ISMS Einführung Schritt für Schritt: vom Scope bis zur Prüfung
Ein ISMS in aufeinander aufbauenden Schritten einführen
Eine ISMS-Einführung wird übersichtlicher, wenn jede Phase ein nutzbares Ergebnis liefert. Die Arbeit verläuft dabei nicht streng linear: Erkenntnisse aus einer späteren Prüfung können eine frühere Entscheidung verändern. Der folgende Ablauf ist eine praktische Orientierung und kein verbindlicher Zeitplan.
Vom Auftrag zu begründeten Maßnahmen
- Auftrag und Grenze klären: Ziele, betrachtete Dienstleistungen und Entscheidungsträger festhalten.
- Ausgangslage erfassen: Prozesse, Informationen, Systeme und vorhandene Sicherheitsmaßnahmen zusammenführen.
- Risiken bewerten: konkrete Szenarien anhand vereinbarter Kriterien beurteilen.
- Behandlung planen: geeignete Maßnahmen, Zuständigkeiten und erwartete Ergebnisse festlegen.
Jeder Schritt baut auf belastbaren Angaben auf. Sind wichtige Abhängigkeiten noch unklar, werden sie als Klärungsaufgabe behandelt. Eine scheinbar vollständige Risikoliste hilft wenig, wenn zentrale Dienstleistungen fehlen.
Von der Planung in den Betrieb wechseln
Die vereinbarten Maßnahmen werden in vorhandene Arbeitsabläufe integriert und erprobt. Mitarbeitende erhalten verständliche Regeln und wissen, wo sie Unterstützung finden. Gleichzeitig entstehen Nachweise aus der tatsächlichen Anwendung.
Beispiel: Eine neue Regel für Dienstleisterzugänge wird zunächst an einem konkreten Kundenauftrag getestet. Dabei werden Antrag, Freigabe, technische Einrichtung und späterer Entzug geprüft. Erst nach der Auswertung wird das Vorgehen für weitere Aufträge übernommen.
Ergebnisse prüfen und den Regelbetrieb festlegen
Kontrollen, interne Audits und die Managementbewertung zeigen, ob das System funktioniert. Offene Punkte werden bearbeitet und ihre Wirkung wird erneut überprüft. Für die weitere Pflege sind Zuständigkeiten und Anlässe zur Aktualisierung festzulegen.
Ein Zertifizierungsvorhaben ergänzt diesen Ablauf um die Abstimmung und Prüfung durch eine unabhängige Stelle. Es sollte erst dann terminlich verbindlich werden, wenn Umsetzung und Nachweise ausreichend belastbar sind. Der Aufbau des ISMS und der Erhalt eines Zertifikats sind miteinander verbunden, aber unterschiedliche Ergebnisse.
Der ISMS-Projektplan überführt die Schritte in Arbeitspakete und Abnahmen. Wie diese Arbeit neben Kundenaufträgen in den Betrieb eingebunden wird, beschreibt die ISMS-Implementierung im IT-Mittelstand.
Quellen und fachliche Grundlagen
- BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO