FachgrundlageSprint 6fachsystematisch⏱ 4 h

Was ein Managementsystem für Informationssicherheit ausmacht, wie das BSI und die ISO es beschreiben, wie man den Stand der Umsetzung misst und was NIS 2 seit Dezember 2025 von Unternehmen in Deutschland verlangt.

Der wichtigste Satz auf dieser Seite: Ein ISMS ist kein Dokument, sondern eine Arbeitsweise: Jemand ist verantwortlich, es gibt Ziele, es wird gemessen, und was nicht wirkt, wird geändert.

Wozu diese Lektion?

Im Auftrag arbeitest du am Fall der Halle. Hier steht das Gerüst, das über den Fall hinaus trägt: Begriffe, Regeln und Zusammenhänge, so wie sie in jedem Betrieb und in der Technikerprüfung gelten. Lies sie, wenn du sie brauchst, und komm zurück, wenn du unsicher bist.

Was ein ISMS ist

Ein Informationssicherheitsmanagementsystem (ISMS, englisch Information Security Management System) legt fest, mit welchen Regeln, Rollen und Abläufen ein Unternehmen seine Informationssicherheit steuert. Es enthält nicht nur Technik, sondern vor allem Verantwortung: Wer entscheidet, wer prüft, wer bezahlt.

Vier Bausteine tragen jedes ISMS:

Der Zyklus ist als PDCA-Zyklus bekannt (Plan, Do, Check, Act, nach Deming). Er sorgt dafür, dass Sicherheit nicht einmal hergestellt und dann vergessen wird. Die Gesamtverantwortung bleibt immer bei der Leitung. Sie kann Aufgaben übertragen, aber nicht die Verantwortung.

Rollen im ISMS

Die ISB soll unabhängig von der IT-Leitung sein, weil sie deren Arbeit bewertet. In einem Unternehmen wie HLG ist auch eine externe ISB möglich, etwa als Dienstleistung von Querwind. Die Verantwortung bleibt trotzdem bei HLG.

BSI-Standard 200-1 und das Vorgehen nach 200-2

Das BSI beschreibt IT-Grundschutz in vier Standards: 200-1 legt die Anforderungen an ein ISMS fest, 200-2 die Methodik, 200-3 die Risikoanalyse (Teil 2), 200-4 das Business Continuity Management (Teil 3). Für Teil 6 zählen vor allem 200-1 und 200-2.

Nach 200-2 wählt ein Unternehmen eine von drei Vorgehensweisen:

Der Weg der Standard-Absicherung kennt ihr in Teilen schon: Geltungsbereich festlegen, Strukturanalyse und Schutzbedarf (Teil 2), Modellierung mit Bausteinen, IT-Grundschutz-Check (Soll gegen Ist), Risikoanalyse für hohen Schutzbedarf (Teil 2), Umsetzung planen (Realisierungsplan), umsetzen, aufrechterhalten und verbessern. Das Sicherheitskonzept ist die Dokumentation dieser Schritte.

Das IT-Grundschutz-Kompendium und Grundschutz++

Die Anforderungen selbst stehen im IT-Grundschutz-Kompendium. Es ist in Schichten gegliedert, zum Beispiel ISMS (Sicherheitsmanagement), ORP (Organisation und Personal), CON (Konzepte), OPS (Betrieb), DER (Detektion und Reaktion), APP, SYS, NET und INF. Jeder Baustein beschreibt Gefährdungen und Anforderungen, getrennt nach Basis, Standard und erhöhtem Schutzbedarf. Die aktuelle Fassung im Kurs ist die Edition 2023.

Seit dem 01.01.2026 stellt das BSI den IT-Grundschutz schrittweise auf Grundschutz++ um: ein überarbeitetes, maschinenlesbares Regelwerk, das sich leichter mit Werkzeugen prüfen und mit anderen Normen abgleichen lässt. Den Katalog hat das BSI zum 01.01.2026 veröffentlicht, im April 2026 folgte ein erster Leitfaden zur Methodik für Pilotprojekte. Der bisherige IT-Grundschutz mit der Edition 2023 bleibt bis Ende 2028 gültig, für Zertifizierungen gilt ein Übergang bis 2029. Prüfe vor jedem Projekt auf der Seite des BSI, welcher Stand für deinen Auftraggeber gilt.

Grundschutzhandbuch heißt das im Lehrplan. Das ist der alte Name: Bis 2005 gab das BSI das IT-Grundschutzhandbuch heraus, danach die IT-Grundschutz-Kataloge, seit 2017 das Kompendium. Wer heute „Grundschutzhandbuch“ sagt, meint in der Regel das Kompendium.

ISO/IEC 27001:2022 und Anhang A

ISO/IEC 27001 ist die internationale Norm für ein ISMS. Die Fassung von 2022 gilt seit dem Ende der Übergangsfrist für alle Zertifikate, dazu kommt die Änderung 1:2024, die verlangt, den Klimawandel bei Kontext und interessierten Parteien zu berücksichtigen. Die Norm hat zwei Teile:

Anhang A ist ein Katalog. Ein Unternehmen wählt aus ihm nach seiner Risikobehandlung aus und begründet in der Erklärung zur Anwendbarkeit (Statement of Applicability), welche Maßnahmen es anwendet und welche nicht. Einige Beispiele, die zu euren Teilen passen: 5.7 Informationen über die Bedrohungslage (Lagebild, Teil 4), 5.24 bis 5.28 Umgang mit Sicherheitsvorfällen, 8.13 Sicherung von Information (Teil 3), 8.24 Verwendung von Kryptografie (Teil 5).

IT-Grundschutz und ISO/IEC 27001 im Vergleich

Beide schließen sich nicht aus. ISO 27001 auf Basis von IT-Grundschutz erfüllt die Norm und zeigt zugleich, dass die Grundschutz-Anforderungen umgesetzt sind. Wer schon nach Grundschutz arbeitet, hat einen großen Teil der Arbeit für die Norm erledigt. Ein Kunde im Ausland kennt aber eher das Zertifikat einer akkreditierten Stelle.

Zertifizierung und Audit

Ein Zertifikat bestätigt, dass ein unabhängiger Auditor das ISMS geprüft hat. Üblich ist ein Zyklus über drei Jahre: Erstzertifizierung mit Prüfung der Dokumente und Prüfung vor Ort, danach jährliche Überwachungsaudits, nach drei Jahren die Rezertifizierung. Zwischen den externen Audits führt das Unternehmen selbst interne Audits durch und die Leitung bewertet das ISMS in der Managementbewertung.

Ein Audit prüft, ob das System funktioniert, nicht, ob nie etwas passiert. Ein Sicherheitsvorfall ist kein Grund, ein Zertifikat zu verlieren. Ein Vorfall, aus dem niemand etwas lernt, kann einer sein.

Umsetzungsgrad und Kennzahlen

Wie weit ein Unternehmen ist, zeigt der IT-Grundschutz-Check: Jede Anforderung ist umgesetzt, teilweise umgesetzt, nicht umgesetzt oder entbehrlich (mit Begründung). Daraus lässt sich ein Umsetzungsgrad rechnen. Entbehrliche Anforderungen zählen nicht mit. Teilweise umgesetzte zählen im Kurs zur Hälfte:

Umsetzungsgrad = n_umgesetzt + 0,5 · n_teilweisen_gesamt

Weil eine fehlende Basis-Anforderung schwerer wiegt als eine fehlende Standard-Anforderung, kann man gewichten, im Kurs mit Gewicht 2 für Basis und 1 für Standard:

Umsetzungsgrad_gewichtet = 2 · (u_B + 0,5 · t_B) + 1 · (u_S + 0,5 · t_S)2 · n_B + 1 · n_S

Die Gewichte sind keine Norm, sondern eine Entscheidung, die ihr im Fahrplan begründet. Neben dem Umsetzungsgrad braucht ein ISMS Kennzahlen, die zeigen, ob Maßnahmen wirken: etwa der Anteil erfolgreicher Rücksicherungstests, die Zeit bis zum Einspielen kritischer Sicherheitsupdates, der Anteil geschulter Beschäftigter oder die Zeit von der Meldung bis zur Bewertung eines Vorfalls. Eine gute Kennzahl hat einen Zielwert, eine Quelle und eine Person, die sie erhebt.

Kosten und Nutzen eines ISMS

Ein ISMS kostet Arbeitszeit, Beratung, Schulung und Werkzeuge. Sein Nutzen ist der Schaden, der nicht eintritt. Aus Teil 2 kennst du den erwarteten Schaden als Produkt aus Eintrittswahrscheinlichkeit und Schadenshöhe:

E = p · h · k_h

mit p der Wahrscheinlichkeit je Jahr, h den Stunden Stillstand und k_h den Ausfallkosten je Stunde. Der vermiedene Schaden ist die Differenz der erwarteten Schäden ohne und mit ISMS. Diese Rechnung ist eine Abschätzung. Sie ist so gut wie die geschätzten Wahrscheinlichkeiten, und genau das gehört ins Gespräch mit der Geschäftsleitung.

NIS 2 in Deutschland

Die EU-Richtlinie NIS 2 ist in Deutschland mit dem NIS-2-Umsetzungsgesetz seit dem 06.12.2025 in Kraft. Es ändert vor allem das BSI-Gesetz (BSIG). Neu ist das Betroffenheitsprinzip: Kein Amt schreibt ein Unternehmen an. Jedes Unternehmen prüft selbst, ob es unter das Gesetz fällt, und registriert sich dann beim BSI.

Für die Größe zählen grob: Eine besonders wichtige Einrichtung hat mindestens 250 Beschäftigte oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme; eine wichtige Einrichtung mindestens 50 Beschäftigte oder mehr als 10 Mio. € Umsatz und mehr als 10 Mio. € Bilanzsumme. Gezählt wird nach den Regeln der EU für Unternehmensgrößen, also unter Umständen mit verbundenen Unternehmen. Ob ein Unternehmen betroffen ist, entscheidet sich an seiner Tätigkeit, nicht an seinem Namen. Das BSI bietet dazu eine Betroffenheitsprüfung auf seiner Seite an.

Die Pflichten aus § 30 sind fast deckungsgleich mit dem, was ein ISMS ohnehin leistet. Wer ein ISMS betreibt, hat den größten Teil von NIS 2 schon erfüllt. Neu sind vor allem die Registrierung, die festen Meldefristen und die persönliche Pflicht der Geschäftsleitung.

So steigt der Anspruch in Teil 6