Welche Standards gibt es bei der Umsetzung eines ISMS?
Das Informations-Sicherheitsmanagement System in 12 Schritten (ISIS12) ist ein Modell zur Einführung eines Informationssicherheitsmanagementsystems. Es wurde speziell für den Einsatz in Kommunen und KMU entwickelt. ISIS12 beinhaltet konkrete Maßnahmen zur systematischen und kontinuierlichen Erhöhung der Informationssicherheit. ISIS12 ist eine unabhängig zertifizierbare Einstiegsstufe in ein ISMS. Die Kompatibilität zur ISO/IEC 27001 und IT-Grundschutz ermöglicht einen späteren Umstieg auf ein umfangreicher zertifiziertes ISMS, z. B. ISO/IEC 27001 auf Basis IT-Grundschutz.
ISO 27001
Der wohl bekannteste ist die international gültige Norm ISO 27001. Diese verfolgt einen generischen prozessorientierten Ansatz und eignet sich somit für jede Branche und Organisationsgröße. Oberstes Ziel ist der Betrieb eines wirksamen und sich ständig verbessernden Informationssicherheitsmanagementsystems und erlaubt einige Freiheitsgrade in der Umsetzung. Auch hier besteht später die Weiterentwicklung in Richtung IT-Grundschutz oder TISAX.
TISAX
TISAX ist ein Standard, der sich gezielt an die Automobilbranche richtet. Dieser Standard wurde vom Verband der Automobilindustrie auf Basis der ISO 27001 entwickelt mit dem Ziel, die Freiheitsgrade der nativen ISO 27001 zu reduzieren und durch vorgegebene Leitplanken eine Vergleichbarkeit zu ermöglichen. Auf einer Plattform der ENX ist für alle registrierten Mitglieder einsehbar, wer in welcher Thematik vertrauenswürdiger Partner ist. Im Fokus von TISAX stehen insbesondere Lieferanten oder Partner wie z.B. .richtet sich konkret an die Automobilbranche – insbesondere an Lieferanten oder Partner wie z.B. Hersteller von Teilen und Komponenten, Spediteure, Datenverarbeiter,, SaaS-Anbieter, aber auch Werbeagenturen und Beratungsunternehmen.
Einer der strengsten Standards in Deutschland ist der IT-Grundschutz auf Basis der ISO 27001. Das Bundesamt für Informationssicherheit hat hier im Rahmen des IT-Grundschutzkompendiums konkrete detaillierte technische und organisatorische Anforderungen für IT-Infrastrukturen entwickelt. Die Umsetzung des IT Grundschutzes auf Basis der ISO 27001 ist deutlich aufwendiger als eine Umsetzung der nativen ISO 27001, kann aber durchaus ein sinnvoller Weg sein.
Die Wahl des richtigen Standards hängt folglich von den Zielen und Anforderungen der eigenen Organisation, deren Kunden, Lieferanten und Partnern und von gesetzlichen und regulatorischen Anforderungen ab.
