Informationssicherheits-Managementsysteme (ISMS) Theorie

Informationssicherheits-Managementsysteme (ISMS) Theorie

Was ein ISMS ist

• Ein ISMS ist kein Produkt und keine Software, sondern ein geregeltes Verfahren.
• Es beantwortet vier Fragen dauerhaft und nachvollziehbar:
  • Was haben wir? (Systeme, Anwendungen, Daten)
  • Was kann passieren? (Gefährdungen)
  • Was tun wir dagegen? (Maßnahmen)
  • Woher wissen wir, dass es noch stimmt? (Prüfung und Nachbesserung)
• Der Unterschied zu "wir machen ja Sicherheit" ist die Nachvollziehbarkeit: Entscheidungen sind schriftlich festgehalten und mit Datum und Verantwortlichem versehen.
• Technische Maßnahmen bleiben dieselben — Firewall, Patchen, Logging. Das ISMS sorgt dafür, dass sie vollständig, begründet und überprüfbar sind.

Wer ein ISMS braucht und warum

Gesetzlich verpflichtet

• Betreiber kritischer Anlagen (KRITIS) und die von NIS2 erfassten Einrichtungen.
• Das NIS2-Umsetzungsgesetz gilt seit dem 06.12.2025 ohne Übergangsfrist und betrifft rund 29.000 Unternehmen in Deutschland.
• Die Geschäftsleitung haftet persönlich und muss selbst regelmäßig geschult werden.

Vertraglich verpflichtet

• Zulieferer und Dienstleister großer Kunden.
• Ausschreibungen und Lieferantenfragebögen verlangen belastbare Angaben zum Sicherheitsstand.
• Ohne Nachweis fällt man aus dem Verfahren, unabhängig vom tatsächlichen Sicherheitsniveau.

Freiwillig

• Unternehmen, die Ordnung in eine gewachsene Umgebung bringen wollen.
• Unternehmen, die nach einem Vorfall zeigen müssen, dass sie das Thema im Griff haben.

Der praktische Nutzen

• Eine vollständige Liste dessen, was man betreibt — die es erfahrungsgemäß vorher nicht gibt.
• Eine begründete Liste der offenen Punkte, mit der man Budget beantragen kann.
• Ein Nachweis nach außen.
• Entlastung im Schadensfall: dokumentierte, terminierte offene Punkte sind etwas anderes als Unwissenheit.

Funktionsweise

• Ein ISMS läuft als Kreislauf, nicht als einmaliges Projekt (PDCA-Zyklus).
  • Plan: Geltungsbereich festlegen, Werte erfassen, Risiken bewerten, Maßnahmen auswählen.
  • Do: Maßnahmen umsetzen, Verantwortliche und Termine festlegen.
  • Check: prüfen, ob die Maßnahmen umgesetzt sind und wirken (interne Audits, Messungen).
  • Act: nachbessern, Erkenntnisse zurück in die Planung geben.
• PDCA (Plan-Do-Check-Act): Regelkreis für ständige Verbesserung, in allen Managementsystem-Normen identisch.
• Der Kreislauf läuft mindestens jährlich, zusätzlich nach jeder größeren Änderung und nach jedem Sicherheitsvorfall.

Die Landschaft: was es gibt und was was ist

Der wichtigste Satz vorweg

• Das Gesetz fordert den Nachweis.
• Die Norm liefert die Methode.
• Der IT-Grundschutz liefert zusätzlich die fertige Maßnahmenliste.
• Diese drei Ebenen werden ständig durcheinandergeworfen. Sie sind nicht dasselbe und schließen sich nicht aus.

IT-Grundschutz (BSI)

• Methode plus fertiger Maßnahmenkatalog, herausgegeben vom Bundesamt für Sicherheit in der Informationstechnik.
• Man muss nicht selbst herleiten, was zu tun ist: man sucht den passenden Baustein und arbeitet dessen Anforderungen ab.
• Deutschsprachig, sehr detailliert, frei verfügbar.
• Verbreitet in Behörden, im öffentlichen Umfeld und bei deren Zulieferern.
• Nachteil: großer Umfang, ohne Werkzeug schwer zu handhaben.

Die BSI-Standards 200-x

BSI-Standard 200-1 – Managementsysteme für Informationssicherheit

• Beschreibt, was ein ISMS ist und welche Anforderungen es erfüllen muss.
• Regelt Verantwortlichkeiten, Leitlinie, Rollen und den Verbesserungsprozess.
• Kompatibel zur ISO/IEC 27001 aufgebaut.

BSI-Standard 200-2 – IT-Grundschutz-Methodik

• Der eigentliche Arbeitsablauf: wie man von der Bestandsaufnahme zum Sicherheitskonzept kommt.
• Bietet drei Vorgehensweisen:
  • Basis-Absicherung: schneller Einstieg, nur die Basis-Anforderungen, für alles gleichzeitig.
  • Kern-Absicherung: zuerst die wenigen wirklich kritischen Bereiche ("Kronjuwelen").
  • Standard-Absicherung: der vollständige Weg, Voraussetzung für eine Zertifizierung.

BSI-Standard 200-3 – Risikoanalyse

• Kommt erst zum Einsatz, wenn die Standardmaßnahmen nicht ausreichen.
• Fälle: hoher oder sehr hoher Schutzbedarf, kein passender Baustein vorhanden, ungewöhnlicher Einsatzzweck.
• Für den Normalfall gilt: der Baustein ist die Risikoanalyse, sie wurde vom BSI bereits erledigt.

BSI-Standard 200-4 – Business Continuity Management

• Notfall- und Wiederanlaufplanung, eigenes Thema neben dem ISMS.

IT-Grundschutz-Kompendium

• Die Sammlung der Bausteine, jährlich in einer neuen Edition veröffentlicht.
• Baustein: ein Themenpaket zu einem Objekttyp, mit Gefährdungslage und einer Liste konkreter Anforderungen.
• Die Kennungen folgen dem Schichtenmodell:
  • SYS = IT-Systeme (Server, Clients, Netzkomponenten)
  • APP = Anwendungen (Webserver, Webanwendungen, Datenbanken)
  • NET = Netze und Netzkomponenten
  • CON = übergreifende Konzepte (Kryptographie, Datenschutz)
  • OPS = Betrieb (Administration, Protokollierung, Patchmanagement)
  • ORP, INF, IND, DER = Organisation/Personal, Infrastruktur, Industrielle IT, Detektion und Reaktion
• Jede Anforderung hat eine Stufe:
  • Basis-Anforderung: muss in jedem Fall umgesetzt werden.
  • Standard-Anforderung: Regelfall für normalen Schutzbedarf.
  • Anforderung bei erhöhtem Schutzbedarf: nur wenn die Schutzbedarfsfeststellung das ergibt.
• Die früheren IT-Grundschutz-Kataloge sind durch das Kompendium abgelöst.

ISO/IEC 27001

• Internationale Norm für Managementsysteme der Informationssicherheit, aktuelle Fassung von 2022.
• Legt fest, dass Risiken systematisch bewertet und behandelt werden müssen — nicht, mit welchen Maßnahmen.
• Anhang A enthält 93 Controls in vier Themenbereichen (organisatorisch, personell, physisch, technologisch).
• Control: eine Sicherheitsmaßnahme in der Sprache der Norm.
• Statement of Applicability (SoA, Erklärung zur Anwendbarkeit): Übersicht, welche Controls gelten, welche nicht, und die Begründung dafür. Das Kernstück jedes Audits.
• Zertifikate nach der Vorgängerfassung von 2013 sind seit Oktober 2025 nicht mehr gültig.
• Vorteil: international anerkannt, in Ausschreibungen die übliche Währung.
• Nachteil: liefert keine fertigen Maßnahmen, die Arbeit der Risikoanalyse bleibt beim Unternehmen.

ISO/IEC 27701

• Norm für ein Datenschutz-Managementsystem (PIMS, Privacy Information Management System).
• Behandelt den Umgang mit personenbezogenen Daten, nicht die Informationssicherheit allgemein.
• Seit der Fassung von 2025 eine eigenständige, für sich zertifizierbare Norm — eine ISO/IEC 27001-Zertifizierung ist nicht mehr Voraussetzung.
• Enthält 78 Datenschutz-Controls; Anhang D ordnet sie den Artikeln der DSGVO zu.
• Für Organisationen mit einem Zertifikat nach der Fassung von 2019 läuft eine Übergangsfrist bis Oktober 2028.

NIST Cybersecurity Framework (CSF)

• Rahmenwerk des US-amerikanischen National Institute of Standards and Technology, aktuelle Fassung 2.0.
• Gliedert Sicherheit in sechs Funktionen: Govern, Identify, Protect, Detect, Respond, Recover.
• Deutlich grober als der IT-Grundschutz, keine Maßnahmenliste auf Umsetzungsebene.
• Nicht zertifizierbar — es gibt kein NIST-Zertifikat.
• Nutzen: gemeinsame Sprache gegenüber der Geschäftsführung und in internationalen Konzernstrukturen.
• In Deutschland begegnet es einem meist als Konzernvorgabe, nicht als eigenständiger Weg.

