ISMS Beratung für IT-Unternehmen | Dr. Eckhardt + Partner GmbH

ISMS-Beratung für IT-Unternehmen: vom Sicherheitsbedarf zum verlässlichen Betrieb

Ein ISMS hilft IT-Dienstleistern, Systemhäusern und Softwareunternehmen, Informationssicherheit systematisch zu organisieren. Es verbindet Risiken, Verantwortlichkeiten und Sicherheitsmaßnahmen mit der Frage, ob die vereinbarten Abläufe im Alltag tatsächlich funktionieren. ISO/IEC 27001 liefert dafür einen anerkannten Anforderungsrahmen. Eine Zertifizierung ist ein gesondertes Verfahren bei einer unabhängigen Zertifizierungsstelle.

Dr. Eckhardt + Partner GmbH unterstützt Unternehmen beim Aufbau und bei der kontinuierlichen Betreuung ihres ISMS – als externe Informationssicherheitsfunktion oder an der Seite eines internen Informationssicherheitsbeauftragten. Dazu gehören nach dem dargestellten Leistungsangebot Bestandsaufnahme, Priorisierung, eine individuelle ISO-27001-Roadmap und Auditvorbereitung. Welche Aufgaben übernommen werden, wird für die Zusammenarbeit konkret vereinbart.

Welche Unterstützung passt zu Ihrer Ausgangslage?

• Sie starten ohne geordnetes ISMS: Zuerst werden Dienstleistungen, Geltungsbereich und Verantwortlichkeiten geklärt. Die ISMS-Einführung beschreibt, welche Entscheidungen vor dem Projektstart nötig sind.
• Sicherheitsmaßnahmen bestehen, der Überblick fehlt: Eine ISO-27001-Gap-Analyse vergleicht den vorhandenen Stand mit den Anforderungen und unterscheidet fehlende Umsetzung von fehlenden Nachweisen.
• Ein ISMS besteht, wird aber kaum gepflegt: Bei der externen ISMS-Begleitung stehen Änderungen, offene Maßnahmen, Kontrollen und regelmäßige Leitungsentscheidungen im Vordergrund.
• Eine Zertifizierung ist das Ziel: Die ISO-27001-Beratung ordnet Normanforderungen und Arbeitsergebnisse. Beratung und Zertifizierungsentscheidung bleiben getrennt.

Worin sich die Aufgaben von IT-Unternehmen unterscheiden

Ein Systemhaus muss den Umgang mit Fernwartung, administrativen Konten und verschiedenen Kundenumgebungen beherrschen. Ein Softwareunternehmen benötigt nachvollziehbare Regeln für Quellcode, Entwicklungsumgebungen, Abhängigkeiten und Releases. Ein Managed Service Provider muss zusätzlich seine zentralen Plattformen und die Auswirkungen eines kundenübergreifenden Vorfalls berücksichtigen.

Diese Unterschiede bestimmen, welche Risiken zuerst betrachtet werden. Die Fachseiten zur Informationssicherheit für Systemhäuser und zur sicheren Softwareentwicklung erläutern konkrete Kontrollpunkte. Eine pauschale Checkliste mit denselben Maßnahmen für jeden Betrieb reicht dafür nicht aus.

Welche Ergebnisse den Aufbau voranbringen

Eine brauchbare Vorbereitung liefert einen nachvollziehbaren Geltungsbereich, benannte Ansprechpartner, eine Übersicht vorhandener Nachweise und priorisierte offene Aufgaben. Daraus entsteht ein Arbeitsplan mit Verantwortlichen und überprüfbaren Ergebnissen. Im Betrieb kommen dokumentierte Kontrollen, der Umgang mit Änderungen und eine regelmäßige Bewertung durch die Leitung hinzu.

Beispiel: Ein IT-Dienstleister sichert Kundensysteme regelmäßig. Unklar ist jedoch, ob eine Wiederherstellung unter realistischen Bedingungen funktioniert und wer ein schlechtes Testergebnis bearbeitet. Ein ISMS verbindet die technische Sicherung mit Testauftrag, Zuständigkeit, Ergebnisbewertung und Verbesserungsmaßnahme. Der Nutzen liegt in dieser überprüfbaren Arbeitsweise.

Aufwand vor einer Entscheidung einordnen

Die benötigte Unterstützung hängt davon ab, was bereits vorhanden ist und welche Zeit intern zur Verfügung steht. Beratung, interne Mitarbeit und eine mögliche externe Zertifizierung sind verschiedene Kostenpositionen. Die Übersicht zu den ISO-27001-Kosten hilft, diese Positionen zu trennen und Angebote zu vergleichen.

Als erste Orientierung bietet Dr. Eckhardt + Partner einen ISMS-Selbstcheck an. Er kann offene Fragen für ein Gespräch strukturieren, ersetzt aber keine Bestandsaufnahme oder Konformitätsprüfung.

Quellen und fachliche Grundlagen

• ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
• ISMS-Leistungen von Dr. Eckhardt + Partner GmbH – Dr. Eckhardt + Partner GmbH
• AA22-131A – Schutz von Managed Service Providern und ihren Kunden – CISA und internationale Sicherheitsbehörden
• NIST SP 800-218 – Secure Software Development Framework, Version 1.1 – National Institute of Standards and Technology (NIST)