Externe ISMS Begleitung: Informationssicherheit im Alltag pflegen
Ein bestehendes ISMS kontinuierlich betreuen
Externe ISMS-Begleitung ist besonders dann hilfreich, wenn ein Managementsystem bereits aufgebaut wurde, seine Pflege aber im Tagesgeschäft zurückfällt. Typische Aufgaben sind die Vorbereitung regelmäßiger Bewertungen, das Nachhalten offener Maßnahmen und die Aktualisierung von Unterlagen nach Veränderungen.
Dr. Eckhardt + Partner GmbH beschreibt auf seiner Website eine kontinuierliche Betreuung mit regelmäßigen Reviews und Anpassungen an neue Anforderungen und Risiken. Angeboten wird sowohl eine externe Informationssicherheitsfunktion als auch Unterstützung für einen internen ISB. Der konkrete Verantwortungsumfang muss zur vereinbarten Rolle passen.
Einen festen Arbeitsrhythmus einrichten
Ein brauchbarer Betreuungsplan verbindet regelmäßige Termine mit anlassbezogenen Aufgaben:
- Änderungen an Dienstleistungen, Systemen oder Zuständigkeiten erfassen;
- offene Maßnahmen und ausstehende Entscheidungen nachhalten;
- Risikobewertungen bei relevanten Veränderungen aktualisieren;
- Prüftermine vorbereiten und Ergebnisse nachverfolgen;
- der Leitung den Stand und benötigte Entscheidungen verständlich vorlegen.
Die Frequenz richtet sich nach Veränderungstempo und Risiko. Ein pauschaler Monatsbericht hilft wenig, wenn dringliche Veränderungen bis zum nächsten Termin unbeachtet bleiben.
Interne Entscheidungen bleiben erforderlich
Externe Begleitung kann Informationen zusammenführen und Maßnahmen empfehlen. Fachliche Freigaben, Ressourcenentscheidungen und die Umsetzung in den eigenen Systemen benötigen weiterhin intern zuständige Personen. Auch eine Vertretung für Urlaub oder Personalwechsel sollte geregelt sein.
Beispiel: Ein Unternehmen nimmt einen neuen Cloud-Dienst in Betrieb. Die Begleitung veranlasst die Prüfung im ISMS und dokumentiert offene Fragen. Der Dienstverantwortliche liefert die benötigten Informationen, die Leitung entscheidet über relevante Restrisiken und das IT-Team setzt vereinbarte Schutzmaßnahmen um.
Eine funktionierende Betreuung erkennt man daran, dass Änderungen einen festen Bearbeitungsweg haben und Entscheidungen später nachvollzogen werden können.
Welche Aufgaben gehören in die laufende Betreuung?
Eine beispielhafte Arbeitsagenda unterscheidet drei Anlässe. Im regelmäßigen Betrieb werden offene Maßnahmen, Prüfergebnisse und anstehende Entscheidungen durchgesehen. Bei Veränderungen werden neue Dienste, Dienstleister oder Zuständigkeiten in die Risikobetrachtung aufgenommen. Vor einer Leitungsbewertung oder einem Audit werden aussagekräftige Nachweise und offene Punkte zusammengeführt.
Die externe Funktion sollte dabei Zugriff auf die erforderlichen Informationen erhalten, ohne unnötig umfassende technische Berechtigungen zu bekommen. Vertraulichkeit, Ansprechpartner, Eskalation und Vertretung gehören in die Vereinbarung. Die Geschäftsleitung entscheidet weiterhin über Ziele, Ressourcen und relevante Risiken. Eine Betreuung ist deshalb weder bloß ein Dokumentenarchiv noch die vollständige Auslagerung der unternehmerischen Verantwortung.
Erkenntnisse aus der Betreuung fließen in die kontinuierliche Verbesserung des ISMS ein. Grundlegende Fragen zu Ressourcen und Wirksamkeit gehören in die Managementbewertung, damit sie von den zuständigen Personen entschieden werden.
Quellen und fachliche Grundlagen
- ISMS-Leistungen von Dr. Eckhardt + Partner GmbH – Dr. Eckhardt + Partner GmbH
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik