Was ist ein ISMS? Das Managementsystem hinter der Norm ISO 27001

Ein ISMS – kurz für „Informationssicherheits-Managementsystem“ – ist die Gesamtheit aus Richtlinien, Prozessen, Rollen und Kontrollmaßnahmen, mit denen eine Organisation ihre Informationssicherheitsrisiken gezielt steuert. Damit legen Sie fest, was geschützt werden muss, wer dafür verantwortlich ist, welche Maßnahmen gelten und wie Sie überprüfen, ob alles wie vorgesehen funktioniert. Der Begriff „System“ sorgt hier für Verwirrung: Ein ISMS ist eine Arbeitsweise und kein Programm, das man installiert.

Diese Unterscheidung ist wichtiger, als es zunächst klingt, denn sie bestimmt, was Sie letztendlich kaufen und was Sie letztendlich aufbauen. Im Folgenden gehen wir darauf ein, warum dieses Missverständnis in Bezug auf die Software so hartnäckig ist, woraus ein ISMS eigentlich besteht, in welchem Zusammenhang es mit ISO 27001 und NEN 7510 steht, wie man ein solches System einrichtet und an welcher Stelle die meisten Projekte still und leise ins Stocken geraten.

Ein ISMS ist keine Software

Wenn Sie nach „ISMS“ suchen, werden Sie zahlreiche Tools finden, die versprechen, genau das zu sein. Sie sind nützlich, und ein gutes Tool spart tatsächlich Zeit bei der Dokumentenverwaltung, der Führung von Risikoregistern und der Sammlung von Nachweisen. Doch das Tool ist lediglich der Aktenschrank, nicht das System. Eine Organisation mit einem makellosen Tool, aber ohne funktionierende Prozesse verfügt über eine sehr ordentliche Dokumentation all der Dinge, die sie in Wirklichkeit gar nicht tut.

Der Grund, warum die Verwirrung anhält, liegt darin, dass ein ISMS weitgehend unsichtbar ist. Man kann nicht darauf zeigen, so wie man auf eine Firewall zeigen kann. Was man jedoch aufzeigen kann, sind seine Ergebnisse: eine Risikobewertung, die aktualisiert wird, eine Reihe von Richtlinien, an die sich die Mitarbeiter tatsächlich halten, Schulungsnachweise, Protokolle einer Managementbewertung, ein internes Audit, bei dem etwas festgestellt wurde und das zu einer Änderung geführt hat. Ein Auditor sucht genau nach diesen Spuren, denn sie sind der einzige Beweis dafür, dass das System tatsächlich funktioniert und nicht nur auf dem Papier steht.

Woraus ein ISMS eigentlich besteht

Die folgenden Komponenten sind in praktisch jedem Framework zu finden, unabhängig davon, ob Sie eine Zertifizierung anstreben oder nicht. Zusammen bilden sie eher einen Kreislauf als eine Checkliste: Jeder Teil fließt in den nächsten ein, und der Kreislauf wiederholt sich.

• Geltungsbereich. Welche Teile der Organisation, welche Standorte, welche Systeme und welche Informationen werden vom System abgedeckt? Ein zu weit gefasster Geltungsbereich bremst das Projekt aus; ein zu eng gefasster Geltungsbereich deckt die wesentlichen Risiken nicht ab.
• Risikobewertung und -behandlung. Es geht darum, zu ermitteln, was schiefgehen könnte, wie wahrscheinlich dies ist und wie groß der Schaden wäre, und für jedes Risiko zu entscheiden, ob man es mindert, akzeptiert, überträgt oder vermeidet. Wie man dies in der Praxis umsetzt, wird in unserem Leitfaden zur Risikoanalyse nach ISO 27001 behandelt.
• Richtlinien und Verfahren. Die schriftlichen Vorschriften zu Zugriff, Passwörtern, Lieferanten, Vorfällen, Geräten und dem Umgang mit Daten. Sie sind nur dann von Bedeutung, wenn die Mitarbeiter sie finden und im Arbeitsalltag anwenden können.
• Rollen und Zuständigkeiten. Wer ist für welches Risiko verantwortlich, wer genehmigt Ausnahmen, wer berichtet was an die Geschäftsleitung? Nicht zugewiesene Zuständigkeiten sind der häufigste Befund bei jeder Prüfung.
• Kontrollmaßnahmen. Die konkreten Maßnahmen, die die von Ihnen identifizierten Risiken mindern – sowohl technischer als auch organisatorischer Art.
• Bewusstsein und Kompetenz. Es muss sichergestellt werden, dass die betroffenen Personen wissen, was von ihnen erwartet wird, und dies auch unter Beweis stellen können. Dies ist eine Anforderung, kein nettes Extra.
• Überwachung, interne Revision und Managementbewertung. Dabei wird überprüft, ob die Maßnahmen greifen, ob die Feststellungen weiterverfolgt werden und ob die Führungskräfte das Gesamtbild regelmäßig überprüfen und über notwendige Änderungen entscheiden.
• Kontinuierliche Verbesserung. Der Plan-Do-Check-Act-Zyklus, der das System in Bewegung hält, anstatt es zum Zeitpunkt der Zertifizierung einzufrieren.

Inwiefern steht ein ISMS im Zusammenhang mit ISO 27001 und NEN 7510?

ISO 27001 ist die internationale Norm, die die Anforderungen an ein ISMS festlegt. Das ist der entscheidende Punkt: Die Norm beschreibt das Managementsystem, nicht eine Liste von Produkten. Ihre Abschnitte decken den oben dargestellten Kreislauf ab, vom Geltungsbereich und der Führungsebene über die Risikobewertung bis hin zur internen Revision und zum Management-Review. Eine Zertifizierung bedeutet, dass ein externer Auditor festgestellt hat, dass Ihr System diese Anforderungen erfüllt und in der Praxis funktioniert.

Neben diesen Klauseln gibt es Anhang A, einen Katalog von Kontrollmaßnahmen, aus denen Sie auf der Grundlage Ihrer eigenen Risikobewertung auswählen und Ihre Entscheidungen sowie Ihre Begründung in einer Anwendbarkeitserklärung festhalten. Die Leitlinien zur Umsetzung dieser Kontrollmaßnahmen finden sich in der begleitenden Norm ISO 27002, und der Unterschied zwischen den beiden Normen wird in unserem Artikel über den Unterschied zwischen ISO 27001 und ISO 27002 erläutert. Sie sind nicht verpflichtet, jede Kontrollmaßnahme anzuwenden; Sie müssen jedoch Ihre Auswahl begründen.

Im niederländischen Gesundheitswesen findet sich derselbe Ansatz in der Norm NEN 7510 wieder, die auf der ISO-Struktur aufbaut und spezifische Anforderungen in Bezug auf Patientendaten hinzufügt. Auch Organisationen, die in den Anwendungsbereich der NIS2 fallen, werden dieses Muster erkennen: Die Richtlinie verlangt Risikomanagementmaßnahmen und nachweisbare Schulungen – genau das, was ein funktionierendes ISMS als Nebenprodukt hervorbringt.

Einführung eines ISMS in sechs Schritten

1. Sorgen Sie dafür, dass sich die Führungsspitze schriftlich und im Haushalt dazu verpflichtet. Ein ISMS legt die Zuständigkeiten im gesamten Unternehmen fest. Ohne sichtbare Verantwortung auf höchster Ebene wird es zum Nebenprojekt einer einzelnen Person, und solche Projekte überstehen ein arbeitsreiches Quartal meist nicht.
2. Legen Sie den Umfang ehrlich fest. Halten Sie schriftlich fest, was darin enthalten ist und was nicht – und warum. Etwas auszuschließen, ist vertretbar; eine unbemerkte Lücke während eines Audits zu entdecken, hingegen nicht.
3. Führen Sie die Risikobewertung durch, bevor Sie Kontrollmaßnahmen auswählen. Die Reihenfolge ist entscheidend. Wenn Kontrollmaßnahmen zuerst ausgewählt und erst danach begründet werden, entsteht ein System, das eher das schützt, was praktisch ist, als das, was ein Risiko darstellt.
4. Formulieren Sie Richtlinien, an die sich die Mitarbeiter halten können. Sie sollten kurz, konkret und auf die tatsächlichen Arbeitsabläufe abgestimmt sein. Eine Richtlinie, die im Widerspruch zur täglichen Praxis steht, vermittelt den Mitarbeitern den Eindruck, dass die Regeln nur zur Zierde da sind.
5. Schulen Sie die betroffenen Mitarbeiter und dokumentieren Sie dies. Jeder muss die für ihn geltenden Regeln kennen, und Sie müssen nachweisen können, dass die Schulung stattgefunden hat und der Lernstoff verstanden wurde. Unsere Sensibilisierungsschulung zu ISO 27001 ist genau auf diese Anforderung ausgerichtet.
6. Prüfen, überprüfen, anpassen. Führen Sie ein internes Audit durch, legen Sie die Ergebnisse bei einer Managementbewertung vor und nehmen Sie daraufhin entsprechende Änderungen vor. Genau diesen letzten Punkt überprüft ein externer Auditor: nicht, ob Sie Probleme festgestellt haben, sondern ob deren Feststellung zu Veränderungen geführt hat. Was ein solches Audit beinhaltet, wird in unserem Artikel zum Thema „Was ist ein Audit?“ beschrieben.

Wo die meisten ISMS-Projekte ins Stocken geraten

Nicht bei der Technik und nur selten bei der Verwaltung. Die meisten Unternehmen können innerhalb weniger Wochen Richtlinien erstellen. Die Schwierigkeiten beginnen an dem Punkt, an dem das System Menschen erreichen muss, die nie darum gebeten haben: den Kollegen, der sich ein Login teilt, weil die Umgehungslösung schneller ist; den Vorgesetzten, der eine Ausnahme per Chat genehmigt; den neuen Mitarbeiter, der das Einarbeitungsmodul nie gesehen hat.

Prüfer bemerken dies schnell, da ihre Fragen eher auf die Praxis als auf Dokumente abzielen. Nicht „Haben Sie eine Zugriffsrichtlinie?“, sondern „Zeigen Sie mir, wie jemandem, der letzten Monat das Unternehmen verlassen hat, der Zugriff entzogen wurde“. Nicht „Schulen Sie Ihre Mitarbeiter?“, sondern „Zeigen Sie mir, wer in welchen Bereichen geschult wurde und was Sie mit denjenigen unternommen haben, die die Schulung nicht abgeschlossen haben“. Wenn die Antwort eine unterschriebene Anwesenheitsliste einer jährlichen Schulung ist, existiert das System nur auf Papier.

Die Organisationen, die diese Phase problemlos meistern, betrachten das Sensibilisierungsmanagement als fortlaufenden Prozess und nicht als einmaliges jährliches Ereignis. Kurze, regelmäßig stattfindende Schulungen sorgen für einen kontinuierlichen Strom von Aufzeichnungen, halten die Regeln im Bewusstsein der Mitarbeiter präsent und verwandeln die Sensibilisierungsklausel von einer hektischen Vorbereitungsphase vor dem Audit in einen sich selbst tragenden Prozess.

Wie Guardey den menschlichen Aspekt Ihres ISMS unterstützt

Die Schulungen zur Sensibilisierung für Sicherheitsfragen von Guardey decken genau den Teil eines ISMS ab, der am schwierigsten nachzuweisen ist: wöchentliche Herausforderungen von etwa drei Minuten Dauer, Gamification mit Bestenlisten und Serien sowie Inhalte, die der aktuellen Bedrohungslage entsprechen. Die Mitarbeiter absolvieren die Schulungen über die mobile App für iOS und Android oder im Browser, sodass auch Kollegen ohne festen Arbeitsplatz einbezogen werden.

Beim ISMS selbst steht die Berichterstattung im Vordergrund. Teilnahme, Ergebnisse und Fortschritte der einzelnen Teams lassen sich als auditfähige Nachweise für ISO 27001, NEN 7510 und NIS2 exportieren, und integrierte Phishing-Simulationen zeigen das Verhalten der Mitarbeiter statt nur deren Anwesenheit. Die Einrichtung dauert nur wenige Minuten, und mehr als 500 Organisationen arbeiten bereits auf diese Weise, darunter auch das Europäische Parlament.

Häufig gestellte Fragen zum ISMS

Ist ein ISMS vorgeschrieben?

Nicht an sich. Was jedoch zunehmend vorgeschrieben ist, ist das Ergebnis: NIS2 verlangt angemessene Risikomanagementmaßnahmen und nachweisbare Schulungen, Gesundheitsdienstleister arbeiten nach NEN 7510, und Kunden sowie Versicherer verlangen entsprechende Nachweise. Ein ISMS ist die bewährtesten Methode, dies zu organisieren, und eine Zertifizierung ist der Weg, dies gegenüber Dritten nachzuweisen.

Benötigt man eine Zertifizierung nach ISO 27001, um über ein ISMS zu verfügen?

Nein. Viele Organisationen betreiben ein ISMS nach ISO-Richtlinien, ohne jemals einen Auditor hinzuzuziehen, da ihnen die Struktur wichtiger ist als das Zertifikat. Eine Zertifizierung lohnt sich erst dann, wenn Kunden sie verlangen, wenn sie in Ausschreibungen vorgeschrieben ist oder wenn man eine externe Instanz benötigt, die dafür sorgt, dass man sich an die Regeln hält.

Wie lange dauert die Einrichtung eines ISMS?

Für eine kleine Organisation mit klar definiertem Umfang ist eine mehrmonatige Teilzeitarbeit vor einem ersten internen Audit realistisch. Ausschlaggebend für den Zeitplan ist selten die schriftliche Ausarbeitung, sondern vielmehr, wie schnell Entscheidungen über den Umfang, die Risikoakzeptanz und die Zuständigkeiten getroffen werden.

Wer sollte für das ISMS verantwortlich sein?

Jemand, der über genügend Autorität verfügt, um Entscheidungen durchzusetzen, und der von denjenigen unterstützt wird, die die jeweiligen Risiken tragen. Es ist ein häufiger Fehler, diese Verantwortung vollständig der IT zu übertragen: Ein Großteil eines ISMS betrifft Verträge, Personalprozesse und das Lieferantenmanagement – Bereiche, in denen ein IT-Team keinen Einfluss hat.

Ein ISMS macht sich in dem Moment bezahlt, in dem es eine Entscheidung verändert: ein Lieferant, dem eine Frage gestellt wird, die zuvor nicht gestellt worden wäre; eine Ausnahme, die dokumentiert statt vergessen wird; ein Risiko, für das ein Verantwortlicher bestimmt wird. Alles andere – die Dokumente, die Hilfsmittel und letztendlich das Zertifikat – ist nur Nebensache.