Das ISMS 2026 - Informationssicherheitsmanagement ohne Verfahrenslähmung

System, übergeordnete Richtlinie und themenspezifische Richtlinien

Drei Begriffe werden häufig synonym gebraucht, obwohl sie Dinge unterschiedlicher Ordnung bezeichnen; ihre Verwechslung ist die Quelle der meisten Missverständnisse im Gespräch mit einem Auditor.

Das Managementsystem umfasst das Ganze: Dokumente, Prozesse, Menschen, Technik und den Verbesserungszyklus, der all das zusammenhält. Die Informationssicherheitsrichtlinie ist ein Dokument in diesem System - das oberste, erklärende, von der Leitung unterschriebene. Themenspezifische Richtlinien liegen eine Ebene darunter und betreffen konkrete Bereiche: Zugriffssteuerung, Kryptografie, Sicherungskopien, Behandlung von Vorfällen.

Darunter stehen Verfahren, die beschreiben, wie eine Tätigkeit abläuft, sowie Anweisungen mit konkreten Schritten. Gesondert bestehen Register und Aufzeichnungen, die der einzige Nachweis dafür sind, dass alles Übrige tatsächlich funktioniert. Ausführlicher zum obersten Dokument im Artikel über die Informationssicherheitsrichtlinie.

Die praktische Folge dieser Gliederung ist einfach: Ein System ohne Aufzeichnungen ist eine Absichtserklärung, kein Sachstand. Ein Audit beginnt bei den Dokumenten, entschieden wird es an den Aufzeichnungen.

Was die Ausgabe von 2022 änderte

Die Ausgabe von 2022 löste jene von 2013 nach neun Jahren ab, die Änderung betrifft jedoch fast ausschließlich Anhang A. Die Managementanforderungen der Kapitel 4 bis 10 blieben im Wesentlichen gleich.

Anhang A wechselte von einer thematischen Gliederung - 114 Maßnahmen in vierzehn Kategorien - zu einer Gliederung nach Ausführenden: 93 Maßnahmen in vier Gruppen. Organisatorische gibt es 37, personenbezogene 8, physische 14 und technologische 34. Die Zahl sank, weil Positionen zusammengeführt wurden, nicht weil auf etwas verzichtet worden wäre.

Hinzu kamen elf neue Maßnahmen, von denen vier meist den größten Aufwand verlangen: Bedrohungsinformationen (A.5.7), Konfigurationsmanagement (A.8.9), Datenmaskierung (A.8.11) und Überwachung von Aktivitäten (A.8.16). Jede setzt einen Prozess voraus, den kein Eintrag in einer Richtlinie ersetzt.

Die dritte Neuerung sind die Attribute, die jeder Maßnahme in fünf Dimensionen zugeordnet sind. Sie erleichtern das Filtern des Katalogs und die Abbildung auf andere Modelle, darunter NIST CSF und CIS Controls. Die Attribute beschreibt im Detail ISO/IEC 27002 ^[5].

Die Übergangsfrist für Zertifikate nach der Ausgabe von 2013 endete am 31. Oktober 2025; jedes heute gültige Zertifikat bezieht sich daher auf die Ausgabe von 2022.

Der jährliche Verbesserungszyklus

Die Norm beruht auf einem Zyklus aus Planen, Durchführen, Prüfen und Handeln, und die Kapitel entsprechen seinen aufeinanderfolgenden Phasen. In einer typischen Organisation dauert der Zyklus zwölf Monate.

In der Phase des Planens, die Kapitel 4 bis 7 umfasst, werden Kontext und interessierte Parteien bestimmt, der Geltungsbereich festgelegt, die Richtlinie genehmigt, Rollen zugewiesen, die Risikobeurteilung durchgeführt und der Risikobehandlungsplan erstellt. In der Phase des Durchführens, Kapitel 8, wird der Plan umgesetzt und die Risikobeurteilung nach wesentlichen Änderungen wiederholt.

Die Phase des Prüfens ist Kapitel 9: Überwachung und Messung - Leitlinien dazu gibt ISO/IEC 27004 ^[4] -, internes Audit und Managementbewertung. Die Phase des Handelns, Kapitel 10, umfasst den Umgang mit Nichtkonformitäten und die Verbesserung.

Sinn ergibt der Zyklus erst, wenn er geschlossen wird. Das nächste Jahr sollte mit den Ergebnissen des vorigen beginnen: was wirkte, was nicht, welche Risiken ihren Charakter änderten. Ein System, in dem jeder Zyklus bei null beginnt, ist im Kern ein jährliches Dokumentationsprojekt.

Anhang A und die Erklärung zur Anwendbarkeit

Anhang A führt 93 Maßnahmen in je einem Satz auf. Die Hinweise zu ihrer Umsetzung enthält ISO/IEC 27002 ^[5].

Die organisatorische Gruppe ist die umfangreichste und umfasst Richtlinien und Rollen, Informationsklassifizierung, Identitäts- und Zugriffsverwaltung, Lieferantenbeziehungen, Behandlung von Vorfällen, Betriebskontinuität sowie die Einhaltung rechtlicher Anforderungen. Die personenbezogene Gruppe betrifft den gesamten Beschäftigungszyklus, von der Überprüfung der Bewerber bis zu Pflichten, die nach dem Ausscheiden fortbestehen; dazu gehören Schulungen, ausführlicher im Artikel über Security Awareness. Die physische Gruppe umfasst Zonen, Zutrittskontrolle, Umgebungsfestigkeit und Schutz der Geräte. Die technologische Gruppe liegt der täglichen Arbeit der IT-Teams am nächsten: Endgeräte, Berechtigungen, Kryptografie, Sicherungskopien, Protokollierung und Überwachung, Netzsicherheit und der Entwicklungszyklus von Software.

Das Schlüsseldokument ist die Erklärung zur Anwendbarkeit. Sie gibt für jede der 93 Maßnahmen an, ob sie anwendbar ist, und begründet diese Entscheidung. Ein Zertifizierungsaudit beginnt genau dort, denn sie bestimmt, wonach der Auditor anschließend sucht. Eine Erklärung, in der alles als anwendbar gekennzeichnet ist, vereinfacht das Audit also nicht, sondern erweitert es.

Zertifizierung oder bloße Konformität

Die Einführung des Systems und die Erlangung eines Zertifikats sind zwei verschiedene Entscheidungen, die man getrennt treffen sollte.

Konformität ohne Zertifizierung bedeutet, das System nach der Norm aufzubauen und es durch ein internes oder externes Audit zu überprüfen, jedoch ohne akkreditierte Zertifizierungsstelle. Sie ist erheblich günstiger und genügt überall dort, wo niemand das Papier verlangt.

Zertifizierung ergänzt dies um ein zweistufiges Audit - zunächst der Dokumentation, dann der tatsächlichen Umsetzung -, ein Zertifikat für drei Jahre sowie Überwachungsaudits im ersten und zweiten Jahr.

Welche Variante zu wählen ist, hängt vor allem davon ab, wer fragt. Im öffentlichen Sektor genügt meist Konformität: Die KRI-Verordnung ^[2] verlangt weder eine Stützung des Systems auf ISO/IEC 27001 noch gar eine Zertifizierung. § 19 Abs. 3 wirkt anders: Wurde das System auf Grundlage der PN-ISO/IEC 27001 erarbeitet, werden die Maßnahmen nach PN-ISO/IEC 27002 festgelegt und das Risiko nach PN-ISO/IEC 27005 gesteuert, gelten die Anforderungen der Verordnung als erfüllt. Das ist eine Konformitätsvermutung, also eine Beweiserleichterung, keine Pflicht.

Für wesentliche und wichtige Einrichtungen im Sinne des polnischen KSC-Gesetzes, das die Richtlinie NIS2 ^[3] umsetzt, ist die Zertifizierung ebenfalls nicht verpflichtend. Bei wesentlichen Einrichtungen kann sie im periodischen Audit nach Artikel 15 als Nachweis nützlich sein; wichtige Einrichtungen unterliegen dieser allgemeinen periodischen Auditpflicht nicht, können das Zertifikat aber ebenfalls als Nachweis in der Aufsicht verwenden. Im Geschäftsverkehr entscheidet meist der Kunde: Im Vertrieb an große Organisationen, besonders im Finanzsektor und im Gesundheitswesen, ist ein Zertifikat oft formale Bedingung, bei Anbietern von Software als Dienstleistung praktisch Standard.

Die Kosten der Zertifizierung für eine Organisation mit fünfzig bis hundert Beschäftigten liegen nach unserer Erfahrung zwischen 30.000 und 80.000 PLN für das erste Audit und zwischen 15.000 und 30.000 PLN jährlich für die Überwachungsaudits. Das sind Spannen aus unseren Projekten, keine Preisliste.

Was es an Stunden kostet

Die Behauptung, ein System verschlinge den größten Teil der Verwaltungskapazität, bestätigt sich in unseren Projekten nicht - sofern die Dokumentation nicht den Prozess ersetzt.

Leitlinien zur Einführung selbst gibt ISO/IEC 27003 ^[7]. Eine Ersteinführung, von null bis zum funktionierenden System, dauert üblicherweise sechs bis zwölf Monate und bindet 200 bis 500 Stunden interner Arbeit sowie 80 bis 200 Beraterstunden. Die Aufrechterhaltung in den Folgejahren liegt in einer mittelgroßen Kommune bei 8 bis 20 Stunden monatlich für die koordinierende Person, zuzüglich regelmäßiger Audits, Überprüfungen und Schulungen. Die Verteilung ist sehr ungleich - der größte Teil des Aufwands fällt kurz vor und kurz nach einem Audit an.

