ISMS und ISO 27001: häufige Fragen zu Einstieg, Aufwand und Audit
Was ist ein ISMS und wofür steht ISO 27001?
Ein ISMS organisiert den Umgang eines Unternehmens mit Informationssicherheitsrisiken. Es verbindet Ziele, Verantwortlichkeiten, Maßnahmen und Kontrollen. ISO/IEC 27001 beschreibt Anforderungen an ein solches Managementsystem. Ein Zertifikat ist ein gesonderter Nachweis einer unabhängigen Zertifizierungsstelle für den darin angegebenen Geltungsbereich.
Wie beginnt ein Unternehmen mit dem Aufbau?
Zuerst werden Ziel, betrachtete Dienstleistungen und Zuständigkeiten geklärt. Danach wird untersucht, welche Prozesse, Schutzmaßnahmen und Nachweise bereits vorhanden sind. Aus den erkannten Risiken und Lücken entsteht eine priorisierte Aufgabenliste. Vorhandene geeignete Abläufe können weiterverwendet werden.
Wer muss im Unternehmen mitarbeiten?
Die Leitung trifft Grundsatz- und Ressourcenentscheidungen. IT und Fachbereiche liefern Informationen und setzen Aufgaben in ihrem Verantwortungsbereich um. Eine interne oder externe ISMS-Koordination hält die Arbeit zusammen. Externe Beratung kann unterstützen, aber fehlende interne Entscheidungen nicht ersetzen.
Ist eine Zertifizierung immer vorgeschrieben?
Ein ISMS und ein ISO-27001-Zertifikat sind getrennt zu betrachten. Welche Anforderungen gelten, hängt vom Unternehmen, seinen Verträgen und seiner rechtlichen Einordnung ab. Für vom BSIG erfasste Einrichtungen bestehen besondere Pflichten zu Risikomanagementmaßnahmen. Daraus lässt sich weder eine allgemeine Zertifizierungspflicht für alle IT-Unternehmen noch eine pauschale Befreiung ableiten.
Wie lassen sich Kosten und Dauer einschätzen?
Dafür werden Geltungsbereich, Ausgangslage, offene Aufgaben und verfügbare Arbeitszeit benötigt. Beratung, interne Umsetzung, technische Verbesserungen und externe Zertifizierung sind getrennte Kostenpositionen. Im Terminplan müssen auch Abhängigkeiten, Anwendung der Prozesse und Prüfvorläufe berücksichtigt werden. Ungeprüfte Pauschalbeträge oder Monatsangaben sind keine belastbare Planung.
Was unterscheidet ein internes Audit vom Zertifizierungsaudit?
Ein internes Audit dient der eigenen Prüfung des ISMS und seiner Anwendung. Das Zertifizierungsaudit erfolgt durch eine unabhängige Zertifizierungsstelle. In beiden Fällen sind nachvollziehbare Nachweise wichtig; die Aufgaben und die Bedeutung des Ergebnisses unterscheiden sich.
Ist das Vorhaben mit dem Zertifikat abgeschlossen?
Nein. Risiken, Dienstleistungen und Zuständigkeiten verändern sich. Das ISMS muss deshalb gepflegt, überprüft und verbessert werden. Ein Zertifikat ist keine Garantie für fehlerfreie Systeme und ersetzt keine laufende Sicherheitsarbeit.
Was ist der Unterschied zwischen einem ISMS-Projektplan und einem Maßnahmenplan?
Der Projektplan ordnet den Aufbau in Phasen, Ressourcen und Meilensteine. Der Maßnahmenplan beschreibt einzelne Verbesserungen mit Verantwortlichen, Termin und Wirksamkeitsprüfung. Ein Unternehmen kann auch nach Abschluss des Einführungsprojekts einen fortlaufenden Maßnahmenplan benötigen.
Kann ein externer ISB die Verantwortung vollständig übernehmen?
Eine externe Funktion kann koordinieren, beraten und vereinbarte Aufgaben bearbeiten. Ziele, Ressourcen und unternehmerische Entscheidungen benötigen weiterhin die zuständigen internen Personen. Aufgaben, Befugnisse und Vertretungen müssen zur Zusammenarbeit passen.
Welche Unterlagen sind für ein erstes Beratungsgespräch hilfreich?
Eine kurze Beschreibung der wichtigsten Dienste, des gewünschten Ziels und der vorhandenen Sicherheitsorganisation genügt als Orientierung. Für eine anschließende Bestandsaufnahme können vorhandene Richtlinien, Prozessbeschreibungen und ausgewählte Nachweise hinzukommen. Vertrauliche Informationen werden erst über einen abgestimmten Übermittlungsweg bereitgestellt.
Für die praktische Planung stehen ein ISMS-Projektplan mit Abnahmekriterien, ein ausgefülltes Maßnahmenplan-Beispiel und ein Kalkulationsschema für die ISO-27001-Kosten zur Verfügung. Wer Unterstützung sucht, kann zunächst die möglichen Beratungsergebnisse mit dem eigenen Bedarf abgleichen.
Quellen und fachliche Grundlagen
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- Zertifizierungsstellen für Managementsysteme – Deutsche Akkreditierungsstelle (DAkkS)
- § 30 BSIG – Risikomanagementmaßnahmen – Gesetze im Internet (BMJV / Bundesamt für Justiz)