Informationssicherheit für Städte, Gemeinden und Kommunen

Die internationale Norm ISO 27001 regelt Informationssicherheit in privaten, öffentlichen oder gemeinnützigen Organisationen. Sie beschreibt die Anforderungen für das Einrichten, Realisieren, Betreiben und Optimieren eines dokumentierten Informationssicherheits-Managementsystems (IMSM). Sie spezifiziert die Anforderungen für Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines dokumentierten Informationssicherheits-Managementsystems unter Berücksichtigung des Kontexts einer Organisation. Darüber hinaus beinhaltet die Norm Anforderungen für die Beurteilung und Behandlung von Informationssicherheitsrisiken entsprechend den individuellen Bedürfnissen der Organisation. Im Anhang sind mehr als 100 Umsetzungsmaßnahmen aufgeführt (ISO 27002). Der Standard ist technikneutral, d.h. die Anweisungen werden nur konzeptionell beschrieben und müssen für den Einsatz im Unternehmen organisatorisch und technisch koordiniert werden.

Die ISO 27001 ist für verschiedene Bereiche anwendbar sein, insbesondere

• zur Formulierung von Anforderungen und Zielen für die Informationssicherheit
• für das kostengünstige Management von Sicherheitsrisiken
• zur Gewährleistung der Einhaltung gesetzlicher und behördlicher Vorschriften
• als Rahmen für den Prozess der Umsetzung und Verwaltung von Maßnahmen
• zur Definition neuer Informationssicherheits-Managementprozesse
• zur Identifizierung bestehender und Definition neuer Informationssicherheits-Managementprozesse sowie von Aktivitäten im Zusammenhang mit dem Informationssicherheitsmanagementsystem (ISMS)

Mit ISO 27001 haben Unternehmen, Gemeinden und Kommunen die Möglichkeit, ihre Sicherheitsaktivitäten strukturiert zu planen und umzusetzen. Die ISO 27001 definiert die Anforderungen an ein Informationssicherheits-Managementsystem (oft auch als ISMS bezeichnet). Hier wurde ein kontinuierlicher Verbesserungsprozess (KVP) eingerichtet, der es ermöglicht, die erforderlichen Sicherheitsmaßnahmen in einem risikoorientierten Prozess zu bestimmen und eine kontinuierliche Verbesserung umzusetzen. ISMS wird oftmals als Software-Tool angesehen, das ist es aber nicht. ISMS ist eine Methode und ein Prozess, und im ersten Schritt sind nicht unbedingt Softwaretools erforderlich. In großen Organisationen kann Software diesen Ansatz sicherlich unterstützen, insbesondere wenn der Betrieb des ISMS mehrere Bereiche oder Mitarbeiter umfasst.

Ein Informationssicherheitsbeauftragter kann für viele Organisationen eine Unterstützung oder sogar eine Erleichterung sein. Denn oft ist das Management im Bereich IT, Datenschutz und Schutz von Informationen nicht ausreichend ausgestattet. Die Ernennung eines Informationssicherheitsbeauftragten ist nicht obligatorisch, wird jedoch empfohlen. Gibt es einen Informationssicherheitsbeauftragten berichtet dieser direkt an die Organisationsleitung und fungiert als zentraler Ansprechpartner. Es handelt im Namen der Leitung, die jedoch weiterhin für die Informationssicherheit verantwortlich ist. Ein Informationssicherheitsbeauftragter kann mehrere Aufgaben haben.

Daher hängen die Aufgaben von dem Konzept, das die jeweilige Organisation bereits hat, den angestrebten Zielen und den umzusetzenden Ideen ab. Zu den Aufgaben eines Informationssicherheitsbeauftragten gehören in der Regel die Schulung der Mitarbeiter, die Beratung des Managements, interne Audits, die Klärung von Zweifeln und Problemen, die Entwicklung von Sicherheitskonzepten und die Umsetzung der geltenden Vorschriften.

Auch die Ernennung bzw. Bestellung eines externen Informationssicherheitsbeauftragten kann von Vorteil sein. Für diese Aufgabe sind in der Regel umfangreiche technische und organisatorische Kenntnisse erforderlich. Interne Mitarbeiter sind dazu oftmals nicht in der Lage, weil sie nur die Prozesse ihrer eigenen Organisation kennen. Oft kann ein externer Informationssicherheitsbeauftragter besser beurteilen, welches Konzept am besten geeignet ist. Gerne übernehmen unsere Berater und Auditoren diese Rolle als externer Informationssicherheitsbeauftragter auch für Sie. Sprechen Sie uns dazu gerne jederzeit an.

Die aktuelle internationale Version der ISO/IEC 27001 ist die Ausgabe 2022. In Deutschland wurde sie als DIN EN ISO/IEC 27001:2024-01 veröffentlicht und ersetzt die bisherige Fassung von 2017. Die Norm berücksichtigt neben der Informationssicherheit nun ausdrücklich auch Cybersicherheit und Datenschutz. Gleichzeitig wurden die Anforderungen an das Informationssicherheitsmanagementsystem weiterentwickelt und an die harmonisierte Struktur moderner Managementsystemnormen angepasst.

Zudem wurden in der aktuellen Norm:

• Die Anforderungen an die Ermittlung des Kontextes der Organisation sowie die Berücksichtigung interessierter Parteien weiterentwickelt
• Risiken und Chancen stärker in die Planung und Steuerung des Informationssicherheitsmanagementsystems einbezogen
• Die Anforderungen an Überwachung, Messung, Analyse und Bewertung sowie an die kontinuierliche Verbesserung des ISMS konkretisiert
• Der Anhang A grundlegend überarbeitet: Statt bisher 114 umfasst er nun 93 Maßnahmen, die in vier Themenbereiche gegliedert sind. Ergänzt wurden unter anderem Maßnahmen zu Threat Intelligence, Cloud-Diensten und sicherer Softwareentwicklung
• Mit Amendment 1:2024 zusätzlich Anforderungen zur Berücksichtigung des Klimawandels im Kontext der Organisation und bei interessierten Parteien aufgenommen

Quelle: ISO/IEC 27001:2022; DIN EN ISO/IEC 27001:2024-01; DIN EN ISO/IEC 27001/A1:2024-11

Die ISO 27001 hat sich als Standard durchgesetzt. Mit ISIS12, dem Standard VdS 10000 oder auch dem BSI-Standard gibt es jedoch natürlich auch Alternativen im Kontext Informationssicherheit, auf die wir nachfolgend kurz eingehen möchten:

BSI-Standard:
Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet mit den IT-Grundschutz-Katalogen eine sehr gute Anleitung für die Errichtung eines ISMS in Unternehmen und Behörden. Die Kataloge sind mit über 4.800 Seiten recht umfangreich und beschreiben die Umsetzung der Maßnahmenziele und Maßnahmen für ein ISMS. Einen direkten Vergleich der ISO/IEC 27001 und den Grundschutz-Katalogen finden Sie auf der Webseite des BSI.

ISIS12:
ISIS12 ist eine weniger zeit- und kostenintensive Alternative zu ISO/IEC 27001 und dem IT-Grundschutz. Das „Netzwerk für Informationssicherheit im Mittelstand (NIM)“ hat in Anlehnung an den IT-Grundschutz und der Norm ISO/IEC 27001 ein Modell zur Einführung eines ISMS entwickelt, das 12 konkrete Schritte vorsieht. Der wesentliche Unterschied zum IT-Grundschutz und der ISO/IEC 27001 besteht darin, dass nicht jedes Bedrohungsszenario analysiert und abgedeckt wird. Organisationen erhalten vielmehr in begrenztem Umfang eine klare Handlungsanweisung für ein ISMS.
Hinweis: Ein ISMS nach ISIS12 ist nicht geeignet für Anbieter „kritischer Infrastrukturen“ gemäß dem IT-Sicherheitsgesetz.

VdS 10000:
Eine weitere Alternative zur ISO/IEC 27001 und dem IT-Grundschutz sind die Richtlinien VdS 10000. Dieses Informationssicherheitsmanagementsystem enthält Vorgaben und Hilfestellungen für die Implementierung eines Informationssicherheitsmanagementsystems sowie konkrete Maßnahmen für die organisatorische sowie technische Absicherung von IT-Infrastrukturen. Sie sind speziell für KMU sowie für kleinere und mittlere Organisationen ausgelegt mit der Zielsetzung, ein angemessenes Schutzniveau zu gewährleisten, ohne sie organisatorisch oder finanziell zu überfordern. Die VdS 10000 ist der Nachfolger der VdS 3473. Die Richtlinien wurden von Experten der VdS Schadenverhütung GmbH konzipiert und sind mit dem ISO/IEC 27001 und dem IT-Grundschutz kompatibel.

In welche Richtung Sie auch gehen möchten, wir begleiten Sie und unterstützen Sie bei der Entwicklung und der Einführung eines ISMS. Nehmen Sie bitte Kontakt über unser Kontaktformular auf.

Neben der Unterstützung bei der Einführung Ihres Informationssicherheitssystems, helfen wir (z.B. bei wiederholten Problemen oder Auditfeststellungen) gerne auch dabei Ihr bestehendes ISMS zu verbessern oder unterstützen Sie bei internen und externen Audits. Wir freuen uns auch, Ihnen unser Fachwissen als externer Informationssicherheitsbeauftragter (ISMB) zur Verfügung zu stellen. Wenn Sie weitere Ideen haben, wie wir Ihnen helfen können, zögern Sie bitte nicht, uns zu kontaktieren. Wir werden gemeinsam mit Ihnen eine Lösung finden.