Kurzdefinition: Ein ISMS (Informationssicherheits-Managementsystem) ist der organisatorische Rahmen aus Richtlinien, Prozessen, Rollen und Kontrollen, mit dem ein Unternehmen Informationssicherheit systematisch steuert. Es macht aus Einzelmaßnahmen ein gesteuertes, überprüfbares und belegbares System.
Was ist ein ISMS?
Ein Managementsystem für Informationssicherheit. Es legt fest, wie Risiken erkannt, Maßnahmen ausgewählt, Verantwortlichkeiten verteilt und Wirksamkeit überprüft werden — als fortlaufender Kreislauf.
Wie funktioniert der ISMS-Kreislauf?
Nach dem Plan-Do-Check-Act-Prinzip: planen, umsetzen, prüfen, verbessern. So bleibt Sicherheit kein Zustand, sondern ein gesteuerter, lernender Prozess.
Wie hängt ein ISMS mit NIS-2 zusammen?
Es ist der natürliche Rahmen für die Pflichten. Die Risikomanagementmaßnahmen nach § 30 BSIG lassen sich in einem ISMS planbar umsetzen, überwachen und belegen.
Braucht ein ISMS eine Zertifizierung?
Nicht zwingend. Ein ISMS kann nach ISO/IEC 27001 zertifiziert werden, wirkt aber auch ohne Zertifikat. Die Zertifizierung schafft zusätzlich externen Nachweis.
Wer verantwortet das ISMS?
Eine benannte Stelle (oft der CISO) mit Rückhalt der Leitung. Die Gesamtverantwortung und Überwachungspflicht bleibt bei der Geschäftsleitung.
Häufige Fehlannahmen
- „Ein ISMS ist nur Papier.“ Nein. Es ist ein gelebter Steuerungsprozess.
- „Ohne Zertifikat ist ein ISMS wertlos.“ Nein. Es wirkt auch ohne Zertifizierung.
- „Ein ISMS ersetzt technische Maßnahmen.“ Nein. Es steuert und ergänzt sie.
- „Einmal aufgebaut, läuft es.“ Nein. Es lebt vom fortlaufenden Verbesserungskreislauf.
- „Nur Großunternehmen brauchen ein ISMS.“ Nein. Auch kleinere profitieren vom Rahmen.
Was die Geschäftsleitung tun sollte
- Rahmen aufbauen. Richtlinien, Rollen und Prozesse etablieren.
- Risiken steuern. Maßnahmen risikobasiert auswählen.
- Prüfen. Wirksamkeit regelmäßig kontrollieren.
- Verbessern. Den Kreislauf fortlaufend pflegen.
Für die Geschäftsleitung
Ein ISMS macht Informationssicherheit steuerbar und belegbar. Es ist der natürliche Rahmen, um die § 30-Maßnahmen planvoll umzusetzen, ihre Wirksamkeit zu prüfen und die Pflichterfüllung nachzuweisen.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
