Aufbau eines ISMS

Typischerweise konzentriert sich ein ISMS auf das Verhalten der Angestellten, die Handhabung von Daten sowie die Nutzung von Technologien. Es kann speziell auf bestimmte Datentypen, wie etwa Kundeninformationen, zugeschnitten sein.

Die Einrichtung eines solchen Systems erfolgt meist gemäß von Richtlinien, wie der ISO 27001 oder der DIN SPEC 27076. Unter Einhaltung dieser Richtlinien gelingt es Unternehmen, ein ISMS einzurichten, dass jegliche Anforderungen erfüllt. Diese Richtlinien bilden dabei eine Art Etappenlauf, an dessen Schlusslinie das umfänglich aufgebaute ISMS steht.

Die schrittweise Implementierung eines Informationssicherheitsmanagementsystems (ISMS) nach ISO/IEC 27001 hat sich in der Vergangenheit als gängige Methode etabliert. Gründe dafür sind sicherlich ihre Praktikabilität und Effektivität. Auch wenn diese Methode darauf abzielt, ein ISMS zu entwickeln, das nicht nur die Informationssicherheit im gesamten Unternehmen verankert sondern auch flexibel genug ist, um spezielle Unternehmensanforderungen zu erfüllen, ist sie doch veraltet.

Die ISO 27001 Richtlinie ist nämlich für Unternehmen mit weniger als 50 Beschäftigten weniger geeignet. Da jedoch so gut wie 90 Prozent der Unternehmen in diese Kategorie fallen, wurde eine weitere Richtlinie, die DIN SPEC 27076, entwickelt, die sich an KMU richtet. Mit dieser Richtlinie können KMU einen sogenannten CyberRisikoCheck durchführen und damit die Anforderungen an ihr ISMS erfüllen. Aber wollen wir Ihnen zunächst die Basics rund um das ISMS erläutern.