Die Leitlinie für Informationssicherheit (ISL) ist das zentrale strategische Dokument der Organisationsleitung und eines der ersten wesentlichen Elemente beim Aufbau eines ISMS. Sie muss auf die Organisation bezogen sein und deren Sprache entsprechen.

In der Leitlinie müssen sich mindestens folgende Themen wiederfinden:

• das Bekenntnis der Organisationsleitung zur Gesamtverantwortung für Informationssicherheit
• die Festlegung des Geltungsbereichs
• die Verknüpfung der Geschäftsziele mit den Informationssicherheitszielen
• der Stellenwert der Informationssicherheit
• eine Leitaussage zur Durchsetzung und Erfolgskontrolle
• die Organisationsstruktur für die Umsetzung des ISMS-Prozesses

Die Beschäftigten sind ein wesentlicher Bestandteil eines wirksamen ISMS. Ziel ist ein dauerhaftes Bewusstsein für Sicherheitsrisiken – kontinuierlich und für alle Beschäftigten im Geltungsbereich. Awareness bleibt einer der kritischsten Erfolgsfaktoren, die Beteiligung der Führungsebene gilt heute als zwingend notwendig.

Typische Maßnahmen:

• Schulungen
• Phishing-Simulationen
• Sicherheitsrichtlinien
• verpflichtende Unterweisungen
• E-Learning

Mindestens die Rolle eines Informationssicherheitsbeauftragten (ISB) ist verbindlich zu etablieren. Der ISB muss über die nötigen fachlichen und organisatorischen Kompetenzen verfügen, unabhängig ausgestaltet sein und ein direktes Berichtsrecht gegenüber der Organisationsleitung besitzen – die Gesamtverantwortung bleibt jedoch bei der Leitung. Auch bei externen ISB-Lösungen müssen Zuständigkeiten klar geregelt sein.

Zur Unterstützung kann ein Informationssicherheitsteam eingerichtet werden, das bei Sicherheitsstrategie, ISMS-Steuerung, Prüfung von Maßnahmen, Schulungen und Berichterstattung hilft. In kleineren Organisationen kann der ISB diese Aufgaben allein übernehmen.

Klare Rollen im ISMS: Informationssicherheitsbeauftragter (ISB), Datenschutzbeauftragter, IT-Leitung, Fachbereiche, Management.

Die IT-Dokumentation ist die Basis, um IT-Services und Informationssicherheit zu steuern. Sie muss vollständig, übersichtlich, verständlich, strukturiert, korrekt, nachvollziehbar und objektiv sein und mindestens folgende Referenzdokumente umfassen: Informationssicherheitsleitlinie, Schulungs- und Sensibilisierungskonzept, Benennung von ISB/DSB/IS-Team, Betriebshandbuch, bereinigter Netzplan, Notfallhandbuch, IT-Servicemanagementhandbuch, Prozesssteckbriefe, Schutzbedarfsfeststellung, Sicherheitskonzept, Umsetzungsplan, Managementbericht, Revision inkl. Auditberichten, Risikomanagementrichtlinie und Risikobehandlungsplan.

Alle Dokumente sind entsprechend ihres Schutzbedarfs zu klassifizieren und mindestens jährlich auf Aktualität zu prüfen.

Das IT-Servicemanagement bündelt alle Maßnahmen, die eine bestmögliche Unterstützung der Geschäftsprozesse durch die IT ermöglichen, dokumentiert im Servicemanagementhandbuch. CISIS12 verlangt die Beschreibung und Umsetzung von mindestens drei Prozessen in den Bereichen Wartung, Störung und Änderung – etwa On-/Offboarding, Wartungshandbücher für Klimaanlage oder USV, Patch- und Update-Prozesse oder Störungsbearbeitung.

Alle Prozesse sind in einer Prozesslandkarte darzustellen. Anforderungen an Lieferanten und externe Dienstleister, insbesondere bei Outsourcing, müssen verbindlich geregelt und dokumentiert werden.

Eine der wichtigsten Erweiterungen gegenüber ISIS12: Die Organisation muss alle relevanten gesetzlichen, regulatorischen und internen Anforderungen identifizieren, dokumentieren und regelmäßig prüfen – insbesondere Datenschutz-, Informationssicherheits- und branchenspezifische Vorgaben.

Alle relevanten Geschäftsprozesse werden erfasst, Verantwortlichen zugeordnet und hinsichtlich möglicher Auswirkungen von Störungen bewertet (finanzielle Schäden, Reputationsrisiken, regulatorische Anforderungen, tolerierbare Ausfallzeiten). Den Prozessen werden unterstützende Anwendungen, IT-Systeme und Assets zugeordnet und mit einem Schutzbedarf versehen. Auf dieser Basis werden passende Maßnahmen aus dem CISIS12-Katalog umgesetzt. Werden Prozesse oder IT-Dienstleistungen ausgelagert, gelten verbindliche Sicherheits- und Compliance-Regelungen.

Die für die Geschäftsprozesse erforderlichen IT-Strukturen, Systeme und Assets werden identifiziert, dokumentiert und einem verantwortlichen Eigentümer zugeordnet – als Basis für Betriebshandbuch, Systemdokumentation und Sicherheitsmaßnahmen. Ein bereinigter Netzplan stellt Geltungsbereich, Systeme und externe Verbindungen übersichtlich dar.

Die IT-Struktur gliedert sich typischerweise in Server, Clients, Cloud-Dienste, Netzwerke, mobile Endgeräte, Standorte sowie externe Zugänge und Fernwartungsverbindungen. Besondere Bedeutung haben hybride IT-Strukturen, Cloud- und SaaS-Architekturen, Homeoffice- und Remote-Work-Konzepte sowie externe Dienstleister.

Der Betrieb von IT-Strukturen ist mit technischen, organisatorischen und externen Risiken verbunden. Die Organisation muss ein strukturiertes Governance-, Risk- und Compliance-Management (GRC) etablieren, um Risiken frühzeitig zu erkennen, zu bewerten und zu steuern – etwa im Zusammenhang mit IT-Systemen, Personal, Sicherheitsvorfällen, Schadsoftware, Lieferantenabhängigkeiten oder Cloud-Diensten.

Eine Risikomanagementrichtlinie legt Bewertungsmaßstäbe, Kriterien zur Risikoakzeptanz, Verantwortlichkeiten und Vorgehensweisen fest. Identifizierte Risiken werden in einer Risikolandkarte dokumentiert und klassifiziert; je nach Risikoniveau folgen Maßnahmen zur Vermeidung, Reduzierung, Übertragung oder bewussten Akzeptanz.

Die in den vorherigen Schritten identifizierten Sicherheitsmaßnahmen werden hinsichtlich ihrer tatsächlichen Umsetzung bewertet: vollständig, teilweise oder noch nicht umgesetzt. Dabei zählen Wirksamkeit, Nachhaltigkeit, Schutzbedarf und Dokumentation. Maßnahmen werden zusätzlich nach Kritikalität und Beitrag zur Risikominimierung priorisiert.

Wie alle Schritte in CISIS12 wird auch der Soll-Ist-Vergleich revisioniert, damit die Organisation auf Veränderungen angemessen reagieren kann.

Offene, unvollständige oder zurückgestellte Maßnahmen werden priorisiert und in eine nachvollziehbare Maßnahmenplanung überführt – unter Berücksichtigung von Schutzbedarf, Risiken, Wirtschaftlichkeit, Budget und Ressourcen. Für jede Maßnahme werden Verantwortlichkeiten, Ressourcen, Budget und Umsetzungstermine festgelegt.

Die verantwortlichen Personen überwachen die Umsetzung bis zur Fertigstellung und dokumentieren den Fortschritt. Die Maßnahmenplanung ist Teil des kontinuierlichen Verbesserungsprozesses (PDCA).

Regelmäßige interne Audits prüfen Prozesse, Maßnahmen, Richtlinien und Abläufe auf Wirksamkeit, Konformität und Verbesserungspotenzial – als System-, Prozess-, Sicherheits- oder Lieferantenaudit.

Alle Audits werden im Rahmen eines Auditprogramms geplant und dokumentiert; Umfang, Kriterien, Verantwortlichkeiten und Zeiträume sind verbindlich festgelegt. Interne Auditoren müssen unabhängig und qualifiziert sein, alternativ kommen externe Auditoren zum Einsatz. Ein Audit umfasst typischerweise Dokumentenprüfungen, Interviews, Vor-Ort-Begehungen sowie Abschluss- und Nachbesprechungen. Festgestellte Abweichungen werden in Auditberichten dokumentiert und mit Maßnahmen hinterlegt.

Die regelmäßige Revision des ISMS sichert dauerhaft Wirksamkeit, Aktualität, Vollständigkeit und Angemessenheit der Informationssicherheit. Alle Revisionen erfolgen mindestens einmal jährlich und werden nachvollziehbar dokumentiert; festgestellte Schwachstellen werden durch Korrekturmaßnahmen behandelt.

Ein wesentlicher Bestandteil ist die regelmäßige Berichterstattung, insbesondere durch Managementberichte, Auditberichte sowie einen jährlichen Informationssicherheitsbericht.

Die Auditierung und Zertifizierung nach CISIS12 weist nach, dass eine Organisation ein wirksames ISMS eingeführt hat und die Anforderungen des Standards nachhaltig erfüllt. Sie erfolgt durch unabhängige Auditoren oder anerkannte Zertifizierungsstellen auf Basis von CISIS12-Handbuch, Maßnahmenkatalog, Maßnahmenbeschreibungskatalog und ergänzenden Richtlinien, orientiert an den Grundsätzen der ISO 19011.

Geprüft wird unter anderem, ob Informationssicherheitsprozesse wirksam etabliert wurden, Maßnahmen umgesetzt sind, Risiken angemessen behandelt werden und das ISMS kontinuierlich weiterentwickelt wird. Die Zertifizierung läuft in einem dreijährigen Zyklus: Erstzertifizierung, jährliche Überwachungsaudits und eine Re-Zertifizierung. Feststellungen werden je nach Kritikalität als Verbesserungspotenzial, Nebenabweichung oder Hauptabweichung eingestuft und müssen fristgerecht korrigiert werden.