Aufbau eines ISMS mit Vision.iC

Von der Pflicht zur gelebten Sicherheitskultur

Ein Information Security Management System (ISMS) ist heute unverzichtbar, um Informationssicherheit systematisch und nachhaltig sicherzustellen.
Es schützt geschäftskritische Informationen, stärkt das Vertrauen von Kunden und Partnern und hilft Unternehmen, gesetzliche Anforderungen wie die DSGVO oder die NIS2-Richtlinie zu erfüllen.

Angesichts zunehmender Cyberangriffe, wachsender technischer Komplexität und steigender regulatorischer Anforderungen bietet ein ISMS einen strukturierten Rahmen, um Risiken frühzeitig zu erkennen, zu bewerten und gezielt zu behandeln.
Ohne ein funktionierendes ISMS riskieren Unternehmen Sicherheitsvorfälle mit gravierenden finanziellen und Reputationsschäden.

Was muss ein ISMS leisten?

Das Ziel eines ISMS ist klar: die Vertraulichkeit, Integrität und Verfügbarkeit aller relevanten Informationen in der Organisation sicherstellen – systematisch, nachvollziehbar und nachhaltig.

Gibt es ein standardisiertes Vorgehensmodell zur ISMS-Einführung?

Ja – die Einführung eines ISMS folgt einem generischen Modell.
Die Grundlage bilden in allen Unternehmen ähnliche Kernelemente: Assets, Services und Verantwortlichkeiten.

Dazu zählen:

• IT-Infrastruktur wie Server, Netzwerke, Backup-Systeme

• IT-Applikationen wie ERP, Office-Software oder Fachanwendungen

• Set an Servicelevels mit Mindestanforderungen für IT-Sicherheit

• Mitarbeitende im IT-Betrieb und in der IT-Führung

Jedes Asset birgt Risiken, die systematisch identifiziert und durch geeignete Maßnahmen minimiert werden.
Was sich von Unternehmen zu Unternehmen unterscheidet, sind die Anzahl und Art der Assets, die individuelle Risikobewertung und die abgeleiteten Maßnahmen.

Fazit: Die Struktur eines ISMS und wesentliche Inhalte lassen sich standardisiert und effizient abbilden – basierend auf Assets, Risiken, Rollen und Maßnahmen. Vision.iC unterstützt diesen Ansatz optimal: klar im Modell, flexibel in der Umsetzung.

Zwei Ebenen – zwei Systeme – ein Ziel

Ein wirksames ISMS kombiniert zwei zentrale Ebenen:

• Operativ-technische Ebene: Schützt IT-Infrastruktur mit Firewalls, Zugriffskontrollen, Backups etc.
  → Ziel: Stabiler und sicherer IT-Betrieb.

• Strategisch-organisatorische Ebene: Fokussiert auf Menschen, Prozesse, Verantwortlichkeiten und Führungsverhalten.
  → Ziel: Sicherheitskultur schaffen, Risiken aktiv steuern.

Über 80 % aller Sicherheitsvorfälle entstehen durch menschliches Verhalten. Hier setzt Vision.iC an: Führung, Feedback und Verantwortung sichtbar machen.

Warum ein ISMS mehr ist als Technik

Technische Maßnahmen reichen nicht aus. Ein wirksames ISMS braucht ein aktives Managementsystem mit klaren Zielen, Rollen, Feedback und kontinuierlicher Verbesserung.
Vision.iC entfaltet hier seinen vollen Mehrwert.

Bestandteile eines wirksamen ISMS

1. Führungsprozess mit PDCA-Zyklus
   Plan, Do, Check, Act – für eine gelebte Sicherheitskultur.
2. Organisatorische Maßnahmen
   Rollen, Verantwortlichkeiten, Schulungen, Kommunikation.
3. Risikomanagement
   Identifikation, Bewertung und Behandlung von Risiken.
4. Sicherheitsrichtlinien & Verfahren
   Regeln und Vorgaben für den sicheren Umgang mit Informationen.
5. Technische Maßnahmen
   Zugriffsschutz, Verschlüsselung, Firewalls, Systemhärtung.

