Zum Hauptinhalt springen

ISMS initiieren – Leitung, ISB und Leitlinie festlegen (Teil 1 der BSI-Reihe)

Teil 1 der Video-Reihe „BSI IT-Grundschutz mit preeco“: Die Leitung übernimmt die Gesamtverantwortung, Sie hinterlegen die Informationssicherheitsbeauftragten und pflegen Leitlinie und Richtlinien als Regelwerke mit nachweisbarer Freigabe.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video legen Sie die Grundlage: Wer verantwortet die Informationssicherheit, und wo steht das? Am Anfang steht die Leitung. Sie übernimmt die Gesamtverantwortung für die Informationssicherheit. Dazu gehören drei Entscheidungen: der Geltungsbereich, die Leitlinie und die Ressourcen für den Sicherheitsprozess. Öffnen Sie die Einstellungen. Unter ‚Informationssicherheitsbeauftragte‘ hinterlegen Sie Ihre ISB. Bei der Datensicherheit GmbH ist das Thomas Brenner, als externer Informationssicherheitsbeauftragter bestellt. Name, Position, Unternehmen und Kontaktdaten – diese Angaben übernimmt preeco in Ihre Dokumente. Ein externer ISB ist ausdrücklich erlaubt. Der Vertrag mit ihm wird aber selbst zur Anforderung – dazu mehr in Teil sieben. Die Leitlinie zur Informationssicherheit pflegen Sie unter ‚Regelwerke‘. Hier liegen die Leitlinie, die Richtlinie Zugangs- und Passwortmanagement und das Notfallhandbuch Rechenzentrum. Die Leitlinie beschreibt Ziele, Geltungsbereich und das Bekenntnis der Leitung. Hier fehlt noch ein Kapitel zum Geltungsbereich. Ergänzen Sie es: Der Geltungsbereich wird zu Ihrem Informationsverbund. Mit der Freigabe entsteht eine Revision. So ist nachweisbar, welche Fassung die Leitung freigegeben hat. Für eine neue Richtlinie legen Sie ein Regelwerk an. Die KI ergänzt einen ersten Entwurf, Ihr Team prüft und gibt frei. Ein Entwurf ersetzt keine Entscheidung. Er spart Ihnen das leere Blatt. Für ein Zertifizierungsaudit erwartet der Auditor fünf Richtlinien. Die Leitlinie, eine Richtlinie zur Risikoanalyse, zur Lenkung von Dokumenten, zu internen Audits und zu Korrektur- und Vorbeugungsmaßnahmen. Legen Sie für jede Richtlinie ein eigenes Regelwerk an. So lässt sich jede einzeln freigeben und überprüfen. Die Leitung entscheidet und unterschreibt. Ohne diese Rückendeckung bleibt jedes ISMS ein Projekt der IT. Bei der BSI-Musterfirma RECPLAST ist die Übernahme der Gesamtverantwortung die erste geprüfte Anforderung. Im nächsten Teil: Wie Sie den Schutzbedarf teamweit nach denselben Regeln einstufen.

Am Anfang jedes ISMS nach IT-Grundschutz steht die Leitung: Sie übernimmt die Gesamtverantwortung für die Informationssicherheit und entscheidet über Geltungsbereich, Leitlinie und Ressourcen. Dieser Artikel ist Teil 1 der Video-Reihe „BSI IT-Grundschutz mit preeco“ und zeigt, wo Sie Informationssicherheitsbeauftragte und Leitlinie in preeco | informationssicherheit pflegen.

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für die Informationssicherheit (ISMS).
  • Für die Einstellungen benötigen Sie Administratorrechte.

Informationssicherheitsbeauftragte hinterlegen

  1. Klicken Sie in der linken Seitenleiste auf „Einstellungen“.
  2. Wählen Sie im Einstellungs-Menü „Informationssicherheitsbeauftragte“.
  3. Legen Sie die oder den ISB an oder öffnen Sie einen vorhandenen Eintrag. Name, Position, Unternehmen und Kontaktdaten übernimmt preeco in Ihre Dokumente.

Ein externer ISB ist ausdrücklich erlaubt. Der Vertrag mit ihm wird aber selbst zur Anforderung (ISMS.1.A5), die Sie im IT-Grundschutz-Check bewerten (Teil 7).

Leitlinie in den Regelwerken pflegen

  1. Öffnen Sie unter „Maßnahmen & Regelwerke“ die „Regelwerke“.
  2. Öffnen Sie die Leitlinie zur Informationssicherheit. Sie beschreibt Ziele, Geltungsbereich und das Bekenntnis der Leitung.
  3. Prüfen Sie die Abschnitte. Fehlt ein Kapitel zum Geltungsbereich, ergänzen Sie es: Der Geltungsbereich wird zu Ihrem Informationsverbund.
  4. Im Tab „Revisionen“ sehen Sie jede freigegebene Fassung. Mit der Freigabe entsteht eine Revision; so ist nachweisbar, welche Fassung die Leitung freigegeben hat.

Neue Richtlinien anlegen

  1. Klicken Sie in den Regelwerken auf „Neu“ und wählen Sie „Regelwerk erstellen“. Legen Sie für jede Richtlinie ein eigenes Regelwerk an, damit Sie jede einzeln freigeben und überprüfen können.
  2. Ist eine KI-Anbindung eingerichtet, ergänzt „KI-Aktionen“ einen ersten Entwurf. Ihr Team prüft und gibt frei.

Was der Auditor erwartet

Für ein Zertifizierungsaudit nach ISO 27001 auf Basis von IT-Grundschutz erwartet der Auditor im Referenzdokument A.0 fünf Richtlinien: die Leitlinie zur Informationssicherheit sowie Richtlinien zur Risikoanalyse, zur Lenkung von Dokumenten und Aufzeichnungen, zur internen ISMS-Auditierung und zu Korrektur- und Vorbeugungsmaßnahmen.

Best Practice: Die Leitung entscheidet und unterschreibt. Bei der BSI-Musterfirma RECPLAST ist die Übernahme der Gesamtverantwortung (ISMS.1.A1) die erste geprüfte Anforderung.

Alle Teile der Reihe

← Auftakt: IT-Grundschutz in neun Schritten · Teil 2: Schutzbedarf-Methodik festlegen →

  1. Auftakt: IT-Grundschutz in neun Schritten
  2. Teil 1: Initiierung – Leitung, ISB und Leitlinie (dieser Artikel)
  3. Teil 2: Schutzbedarf-Methodik festlegen
  4. Teil 3: Risikomethodik nach BSI-Standard 200-3
  5. Teil 4: Strukturanalyse
  6. Teil 5: Schutzbedarfsfeststellung
  7. Teil 6: Modellierung
  8. Teil 7: IT-Grundschutz-Check im Cockpit
  9. Teil 8: Risikoanalyse nach BSI-Standard 200-3
  10. Teil 9: Audit vorbereiten

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Audit nach IT-Grundschutz vorbereiten – Teil 9 der BSI-Reihe Bausteine nach IT-Grundschutz modellieren – Teil 6 der BSI-Reihe BSI IT-Grundschutz in neun Schritten umsetzen – Auftakt der Video-Reihe IT-Grundschutz-Check im Cockpit durchführen – Teil 7 der BSI-Reihe

Passende Glossarbegriffe

BSI IT-Grundschutz
Zurück zu den Kurzanleitungen