Thomas.will: An Theorieseite angeglichen: Anhang-A-Themen, KRITIS-Nachweis 3 Jahre, BSI 200-4, GS-Tool

2026-10-21T07:46:06Z

An Theorieseite angeglichen: Anhang-A-Themen, KRITIS-Nachweis 3 Jahre, BSI 200-4, GS-Tool

← Nächstältere Version		Version vom 21. Oktober 2026, 07:46 Uhr
Zeile 71:		Zeile 71:

	== GS-Tool (BSI) ==		== GS-Tool (BSI) ==
	* Älteres Werkzeug des BSI für den IT-Grundschutz ~~(bis 2022 offiziell gepflegt)~~.		* Älteres Werkzeug des BSI für den IT-Grundschutz, wird vom BSI nicht mehr weiterentwickelt.
	* Kostenlos, wurde lange von Behörden und kleinen Unternehmen genutzt.		* Kostenlos, wurde lange von Behörden und kleinen Unternehmen genutzt.
	* Eingeschränkte Weiterentwicklung, aber teilweise noch in Altprojekten im Einsatz.		* Eingeschränkte Weiterentwicklung, aber teilweise noch in Altprojekten im Einsatz.
Zeile 92:		Zeile 92:
	* Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS)		* Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS)
	* Basiert auf der High Level Structure (HLS) der ISO-Normen		* Basiert auf der High Level Structure (HLS) der ISO-Normen
	* Enthält Annex A mit 93 Controls (~~Themenbereiche: Organisation~~, ~~Technik~~, ~~Personal~~, ~~Lieferkette~~)		* Enthält Annex A mit 93 Controls in vier Themenbereichen: organisatorisch (37), personenbezogen (8), physisch (14), technologisch (34)
	* Zertifizierung weltweit anerkannt		* Zertifizierung weltweit anerkannt
	* BSI bietet Variante „ISO 27001 auf der Basis von IT-Grundschutz“ an		* BSI bietet Variante „ISO 27001 auf der Basis von IT-Grundschutz“ an
Zeile 98:		Zeile 98:

	== KRITIS-Audit ==		== KRITIS-Audit ==
	* Spezieller Prüfrahmen nach dem BSI-Gesetz (~~§8a~~ BSIG)		* Spezieller Prüfrahmen nach dem BSI-Gesetz (BSIG) für Betreiber kritischer Anlagen
	* Verpflichtend für Betreiber kritischer Infrastrukturen (z. B. Energie, Wasser, Gesundheit, IT/TK)		* Verpflichtend für Betreiber kritischer Infrastrukturen (z. B. Energie, Wasser, Gesundheit, IT/TK)
	* Ziel: Nachweis angemessener organisatorischer und technischer Maßnahmen zur IT-Sicherheit		* Ziel: Nachweis angemessener organisatorischer und technischer Maßnahmen zur IT-Sicherheit
	* ~~Audit~~ alle 2 Jahre durch ~~eine unabhängige~~, vom ~~BSI zugelassene Stelle~~		* Nachweis alle 3 Jahre durch Audits, Prüfungen oder Zertifizierungen (bis zum NIS2-Umsetzungsgesetz vom 06.12.2025 alle 2 Jahre nach § 8a BSIG)
	* Grundlage kann sein:		* Grundlage kann sein:
	** ISO 27001		** ISO 27001
Zeile 146:		Zeile 146:
	===Sollte noch aufgneommen werden===		===Sollte noch aufgneommen werden===
	;Notfallmanagment (Betrifft Zusammnearbeit von ISB und Admins)		;Notfallmanagment (Betrifft Zusammnearbeit von ISB und Admins)
	*[[BSI-S 100-4]]		*[[BSI-S 100-4]] (abgelöst durch BSI-Standard 200-4, Business Continuity Management)
	==IT-GS Kataloge==		==IT-GS Kataloge==

Thomas.will: Die Seite wurde neu angelegt: „ = Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches = == Definition und Bedeutung == * Ein '''Informationssicherheits-Managementsystem (ISMS)…“

2026-09-06T12:47:39Z

Die Seite wurde neu angelegt: „ = Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches = == Definition und Bedeutung == * Ein '''Informationssicherheits-Managementsystem (ISMS)…“

Neue Seite

= Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches =

== Definition und Bedeutung ==
* Ein '''Informationssicherheits-Managementsystem (ISMS)''' ist ein systematischer Ansatz zur Verwaltung und Sicherung sensibler Informationen in einer Organisation.
* Es basiert auf definierten Sicherheitsrichtlinien, Verfahren und Kontrollmechanismen, um Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherzustellen.
* Die Einführung eines ISMS erfolgt häufig gemäß internationalen Standards wie '''ISO/IEC 27001''', die eine Zertifizierung ermöglichen.
* Ein effektives ISMS hilft Organisationen, Cyberrisiken zu minimieren, gesetzliche Anforderungen zu erfüllen und Sicherheitsvorfälle strukturiert zu behandeln.

== Grundprinzipien eines ISMS ==
* '''Vertraulichkeit''': Sicherstellen, dass nur autorisierte Personen Zugriff auf bestimmte Informationen haben.
* '''Integrität''': Schutz der Daten vor unbefugten Änderungen oder Manipulationen.
* '''Verfügbarkeit''': Sicherstellen, dass Informationen und Systeme jederzeit für berechtigte Nutzer zugänglich sind.
* '''Risikobasiertes Management''': Identifikation und Bewertung von Bedrohungen und Schwachstellen zur Minimierung von Risiken.

== Kernbestandteile eines ISMS ==
* '''Risikomanagement''': Identifikation, Bewertung und Behandlung von Sicherheitsrisiken.
* '''Sicherheitsrichtlinien''': Festlegung und Durchsetzung organisatorischer Maßnahmen zum Schutz von Informationen.
* '''Zugriffskontrollen''': Implementierung von Berechtigungsmechanismen zur Minimierung unautorisierter Zugriffe.
* '''Schulung und Sensibilisierung''': Regelmäßige Schulungen für Mitarbeiter, um Sicherheitsbewusstsein zu fördern.
* '''Kontinuierliche Verbesserung''': Regelmäßige Audits und Überprüfungen zur Anpassung an neue Bedrohungslagen.
* '''Incident Management''': Definition und Umsetzung von Prozessen zur Erkennung, Reaktion und Wiederherstellung nach Sicherheitsvorfällen.

== ISMS-Standards und Frameworks ==
* '''ISO/IEC 27001''': Internationaler Standard für die Implementierung und Zertifizierung eines ISMS.
* '''NIST Cybersecurity Framework''': Leitlinien für das Risikomanagement in der Cybersicherheit.
* '''BSI IT-Grundschutz''': Deutsches Sicherheitskonzept für Behörden und Unternehmen zur Umsetzung eines ISMS.
* '''COBIT (Control Objectives for Information and Related Technologies)''': Framework für die IT-Governance mit Fokus auf Sicherheit und Compliance.

== Vorteile eines ISMS ==
* Reduzierung von Cyberrisiken durch systematische Sicherheitsmaßnahmen.
* Verbesserung der Compliance mit regulatorischen Anforderungen und Datenschutzgesetzen.
* Erhöhung des Vertrauens von Kunden und Geschäftspartnern durch zertifizierte Sicherheitsstandards.
* Schnellere Reaktionsfähigkeit auf Sicherheitsvorfälle durch definierte Prozesse und Verantwortlichkeiten.
* Bessere Transparenz und Nachverfolgbarkeit von Sicherheitsmaßnahmen innerhalb der Organisation.

== Implementierung eines ISMS ==
* Festlegen von Sicherheitsrichtlinien und Zielen basierend auf den Anforderungen der Organisation.
* Durchführung einer '''Risikoanalyse''', um Bedrohungen und Schwachstellen zu identifizieren.
* Einführung technischer und organisatorischer Sicherheitsmaßnahmen.
* Regelmäßige Überprüfung und Verbesserung des Systems durch Audits und Bewertungen.
* Sensibilisierung und Schulung der Mitarbeiter zur Einhaltung der Sicherheitsrichtlinien.

== Unterstützung durch Tools ==
* Es gibt verschiedene Softwarelösungen, die Organisationen bei Aufbau und Betrieb eines ISMS unterstützen können, z. B.:
- Verinice
- HiScout ISMS
- SAVe
- ibi systems iris
- GS-Tool (BSI, eingestellt aber noch verbreitet)
- andere kommerzielle GRC-Plattformen (Governance, Risk & Compliance)

= ISMS Tools =
== verinice ==
* Open-Source-Tool von SerNet für ISMS nach ISO/IEC 27001 und BSI IT-Grundschutz.
* Community Edition (kostenlos) und Enterprise-Version (kommerziell).
* Unterstützt Modellierung von Organisationen, Prozessen, IT-Systemen und Bausteinen.
* Geeignet für Behörden und Unternehmen, auch für ISO-27001-Zertifizierungsvorbereitung.

== HiScout ISMS ==
* Kommerzielle Lösung, in vielen Behörden und Konzernen im Einsatz.
* Starke Integration in BSI IT-Grundschutz und ISO 27001.
* Erweiterbar um Module für Datenschutz und Business Continuity Management.
* Fokus auf automatisiertes Berichtswesen und Audit-Support.

== ibi systems iris ==
* Deutsches GRC-Tool (Governance, Risk, Compliance).
* Unterstützt Risikomanagement, Informationssicherheit und Datenschutz.
* Intuitive Weboberfläche, geeignet für mittlere und große Unternehmen.
* Starker Fokus auf Dashboards und Kennzahlen.

== GS-Tool (BSI) ==
* Älteres Werkzeug des BSI für den IT-Grundschutz (bis 2022 offiziell gepflegt).
* Kostenlos, wurde lange von Behörden und kleinen Unternehmen genutzt.
* Eingeschränkte Weiterentwicklung, aber teilweise noch in Altprojekten im Einsatz.
* Mittlerweile ersetzt durch modernere Tools (z. B. verinice oder HiScout).

== Weitere Plattformen ==
* Markt bietet zahlreiche kommerzielle GRC-Lösungen (z. B. Risk2Value, RSA Archer).
* Zielgruppe: vor allem Konzerne mit integriertem Managementansatz.
* Fokus: Risiko- und Compliance-Management, nicht nur ISMS.

= Abgrenzung IT-Grundschutz – ISO 27001 – KRITIS-Audit =
== IT-Grundschutz ==
* Deutscher Standard des BSI
* Stellt Bausteine, Maßnahmen und Vorgehensweisen bereit (Kataloge)
* Ziel: systematische Informationssicherheit in Organisationen
* Fokus auf Vollständigkeit und Methodik (Schutzbedarf → Bausteine → Maßnahmen)
* Ergebnis: IT-Sicherheitskonzept mit dokumentierten Anforderungen, Umsetzung, Restrisiken

== ISO 27001 ==
* Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS)
* Basiert auf der High Level Structure (HLS) der ISO-Normen
* Enthält Annex A mit 93 Controls (Themenbereiche: Organisation, Technik, Personal, Lieferkette)
* Zertifizierung weltweit anerkannt
* BSI bietet Variante „ISO 27001 auf der Basis von IT-Grundschutz“ an
** Kombiniert internationale Anerkennung (ISO 27001) mit nationalen Bausteinen (Grundschutz)

== KRITIS-Audit ==
* Spezieller Prüfrahmen nach dem BSI-Gesetz (§8a BSIG)
* Verpflichtend für Betreiber kritischer Infrastrukturen (z. B. Energie, Wasser, Gesundheit, IT/TK)
* Ziel: Nachweis angemessener organisatorischer und technischer Maßnahmen zur IT-Sicherheit
* Audit alle 2 Jahre durch eine unabhängige, vom BSI zugelassene Stelle
* Grundlage kann sein:
** ISO 27001
** ISO 27001 auf Basis von IT-Grundschutz
** Branchen-Sicherheitskataloge (z. B. Energiewirtschaft)
* Ergebnis: Prüfbericht + Management Summary → an das BSI

