Ratgeber
ISMS für den Mittelstand: schlank einführen
Ein Informationssicherheits-Managementsystem ist kein Zertifikat. Man kann eines betreiben, ohne je zertifiziert zu werden — und für die meisten mittelständischen Betriebe ist genau das der richtige Weg.
Die Verwechslung ist teuer. Wer ISMS mit ISO-27001-Zertifizierung gleichsetzt, landet bei Angeboten im fünfstelligen Bereich für etwas, das er zu diesem Zeitpunkt gar nicht braucht.
Was er braucht, ist meist etwas anderes: nachvollziehbar entscheiden können, welche Risiken er trägt und was er dagegen tut.
Das häufigste Missverständnis
Ein ISMS ist ein Verfahren, kein Dokument und kein Siegel. Es beschreibt, wie ein Betrieb systematisch entscheidet: Was ist schützenswert, was kann passieren, was tun wir dagegen, und wer prüft nach, ob es gewirkt hat.
Eine Zertifizierung bestätigt, dass dieses Verfahren einem bestimmten Normstandard entspricht. Sie ist sinnvoll, wenn Kunden sie verlangen oder eine Ausschreibung sie voraussetzt. Sie ist kein Selbstzweck.
Für Betriebe, die wegen NIS-2 aktiv werden, ist die Reihenfolge klar: erst das Verfahren, dann — vielleicht — das Zertifikat.
Die Mindestbausteine
Unabhängig von der Norm läuft es auf vier Dinge hinaus, die zusammenhängen müssen. Fehlt eines, kippt die Kette: Man hat dann entweder Listen ohne Entscheidungen oder Entscheidungen ohne Nachweis.
Ein Einstieg in 30 Tagen
Woche 1: Aufschreiben, was es gibt. Systeme, Daten, Dienstleister. Unvollständig ist erlaubt, erfunden nicht.
Woche 2: Die zehn größten Risiken benennen und bewerten. Zehn, nicht hundert — eine lange Liste ist keine Leistung, sondern eine Ausrede.
Woche 3: Zu jedem Risiko entscheiden: tragen, verringern, übertragen, vermeiden. Für alles, was verringert wird, eine Maßnahme mit Verantwortlichem und Frist.
Woche 4: Einen Termin setzen, an dem das Ganze erneut angeschaut wird. Ohne diesen Termin ist das Ergebnis eine Momentaufnahme und kein System.
Das ist kein vollständiges ISMS nach Norm. Es ist der Punkt, ab dem man überhaupt etwas hat, das man weiterentwickeln kann.
Was es ehrlich kostet
Der Aufwand liegt selten im Werkzeug. Er liegt in den Entscheidungen, und die kann niemand von außen treffen — ein Berater kann sie vorbereiten, unterschreiben muss sie die Geschäftsleitung.
Realistisch für den Einstieg oben: einige Personentage verteilt über einen Monat, überwiegend bei einer Person, die den Betrieb kennt. Eine Zertifizierung obendrauf ist eine andere Größenordnung und eine andere Entscheidung.
Wer eine Zahl für die Zertifizierung hören will, sollte drei Angebote einholen. Die Spanne im Markt ist groß, und sie hat wenig mit der Betriebsgröße zu tun.
Die vier Bausteine
Sie hängen zusammen. Jeder für sich ist wertlos.
Werteverzeichnis
Was schützenswert ist: Systeme, Daten, Prozesse, Dienstleister. Der häufigste Fehler ist, hier zu detailliert zu werden — eine Liste, die niemand pflegt, ist schlechter als eine grobe, die stimmt.
Risikoregister
Was passieren kann, wie wahrscheinlich, wie schwer. Mit einer Bewertung, die begründet ist und nicht nur eine Farbe trägt.
Maßnahmenplan
Was dagegen getan wird, von wem, bis wann. Ohne Verantwortlichen und Frist ist es eine Absichtserklärung.
Wiedervorlage
Ein fester Termin, an dem Risiken und Maßnahmen erneut bewertet werden. Das unterscheidet ein System von einem Projekt.
Opspect unterstützt bei diesen Bausteinen: Risikoregister mit Bewertung und Freigabe, Maßnahmenplan mit Verantwortlichen und Fristen, Lieferantenübersicht, Erklärung zur Anwendbarkeit und Berichte als PDF. Ob deine Maßnahmen ausreichen, entscheidet weiterhin ein Mensch.
Betrifft dich NIS-2?
Viele Betriebe fangen mit einem ISMS an, weil NIS-2 im Raum steht. Die Selbsteinschätzung klärt in etwa zwei Minuten, ob das für dich gilt.
Häufige Fragen
Brauchen wir eine ISO-27001-Zertifizierung?
Nur wenn Kunden, Ausschreibungen oder Verträge sie verlangen. Ein ISMS lässt sich auch ohne Zertifizierung betreiben.
Wie viele Risiken sollten im Register stehen?
Am Anfang eher zehn als hundert. Ein Register, das niemand mehr durchsieht, erfüllt seinen Zweck nicht.
Kann eine Software das ISMS ersetzen?
Nein. Software hält Entscheidungen fest und erinnert an Fristen. Die Entscheidungen trifft die Organisation.
Wer sollte das im Betrieb führen?
Eine Person mit Überblick über Abläufe und Zugang zur Geschäftsleitung. Fachliche IT-Tiefe ist hilfreich, aber nicht das Wichtigste.
Was ist der Unterschied zwischen ISMS und Datenschutz?
Das ISMS schützt Informationen des Betriebs, der Datenschutz die Rechte betroffener Personen. Sie überschneiden sich, ersetzen einander aber nicht.