ISO 27001 Vorbereitung für KMU: Ressourcen und Aufwand planen

Die Vorbereitung an verfügbaren Ressourcen ausrichten

Kleine und mittlere Unternehmen müssen ein ISO-27001-Vorhaben mit dem laufenden Betrieb vereinbaren. Vor der detaillierten Planung lohnt sich daher eine Bestandsaufnahme: Welche Regeln funktionieren bereits, welche Informationen fehlen und wie viel Zeit können die beteiligten Personen tatsächlich bereitstellen?

Vorhandene Freigaben, Personalabläufe und IT-Tickets können eine gute Grundlage sein. Sie sollten auf Eignung geprüft und gezielt ergänzt werden. Eine vollständig neue Dokumentensammlung erzeugt sonst zusätzlichen Pflegeaufwand ohne entsprechenden Nutzen.

Vorarbeiten mit hohem Nutzen

• Eine Übersicht der wesentlichen Dienstleistungen und beteiligten Systeme zusammenstellen.
• Zuständigkeiten und Vertretungen sichtbar machen.
• Kundenanforderungen und vorhandene Prüfberichte zusammentragen.
• Bestehende Sicherheitsregeln und Nachweise auf Aktualität prüfen.
• Verfügbare Arbeitszeit sowie notwendige Leitungsentscheidungen einplanen.

Diese Vorarbeiten benötigen keine perfekte Vollständigkeit. Wichtig ist, dass bekannte Lücken als Aufgaben erfasst werden und nicht unbemerkt in die weitere Planung eingehen.

Aufgaben bündeln, Entscheidungen getrennt halten

Beispiel: Die IT-Leitung koordiniert den Aufbau und betreut gleichzeitig den Betrieb. Ein fester wöchentlicher Arbeitsblock kann die Umsetzung planbar machen. Über Budget und die Akzeptanz wesentlicher Risiken entscheidet jedoch die dafür zuständige Leitungsebene. Die Bündelung von Tätigkeiten darf Verantwortungsgrenzen nicht verwischen.

Vorbereitung mit einem belastbaren Arbeitsstand abschließen

Am Ende sollten ein überschaubarer Geltungsbereich, eine Liste vorhandener Nachweise und priorisierte Lücken vorliegen. Für die wichtigsten Aufgaben sind Verantwortliche und realistische Zeitfenster benannt. Erst dann lässt sich beurteilen, ob ein gewünschter Auditzeitpunkt erreichbar ist.

Der BSI-Standard 200-2 beschreibt unterschiedliche Einstiegswege in den IT-Grundschutz. Diese können die Planung unterstützen, sind aber nicht mit einem bereits vollständig umgesetzten oder zertifizierten ISMS gleichzusetzen.

Für kleine Teams sind die Hinweise zu einem schlanken ISMS in kleinen IT-Unternehmen hilfreich. Das Kalkulationsschema für ISO-27001-Kosten trennt interne Mitarbeit, Beratung und externe Zertifizierung.

Quellen und fachliche Grundlagen

• BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
• BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik