ISMS Maßnahmenplan erstellen: Aufgaben aus IT-Risiken ableiten

Aus Handlungsbedarf konkrete Maßnahmen machen

Ein ISMS-Maßnahmenplan beschreibt, was verbessert werden soll, wer dafür zuständig ist und woran der Erfolg erkennbar wird. Er verbindet Risiken oder Feststellungen mit der Umsetzung. Eine reine Sammlung technischer Wünsche lässt diesen Zusammenhang häufig offen.

Jede Maßnahme sollte auf einen nachvollziehbaren Anlass verweisen. Das kann eine Risikobewertung, ein Auditbefund, ein Vorfall oder eine geänderte Anforderung sein. So bleibt auch später verständlich, warum sie priorisiert wurde.

Einen bearbeitbaren Eintrag formulieren

Ein zweckmäßiger Eintrag enthält:

• Anlass und angestrebte Schutzwirkung;
• konkrete Tätigkeit und zuständige Person;
• Termin, Abhängigkeiten und benötigte Ressourcen;
• vorgesehenen Umsetzungsnachweis;
• Methode und Zeitpunkt der Wirksamkeitskontrolle.

„Datensicherung verbessern“ ist zu unbestimmt. „Für den ausgewählten Kundendienst eine Wiederherstellung durchführen, Ergebnis und Dauer dokumentieren und Abweichungen bewerten“ beschreibt dagegen ein überprüfbares Arbeitsergebnis.

Prioritäten begründen und Engpässe behandeln

Dringlichkeit, mögliche Auswirkungen und Abhängigkeiten beeinflussen die Reihenfolge. Eine einfache Maßnahme mit hoher Wirkung kann früh sinnvoll sein. Eine aufwendige Maßnahme darf aber nicht allein wegen ihres Umfangs dauerhaft verdrängt werden, wenn sie ein wesentliches Risiko behandelt.

Beispiel: Für eine zentrale Anmeldelösung wird eine stärkere Authentifizierung eingeführt. Vor dem Rollout müssen Notfallzugänge und die Unterstützung betroffener Nutzer geklärt sein. Diese Vorarbeiten gehören in den Plan, damit die Maßnahme nicht im Betrieb scheitert.

Umsetzung und Wirksamkeit getrennt verfolgen

Ein abgeschlossener Installationsauftrag beweist zunächst nur die technische Änderung. Ob sie die beabsichtigte Wirkung erreicht, zeigt eine Kontrolle anhand vorher festgelegter Kriterien. Erst dann lässt sich entscheiden, ob die Maßnahme ausreicht oder nachgebessert werden muss.

Offene oder verschobene Punkte bleiben mit Begründung sichtbar. Dadurch wird der Maßnahmenplan zum verlässlichen Steuerungsinstrument.

ISMS-Maßnahmenplan: ausgefülltes Beispiel

Das folgende Beispiel zeigt einen einzelnen Eintrag. Es ist eine Arbeitsvorlage, kein Befund bei einem Kunden und kein vollständiger Risikobehandlungsplan:

• Anlass: Für einen wichtigen Dienst fehlt ein ausgewerteter Wiederherstellungstest.
• Ziel: Feststellen, ob die vereinbarten Wiederherstellungsanforderungen mit dem vorhandenen Verfahren erreicht werden.
• Aufgabe: Testumfang festlegen, eine geeignete Wiederherstellung durchführen und Ergebnis sowie Abweichungen dokumentieren.
• Verantwortung: Der Serviceverantwortliche bestimmt die Anforderungen; das Betriebsteam führt den Test durch. Freigaben werden vorab geklärt.
• Termin und Abhängigkeit: Ein geeigneter Testzeitpunkt und die benötigte Umgebung müssen verfügbar sein. Der konkrete Termin wird im Betrieb abgestimmt.
• Nachweis: Testprotokoll mit geprüftem Umfang, Ergebnis und Bearbeitung aufgetretener Fehler.
• Wirksamkeitsprüfung: Vergleich mit den festgelegten Anforderungen; bei Abweichung Entscheidung über weitere Maßnahmen.

Ein sinnvoller Status unterscheidet etwa „geplant“, „in Umsetzung“, „umgesetzt“ und „Wirksamkeit geprüft“. Eine Maßnahme kann technisch erledigt sein, während die fachliche Kontrolle noch aussteht. Für Verschiebungen werden Grund und Entscheidung dokumentiert. So bleibt erkennbar, welches Risiko bis zur tatsächlichen Wirksamkeit weiterbesteht.

Wie Maßnahmenplan, Projektplan und Projektbegleitung zusammenhängen

Der ISMS-Maßnahmenplan steuert einzelne Verbesserungen. Ein ISMS-Projektplan ordnet dagegen Phasen, Meilensteine und Ressourcen des gesamten Aufbaus. Die Projektbegleitung sorgt dafür, dass Abhängigkeiten und Entscheidungen zwischen den Beteiligten geklärt werden. Ein offener Maßnahmenpunkt kann deshalb einen Projektmeilenstein verzögern, ohne mit diesem identisch zu sein.

Für Phasen und Meilensteine nutzen Sie die Arbeitsvorlage zum ISMS-Projektplan. Die ISMS-Projektbegleitung koordiniert dazu die Beteiligten und offene Entscheidungen. Welche Verbesserungen Vorrang haben, wird anhand der ISMS-Risikobewertung begründet.

Quellen und fachliche Grundlagen

• BSI-Standard 200-3 – Risikomanagement – Bundesamt für Sicherheit in der Informationstechnik
• BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik