Externe Informationssicherheitsberatung: Unterstützung auswählen

Externe Unterstützung anhand des tatsächlichen Bedarfs auswählen

Externe Informationssicherheitsberatung kann einzelne Fachaufgaben übernehmen oder ein Unternehmen längerfristig begleiten. Vor der Auswahl sollte klar sein, welches Ergebnis benötigt wird: eine Bestandsaufnahme, Unterstützung bei der Umsetzung, eine unabhängige interne Prüfung oder Hilfe bei der dauerhaften Koordination.

Diese Aufgaben verlangen unterschiedliche Rollen. Ein allgemeines Leistungsversprechen sagt noch wenig darüber aus, welche Personen tatsächlich mitarbeiten und wie die Ergebnisse übergeben werden.

Umfang und Zusammenarbeit konkret prüfen

Für ein vergleichbares Angebot sind folgende Fragen hilfreich:

• Welche Aufgaben und Ergebnisse gehören ausdrücklich zum Auftrag?
• Welche Informationen und Arbeitszeit muss das Unternehmen bereitstellen?
• Wer ist fachlicher Ansprechpartner und wie ist Vertretung geregelt?
• Wie werden vertrauliche Unterlagen und Zugriffe behandelt?
• Wie bleiben Dokumente und Wissen nach dem Auftrag nutzbar?
• Wie werden zusätzliche Aufgaben und Änderungen vereinbart?

Qualifikationen und Erfahrungen sollten sich auf die vorgesehene Aufgabe beziehen. Eine allgemeine Zertifikatsangabe ersetzt keine Prüfung des konkreten Leistungsumfangs.

Rollen und Entscheidungshoheit verständlich halten

Dr. Eckhardt + Partner GmbH beschreibt die Unterstützung eines internen ISB sowie eine externe Informationssicherheitsfunktion. Bei beiden Formen ist zu vereinbaren, welche Aufgaben die Beratung vorbereitet oder ausführt und welche Entscheidungen im Unternehmen bleiben.

Beispiel: Ein Unternehmen benötigt Hilfe bei der Risikobewertung, möchte das ISMS anschließend selbst pflegen. Ein passender Auftrag umfasst dann auch die Erläuterung der Methodik und die Übergabe der Arbeitsgrundlagen. Dauerhafte Abhängigkeit von einem ausschließlich extern bedienbaren Dokumentationsstand würde dieses Ziel erschweren.

Ergebnisse vor der Abnahme prüfen

Die Unterlagen sollten nachvollziehbar, auf den eigenen Betrieb bezogen und praktisch verwendbar sein. Offene Annahmen und nicht untersuchte Bereiche müssen sichtbar bleiben. So lässt sich beurteilen, ob die vereinbarte Unterstützung tatsächlich den benötigten Nutzen liefert.

Für ein abgegrenztes Vorhaben hilft die Übersicht zu Leistungen und Ergebnissen einer ISMS-Beratung. Wird eine dauerhafte Unterstützung benötigt, sollte der Umfang der externen ISMS-Begleitung mit den internen Zuständigkeiten abgestimmt werden.

Quellen und fachliche Grundlagen

• ISMS-Leistungen von Dr. Eckhardt + Partner GmbH – Dr. Eckhardt + Partner GmbH
• BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik