Die Aufgabe
Die passende Maßnahme beginnt mit der richtigen Frage.
Welche Informationen sind zu schützen? Welche Unterbrechung kann sich ein Unternehmen leisten? Wer betreibt die Systeme und welche Abhängigkeiten bestehen? Erst aus diesen Antworten entsteht eine belastbare Grundlage für technische und organisatorische Entscheidungen.
Ein Sicherheitskonzept muss diese Zusammenhänge erklären. Es soll den Beteiligten zeigen, welche Risiken bearbeitet werden und was für die Umsetzung erforderlich ist.
Mein Beitrag
Anforderungen klären und Konzepte erarbeiten.
Bei Wichmann IT-Services habe ich Sicherheitskonzepte, Anforderungen aus BSI IT-Grundschutz und ISO 27001 sowie technische Projektthemen bearbeitet. Auch NIS2 gehörte zu den Themen meiner Beratungs- und Projektarbeit.
Dazu kamen die Abstimmung mit Kunden, die verständliche Dokumentation von Ergebnissen und die Verbesserung technischer und organisatorischer Abläufe. Die Tätigkeit verband technische Konzeption mit dem Beratungsprozess: Anforderungen aufnehmen, Maßnahmen entwickeln und die Umsetzung mit den Beteiligten abstimmen.
Fachliche Einordnung
Ein Konzept braucht eine begründete Entscheidungskette.
ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheitsmanagementsystem. Sein risikobasierter Ansatz verbindet den Schutz von Vertraulichkeit, Integrität und Verfügbarkeit mit der kontinuierlichen Verbesserung. Die folgenden Schritte zeigen eine allgemeine Herangehensweise an Sicherheitskonzepte, keinen konkreten Kundenauftrag.
- Ausgangslage klärenGeltungsbereich, Informationen, Systeme und betriebliche Anforderungen aufnehmen.
- Risiken einordnenSchadensszenarien, bestehende Schutzmaßnahmen und offene Anforderungen zusammenführen.
- Umsetzung entscheidenGeeignete Maßnahmen mit Aufwand, Abhängigkeiten und Zuständigkeiten beschreiben.
- Betrieb vorbereitenPrüfkriterien, Pflege und Übergabe an die verantwortlichen Teams festlegen.
Wie technische und organisatorische Maßnahmen zusammenwirken
Der BSI-Standard 200-1 betrachtet Informationssicherheit als Managementaufgabe, die Technik, Organisation und Menschen einschließt. Das wird beispielsweise beim Berechtigungsmanagement greifbar: Eine technische Zugriffsbeschränkung braucht klare Regeln dazu, wer Rechte genehmigt, Änderungen veranlasst und nicht mehr benötigte Zugänge entzieht.
Ein allgemeines Architekturbeispiel ist die Netzwerksegmentierung. Sie kann Kommunikationswege begrenzen, benötigt aber ein verständliches Modell der erlaubten Verbindungen sowie einen Prozess für Änderungen. Werden notwendige Datenflüsse übersehen, entstehen Betriebsprobleme; bleiben Ausnahmen ungeprüft bestehen, verliert die Trennung an Wirkung. Ein Konzept muss daher auch erklären, wie Regeln gepflegt und überprüft werden.
Wie sich ISO 27001, IT-Grundschutz und NIS2 einordnen lassen
Die Rahmenwerke haben unterschiedliche Aufgaben. ISO 27001 beschreibt das Managementsystem. Der IT-Grundschutz liefert eine Methodik und detaillierte Anforderungen für die Sicherheitskonzeption. Artikel 21 der europäischen NIS2-Richtlinie beschreibt Risikomanagementmaßnahmen, etwa zu Vorfällen, Betriebsfortführung, Lieferketten und der Prüfung ihrer Wirksamkeit.
Für die Konzeptarbeit ist deshalb entscheidend, Anforderungen auf konkrete Prozesse und Maßnahmen abzubilden. Ein vorhandenes Managementsystem kann dafür eine Grundlage bilden; die rechtliche Betroffenheit und die jeweils geltenden nationalen Pflichten müssen gesondert eingeordnet werden. Eine Zertifizierung ist kein pauschaler Nachweis für sämtliche gesetzlichen Anforderungen.
Eine begründete Maßnahmenentscheidung benennt auch ihre Grenzen: Welches Risiko wird reduziert, welche Abhängigkeiten bleiben und woran wird die Wirksamkeit erkennbar? Diese Fragen machen ein Konzept zu einer nutzbaren Grundlage für Umsetzung und Betrieb.
Fachliche Quellen
Grundlagen der fachlichen Einordnung; keine Aussage über eine Zertifizierung oder einen einzelnen Kunden.
Persönlicher Einblick in meine damalige Tätigkeit. Einzelne Kunden und vertrauliche Projektinhalte sind nicht Teil dieser Darstellung.