben Zyklus:

Der vierte Schritt ist der, an dem die meisten Systeme scheitern. Ein ISMS, dessen Leitung einmal im Jahr eine Vorlage abzeichnet, ohne dass sich daraus etwas ändert, erfüllt die Form und nicht den Zweck.

Was dazugehört

Geltungsbereich. Welche Standorte, Systeme und Prozesse erfasst sind — und welche nicht. Ein zu eng gezogener Bereich macht die Zertifizierung einfach und die Aussage wertlos.

Leitlinie. Die von der Leitung verabschiedete Grundsatzaussage, woran sich Entscheidungen ausrichten.

Rollen. Vor allem die oder der Informationssicherheitsbeauftragte, mit Berichtsweg zur Leitung und ohne Interessenkonflikt gegenüber dem IT-Betrieb.

Risikomanagement. Werte ermitteln, Bedrohungen bewerten, Maßnahmen wählen, Restrisiken dokumentieren und annehmen.

Nachweise. Protokolle, Auditberichte, Schulungsnachweise, Vorfalldokumentation. Was nicht aufgezeichnet ist, hat für einen Prüfer nicht stattgefunden.

Die zwei Wege

Im deutschsprachigen Raum stehen zwei Rahmenwerke zur Wahl, die sich nicht ausschließen:

ISO/IEC 27001 beschreibt die Anforderungen an das Managementsystem und lässt offen, welche Maßnahmen angemessen sind. International anerkannt, verbreitet als Nachweis gegenüber Kunden.

IT-Grundschutz des BSI liefert zusätzlich einen ausgearbeiteten Maßnahmenkatalog. Aufwendiger, dafür ohne die Startfrage, was denn nun zu tun sei.

Eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz verbindet beides.

Verhältnis zur Regulierung

Kein Gesetz schreibt ein zertifiziertes ISMS vor. Trotzdem führt praktisch jeder Weg dorthin: Das BSI-Gesetz verlangt in § 30 Risikomanagementmaßnahmen und in § 38 eine überwachende Leitung, Betreiber kritischer Anlagen müssen die Erfüllung nach § 39 periodisch nachweisen.

Diese Anforderungen lassen sich ohne geordnetes Managementsystem nicht dauerhaft erfüllen — nicht weil es verboten wäre, sondern weil der Nachweis sonst jedes Mal von vorn erbracht werden müsste.

Abgrenzung

Sicherheitskonzept. Ein Dokument, das einen Zustand beschreibt. Das ISMS ist der Prozess, der dieses Dokument hervorbringt und aktuell hält.

ISMS-Software. Werkzeuge zur Verwaltung von Assets, Risiken und Nachweisen. Hilfreich ab einer gewissen Größe, aber ein Werkzeug ersetzt kein Managementsystem — es verwaltet dessen Ergebnisse.

Datenschutzmanagement. Verfolgt den Schutz personenbezogener Daten als Selbstzweck. Das ISMS schützt Informationen im Interesse der Organisation. Die Maßnahmen überschneiden sich weitgehend, die Zielrichtung nicht.

Normen

• ISO/IEC 27001 – Informationssicherheits-Managementsysteme: Anforderungen
• ISO/IEC 27002 – Leitfaden für Maßnahmen der Informationssicherheit
• BSI-Standard 200-1 – Managementsysteme für Informationssicherheit