ISMS Beratung und Implementierung

Geschäftsprozesse bestimmen unseren beruflichen Alltag. Vom Einkauf über die Produktion bis hin zur Logistik – mittlerweile sind fast alle Tätigkeiten prozessual organisiert. Entsprechend erfolgskritisch ist es, dass diese Prozesse reibungslos funktionieren und auch nicht aufgrund von Störungen der IT unterbrochen werden. Um entsprechend sicherzustellen, dass die geschäftskritischen Prozesse gemäß Anforderungen ablaufen und nicht durch Sicherheitsvorfälle gestört werden, bietet sich ein Informationssicherheitsmanagementsystem (ISMS) an.

Die Einführung und Zertifizierung eines ISMS (z. B. gemäß ISO 27001) wird insbesondere im Bereich der kritischen Infrastrukturen (KRITIS) zunehmend ein zentraler Bestandteil von regulatorischen Vorgaben. Die BTC AG unterstützt dabei, ein ISMS mit zielgerichteten Verfahren im Unternehmen zu etablieren. Je nach Bedarf beinhaltet dies

• den Aufbau des ISMS,
• die Planung und Umsetzung von Sicherheitsmaßnahmen
• sowie die Aufrechterhaltung und Pflege des ISMS und
• das notwendige Projektmanagement.

Dabei sind uns ergänzende Anforderungen (z.B. im Kontext IT-Sicherheitskatalog BNetzA oder BSI TR-03109-6 für Smart Metering) bestens bekannt und wir unterstützen Sie umfassend – vom Projektstart bis zur erfolgreichen Zertifizierung.

Welcher Standard für welche Anforderung? 

Die Sicherheit von Informationen und Daten sind für Behörden und Unternehmen von entscheidender Bedeutung. Um die Integrität, Vertraulichkeit und Verfügbarkeit von Informationen zu gewährleisten, gibt es verschiedene Standards und Zertifizierungen. Zu den wichtigsten Standards gehören ISO 27001 und der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI). Beide Standards verfolgen das Ziel der Informationssicherheit mithilfe der Entwicklung eines Informationssicherheitsmanagementsystems. Doch wann benötigt ein Unternehmen eine ISO 27001-Zertifizierung und wann eine Zertifizierung nach IT-Grundschutz? Gerne beraten wir Sie, welche Zertifizierung für Ihre spezifischen Anforderungen am besten geeignet ist. 

ISO27001 

Die ISO 27001-Zertifizierung ist ein international anerkannter Standard für Informationssicherheitsmanagementsysteme (ISMS). Der Standard ist insbesondere für international tätige Unternehmen relevant, ebenso für solche mit internationalen Kunden und Partnern. Die ISO 27001 legt großen Wert auf ein systematisches Risikomanagement und unterstützt Unternehmen dabei, ihre Informationssicherheitsrisiken zu identifizieren und zu managen. Die weltweit anerkannte Zertifizierung ermöglicht es Unternehmen, sich im internationalen Markt besser zu positionieren und Vertrauen bei Kunden und Partnern aufzubauen. 

IT-Grundschutz 

Der IT-Grundschutz des BSI bietet detaillierte und praxisorientierte Sicherheitsmaßnahmen, die speziell auf die Bedürfnisse deutscher Unternehmen und Behörden zugeschnitten sind. Insbesondere für den öffentlichen Sektor und Betreiber kritischer Infrastrukturen in Deutschland ist der IT-Grundschutz von großer Relevanz. Der Standard unterstützt Organisationen dabei, ihre IT-Systeme und -Prozesse gemäß den hohen Sicherheitsstandards des BSI abzusichern und die regulatorischen Anforderungen zu erfüllen. 

Informationssicherheitsmanagementsystem (ISMS) – Implementierung mit BTC

Die Einführung eines zertifizierungsfähigen ISMS erfolgt bei BTC standardmäßig gem. des praxiserprobten Vorgehensmodell, welches schon viele Unternehmen erfolgreich zur Zertifizierung geführt hat. Das Vorgehensmodell der BTC unterteilt sich in 3 Phasen (ISMS-Einführung, ISMS-Betrieb und ISMS-Überprüfung) plus dem eigentlichen Zertifizierungsvorgang. Während der gesamten Durchführung sind zwei unterstützende Maßnahmen möglich: 

• Beauftragung der BTC mit der Rolle des IT-Sicherheitsbeauftragten
• Coaching eines Mitarbeiters zum ISMS-Manager und Informationssicherheitsbeauftragten

Grundsätzlich empfiehlt es sich, die Rolle des ISBs intern zu besetzen und wird von BTC empfohlen. Aufgrund von fehlenden Ressourcen und/oder fehlender Expertise ist dies jedoch nicht immer möglich. In diesen Fällen unterstützt BTC das Vorhaben ISMS-Einführung entweder durch die Wahrnehmung der Rolle aus externer Stellung oder durch die Befähigung eines Mitarbeitenden zum ISB innerhalb eines ISMS-Coachings. 

