Informationssicherheits- managementsystem (ISMS)

Ein Informationssicherheitsmanagementsystem (oder kurz: ISMS) ist die Aufstellung von Verfahren und Regeln innerhalb einer Organisation, um die Informationssicherheit dauerhaft zu definieren und zu steuern. Mittels eines ISMS lassen sich die definierten Verfahren und Richtlinien zusätzlich effizient kontrollieren, aufrechterhalten und fortlaufend verbessern.

Das ISMS selbst lässt sich entlang von gültigen Normen und Standards entwickeln, z.B. anhand der ISO 27001, der ISIS12 (für kleine und mittlere Unternehmen), der Richtlinien der VdS Schadenverhütung GmbH (VdS 10000) und weiterer Standards wie dem BSI IT-Grundschutz und TISAX.

Das ISMS ist ein prozessorientiertes System, welches von der Unternehmensführung ausgehen muss (Top-Down-Ansatz). Bei dem Aufbau und der Etablierung spielt zusätzlich der (externe) Informationssicherheitsbeauftragte eine wesentliche Rolle. Seine Aufgabe ist es, das ISMS fortlaufend zu kontrollieren, aufrechtzuerhalten und anhand neuer Standards kontinuierlich zu verbessern (PDCA-Zyklus).

Wie bereits beschrieben dient das ISMS dem Aufbau, der Etablierung und der Einhaltung von Standards in der Informationssicherheit. Ein gut ausgearbeitetes ISMS versetzt Organisationen zudem in die Lage, Schwachstellen in der Informationssicherheitsorganisation zu erkennen und strukturiert zu beseitigen. Kurz: Es soll Organisationen dabei helfen, ihre Unternehmenswerte effizient zu schützen. Während beim Datenschutz-Managementsystem die personenbezogenen Daten einer Organisation im Fokus stehen, verfolgt das ISMS einen ganzheitlichen Ansatz zum Schutz aller Unternehmensinformationen. So werden zusätzliche Informationen, auch ohne Personenbezug, die für die Organisation von sehr hoher Wichtigkeit sind (z.B. Patente, Forschungsergebnisse und Geschäftsgeheimnisse) berücksichtigt.

Viele Organisationen unterliegen zudem gesetzlichen und normativen Anforderungen, die das Vorhandensein eines ISMS verlangen – sei es von gesetzgebender Seite (z.B. KRITIS) oder strategisch wichtigen Partnern (TISAX). Somit ergibt sich, dass hierbei ein dokumentiertes ISMS nicht ausschließlich dem Selbstzweck dient, sondern einen nachweislichen Mehrwert für die Organisation darstellt.

Obwohl sich Prozesse, Vorgaben und Abläufe in Organisationen stark unterscheiden können, ist der Aufbau eines ISMS strukturiert. Es besteht aus:

Wir unterstützen Sie beim Aufbau und der Etablierung eines pragmatischen und wirksamen Informationssicherheitsmanagementsystems. Unsere Experten verfügen über umfangreiche Kenntnisse diverser Normen und Standards wie der ISO 27001, BSI IT-Grundschutz, KRITIS; TISAX, VdS 10000 und vielen mehr.