== Abgrenzung ==
* IT-Grundschutz = Werkzeugkasten / Methodik (national)
* ISO 27001 = formaler Managementsystem-Standard (international)
* KRITIS-Audit = gesetzlich vorgeschriebene Prüfung für kritische Infrastrukturen
= Zusammenhang IT-Grundschutz und ISO 27001 =

* ISO 27001 ist ein internationaler Managementsystem-Standard (ISMS).
* IT-Grundschutz ist eine Methodik mit Bausteinen, die vom BSI bereitgestellt wird.
* Das BSI ermöglicht die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz:
** IT-Grundschutz liefert die Methodik zur Umsetzung der ISO-Anforderungen.
** ISO 27001 liefert den formalen Standard für das Zertifikat.
* Ergebnis: Wer IT-Grundschutz vollständig umsetzt und prüfen lässt, kann ein international anerkanntes ISO 27001-Zertifikat erhalten.

= Verinice =

= Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701) =
==IT-GS==
===Übersicht===
;BSI-Standard 200-1 Managementsysteme für Informationssicherheit (ISMS): (Management und ISB)
*Dieser Standard stellt die Grundlage dar und fokussiert sich auf die Anforderungen und die Struktur eines ISMS.
*Er bietet einen Überblick und Rahmenbedingungen zur Implementierung und Aufrechterhaltung eines ISMS.
*Dies schliesst die Entwicklung von Sicherheitsrichtlinien und der Organisation der Informationssicherheit ein.
;BSI-Standard 200-2 IT-Grundschutz-Methodik: (Für die Admins wichtig)
*Standard 200-2 geht auf die praktische Anwendung und Implementierung der im ISMS festgelegten Sicherheitsstrategien ein.
*Er behandelt, wie man die Sicherheitsmaßnahmen durch eine detaillierte Methodik und Modellierung von Geschäftsprozessen.
*Als auch die effektive Umsetzung von IT-Systemen, um spezifische Sicherheitsanforderungen zu erfüllen.
;BSI-Standard 200-3 Risikomanagement: (Management und ISB)
*Dieser Standard konzentriert sich auf das Risikomanagement innerhalb des ISMS.
*Er leitet Organisationen an, wie sie Risiken identifizieren, bewerten und behandeln können.
*Er bietet eine tiefgehende Anleitung zum Aufbau eines Risikomanagementprozesses
*Die geschieht umeine systematische Handhabung von Sicherheitsrisiken ermöglicht und damit die Grundlage für eine informierte Entscheidungsfindung in der Informationssicherheit schafft.

===Die Standards kurz und knapp===
*[[BSI-S 200-1]]
*[[BSI-S 200-2]]
*[[BSI-S 200-3]]
===Sollte noch aufgneommen werden===
;Notfallmanagment (Betrifft Zusammnearbeit von ISB und Admins)
*[[BSI-S 100-4]]
==IT-GS Kataloge==

===Übersicht===
;ISO/IEC 27001 Informationssicherheits-Managementsysteme (ISMS):
*ISO/IEC 27001 bietet einen umfassenden Rahmen für die Einrichtung, Implementierung, Überwachung und Verbesserung eines Informationssicherheits-Managementsystems.
*Die Norm legt allgemeine Anforderungen an das Management der Informationssicherheit fest, einschließlich Risikobewertung und Risikobehandlung, um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schützen.
*Sie ist darauf ausgelegt, Organisationen jeder Größe oder Branche dabei zu helfen, die Sicherheit ihrer Informationen systematisch zu managen.
;ISO/IEC 27701 Datenschutz-Managementsysteme (PIMS):
*ISO/IEC 27701 baut auf ISO/IEC 27001 auf und fügt spezifische Anforderungen und Leitlinien hinzu, um Organisationen dabei zu unterstützen, Datenschutzgesetze und -vorschriften wie die DSGVO zu erfüllen.
*Diese Norm erweitert die ISMS-Anforderungen von ISO/IEC 27001, indem sie Datenschutzkontrollen und -verfahren einführt, die speziell darauf ausgerichtet sind, die Privatsphäre zu schützen und die Rechenschaftspflicht in Bezug auf personenbezogene Daten zu erhöhen.
*Sie richtet sich sowohl an Datenverantwortliche als auch an Datenverarbeiter und ist darauf ausgelegt, durch Datenschutzmanagement sowohl rechtliche Compliance als auch Kundevertrauen zu fördern.
;Unterschiede und Beziehungen:
*Während ISO/IEC 27001 ein breites Rahmenwerk für Informationssicherheit bietet, spezialisiert sich ISO/IEC 27701 auf den Datenschutz und ergänzt ISO/IEC 27001 um praxisorientierte Anleitungen zur Erfüllung spezifischer Datenschutzanforderungen.
*ISO/IEC 27701 kann als eine Erweiterung angesehen werden, die Organisationen ermöglicht, ein integriertes Managementsystem zu schaffen, das sowohl Informationssicherheit als auch Datenschutz adressiert.
*Die Implementierung von ISO/IEC 27701 setzt voraus, dass eine Organisation bereits ein nach ISO/IEC 27001 zertifiziertes ISMS hat oder gleichzeitig implementiert.
===Die Standards kurz und knapp===
*[[ISO/IEC 27001]]
*[[ISO/IEC 27701]]
;Unrelevant da die Kataloge 27001 dies beinhalten ..