Nur der letzte Punkt betrifft rein die IT. Die übrigen sind zentrale Führungsaufgaben – und Stärken von Vision.iC.

Typische Fehler – und wie Vision.iC den Unterschied macht

Oft wird ein ISMS vom IT-Betrieb initiiert – doch das greift zu kurz.
Denn ein ISMS muss Menschen führen, nicht nur Technik verwalten.

Beispiel:

• Im operativen Asset-Management werden alle Systeme (jeder Server, jeder Client, etc.) einzeln erfasst.

• Im strategischen ISMS reicht es, zentrale Asset-Gruppen zu definieren und diesen einen Servicelevel und Verantwortliche zuzuweisen.

Vom Asset zur Führungsverantwortung mit Vision.iC

Vision.iC unterstützt die strategische Führung im ISMS:

• Klare Zieldefinition (Servicelevel)

• Regelmäßiges Feedback

• Transparenz im Führungscockpit

• Automatisierter PDCA-Zyklus

Ablauf:

1. Plan – Ziel definieren

2. Do – Umsetzung

3. Check – Rückmeldung

4. Act – Maßnahmen einleiten

Abweichungen werden sofort sichtbar und können proaktiv behoben werden.

Führung als System – mit klaren Rollen

Ein ISMS muss unabhängig von einzelnen Personen funktionieren, wie auch der IDW PS 980 für Compliance-Management fordert. Konkret bedeutet das:

• Verantwortlichkeiten müssen rollenbasiert und nicht personenbezogen definiert sein.
• Das System muss auch bei Ausfall einzelner Personen vollständig handlungsfähig bleiben.
• Das Zusammenspiel der Rollen muss sowohl im Normalbetrieb als auch im Störfall klar geregelt sein.

Rollen im ISMS – und ihre Umsetzung mit Vision.iC

Ausführung (IT-Betrieb)

Die Mitarbeitenden im IT-Betrieb übernehmen die operative Ausführungsverantwortung. Sie setzen Sicherheitsmaßnahmen im Alltag um und erkennen als Erste mögliche Schwachstellen oder Risiken. In Vision.iC geben sie regelmäßig Feedback und Prognosen zu ihren Servicelevels ab und liefern Hintergrundinformationen zu Engpässen oder Bedrohungen. So dienen sie als Frühwarnsystem für die Führung. 

IT-Führung

Die IT-Führungskräfte steuern ihre Bereiche strategisch. Sie sehen im Führungscockpit auf einen Blick, welche Assets kritisch sind, welche Servicelevels gefährdet und welche Maßnahmen wirksam sind. Zusätzlich bewerten sie ihre Fähigkeit, die erforderlichen Rahmenbedingungen für Sicherheit zu schaffen, und melden zurück, wo Unterstützung nötig ist.

Gesamtverantwortung (Geschäftsführung)

Die Geschäftsleitung trägt die übergeordnete Verantwortung für Informationssicherheit und Compliance. Wird erkennbar, dass die IT-Führung ihre Ziele nicht erreicht — etwa wegen Ressourcen- oder Budgetmängeln —, entscheidet sie, ob Risiken getragen oder Rahmenbedingungen angepasst werden müssen.

Vision.iC visualisiert diese Rollen, Ziele und Status transparent im Führungscockpit.

Integriertes Risikomanagement mit Vision.iC

Vision.iC verknüpft Assets, Servicelevel und Risiken:

• Risiken werden identifiziert, bewertet und priorisiert.

• Maßnahmen zur Risikobehandlung werden definiert und überwacht.

• Im Führungscockpit sind Risikoportfolio, Maßnahmenfortschritt und kritische Assets übersichtlich dargestellt.

Nicht alle Risiken sind gleich. Vision.iC zeigt, welche wirklich kritisch sind.

Der Entlastungsbeweis – für Audits, NIS2 & ISO 27001

Unternehmen müssen nachweisen, dass ihr ISMS systematisch funktioniert.
Vision.iC hilft beim Nachweis: