IT-Sicherheit
ISMS nach ISO 27001: Was ist das und wie funktioniert es?
Ein ISMS, kurz für Informationssicherheits-Managementsystem, ist ein festgelegtes Vorgehen, mit dem ein Unternehmen seine Informationssicherheit plant, umsetzt, überprüft und verbessert. ISO/IEC 27001 ist der international anerkannte Standard, der beschreibt, welche Anforderungen ein solches System erfüllen muss.
Ein ISMS ist vor allem eine Frage der Organisation. Technik spielt eine Rolle, aber im Mittelpunkt stehen klare Zuständigkeiten, dokumentierte Entscheidungen und regelmäßige Kontrolle.
Wie ist ein ISMS nach ISO 27001 aufgebaut?
Ein ISMS nach ISO/IEC 27001 beginnt mit dem Anwendungsbereich: Welche Standorte, Abteilungen, Prozesse und Systeme sollen erfasst werden? Danach folgt die Risikobeurteilung. Das Unternehmen ermittelt, welche Informationen schützenswert sind, welche Bedrohungen bestehen und wie wahrscheinlich und schwerwiegend ein Schaden wäre.
Aus den Risiken leiten sich Maßnahmen ab. Der Anhang A der Norm enthält dafür einen Katalog von Sicherheitsmaßnahmen, zum Beispiel zu Zugriffsrechten, Backup, Lieferantenbeziehungen oder Sensibilisierung der Mitarbeitenden. Das Unternehmen dokumentiert, welche Maßnahmen es anwendet und warum es andere ausschließt.
Wichtig sind außerdem feste Verantwortlichkeiten. Die Geschäftsleitung muss das ISMS tragen, Ressourcen bereitstellen und Ziele festlegen. Meist gibt es eine Person, die das ISMS koordiniert, oft als Informationssicherheitsbeauftragte oder Informationssicherheitsbeauftragter bezeichnet.
Ein ISMS ist nie fertig. Die Norm folgt dem Prinzip der kontinuierlichen Verbesserung, häufig als PDCA-Zyklus beschrieben: planen, umsetzen, prüfen, verbessern. In der Praxis heißt das: Risiken werden regelmäßig neu bewertet, interne Audits prüfen, ob die Regeln eingehalten werden, und die Geschäftsleitung bewertet das System in einer Managementbewertung. Erkenntnisse aus Sicherheitsvorfällen fließen zurück in neue oder angepasste Maßnahmen.
Zertifizierung oder Orientierung am Standard?
Unternehmen können ein ISMS nach ISO/IEC 27001 aufbauen, ohne sich zertifizieren zu lassen. Die Orientierung am Standard bringt bereits Struktur und Nachvollziehbarkeit.
Eine Zertifizierung bestätigt durch eine unabhängige, akkreditierte Stelle, dass das ISMS die Anforderungen der Norm erfüllt. Das Zertifikat gilt in der Regel drei Jahre, mit jährlichen Überwachungsaudits. Sinnvoll ist eine Zertifizierung vor allem, wenn Kunden, Ausschreibungen oder Branchenregeln einen Nachweis verlangen. Sie verursacht aber zusätzlichen Aufwand für Audits und Dokumentation.
ISO 27001 und BSI IT-Grundschutz: der Unterschied
Der IT-Grundschutz des BSI, des Bundesamts für Sicherheit in der Informationstechnik, verfolgt dasselbe Ziel wie ISO/IEC 27001. Der Ansatz unterscheidet sich jedoch. ISO/IEC 27001 gibt einen Rahmen vor und lässt dem Unternehmen viel Freiheit bei der Auswahl der Maßnahmen auf Basis seiner Risikobeurteilung. Der IT-Grundschutz liefert mit dem IT-Grundschutz-Kompendium sehr konkrete Anforderungen für typische Systeme und Prozesse.
Der IT-Grundschutz ist mit ISO/IEC 27001 vereinbar. Es gibt eine eigene Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz. Der IT-Grundschutz ist besonders in Behörden und im öffentlichen Umfeld verbreitet. International und in der Privatwirtschaft ist die reine ISO-Zertifizierung häufiger anzutreffen.
Wie aufwendig ist ein ISMS für den Mittelstand?
Der Aufwand hängt vor allem vom Anwendungsbereich, vom Reifegrad der vorhandenen IT und von der Frage ab, ob eine Zertifizierung angestrebt wird. Unternehmen mit dokumentierter IT, klaren Rollen und bestehenden Sicherheitsmaßnahmen kommen schneller voran.
Für die Einführung sollten Sie mit mehreren Monaten rechnen. Danach entsteht laufender Aufwand für Risikobewertungen, Audits, Schulungen und die Pflege der Dokumentation. Ein klar abgegrenzter Anwendungsbereich hält diesen Aufwand überschaubar.
So unterstützt S.WERK beim ISMS
S.WERK ist selbst nach ISO/IEC 27001 zertifiziert und kennt die Anforderungen aus eigener Praxis. Wir unterstützen bei der Bestandsaufnahme, bei der Umsetzung technischer Maßnahmen und im laufenden IT-Betrieb, der für das ISMS dokumentiert werden muss.
Mehr dazu: IT-Security bei S.WERK · IT-Beratung und Projekte
Häufige Fragen
Was bedeutet ISMS?
ISMS steht für Informationssicherheits-Managementsystem. Gemeint sind Regeln, Zuständigkeiten und Abläufe, mit denen ein Unternehmen seine Informationssicherheit steuert und laufend verbessert.
Ist eine ISO-27001-Zertifizierung Pflicht?
Gesetzlich ist sie für die meisten Unternehmen nicht vorgeschrieben. Kunden, Ausschreibungen oder Branchenvorgaben können aber einen Nachweis verlangen.
Wie lange ist ein ISO-27001-Zertifikat gültig?
In der Regel drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt, danach folgt ein Rezertifizierungsaudit.
Was ist besser: ISO 27001 oder BSI IT-Grundschutz?
Beides führt zu einem ISMS. ISO/IEC 27001 ist flexibler und international verbreitet, der IT-Grundschutz gibt konkretere Maßnahmen vor und ist vor allem im öffentlichen Bereich üblich.
Wie sieht das bei Ihnen aus?
Wie das bei Ihnen aussieht, klären wir am besten im Gespräch. Wir sagen Ihnen, was davon für Ihren Betrieb wichtig ist.