= Wer/Warum benötigt, Funktionsweise Rahmenbedingungen, Aufbau und entscheidende Faktoren =
= Informationssicherheits-Managementsysteme (ISMS) =

;Wer/Warum benötigt ISMS:
* Organisationen jeder Größe und Branche, die die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen sicherstellen wollen.
* Besonders kritisch für Einrichtungen, die sensible Daten verarbeiten oder gesetzlichen und regulatorischen Anforderungen unterliegen.

;Funktionsweise:
* ISMS umfasst Richtlinien, Prozesse und Maßnahmen, die darauf abzielen, Risiken für die Informationssicherheit zu identifizieren, zu bewerten und zu mindern.
* Es berücksichtigt sowohl technische als auch organisatorische Aspekte und bezieht alle Ebenen der Organisation ein.

;Rahmenbedingungen:
* Die Einrichtung eines ISMS wird durch internationale Standards wie ISO/IEC 27001 und die BSI-Standards 200-Serie geleitet.
* Diese Standards bieten einen Rahmen für die Implementierung und kontinuierliche Verbesserung des ISMS.

;Aufbau:
* Festlegung der Sicherheitspolitik und der Ziele der Informationssicherheit.
* Identifizierung und Bewertung von Informationsrisiken.
* Entwicklung und Implementierung von Risikomanagementmaßnahmen.
* Regelmäßige Überprüfung und Anpassung der Sicherheitsmaßnahmen an sich ändernde Bedingungen.

;Entscheidende Faktoren:
* Engagement der obersten Leitungsebene für die Informationssicherheit.
* Klare Definition von Rollen, Verantwortlichkeiten und Prozessen innerhalb des ISMS.
* Bewusstseinsbildung und Schulung der Mitarbeiter in Sicherheitsfragen.
* Kontinuierliche Überwachung, Überprüfung und Verbesserung des ISMS.

;ISO/IEC 27001 und 27701:
* ISO/IEC 27001 ist die führende internationale Norm für ISMS, die Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS definiert.
* ISO/IEC 27701 erweitert ISO/IEC 27001 um Anforderungen und Leitlinien zum Datenschutzmanagement, insbesondere im Kontext des Schutzes personenbezogener Daten.
=Old Stuff=
*[[Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches]]
*[[ISMS Tools]]
*[[Abgrenzung IT-Grundschutz – ISO 27001 – KRITIS-Audit]]
*[[Verinice]]
*[[Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701)]]
*[[Wer/Warum benötigt, Funktionsweise Rahmenbedingungen, Aufbau und entscheidende Faktoren]]

Informationssicherheits-Managementsysteme (ISMS) Weiteres - Versionsgeschichte

Thomas.will: An Theorieseite angeglichen: Anhang-A-Themen, KRITIS-Nachweis 3 Jahre, BSI 200-4, GS-Tool

Thomas.will: Die Seite wurde neu angelegt: „ = Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches = == Definition und Bedeutung == * Ein '''Informationssicherheits-Managementsystem (ISMS)…“