KRITIS und NIS2

• Keine Methode, sondern geltendes Recht.
• Rechtsgrundlage in Deutschland ist das BSI-Gesetz (BSIG) in der Fassung des NIS2-Umsetzungsgesetzes, in Kraft seit 06.12.2025.
• KRITIS (kritische Infrastruktur): Anlagen, deren Ausfall die Versorgung der Bevölkerung gefährdet — Energie, Wasser, Gesundheit, Transport, Finanzen, IT und Telekommunikation, Ernährung, Abfall.
• NIS2 erweitert den Kreis erheblich auf weitere Branchen ab bestimmten Größenschwellen.
• Pflichten im Überblick:
  • Registrierung beim BSI.
  • Risikomanagementmaßnahmen nach § 30 BSIG.
  • Meldung erheblicher Sicherheitsvorfälle: Erstmeldung innerhalb von 24 Stunden, Zwischenmeldung nach 72 Stunden, Abschlussbericht nach einem Monat.
  • Betreiber kritischer Anlagen weisen die Umsetzung alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nach.
  • Schulungspflicht für die Geschäftsleitung, die persönlich haftet.
• Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
• Das Gesetz schreibt keine bestimmte Methode vor. Genau deshalb greift man zu IT-Grundschutz oder ISO/IEC 27001 — man braucht etwas, das man vorlegen kann.

Abgrenzung auf einen Blick

Was	Herkunft	Was es ist	Fertige Maßnahmen?	Zertifizierbar?
IT-Grundschutz	BSI (Deutschland)	Methode + Katalog	ja, sehr detailliert	ja (auf Basis ISO 27001)
ISO/IEC 27001	international	Methode	nein, nur Control-Ziele	ja
ISO/IEC 27701	international	Methode für Datenschutz	Datenschutz-Controls	ja, seit 2025 eigenständig
NIST CSF	USA	Ordnungsraster	nein	nein
KRITIS / NIS2	Gesetz (DE/EU)	Pflicht zum Nachweis	nein	Nachweispflicht statt Zertifikat

Rahmenbedingungen und entscheidende Faktoren

Ohne diese Voraussetzungen scheitert es

• Rückendeckung der Leitung. Ein ISMS greift in Abläufe anderer Abteilungen ein — ohne Mandat setzt sich niemand durch.
• Ein benannter Verantwortlicher (Informationssicherheitsbeauftragter) mit zugeteilter Arbeitszeit.
• Ein realistisch geschnittener Geltungsbereich. Lieber ein Dienst vollständig als das ganze Unternehmen halb.
• Aktuelle Bestandsdaten. Was nicht erfasst ist, wird nicht geschützt.

Was in der Praxis den Ausschlag gibt

• Klein anfangen: Basis-Absicherung für alles oder Kern-Absicherung für das Wichtigste, statt sofort den vollständigen Weg.
• Bewertungen ehrlich vergeben. Ein Konzept, in dem alles grün ist, ist wertlos und fällt im Audit auf.
• Offene Punkte mit Verantwortlichem und Termin versehen. Ohne beides passiert nichts.
• Pflegbar halten. Ein Sicherheitskonzept, das nach einem Jahr niemand mehr anfasst, ist Papier.

Typische Fehler

• Zu großer Geltungsbereich im ersten Anlauf.
• Werkzeugauswahl vor der Methodenentscheidung.
• Dokumentation als Selbstzweck, ohne dass jemals eine Maßnahme daraus umgesetzt wird.

Aufbau eines Sicherheitskonzepts nach IT-Grundschutz

• Die Reihenfolge nach BSI-Standard 200-2:

1. Geltungsbereich festlegen (Informationsverbund)

• Welche Standorte, Systeme, Anwendungen und Prozesse gehören dazu — und was ausdrücklich nicht.

2. Strukturanalyse

• Erfassung aller Objekte im Geltungsbereich: IT-Systeme, Anwendungen, Räume, Netze, Kommunikationsverbindungen.

3. Schutzbedarfsfeststellung

• Für jedes Objekt wird der Schaden abgeschätzt, getrennt nach Vertraulichkeit, Integrität und Verfügbarkeit.
• Ergebnis ist eine Einstufung als normal, hoch oder sehr hoch.

4. Modellierung

• Jedem Objekt werden die passenden Bausteine des Kompendiums zugeordnet.

5. IT-Grundschutz-Check

• Soll-Ist-Vergleich: für jede Anforderung wird festgehalten, ob sie umgesetzt ist — entbehrlich, ja, teilweise oder nein, jeweils mit Begründung.

6. Risikoanalyse nach 200-3

• Nur für die Objekte mit hohem oder sehr hohem Schutzbedarf oder ohne passenden Baustein.

7. Realisierungsplan

• Die offenen Punkte werden priorisiert, mit Verantwortlichem, Termin und Aufwand versehen.

8. Prüfen und wiederholen

• Umsetzung kontrollieren, Konzept fortschreiben — zurück zu Schritt 1.

Kernaussagen

• Das Gesetz fordert den Nachweis, die Norm liefert die Methode, der IT-Grundschutz liefert zusätzlich die Maßnahmenliste.
• Ein ISMS erzeugt keine neue Technik, sondern Vollständigkeit und Nachvollziehbarkeit.
• Der Baustein ersetzt im Regelfall die eigene Risikoanalyse.
• Ein Sicherheitskonzept, in dem alles grün ist, ist entweder falsch oder wertlos.
• Der Wert entsteht erst mit Verantwortlichem und Termin an jedem offenen Punkt.