Was ist ein ISMS?

ISMS einfach erklärt

Viele Unternehmen haben eine Firewall, einen Virenschutz und ein Backup. Trotzdem weiß oft niemand genau, ob diese Maßnahmen ausreichen, wer dafür zuständig ist und wann sie zuletzt überprüft wurden. Genau hier setzt ein Informationssicherheits-Managementsystem an.

Ein ISMS ist kein Programm, das man installiert, und kein Gerät, das man kauft. Es ist ein Managementsystem – vergleichbar mit dem Qualitätsmanagement in der Produktion. Dort sorgen feste Abläufe dafür, dass Produkte verlässlich gut sind. Ein ISMS sorgt auf dieselbe Weise dafür, dass Informationen verlässlich geschützt sind: vor unbefugtem Zugriff (Vertraulichkeit), vor Verfälschung (Integrität) und vor Ausfall (Verfügbarkeit).

Dabei geht es nicht nur um Technik. Ein ISMS umfasst auch Papierakten, Prozesse, Verträge mit Dienstleistern und das Verhalten der Mitarbeitenden. Die Verantwortung trägt die Geschäftsleitung.

So funktioniert ein ISMS

Ein ISMS folgt einem Kreislauf, der oft PDCA-Zyklus genannt wird – nach den englischen Begriffen Plan, Do, Check, Act:

1. Planen: Die Geschäftsleitung legt fest, welche Bereiche das ISMS umfasst, und beschließt eine Sicherheitsleitlinie – ein Grundsatzpapier mit den Zielen und Spielregeln. Dann werden Risiken ermittelt und bewertet: Was kann passieren, wie wahrscheinlich ist das, und wie groß wäre der Schaden?
2. Umsetzen: Passende Maßnahmen werden eingeführt – technische wie Zugriffsrechte und Verschlüsselung ebenso wie organisatorische wie Schulungen oder ein Notfallplan.
3. Überprüfen: Interne Audits – geplante Selbstkontrollen – und technische Tests zeigen, ob die Maßnahmen tatsächlich wirken. Dazu gehören Schwachstellenscans, also automatisierte Suchläufe nach bekannten Lücken, und Penetrationstests, bei denen Fachleute einen Angriff simulieren.
4. Verbessern: Erkannte Lücken werden geschlossen, die Erkenntnisse fließen in die nächste Planungsrunde ein.

Dazu kommen feste Rollen. Meist koordiniert eine benannte Person – die oder der Informationssicherheitsbeauftragte (ISB) – das ISMS und berichtet direkt an die Geschäftsleitung.

Als Grundlage dienen anerkannte Standards: international die ISO/IEC 27001, in Deutschland außerdem der IT-Grundschutz des BSI. Diesen überführt das BSI derzeit schrittweise in „Grundschutz++“; der bisherige IT-Grundschutz bleibt während einer mehrjährigen Übergangszeit nutzbar. In der Automobilindustrie bewertet TISAX die Informationssicherheit von Zulieferern anhand eines eigenen Branchenkatalogs.

Ein Beispiel aus der Praxis

Ein Ingenieurbüro mit 80 Beschäftigten soll einem großen Auftraggeber nachweisen, wie es vertrauliche Konstruktionsdaten schützt. Bisher kümmert sich die IT-Administration nebenbei um Sicherheit. Die Geschäftsführung beschließt, ein ISMS nach ISO/IEC 27001 aufzubauen. Ein kleines Team erfasst zunächst alle wichtigen Informationen und Systeme und bewertet die Risiken. Dabei fällt auf: Ehemalige Beschäftigte haben noch Zugriff auf die Projektablage, und die Datensicherung wurde nie getestet. Beides wird behoben. Ein Penetrationstest prüft zusätzlich die Fernzugänge. Jede weitere Prüfung liefert nun Hinweise für die nächste Verbesserungsrunde.

Warum ist das für Unternehmen wichtig?

Ohne ISMS bleibt Sicherheit Stückwerk: Einzelne Maßnahmen existieren, aber niemand behält den Überblick. Lücken fallen oft erst auf, wenn etwas passiert ist. Ein ISMS macht Risiken sichtbar und Entscheidungen nachvollziehbar – auch gegenüber Kunden, Versicherern und Behörden.

Zudem steigen die Anforderungen. Die NIS2-Richtlinie verpflichtet betroffene Unternehmen zu einem systematischen Risikomanagement, für das die Geschäftsleitung verantwortlich ist. Ein ISMS ist der übliche Weg, solche Pflichten strukturiert umzusetzen. Auch die DSGVO verlangt in Art. 32 geeignete technische und organisatorische Maßnahmen und deren regelmäßige Überprüfung.

Was Unternehmen jetzt tun sollten

• Verantwortung klären: Benennen Sie eine zuständige Person für Informationssicherheit und geben Sie ihr Zeit und Rückendeckung.
• Klein anfangen: Beginnen Sie mit den Bereichen, die für Ihr Geschäft am wichtigsten sind, statt sofort alles einzubeziehen.
• Standard wählen: Entscheiden Sie, ob ISO/IEC 27001, IT-Grundschutz oder ein Branchenstandard wie TISAX am besten zu Ihren Kunden und Pflichten passt.
• Risiken bewerten: Ermitteln Sie, welche Informationen und Systeme kritisch sind und was ihnen droht.
• Maßnahmen dokumentieren: Halten Sie fest, wer was bis wann umsetzt.
• Wirksamkeit regelmäßig prüfen: Planen Sie interne Audits, Schwachstellenscans und Penetrationstests fest ein – nicht erst kurz vor einem Audit.

Wie Rootsektor unterstützt

Ein ISMS ist nur so gut wie die Informationen, auf denen es aufbaut. Rootsektor liefert mit Penetrationstests und Sicherheitsanalysen belastbare Fakten über den tatsächlichen Zustand Ihrer IT – verständlich aufbereitet für die Geschäftsleitung und mit konkreten Maßnahmen für Ihr Technikteam. Einen Überblick über unsere Analysen, Reviews und Simulationen finden Sie unter Security Services; für regelmäßige technische Kontrollen eignet sich zum Beispiel die Schwachstellenanalyse. Die Prüfbescheinigung nach Abschluss eines Tests dient Ihnen als Nachweis im ISMS.