Ein ISMS aufbauen: In welcher Reihenfolge Sie vorgehen

Was ein ISMS ist — und was es nicht ist

Ein Informationssicherheits-Managementsystem ist kein Programm, das man installiert, und keine Sammlung von Richtlinien, die man einmal schreibt. Es ist der organisatorische Rahmen, in dem Ihr Unternehmen entscheidet, welche Informationen schützenswert sind, welche Risiken es trägt und welche Maßnahmen es dagegen ergreift — und in dem es diese Entscheidungen regelmäßig überprüft.

Die ISO 27001 beschreibt diesen Rahmen in den Kapiteln 4 bis 10. Sie schreibt dabei bemerkenswert wenig konkrete Technik vor. Was sie verlangt, sind Entscheidungen, die begründet und nachweisbar sind: Wer verantwortet die Informationssicherheit, was gehört zum Anwendungsbereich, welches Risiko wird akzeptiert, wie wird die Wirksamkeit überprüft.

Das ist auch der Grund, warum Projekte scheitern, die mit einer Maßnahmenliste beginnen: Ohne Anwendungsbereich und Risikobeurteilung lässt sich nicht begründen, warum gerade diese Maßnahmen die richtigen sind. Im Audit wird genau danach gefragt.

Schritt 1: Den Anwendungsbereich festlegen

Der Anwendungsbereich beantwortet die Frage, wofür das ISMS gilt: welche Organisationseinheiten, welche Standorte, welche Prozesse und welche Informationswerte. Die Norm verlangt ihn als dokumentierte Information, und er ist die Grundlage für alles Weitere.

Er muss nicht die ganze Organisation umfassen. Ein kleinerer, sauber abgegrenzter Bereich ist zertifizierbar — etwa ein Rechenzentrumsbetrieb oder eine Produktlinie. Entscheidend ist, dass der Zuschnitt begründet und die Schnittstellen nach außen beschrieben sind. Wo Daten den Bereich verlassen oder Dienstleister hineinreichen, muss klar sein, wie damit umgegangen wird.

Vor der Festlegung stehen zwei Vorarbeiten, die die Norm ebenfalls verlangt: das Verständnis des Kontexts — welche internen und externen Themen die Informationssicherheit beeinflussen — und die Ermittlung der interessierten Parteien mit ihren Anforderungen. Dazu zählen Kunden mit Vertragsanforderungen, Aufsichtsbehörden und der Gesetzgeber.

Schritt 2: Risiken beurteilen

Die Risikobeurteilung ist das Herzstück. Sie legen fest, nach welchem Verfahren Sie Risiken erkennen, bewerten und priorisieren, und Sie bestimmen die Kriterien, ab wann ein Risiko behandelt werden muss und wann es akzeptiert werden darf. Beides — das Verfahren und die Kriterien — verlangt die Norm als dokumentierte Information, und beides muss vor der ersten Bewertung feststehen.

Die Norm schreibt keine Methode vor. Sie verlangt aber, dass das Verfahren wiederholbar ist und vergleichbare Ergebnisse liefert. Das schließt eine rein aus dem Bauch heraus erstellte Liste aus.

1. 01

   Werte und Abhängigkeiten erfassen

   Welche Informationen und Systeme tragen die Prozesse im Anwendungsbereich? Wo liegen sie, wer verantwortet sie, wovon hängen sie ab? Diese Aufstellung ist die Grundlage — sie muss nicht erschöpfend sein, aber vollständig für den Anwendungsbereich.

2. 02

   Risiken identifizieren

   Was kann der Vertraulichkeit, Verfügbarkeit oder Integrität dieser Werte zustoßen? Sinnvoll ist eine Mischung aus szenarienbasiertem Denken und einem Katalog als Gedächtnisstütze — die Bausteine des IT-Grundschutz-Kompendiums eignen sich dafür, auch wenn Sie nicht nach IT-Grundschutz vorgehen.

3. 03

   Bewerten und priorisieren

   Eintrittswahrscheinlichkeit und Auswirkung nach den zuvor festgelegten Kriterien. Wichtig ist weniger die Genauigkeit der Einzelbewertung als die Konsistenz: Gleiche Sachverhalte müssen gleich bewertet werden.

4. 04

   Behandlung festlegen

   Vermeiden, vermindern, übertragen oder akzeptieren. Für jedes Risiko oberhalb der Akzeptanzschwelle folgt daraus eine Maßnahme mit Verantwortlichem und Termin. Die Akzeptanz eines Risikos ist eine legitime Entscheidung — sie muss aber von der dafür zuständigen Leitung getragen und dokumentiert sein.

Schritt 3: Maßnahmen wählen und begründen

Erst jetzt kommt Anhang A ins Spiel. Er enthält in der Fassung von 2022 insgesamt 93 Maßnahmen in vier Themenbereichen: organisatorische, personenbezogene, physische und technologische. Anhang A ist dabei ausdrücklich eine Prüfliste, kein Pflichtprogramm: Sie gleichen Ihre aus der Risikobehandlung abgeleiteten Maßnahmen damit ab, um sicherzugehen, dass Sie nichts Wesentliches übersehen haben.

Das Ergebnis dieses Abgleichs ist die Erklärung zur Anwendbarkeit, oft nach dem englischen Begriff als Statement of Applicability oder SoA bezeichnet. Sie führt für jede der 93 Maßnahmen auf, ob sie anwendbar ist, warum, und ob sie umgesetzt ist. Ausschlüsse sind zulässig — sie brauchen aber eine Begründung, die zum Anwendungsbereich und zu den beurteilten Risiken passt.

Welche Dokumente die Norm verlangt

Die ISO 27001 nennt an mehreren Stellen ausdrücklich dokumentierte Information. Diese Liste ist kürzer, als viele erwarten — und sie ist abschließend in dem Sinne, dass alles Weitere aus Ihrer eigenen Risikobehandlung folgt, nicht aus der Norm.

Was in dieser Liste auffällt: Mehr als die Hälfte sind keine Dokumente im Sinne von Texten, sondern Nachweise über durchgeführte Tätigkeiten. Sie entstehen im Betrieb und lassen sich nicht nachträglich schreiben. Wer das Zertifizierungsaudit terminiert, bevor internes Audit und Managementbewertung stattgefunden haben, verschiebt es in aller Regel.

Schritt 4: Betreiben, prüfen, verbessern

Mit der Umsetzung der Maßnahmen ist das ISMS nicht fertig, sondern betriebsbereit. Die Kapitel 9 und 10 verlangen, dass Sie seine Wirksamkeit überprüfen und daraus Verbesserungen ableiten. Drei Elemente gehören mindestens dazu:

• Überwachung und Messung: Sie legen fest, was gemessen wird, mit welchen Methoden und wie oft. Kennzahlen sollen die Wirksamkeit zeigen, nicht die Betriebsamkeit — die Zahl geschriebener Richtlinien ist kein Wirksamkeitsnachweis.
• Internes Audit: Eine unabhängige Prüfung, ob das ISMS den Anforderungen der Norm und Ihren eigenen Vorgaben entspricht und wirksam umgesetzt ist. Unabhängig heißt: nicht die eigene Arbeit prüfen.
• Managementbewertung: Die Leitung bewertet in festgelegten Abständen Ergebnisse, Rückmeldungen, Risikoentwicklung und Verbesserungsbedarf — und entscheidet über Ressourcen.

Abweichungen, die dabei auffallen, sind kein Makel, sondern der erwartete Normalfall. Verlangt wird der dokumentierte Umgang damit: Ursache ermitteln, Korrekturmaßnahme festlegen, Wirksamkeit prüfen.

Die vier häufigsten Reihenfolgefehler

1. 01

   Mit Maßnahmen beginnen statt mit dem Anwendungsbereich

   Führt zu Maßnahmen, die im Audit nicht begründbar sind, und gleichzeitig zu Lücken an Stellen, die niemand betrachtet hat. Der Anwendungsbereich kostet Tage, spart aber Wochen.

2. 02

   Die Erklärung zur Anwendbarkeit zuletzt schreiben

   Sie ist kein Abschlussdokument, sondern das Arbeitspapier, an dem sich der Umsetzungsstand ablesen lässt. Wer sie erst am Ende erstellt, hat keinen Überblick, wo er steht.

3. 03

   Nachweise erst zum Audit zusammensuchen

   Nachweise entstehen im Betrieb. Wer sie nicht laufend der jeweiligen Anforderung zuordnet, sucht später in Postfächern und Ablagen — und findet nicht alles.

4. 04

   Das Zertifizierungsaudit zu früh terminieren

   Vor dem Audit müssen internes Audit und Managementbewertung mindestens einmal vollständig durchlaufen sein. Der Termin bei der Zertifizierungsstelle sollte deshalb nach diesen beiden liegen, nicht davor. Wie das Verfahren dann abläuft, steht im Artikel zum Ablauf der Zertifizierung.

Wenn Sie wissen möchten, was die Norm im Einzelnen verlangt, führt der Artikel zu den Anforderungen der ISO 27001 durch die Kapitel 4 bis 10 und den Anhang A. Was das Verfahren am Ende kostet, rechnet der Artikel zu den Kosten nachvollziehbar durch.