ISMS (Informationssicherheits-Managementsystem)
Systematischer Rahmen für Informationssicherheit — ISO 27001 oder BSI Grundschutz
TL;DR
Ein Informationssicherheits-Managementsystem (ISMS) ist ein systematischer Rahmen aus Richtlinien, Prozessen und Maßnahmen zum Schutz von Informationen. Bekannteste Standards: ISO/IEC 27001 (international zertifizierbar) und BSI IT-Grundschutz (deutscher Standard). Pflicht-Element für NIS2-Compliance nach § 30 Abs. 2 Nr. 1 BSIG.
Was ist ISMS (Informationssicherheits-Managementsystem)?
Zentrale ISMS-Komponenten:
- ISMS-Leitlinie: Top-Level-Policy, GF-genehmigt
- Risikoanalyse-Methodik (z.B. ISO 27005, BSI Grundschutz)
- Risiko-Register mit dokumentierten Risiken + Behandlungs-Plan
- Statement of Applicability (SoA): welche ISO 27001-Controls sind anwendbar
- Maßnahmenkatalog: alle technischen + organisatorischen Maßnahmen
- Wirksamkeitsmessung: KPIs, Audits, Pentests
- Kontinuierliche Verbesserung (PDCA-Zyklus)
Praxisbeispiel
ISO 27001-Aufbau für 200-MA-Unternehmen typisch:
- Q1: ISMS-Leitlinie + Risikoanalyse-Methodik
- Q2: Risiko-Register + Maßnahmen-Definition
- Q3: Implementierung der 93 ISO 27001-Controls (sofern anwendbar)
- Q4: Internes Audit + externe Vorbereitung
- Folgejahr: externes Audit + Zertifizierung
Aufwand: 0,5-1 FTE für Aufbau + 0,3-0,5 FTE für laufenden Betrieb.
ISMS-Pflicht: Rechtslage Deutschland und Österreich
NIS2 ist eine EU-Richtlinie (RL (EU) 2022/2555) und gilt nicht unmittelbar, sondern über die nationalen Umsetzungsgesetze. Die Pflicht zu Risikomanagementmaßnahmen — mit Risikoanalyse und Sicherheitskonzepten für die Informationssysteme als ISMS-Kern — ist in Deutschland und Österreich nahezu wortgleich, die einschlägigen Paragrafen und die zuständige Behörde unterscheiden sich jedoch. Der „BSI IT-Grundschutz“ ist dabei ein deutscher Standard; ISO/IEC 27001 gilt als international anerkannter Referenzstandard in beiden Rechtsräumen.
Deutschland
§ 30 Abs. 1 und Abs. 2 BSIG (BSI-Gesetz 2025) verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen; der Mindestkatalog umfasst § 30 Abs. 2 Nr. 1 bis 10. Die Risikoanalyse und Sicherheit für die Informationssysteme (ISMS-Kern) ist § 30 Abs. 2 Nr. 1, die Sicherheit der Lieferkette § 30 Abs. 2 Nr. 4. Die Meldepflichten (24 Stunden / 72 Stunden / 1 Monat) regelt § 32 BSIG (gemeinsame Meldestelle von BSI und BBK), die Pflichten der Geschäftsleitung § 38 BSIG. Zuständige Behörde: Bundesamt für Sicherheit in der Informationstechnik (BSI).
Österreich
§ 32 Abs. 1 und Abs. 4 NISG 2026 (BGBl. I Nr. 94/2025) verpflichtet wesentliche und wichtige Einrichtungen zu Risikomanagementmaßnahmen auf Basis eines gefahrenübergreifenden Ansatzes; der Mindestkatalog umfasst § 32 Abs. 4 lit. a bis j (Risikoanalyse/ISMS-Kern und Lieferkettensicherheit in § 32 Abs. 4). Die Meldepflichten (24 Stunden / 72 Stunden / 1 Monat) regelt § 34 Abs. 2 NISG 2026 (Meldung an das zuständige CSIRT), die Pflichten der Leitungsorgane § 31 Abs. 1 und Abs. 2 NISG 2026. Zuständige Behörde: Cybersicherheitsbehörde.