Ein ISMS ist das Managementsystem, mit dem eine Organisation ihre Informationssicherheit planmäßig steuert, überwacht und kontinuierlich verbessert – mit festen Regeln, Rollen, Prozessen und Nachweisen.
Was gehört zu einem ISMS?
Ein ISMS ist keine Software und kein einzelnes Dokument, sondern ein Rahmen aus Verantwortlichkeiten, Prozessen und Maßnahmen. Dazu gehören die Festlegung des Anwendungsbereichs, eine Informationssicherheitsleitlinie, ein systematischer Umgang mit Risiken, die Auswahl passender Sicherheitsmaßnahmen sowie deren regelmäßige Überprüfung.
Das Ziel ist, die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit von Informationen dauerhaft sicherzustellen – nicht nur einmalig, sondern im Sinne eines kontinuierlichen Verbesserungsprozesses (Plan-Do-Check-Act).
Das ISMS in der ISO/IEC 27001
Die ISO/IEC 27001 beschreibt die Anforderungen an ein ISMS in den Abschnitten 4 bis 10: Kontext der Organisation (4), Führung (5), Planung inklusive Risikobeurteilung und -behandlung (6), Unterstützung wie Ressourcen, Kompetenz und dokumentierte Information (7), Betrieb (8), Bewertung der Leistung mit internem Audit und Managementbewertung (9) sowie Verbesserung (10).
Anhang A enthält in der Fassung von 2022 insgesamt 93 Maßnahmen in vier Themen: organisatorische, personenbezogene, physische und technologische Maßnahmen.
Praxisbeispiel
Ein mittelständischer IT-Dienstleister legt als Anwendungsbereich den Betrieb seines Rechenzentrums und den Kundensupport fest. Er bestimmt eine ISMS-Verantwortliche, bewertet die Risiken für Kundendaten, führt unter anderem Zugriffskonzepte, Backups und Awareness-Schulungen ein und überprüft das Ganze jährlich in einem internen Audit und einer Managementbewertung.
Typische Fehler im Audit
- Der Anwendungsbereich ist zu vage beschrieben oder grenzt wichtige Schnittstellen nicht ab.
- Das ISMS existiert nur auf Papier – Richtlinien werden im Alltag nicht gelebt.
- Die Geschäftsführung ist nicht erkennbar eingebunden (Abschnitt 5).
Bezug zur Norm: ISO/IEC 27001:2022, Abschnitte 4 bis 10
← Alle Begriffe mit I