ISMS
Kurz: Ein Informationssicherheitsmanagementsystem (ISMS) ist ein systematisch aufgebautes Managementsystem, mit dem ein Unternehmen die Vertraulichkeit, Integrität und Verfügbarkeit seiner Informationen dauerhaft sicherstellt. Es umfasst Richtlinien, Prozesse, Verantwortlichkeiten und technische Maßnahmen. Ziel ist es, Informationssicherheitsrisiken zu erkennen, zu bewerten und gezielt zu behandeln.
Definition
Ein ISMS ist ein ganzheitliches, prozessorientiertes Managementsystem für die Informationssicherheit. Es basiert auf dem PDCA-Zyklus und umfasst die Planung, Umsetzung, Überwachung und fortlaufende Verbesserung aller Sicherheitsmaßnahmen. Kern sind die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Ein ISMS beginnt mit der Analyse des Kontexts der Organisation, der Festlegung des Anwendungsbereichs und einer Risikobeurteilung. Daraus werden Maßnahmen abgeleitet, dokumentiert und umgesetzt. Die Wirksamkeit wird durch Überwachung, interne Audits und eine Managementbewertung überprüft. Nichtkonformitäten führen zu Korrekturmaßnahmen. Das ISMS wird typischerweise nach ISO/IEC 27001 aufgebaut und zertifiziert. Es lässt sich mit anderen Managementsystemen zu einem integrierten Managementsystem verbinden. Für KMU ist ein schlankes, an die Größe angepasstes ISMS sinnvoll, das die wesentlichen Risiken abdeckt, ohne übermäßigen Dokumentationsaufwand.
Praxisbezug
Ein mittelständischer Maschinenbauer führt ein ISMS ein, um Kundenanforderungen an die Datensicherheit zu erfüllen. Zunächst wird eine Risikoanalyse durchgeführt, die unverschlüsselte Laptops und fehlende Zugriffsrechte als Schwachstellen identifiziert. Daraufhin werden Richtlinien, ein Zugriffskonzept und Schulungen eingeführt. Ein internes Audit prüft die Umsetzung, die Managementbewertung entscheidet über Verbesserungen. Nach erfolgreicher Zertifizierung nach ISO/IEC 27001 kann das Unternehmen Aufträge von Großkunden gewinnen.
Normbezug
ISO/IEC 27001:2022, Klauseln 4 bis 10 sowie Anhang A
DSGVO
Kurz: Die Datenschutz-Grundverordnung (DSGVO) ist die europäische Verordnung zum Schutz personenbezogener Daten. Sie regelt, wie Unternehmen personenbezogene Daten rechtmäßig verarbeiten dürfen. Sie gilt seit Mai 2018 unmittelbar in allen EU-Mitgliedstaaten und verpflichtet Unternehmen zu Transparenz, Datensicherheit und zur Wahrung der Betroffenenrechte.
Definition
Die DSGVO ist eine unmittelbar geltende EU-Verordnung, die den Umgang mit personenbezogenen Daten vereinheitlicht. Sie gilt für jede Verarbeitung personenbezogener Daten, auch in KMU. Zentrale Grundsätze sind Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Integrität. Unternehmen müssen eine Rechtsgrundlage für jede Verarbeitung nachweisen, Betroffene informieren und deren Rechte wie Auskunft, Berichtigung und Löschung gewährleisten. Verantwortliche müssen ein Verzeichnis von Verarbeitungstätigkeiten führen und geeignete technisch-organisatorische Maßnahmen treffen. Bei Verstößen drohen erhebliche Bußgelder. Die DSGVO verlangt zudem unter bestimmten Voraussetzungen die Bestellung eines Datenschutzbeauftragten sowie eine Datenschutz-Folgenabschätzung bei hohem Risiko.
