ISMS-Kennzahlen

ISMS-Kennzahlen (häufig auch Security-KPI oder Sicherheitsmetriken genannt) sind die quantitative Grundlage der Erfolgskontrolle in einem Informationssicherheits-Managementsystem. ISO/IEC 27001:2022 verlangt in Kapitel 9.1, dass eine Organisation festlegt, was überwacht und gemessen wird, mit welchen Methoden dies geschieht, wann gemessen und ausgewertet wird und wer jeweils verantwortlich ist – die Ergebnisse müssen als dokumentierte Information vorliegen. Fachlich zu unterscheiden sind dabei Leistungskennzahlen, die den Betrieb des ISMS beschreiben (etwa Abdeckungsgrade oder Bearbeitungszeiten), und Wirksamkeitsindikatoren, die zeigen, ob eine Maßnahme das Risiko tatsächlich senkt. ISO/IEC 27004 liefert hierfür das methodische Gerüst und unterscheidet Basismessgrößen, abgeleitete Messgrößen und daraus gebildete Indikatoren mit Zielwert und Schwellenwert.

Belastbare Kennzahlen entstehen nicht aus dem, was ein Werkzeug zufällig ausgibt, sondern aus dem, was die Organisation steuern will. Ein tragfähiges Kennzahlenset leitet sich daher aus den Schutzzielen, der Risikobewertung und den beschlossenen Maßnahmen der Risikobehandlung ab, ist aus vorhandenen Quellen reproduzierbar erhebbar und hat einen benannten Eigentümer sowie einen definierten Zielkorridor. Bewährte Beispiele sind die Einhaltung der Patch-Fristen für kritische Schwachstellen, der Anteil offener Schwachstellen jenseits der vereinbarten Frist, die mittlere Zeit bis zur Erkennung und bis zur Eindämmung von Sicherheitsvorfällen, der Abdeckungsgrad der Multi-Faktor-Authentifizierung, die Klickrate in Phishing-Simulationen, der Anteil fristgerecht abgeschlossener Risikobehandlungsmaßnahmen und die Zahl überfälliger Auditfeststellungen. Reine Aktivitätszahlen ohne Bezug zum Risiko – etwa die Menge geblockter Spam-Mails – erzeugen zwar Berichtsvolumen, aber keine Steuerungsinformation.

Ihren eigentlichen Zweck erfüllen Kennzahlen erst in der Berichterstattung an die Leitung. Nach ISO/IEC 27001:2022 Kapitel 9.3 sind Überwachungs- und Messergebnisse, Auditergebnisse, der Status von Korrekturmaßnahmen und die Rückmeldungen interessierter Parteien zwingender Eingang der Managementbewertung, die in dokumentierten Entscheidungen zu Verbesserungen und Ressourcen münden muss; über den PDCA-Zyklus schließt sich damit der Regelkreis. Zusätzlichen Druck erzeugt die europäische NIS2-Richtlinie (EU) 2022/2555, die in Artikel 21 Absatz 2 Buchstabe f ausdrücklich Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen fordert und in Artikel 20 die Leitungsorgane persönlich in die Billigung und Überwachung dieser Maßnahmen nimmt. Die deutsche Umsetzung erfolgt über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das diese Pflichten in das neu gefasste BSIG überführt; der genaue Zeitpunkt der Anwendbarkeit einzelner Pflichten und der Registrierungsverfahren sollte wegen der verzögerten und in Teilen noch nachgeschärften Umsetzung stets am aktuellen Gesetzes- und BSI-Stand geprüft werden. Für die Praxis folgt daraus: Kennzahlen sind kein Selbstzweck, sondern der Nachweis, dass die Leitung ihre Überwachungspflicht tatsächlich wahrnehmen kann.