Ziele des Vorgehensmodells

Ziel der ISMS Einführung ist die Zertifizierung und die Übergabe des ISMS-Betriebes an die zertifizierte Organisation. Im Rahmen des Projektes unterstützen Sie zertifizierte und ausgebildete Fachkräfte mit langjähriger Erfahrung in der Informationssicherheit bei der Planung und Umsetzung von Maßnahmen zur Optimierung und Verbesserung der organisatorischen und technischen Sicherheit in Ihrem Unternehmen. Nach der Übergabe wird das ISMS durch die dann zertifizierte Organisation und unter Nutzung der gemeinsam erarbeiteten Verfahren eigenständig betrieben. Das Vorgehensmodell sieht vor, dass die BTC nach der Übergabe nur im Bedarfsfall bei speziellen Fragestellungen unterstützt. Sollte der Bedarf bestehen (z. B. aufgrund von Personalengpässen), dass auch über die Zertifizierung hinaus eine Unterstützung beim ISMS-Betrieb gewünscht ist, so stellen wir Ihnen auch gerne einen fachkundigen und geschulten Informationssicherheitsbeauftragten (ISB).

Zertifizierungsvorgang 

Der Zertifizierungsvorgang wird durch unsere Experten begleitet. Die BTC AG ist in einer beratenden Funktion im Umfeld der ISO 27001 und IT-Grundschutz aktiv. Bei Zertifizierungen vertrauen wir auf die Expertise des jeweiligen Zertifizierungspartners, der durch unsere Kunden frei gewählt wird. Bei Bedarf unterstützen wir umfassend bei der Auswahl des richtigen Zertifizierungspartners, so dass Besonderheiten wie integrierte Managementsysteme oder KRITIS-Prüfkompetenz angemessen berücksichtigt werden. 

Interne Audits 

Ein internes Audit gemäß ISO 27001 ist ein entscheidender Schritt, um sicherzustellen, dass das ISMS effektiv implementiert und aufrechterhalten wird. BTC verfügt über langjährige Erfahrung in der Durchführung von internen Audits in den verschiedenen Auditrollen (Auditleiter, Auditor, Auditteilnehmer) und bringt diese Expertise in die Durchführung mit ein. Ein wesentliches Ziel der internen Audits ist die Simulation von externen Zertifizierungsaudits, um eine erfolgreiche Zertifizierung zu ermöglichen. 

Vor der dem eigentlichen Audit wird ein Auditplan erstellt, der die Zeitpläne, die zu auditierenden Bereiche bzw. Abteilungen und die zu prüfenden Prozesse und Kontrollen festlegt. Die Erstellung des Auditplans erfolgt stets in Abstimmung mit dem jeweiligen Unternehmen. Dadurch wird sichergestellt, dass die Auditziele, das bestehende Auditprogramm und gewünschte Auditschwerpunkte angemessen berücksichtigt sind. 

Die Durchführung der internen Audits erfolgt durch entsprechend qualifizierte Sicherheitsexperten der BTC. Diese Spezialisten haben langjährige Erfahrung in der Anwendung, Umsetzung und Auditierung der ISO 27001 bzw. IT-Grundschutzes. Während der Durchführung kommen verschiedene Methoden zum Einsatz, die je nach Bedarf und unter Berücksichtigung des zu überprüfenden Bereiches ausgewählt werden. Zu diesen Methoden gehören die Dokumentenprüfung (Verfahren, Richtlinien, Risikobewertungen, Maßnahmenpläne, etc.), Interviews mit Schlüsselpersonen sowie Entscheidungsträgern und Beobachtungen mittels Stichproben. 

Innerhalb der Internen Audits werden folgende Schwerpunkte verfolgt: 

• Vollständigkeit und Konformität der Dokumentation zu den Anforderungen der ISO 27001 
• Beobachtung der Arbeitsabläufe und Abgleich mit den dokumentierten Verfahren 
• Prüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Sicherstellung der Informationssicherheit 
  
  

Im Anschluss an das Interne Audit wird ein Auditbericht erstellt. Im Auditbericht werden die berücksichtigten Anforderungen, identifizierte Nichtkonformitäten, Verbesserungspotenziale und Beobachtungen dokumentiert. Der Auditbericht ist damit die Basis, um identifizierte Nichtkonformitäten und Verbesserungsvorschläge durch geeignete Korrektur- und Vorbeugungsmaßnahmen zu behandeln, um damit die kontinuierliche Verbesserung des ISMS zu erreichen und gleichzeitig darstellen zu können.  

ISMS-Einführung und -Beratung – davon profitieren Sie: 

• Prozessorientiertes Vorgehensmodell: Bleiben Sie bei der ISMS-Einführung auf Kurs mittels der effizienten und praxiserprobten Vorgehensweise
• Fundierte Handlungsempfehlungen: Erhalten Sie Handlungsempfehlungen von unseren zertifizierten Sicherheitsexperten
• Direkter Draht zu Zertifizierungsstellen: Enge Abstimmung mit akkreditierten Zertifizierungsstellen (z.B. im Kontext ISO 27001) optimiert eine normenkonforme ISMS-Ausprägung
• Der erste Schritt auf dem Weg zum Informationssicherheitsmanagementsystem: Nutzen Sie unsere Gap-Analyse als ersten Schritt zur ISMS-Einführung
• Wir versorgen Versorger mit Sicherheit: Langjährige Erfahrungen in der Energiebranche, dem ISMS-Betrieb und den Herausforderungen der Prozessleittechnik