ISO 27001 und BSI IT-Grundschutz: Informationssicherheit organisieren

Kurz: Zwei Regelwerke, mit denen Organisationen Informationssicherheit systematisch planen, umsetzen und überprüfen; beide arbeiten mit einem Managementsystem und Risiken.

Genauer: Sicherheit entsteht nicht durch ein einzelnes Werkzeug, sondern durch geregelte Verantwortung, Prozesse und ständige Verbesserung. Ein ISMS (Informationssicherheits-Managementsystem) legt fest, was geschützt wird, welche Risiken bestehen und welche Maßnahmen gelten. ISO/IEC 27001 und der IT-Grundschutz des BSI sind die bekanntesten Wege dahin.

Im Detail

ISO/IEC 27001

Der internationale Standard beschreibt die Anforderungen an ein ISMS. Kernschritte nach dem PDCA-Zyklus (Plan, Do, Check, Act): Geltungsbereich festlegen, Risikoanalyse durchführen, passende Maßnahmen aus dem Anhang A (Kontrollen, zum Beispiel Zugriffskontrolle, Kryptografie, Lieferantenbeziehungen) auswählen, umsetzen, interne Audits und Management-Bewertung durchführen. Unternehmen können sich von unabhängigen Stellen zertifizieren lassen, das schafft Vertrauen bei Kunden.

BSI IT-Grundschutz

Das Bundesamt für Sicherheit in der Informationstechnik bietet ein Vorgehen mit Standards (200-1 bis 200-4) und dem IT-Grundschutz-Kompendium mit Bausteinen für typische Bereiche (Server, Netze, Cloud, Smartphones, Anwendungen). Je Baustein gibt es Anforderungen (MUSS, SOLLTE) und Gefährdungen. Man erstellt eine Strukturanalyse, bestimmt den Schutzbedarf (normal, hoch, sehr hoch) und setzt die Bausteine um. Eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz ist möglich.

Zusammenhang mit Recht und Praxis

Gesetze wie NIS-2, das BSI-Gesetz und die DSGVO verlangen angemessene Sicherheitsmaßnahmen; Standards helfen, das nachzuweisen. Große Kunden fordern Nachweise bei Dienstleistern. Für Kleingewerbe wäre die volle Zertifizierung meist überdimensioniert; die Grundgedanken (Inventar, Risiken, Zugriffsrechte, Backups, Updates, Notfallplan, Schulung) nützen trotzdem.

Typische Bausteine im Alltag

• Inventar: Welche Geräte, Daten und Dienste gibt es?
• Rollen und Verantwortliche (zum Beispiel Informationssicherheitsbeauftragte).
• Zugriffsrechte nach dem Prinzip der geringsten Rechte, Passwortregeln, Mehrfaktor.
• Updates und Patchmanagement.
• Backups und Notfallplan, Wiederherstellung üben.
• Schulung der Mitarbeitenden gegen Phishing.
• Meldewege für Vorfälle.

Siehe auch: Schutzziele der Informationssicherheit, BSI-Gesetz, Prinzip der geringsten Rechte, Qualitätsmanagement und PDCA