Auf der Nutzenseite lassen sich am leichtesten jene Wirkungen benennen, die ohne Untersuchung sichtbar sind. Das System verringert die Wahrscheinlichkeit von Ereignissen, deren Ursache das Fehlen eines Prozesses ist: die nicht erstellte Sicherungskopie, die nach dem Ausscheiden nicht entzogene Berechtigung, die Aktualisierung, an die niemand dachte. Es hält keinen Angriff auf, aber es beseitigt die Gründe, aus denen Angriffe erfolgreich sind.

Die Dokumentation des Systems ist zudem Beweismaterial im Fall eines Vorfalls - sowohl gegenüber der Datenschutzbehörde als auch gegenüber der für Cybersicherheit zuständigen Behörde. Sie erleichtert den Verkauf an Kunden, die ihre Lieferanten bewerten, und das Gespräch mit dem Versicherer, denn der Risikofragebogen fragt genau nach dem, was das System dokumentiert. Die Wirkung auf die Prämie selbst hängt jedoch so stark von Angebot und Risikoprofil ab, dass sie sich nicht in einer Kennzahl ausdrücken lässt.

Die häufigsten Fehler

Sechs Muster, die sich unabhängig von der Größe der Organisation wiederholen.

1. Das System auf Dokumentation verkürzt. Der einfachste Test besteht darin, eine zufällig gewählte beschäftigte Person zu fragen, welche Informationen in dieser Organisation vertraulich sind. Weiß sie es nicht, existiert die Klassifizierung nur in einer Datei.
2. Kein Eigentümer. Ohne eine Person, die das System im Aufgabenbereich hat, hält es niemand aufrecht. In kleineren Organisationen übernimmt diese Rolle meist der Datenschutzbeauftragte oder eine Abteilungsleitung, sie muss aber ausdrücklich benannt sein.
3. Erklärung zur Anwendbarkeit ohne Begründungen. Maßnahmen als einbezogen oder ausgeschlossen gekennzeichnet, ohne Angabe des Grundes. Das ist das Erste, was ein Auditor prüft, und das Erste, woran er hängen bleibt.
4. Keine Kennzahlen. Kapitel 9.1 verlangt Überwachung, Messung, Analyse und Bewertung. Ohne Indikatoren - Zahl der Vorfälle, Reaktionszeit, Schulungsabdeckung, Anteil der einem Referenzpunkt entsprechenden Systeme - gibt es nichts zu bewerten. Leitlinien dazu gibt ISO/IEC 27004 ^[4].
5. Internes Audit durch die Leitung des auditierten Bereichs. Ein Verstoß gegen den in ISO 19011 ^[6] beschriebenen und für Informationssicherheits-Managementsysteme in ISO/IEC 27007 ^[8] präzisierten Grundsatz der Unabhängigkeit. In kleineren Organisationen hilft ein Auditor aus einer anderen Einheit oder ein wechselseitiger Austausch von Auditoren.
6. Managementbewertung auf eine Unterschrift verkürzt. Kapitel 9.3 verlangt eine Bewertung unter Beteiligung der obersten Leitung, deren Ergebnis Entscheidungen und ein Plan sind, nicht eine lediglich zur Kenntnis genommene Präsentation.

Entwicklungslinien

Drei Entwicklungen verändern heute die Art, ein System zu führen.

Integration von Managementsystemen. Die gemeinsame Struktur der Normen erlaubt es, Informationssicherheit, Datenschutz nach ISO/IEC 27701 und Betriebskontinuität nach ISO 22301 zu einem Dokumentensatz mit gemeinsamem Audit zusammenzuführen. Die Ersparnis betrifft vor allem die Zeit der Leitung, denn die Bewertung findet einmal statt statt dreimal.

Werkzeuge zur Konformitätssteuerung. Software, die Nachweise automatisch sammelt und Konformität fortlaufend überwacht, ersetzt einen Teil der Handarbeit. Zu bedenken bleibt allerdings, dass ein Werkzeug Nachweise über das Vorhandensein einer Maßnahme sammelt, nicht über deren Wirksamkeit - die verlangt weiterhin menschliche Beurteilung.

Sprachmodelle in der Dokumentationsarbeit. Der Entwurf einer ersten Richtlinienfassung, eine erste Lückenanalyse oder die Vorbereitung von Auditfragen sind Aufgaben, bei denen solche Werkzeuge die Arbeit tatsächlich verkürzen. Das Ergebnis bedarf jedoch der Prüfung: Ein Dokument, das nicht existierende Prozesse beschreibt, ist schlimmer als gar keines, denn es erzeugt ein falsches Bild von Konformität.