Ein ISMS legt fest, welche Informationen Sie schützen, welche Risiken bestehen und mit welchen Maßnahmen Sie diese Risiken beherrschen. Es beschreibt, wer wofür zuständig ist und wie die Wirksamkeit regelmäßig überprüft wird. Damit wird Informationssicherheit nachvollziehbar und für Kunden, Auditoren und Behörden nachweisbar.
Ein ISMS ist kein einmaliges Projekt, sondern ein fortlaufender Kreislauf nach dem Prinzip Plan, Do, Check, Act. Sie planen Maßnahmen, setzen sie um, überprüfen ihre Wirkung und verbessern nach. So passt sich Ihr Schutzniveau an neue Bedrohungen und an Veränderungen im Unternehmen an, statt zu veralten.
Zu einem tragfähigen ISMS gehören der Geltungsbereich, der festlegt, welche Bereiche abgedeckt sind, sowie eine Sicherheitsleitlinie der Geschäftsführung. Hinzu kommen klare Rollen, insbesondere der Informationssicherheitsbeauftragte, ein Risikomanagement mit strukturierter Risikoanalyse und die dazu passenden Maßnahmen. Ergänzt wird das durch Schulungen zur Sensibilisierung der Mitarbeiter, ein internes Audit und ein regelmäßiges Management-Review.
Ein ISMS lässt sich auf verschiedenen Standards aufsetzen, und für kleine und mittlere Unternehmen ist die Wahl des richtigen Rahmens entscheidend.
ISO/IEC 27001 ist die international anerkannte Norm mit ihren 93 Maßnahmen im Anhang A. Sie ist am weitesten verbreitet und dort sinnvoll, wo Kunden oder Auftraggeber ein anerkanntes Zertifikat verlangen.
Der BSI IT-Grundschutz mit den Standards 200-1, 200-2 und 200-3 ist besonders gründlich und vor allem im Behördenumfeld und bei höherem Schutzbedarf verbreitet. Er ist umfassend, aber auch aufwendig.
Die VdS 10000 ist eine Richtlinie der VdS Schadenverhütung, die eigens für den Mittelstand entwickelt wurde. Sie erreicht ein angemessenes Schutzniveau mit deutlich weniger Aufwand als ISO 27001, ist zertifizierbar und lässt sich später zu ISO 27001 ausbauen. Für viele kleine Betriebe ist sie der praktikabelste Einstieg.
Die DIN SPEC 27076 ist kein vollständiges Managementsystem, sondern eine strukturierte Bestandsaufnahme mit 27 Anforderungen. Sie eignet sich als erster Schritt, um den Status zu bestimmen, bevor Sie ein ISMS aufbauen.
Wir empfehlen Ihnen den Standard, der zu Ihrer Größe und zu den Anforderungen Ihrer Kunden passt, und begleiten Sie auf dem gewählten Weg.
Wir beginnen mit einer Gap-Analyse, die den Abstand zwischen Ihrem heutigen Stand und den Anforderungen zeigt. Anschließend definieren wir den Geltungsbereich, führen die Risikoanalyse durch und erstellen die nötigen Richtlinien. Danach setzen wir die Maßnahmen gemeinsam um, schulen Ihre Mitarbeiter und bereiten mit einem internen Audit die Prüfungsreife vor.
Für ein kleines oder mittleres Unternehmen, kurz KMU, dauert der Aufbau eines ISMS meist 3 bis 6 Monate, bis zur Zertifizierungsreife nach ISO 27001 planen Sie 6 bis 12 Monate ein. Der größte Aufwand liegt nicht im späteren Audit, sondern im Aufbau selbst. Genau hier entlasten wir Sie, damit Ihr Team handlungsfähig bleibt.
Ein sauber aufgebautes ISMS ist die Grundlage für eine ISO-27001-Zertifizierung. Zugleich deckt es einen Großteil der Anforderungen aus NIS2 ab. Sie schaffen also mit einem System die Basis für mehrere Nachweise. Den Einstieg macht eine kostenlose Erstberatung.
Informationssicherheit gelingt im Zusammenspiel. Entdecken Sie, wie wir Ihr Managementsystem aufbauen und Sie bis zur ISO-27001-Zertifizierung begleiten, auf Wunsch mit einem externen Beauftragten an Ihrer Seite.