Praxisbezug
Ein Dienstleistungsunternehmen verarbeitet Kundendaten in einem CRM-System. Nach der DSGVO muss es die Kunden über die Verarbeitung informieren, eine Rechtsgrundlage nachweisen und ein Verzeichnis der Verarbeitungstätigkeiten führen. Bei einem Datenleck muss es die Aufsichtsbehörde innerhalb von 72 Stunden informieren. Das Unternehmen bestellt einen externen Datenschutzbeauftragten und schult die Mitarbeiter im Umgang mit personenbezogenen Daten.
Normbezug
Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 30 und 32
Technisch-organisatorische Maßnahmen
Kurz: Technisch-organisatorische Maßnahmen (TOM) sind alle technischen und organisatorischen Vorkehrungen, die personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Missbrauch schützen. Sie umfassen etwa Verschlüsselung, Zugriffskontrollen, Schulungen und Verfahrensregeln. Ihr Umfang richtet sich nach dem Risiko und dem Stand der Technik.
Definition
Technisch-organisatorische Maßnahmen sind die Gesamtheit der Maßnahmen, mit denen ein Verantwortlicher die Sicherheit der Verarbeitung personenbezogener Daten gewährleistet. Die DSGVO verlangt in Artikel 32 Maßnahmen, die ein dem Risiko angemessenes Schutzniveau sicherstellen. Technische Maßnahmen umfassen Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, Firewalls und Backup-Systeme. Organisatorische Maßnahmen umfassen Richtlinien, Schulungen, Berechtigungskonzepte, Vertraulichkeitsvereinbarungen und Prozesse zur Vorfallbehandlung. Die Auswahl der Maßnahmen muss risikobasiert erfolgen und dokumentiert werden. Sie wird regelmäßig überprüft und an neue Bedrohungen angepasst. Auch die ISO/IEC 27001 verlangt im Anhang A vergleichbare Maßnahmen. TOM sind ein zentraler Bestandteil der Rechenschaftspflicht nach der DSGVO.
Praxisbezug
Ein Handwerksbetrieb verarbeitet Kundendaten auf einem Server. Als technische Maßnahme verschlüsselt er die Festplatten und sichert die Daten täglich. Als organisatorische Maßnahme führt er ein Zugriffskonzept ein und schult die Mitarbeiter. Die getroffenen Maßnahmen werden in einem TOM-Dokument beschrieben, das er auf Anfrage der Aufsichtsbehörde vorlegen kann.
Normbezug
DSGVO Artikel 32; ISO/IEC 27001:2022 Anhang A
Verzeichnis von Verarbeitungstätigkeiten
Kurz: Das Verzeichnis von Verarbeitungstätigkeiten ist ein Pflichtdokument nach der DSGVO, in dem ein Unternehmen alle Verarbeitungen personenbezogener Daten auflistet. Es enthält Angaben zu Zweck, Datenkategorien, Empfängern und Löschfristen. Es dient der Transparenz und als Grundlage für die Datenschutz-Governance.
Definition
Das Verzeichnis von Verarbeitungstätigkeiten ist ein zentrales Dokument des Datenschutzes nach Artikel 30 DSGVO. Es dokumentiert systematisch alle Verarbeitungsvorgänge personenbezogener Daten im Unternehmen. Für jede Verarbeitung werden der Zweck, die betroffenen Personengruppen, die Datenkategorien, die Empfänger, Übermittlungen in Drittländer, Löschfristen und die technisch-organisatorischen Maßnahmen erfasst. Das Verzeichnis muss aktuell gehalten werden und der Aufsichtsbehörde auf Anfrage vorgelegt werden können. Es schafft Transparenz über die Datenflüsse im Unternehmen und bildet die Grundlage für Datenschutz-Folgenabschätzungen und die Erfüllung der Rechenschaftspflicht. Auch wenn Unternehmen unter bestimmten Voraussetzungen von der Pflicht befreit sind, ist das Verzeichnis für die meisten KMU sinnvoll.
Praxisbezug
Ein Logistikunternehmen erstellt sein Verzeichnis der Verarbeitungstätigkeiten. Es listet die Verarbeitung von Mitarbeiterdaten in der Personalabteilung, Kundendaten im Warenwirtschaftssystem und Bewerberdaten auf. Für jede Verarbeitung werden Zweck, Datenkategorien und Löschfristen erfasst. Der Datenschutzbeauftragte aktualisiert das Verzeichnis regelmäßig und stellt es der Aufsichtsbehörde auf Anfrage zur Verfügung.
Normbezug
DSGVO Artikel 30
NIS2
Kurz: Die NIS2-Richtlinie ist die europäische Richtlinie zur Stärkung der Cybersicherheit von Netz- und Informationssystemen. Sie verpflichtet betroffene Unternehmen zu umfassenden Risikomanagementmaßnahmen, Meldepflichten und Führungsverantwortung. Sie wird in Deutschland durch das NIS2-Umsetzungsgesetz in nationales Recht überführt.
Definition
Die NIS2-Richtlinie ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie ersetzt die erste NIS-Richtlinie und erweitert den Kreis der betroffenen Unternehmen erheblich. Betroffen sind viele mittlere und größere Unternehmen aus kritischen Sektoren wie Energie, Transport, Gesundheit, IKT und auch der verarbeitenden Industrie. Die Richtlinie verlangt ein umfassendes Risikomanagement für die Cybersicherheit, einschließlich Zugriffskontrolle, Incident Response, Lieferkettensicherheit und Schulungen. Unternehmen müssen Sicherheitsvorfälle melden, und die Geschäftsleitung trägt die Verantwortung. In Deutschland wird die Richtlinie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt, das Pflichten, Registrierung und Bußgelder konkretisiert. Die Einhaltung ist für betroffene Unternehmen verpflichtend.
Praxisbezug
Ein mittelständisches Unternehmen der verarbeitenden Industrie prüft, ob es unter die NIS2-Richtlinie fällt. Da es die Größenkriterien erfüllt und als wichtiges Unternehmen eingestuft wird, muss es ein Cybersicherheits-Risikomanagement einführen. Es registriert sich bei der zuständigen Behörde, benennt einen Verantwortlichen und implementiert Maßnahmen zur Erkennung und Meldung von Sicherheitsvorfällen.
Normbezug
Richtlinie (EU) 2022/2555 (NIS2); NIS2UmsuCG
Risikoanalyse
Kurz: Die Risikoanalyse ist ein systematisches Verfahren zur Identifikation, Bewertung und Priorisierung von Risiken. Sie ermittelt die Eintrittswahrscheinlichkeit und die möglichen Auswirkungen von Bedrohungen. Ihre Ergebnisse bilden die Grundlage für die Auswahl geeigneter Schutzmaßnahmen.
Definition
Die Risikoanalyse ist ein zentraler Bestandteil des risikobasierten Denkens in Managementsystemen. Sie identifiziert potenzielle Bedrohungen und Schwachstellen, bewertet deren Eintrittswahrscheinlichkeit und die möglichen Schäden und priorisiert die Risiken. Im Bereich der Informationssicherheit wird sie nach ISO/IEC 27001 durchgeführt, um Risiken für Vertraulichkeit, Integrität und Verfügbarkeit zu ermitteln. Die Ergebnisse werden in einer Risikomatrix dargestellt und mit Akzeptanzkriterien verglichen. Daraus werden Maßnahmen zur Risikobehandlung abgeleitet, etwa Vermeidung, Verminderung, Übertragung oder Akzeptanz. Die Risikoanalyse muss regelmäßig wiederholt und bei wesentlichen Änderungen aktualisiert werden. Sie ist Grundlage für Risikobehandlungspläne und die Planung von Notfallmaßnahmen.
Praxisbezug
Ein Softwareunternehmen führt eine Risikoanalyse für seine Cloud-Dienste durch. Es identifiziert Ransomware-Angriffe und Datenverlust als wesentliche Risiken. Die Risikomatrix zeigt, dass ein Angriff wahrscheinlich und der Schaden hoch ist. Daraufhin führt das Unternehmen Backups, Verschlüsselung und ein Incident-Response-Team ein. Die Analyse wird jährlich wiederholt.
Normbezug
ISO/IEC 27001:2022, Klausel 6.1.2 und 8.2
Business Continuity Management
Kurz: Business Continuity Management (BCM) ist ein Managementsystem, das die Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen und Krisen sicherstellt. Es umfasst die Analyse kritischer Prozesse, die Entwicklung von Notfallplänen und deren regelmäßige Übung. Ziel ist es, Ausfallzeiten zu minimieren.
Definition
Business Continuity Management ist ein ganzheitlicher Ansatz, um die Fortführung kritischer Geschäftsprozesse bei Störungen, Ausfällen oder Katastrophen sicherzustellen. Es umfasst die Business-Impact-Analyse, mit der kritische Prozesse und deren maximale Ausfallzeiten ermittelt werden. Darauf aufbauend werden Wiederanlaufstrategien und Notfallpläne entwickelt. Die Maßnahmen werden regelmäßig geübt, überprüft und verbessert. BCM berücksichtigt auch die Lieferkette, IT-Systeme, Personal und Kommunikation. Die internationale Norm ISO 22301 beschreibt die Anforderungen an ein Business-Continuity-Managementsystem. BCM ergänzt das Notfallmanagement und die Informationssicherheit und ist eng mit dem Risikomanagement verbunden. Für KMU ist ein pragmatischer, auf die kritischen Prozesse fokussierter Ansatz sinnvoll.
Praxisbezug
Ein Produktionsunternehmen analysiert seine kritischen Prozesse und stellt fest, dass ein Ausfall der ERP-Systeme die Fertigung stoppt. Es definiert eine maximale Ausfallzeit von vier Stunden und entwickelt einen Wiederanlaufplan mit Backup-Systemen. Der Plan wird halbjährlich geübt. Nach einem Stromausfall kann das Unternehmen die Produktion dank des Plans innerhalb der Zielzeit wieder aufnehmen.
Normbezug
ISO 22301; ISO/IEC 27001:2022, Klausel 5.30 und Anhang A.5.29
Zugriffskonzept
Kurz: Ein Zugriffskonzept legt fest, welche Personen auf welche Informationen, Systeme und Räume zugreifen dürfen. Es basiert auf dem Prinzip der geringsten Rechte und wird rollenbasiert umgesetzt. Es schützt Daten vor unbefugtem Zugriff und Missbrauch.
Definition
Ein Zugriffskonzept regelt systematisch, wer unter welchen Bedingungen auf welche Informationen, IT-Systeme und physischen Bereiche zugreifen darf. Es folgt dem Prinzip der geringsten Rechte (Need-to-know), wonach jeder nur die Rechte erhält, die er für seine Aufgabe benötigt. Zugriffsrechte werden rollenbasiert vergeben und dokumentiert. Das Konzept umfasst die Authentisierung der Nutzer, die Autorisierung von Rechten und die Protokollierung von Zugriffen. Es unterscheidet Lese-, Schreib- und Verwaltungsrechte und sieht für kritische Aktionen das Vier-Augen-Prinzip vor. Zugriffsrechte müssen bei Änderungen der Aufgaben und beim Ausscheiden von Mitarbeitern aktualisiert werden. Das Zugriffskonzept ist eine zentrale technisch-organisatorische Maßnahme und Bestandteil eines ISMS nach ISO/IEC 27001.
Praxisbezug
Ein Ingenieurbüro führt ein Zugriffskonzept für sein Projektmanagementsystem ein. Jeder Mitarbeiter erhält nur Zugriff auf die Projekte, an denen er arbeitet. Die Geschäftsführung hat vollständige Rechte, die Buchhaltung nur auf Finanzdaten. Beim Ausscheiden eines Mitarbeiters werden dessen Zugriffe sofort deaktiviert. Die Rechte werden halbjährlich überprüft.
Normbezug
ISO/IEC 27001:2022, Anhang A (A.5.15, A.8.2); DSGVO Artikel 32
Datenschutz-Folgenabschätzung
Kurz: Die Datenschutz-Folgenabschätzung (DSFA) ist eine Risikoprüfung, die vor Verarbeitungen mit hohem Risiko für die Rechte betroffener Personen durchgeführt wird. Sie bewertet die Auswirkungen der Verarbeitung und legt Schutzmaßnahmen fest. Sie ist nach der DSGVO unter bestimmten Voraussetzungen verpflichtend.
Definition
Die Datenschutz-Folgenabschätzung ist ein Verfahren nach Artikel 35 DSGVO, das vor der Durchführung von Verarbeitungen mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen durchgeführt wird. Sie ist erforderlich, wenn neue Technologien eingesetzt werden oder umfangreiche, systematische Verarbeitungen stattfinden. Die DSFA beschreibt die geplanten Verarbeitungen, bewertet die Risiken für die Betroffenen und legt geeignete Maßnahmen zur Risikominderung fest. Bei verbleibendem hohem Risiko muss die Aufsichtsbehörde konsultiert werden. Die DSFA ist ein dynamisches Dokument und muss bei Änderungen aktualisiert werden. Sie ergänzt das Verzeichnis von Verarbeitungstätigkeiten und die technisch-organisatorischen Maßnahmen. Für KMU ist die DSFA nur bei entsprechenden Verarbeitungen verpflichtend.
Praxisbezug
Ein Unternehmen plant die Einführung eines neuen Personalverwaltungssystems mit umfangreicher Verarbeitung von Gesundheitsdaten der Mitarbeiter. Da ein hohes Risiko besteht, führt es eine Datenschutz-Folgenabschätzung durch. Es bewertet die Risiken, legt Verschlüsselung und Zugriffsbeschränkungen fest. Die DSFA wird dokumentiert und dem Datenschutzbeauftragten vorgelegt.
Normbezug
DSGVO Artikel 35
Notfallplan
Kurz: Ein Notfallplan ist ein dokumentiertes Handlungskonzept für den Umgang mit Störungen, Ausfällen und Krisen. Er legt fest, wer im Notfall welche Maßnahmen ergreift und wie der Betrieb wiederhergestellt wird. Er wird regelmäßig geübt und aktualisiert.
Definition
Ein Notfallplan ist ein dokumentiertes Handlungskonzept, das die Reaktion auf Störungen, Ausfälle und Krisen festlegt. Er definiert Verantwortlichkeiten, Alarmierungswege, Kommunikationsregeln und konkrete Maßnahmen zur Schadensbegrenzung. Der Plan beschreibt, wie kritische Prozesse aufrechterhalten oder schnell wiederhergestellt werden können. Er umfasst technische, organisatorische und personelle Maßnahmen sowie die Benachrichtigung interner und externer Stellen. Notfallpläne müssen regelmäßig überprüft, geübt und an veränderte Bedingungen angepasst werden. Sie sind ein zentraler Bestandteil des Notfallmanagements und der Geschäftskontinuität. Im Kontext der Informationssicherheit decken sie auch Cyberangriffe und Datenverluste ab. Die Anforderungen finden sich in ISO/IEC 27001 und in der Automobilnorm IATF 16949.
Praxisbezug
Ein Zulieferer erstellt einen Notfallplan für den Ausfall seiner Produktionsanlage. Der Plan legt fest, dass die Produktionsleitung innerhalb von 30 Minuten alarmiert wird und Ersatzmaschinen eines Kooperationspartners genutzt werden können. Der Plan wird jährlich geübt. Nach einem Brand kann das Unternehmen die Lieferfähigkeit dank des Plans innerhalb von zwei Tagen wiederherstellen.
Normbezug
ISO/IEC 27001:2022, Anhang A.5.29; IATF 16949:2016, Klausel 6.1.2.3
