ISMS Implementierung im IT-Mittelstand: Umsetzung im IT-Alltag

Das ISMS mit dem laufenden Kundenbetrieb verbinden

Im IT-Mittelstand konkurrieren Sicherheitsaufgaben häufig mit Support, Projekten und Bereitschaftsdiensten. Eine tragfähige Implementierung nutzt deshalb vorhandene Abläufe und schafft klare Zeitfenster für notwendige Änderungen. Ein zusätzlicher Prozess, den niemand betreuen kann, wird im Alltag kaum zuverlässig funktionieren.

Zunächst wird untersucht, wo Sicherheitsentscheidungen bereits stattfinden: bei neuen Mitarbeitern, Kundenaufträgen, Systemänderungen oder der Auswahl externer Dienste. Diese Übergänge eignen sich, um Regeln und Nachweise zu verankern.

Arbeitspakete in den Betrieb integrieren

• Bestehende Tickets um erforderliche Freigaben und Nachweise ergänzen.
• Sicherheitsfragen in vorhandene Projekt- oder Änderungsbesprechungen aufnehmen.
• Verantwortliche für gemeinsam genutzte Systeme ausdrücklich benennen.
• Regelmäßige Kontrollen mit der Betriebsplanung abstimmen.
• Ausnahmen befristen und später erneut bewerten.

Nicht jede Aufgabe muss gleichzeitig umgesetzt werden. Abhängigkeiten und Risiken bestimmen die Reihenfolge. Die Einführung eines Freigabeverfahrens kann beispielsweise erst funktionieren, wenn bekannt ist, wer die betreffenden Systeme fachlich verantwortet.

Änderungen im kleinen Rahmen erproben

Beispiel: Ein Unternehmen möchte neue Kundenumgebungen nur noch nach einer dokumentierten Übergabe in den Betrieb übernehmen. Ein Pilotauftrag zeigt, welche Informationen fehlen und welche Prüfungen doppelt erfolgen. Das Team passt die Übergabeliste an und legt fest, wer den vollständigen Eingang bestätigt.

So wird ein konkreter Übergang verlässlicher, ohne den gesamten Betrieb neu zu organisieren. Die dabei entstehenden Erfahrungen verbessern den nächsten Einführungsschritt.

Akzeptanz durch klare Anwendung fördern

Mitarbeitende sollten erkennen, welchen Zweck eine Regel erfüllt und wie sie in dringenden Situationen handeln können. Rückmeldungen aus der Anwendung gehören in die Weiterentwicklung. Die Implementierung ist gelungen, wenn Zuständigkeiten, Hilfsmittel und Nachweise im Tagesgeschäft genutzt werden und auch bei Vertretung funktionieren.

Die Umsetzung benötigt verständliche Sicherheitsrichtlinien für den IT-Alltag. Nach dem Aufbau sorgt die laufende ISMS-Begleitung dafür, dass Veränderungen und offene Punkte weiter bearbeitet werden.

Quellen und fachliche Grundlagen

• BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
• BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik