ISMS (ISO 27001, TISAX, NIS‑2)
Wir bauen ein einziges Informationssicherheitsmanagementsystem (ISMS) auf und richten es so ein, dass es ISO 27001, TISAX® und NIS‑2 genügt. Unser Schwerpunkt sind die inhaltlichen Festlegungen, formuliert für Ihr Haus.
Ein System, drei Nachweise
Ein Managementsystem gemeinsamer Kern: jede Vorgabe im Haus einmal beschrieben
dreifach zugeordnet
- ISO 27001 Anforderungen der Norm, Zertifizierungsaudit
- TISAX Fragenkatalog der Automobilindustrie, Assessment nur für TISAX Reifegrade und eigene Schwerpunkte
- NIS‑2 gesetzliche Pflichten nach dem BSI‑Gesetz nur für NIS‑2 Registrierung, Meldefristen, Pflichten der Geschäftsleitung; alle Systeme, nicht nur ein gewählter Bereich
Ein Satz Dokumente, eine Vorbereitung, eine Pflege, Nachweise ohne Suche. Unterschiede als Ergänzungen zum Kern, nicht als eigene Systeme.
Gestrichelt: gilt nur für diesen Nachweis.
Viele Unternehmen kommen mit einer Anforderung zu uns – ein Kunde verlangt TISAX, eine Ausschreibung verlangt ISO 27001, eine Vorschrift verlangt NIS‑2. Kurz darauf kommt die zweite Anforderung, und oft genug beginnt dann ein zweites Projekt.
Das kostet unnötig Geld. Die drei Rahmen beschreiben überwiegend dieselben Maßnahmen in unterschiedlicher Sprache. Wir bauen deshalb von Anfang an ein einziges Managementsystem und richten es so ein, dass es allen drei Anforderungen genügt.
Technisch geschieht das über eine Zuordnung: Jede Vorgabe im Haus wird einmal beschrieben und den Anforderungen der Norm, des Fragenkatalogs der Automobilindustrie und den gesetzlichen Pflichten zugeordnet. Daraus folgt:
- Ein Satz Dokumente statt drei konkurrierender Fassungen, die sich nach zwei Jahren widersprechen.
- Eine Vorbereitung für Zertifizierungsaudit und Assessment, nicht zwei.
- Eine Pflege. Kommt eine neue Anforderung dazu, wird sie an einer Stelle ergänzt und gilt für alle Rahmen.
- Nachweise ohne Suche. Fragt ein Prüfer nach einer bestimmten Anforderung, zeigt die Zuordnung, welche Vorgabe und welcher Nachweis dazugehören.
Deckungsgleich sind die drei Rahmen nicht. NIS‑2 verlangt eine Registrierung, Meldungen in festen Fristen und persönliche Pflichten der Leitung, die die Norm so nicht kennt, und erfasst grundsätzlich alle Systeme, die das Unternehmen für seine Leistungen nutzt, nicht nur einen gewählten Anwendungsbereich. TISAX arbeitet mit Reifegraden und eigenen Schwerpunkten. Diese Unterschiede arbeiten wir ein – als Ergänzungen zu einem gemeinsamen Kern, nicht als eigene Systeme.
Wobei wir unterstützen: der inhaltliche Aufbau der Vorgaben
Unser Schwerpunkt liegt bei den inhaltlichen Festlegungen – dort, wo die eigentliche Arbeit liegt und in vielen Häusern hängt. Wir formulieren sie für Ihr Haus:
- Leitlinie und Anwendungsbereich. Die Grundentscheidung der Leitung und die Festlegung, was zum System gehört. Ein falsch geschnittener Anwendungsbereich macht ein Projekt teurer als nötig – oder führt dazu, dass der Nachweis am Ende nicht das abdeckt, was der Kunde wissen wollte.
- Werteverzeichnis und Klassifizierung. Welche Informationen und Systeme es gibt, was sie wert sind und wie mit welcher Klasse umzugehen ist.
- Risikomethode, Risikobeurteilung und Behandlungsplan samt Erklärung zur Anwendbarkeit – nachvollziehbar begründet, nicht aus einer Vorlage übernommen.
- Richtlinien und Konzepte zu Zugriffsverwaltung und Berechtigungen, Authentisierung, Kryptografie, Netzwerksicherheit, Schutz vor Schadsoftware, Protokollierung und Überwachung, Schwachstellen und Aktualisierungen, Datensicherung, Datenträgern und Entsorgung, physischer Sicherheit, Personalsicherheit, mobiler Arbeit und Geräten, Nutzung von Cloud-Diensten, sicherer Informationsübertragung, Änderungen an Systemen, sicherer Entwicklung sowie zur Nutzung betrieblicher Systeme.
- Lieferantensteuerung. Anforderungen an Dienstleister, Prüfung ihrer Nachweise und die Festlegung, was in Verträge gehört.
- Vorfallsbehandlung und Meldewege. Wer erkennt, wer bewertet, wer entscheidet, wer meldet – abgestimmt auf die gestuften Meldepflichten nach NIS‑2 und auf die Meldepflichten des Datenschutzes, damit im Ernstfall nicht zwei Verfahren nebeneinander laufen.
- Notfallvorsorge und Wiederanlauf. Was zuerst wieder laufen muss, womit überbrückt wird und wer was entscheidet, wenn die üblichen Wege ausfallen. Dazu Übungen, denn ein ungeprüfter Plan ist eine Vermutung.
- Rollen und Zuständigkeiten, einschließlich der Benennung des Informationssicherheitsbeauftragten.
- Sensibilisierung und Schulung, auch für die Leitungsebene, soweit das gefordert ist.
- Interne Audits, Kennzahlen und Managementbewertung – die Nachweise, dass das System nicht nur existiert, sondern wirkt.
Wie wir vorgehen
- Anforderungen klären welche Nachweise, von wem, bis wann; daraus der Anwendungsbereich
- Bestand aufnehmen auch die ungeschriebene Praxis
- Lücken bestimmen gegen alle drei Rahmen in einem Durchgang
- Vorgaben aufbauen der Schwerpunkt unserer Arbeit
- Umsetzung begleiten Nachweise entstehen parallel, nicht erst danach
- Prüfen internes Audit (niemand prüft die eigene Arbeit), Vorbereitung der Managementbewertung, Begleitung durch Zertifizierungsaudit oder Assessment
-
Anforderungen klären
Welche Nachweise werden von wem verlangt, bis wann, und in welchem Umfang. Daraus ergibt sich der Anwendungsbereich.
-
Bestand aufnehmen
Was ist vorhanden – auch ungeschrieben. In vielen Häusern gibt es mehr gelebte Praxis als Dokumentation; das ist eine gute Ausgangslage, weil Beschreiben leichter ist als Einführen.
-
Lücken bestimmen
Gegen alle drei Rahmen in einem Durchgang, mit einer Reihenfolge nach Risiko und Fristen.
-
Vorgaben aufbauen
Hier liegt der Schwerpunkt unserer Arbeit. Die Vorgaben sind modular, knapp und so formuliert, dass die Betroffenen damit arbeiten können.
-
Umsetzung begleiten und Nachweise aufbauen
Parallel entsteht die Dokumentation, die im Audit gebraucht wird – nicht erst danach.
-
Prüfen
Internes Audit und Vorbereitung der Managementbewertung, anschließend die Begleitung durch Zertifizierungsaudit oder Assessment. Haben wir das System aufgebaut, führen Sie das interne Audit mit unserem Vorgehen selbst durch – niemand soll die eigene Arbeit prüfen.
Wo unsere Arbeit endet
Wir beschreiben, was erfüllt sein muss, prüfen das Ergebnis und dokumentieren es. Die technische Umsetzung – Härtung, Segmentierung, Sicherungsverfahren, Überwachung – leistet Ihre IT oder Ihr IT‑Dienstleister. Wir geben die Anforderung vor, nehmen das Ergebnis ab und übersetzen zwischen beiden Welten, wenn es nötig ist. Dass Jens Paul aus der Systemintegration kommt, hilft dabei.
Verbindung zum Datenschutz
Die Sicherheitsmaßnahmen des Datenschutzes (Art. 32 DSGVO) sind größtenteils dieselben Maßnahmen. Wo wir beides betreuen, werden sie einmal beschrieben und in beiden Systemen verwendet. Das erspart nicht nur Arbeit, es verhindert einen Widerspruch, der in Prüfungen auffällt: zwei Dokumente, die dasselbe unterschiedlich darstellen.
Auch wo wir beides betreuen, entscheidet über die Maßnahmen Ihre Leitung; die Rolle des Datenschutzbeauftragten bleibt davon getrennt.
Das erste Gespräch
Nennen Sie uns, welcher Nachweis verlangt wird und bis wann. Wir sagen Ihnen, was das für Ihr Haus bedeutet und in welcher Reihenfolge wir vorgehen würden. Das erste Gespräch ist kostenfrei und unverbindlich.