ISO 27001, NIS-2 und BSI IT-Grundschutz begegnen dir im ISMS ständig. Mit diesem Überblick ordnest du schnell ein, was davon Pflicht ist, was zertifizierbar ist und was dir als Leitfaden hilft. Außerdem siehst du, wo dich Ariadne ISMS und Ariadne bei den einzelnen Anforderungen unterstützen.
Die drei wichtigsten Regelwerke
NIS-2
In Deutschland im BSI-Gesetz (BSIG) umgesetzt
Betroffene Unternehmen müssen Risikomanagement nachweisen, auch ohne Zertifikat. Die Leitung haftet persönlich.
Kerninhalte
- Risikomanagement mit Nachweispflicht
- Meldung von Sicherheitsvorfällen binnen 24 Stunden, Bericht binnen 72 Stunden
- Registrierung beim BSI
- Persönliche Haftung der Leitung
ISO/IEC 27001:2022
Internationale Norm für Informationssicherheits-Managementsysteme
Die Norm beschreibt, was ein ISMS leisten muss, nicht wie du es umsetzt. Die Kapitel 4 bis 10 sind verpflichtend, dazu kommt Annex A mit 93 Controls.
Ergänzende Leitfäden
- ISO/IEC 27002 erklärt die 93 Controls aus Annex A.
- ISO/IEC 27005 beschreibt die Risikobewertung und enthält in Anhang B einen Bedrohungskatalog.
BSI IT-Grundschutz
Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI)
IT-Grundschutz liefert konkrete Bausteine und 47 elementare Gefährdungen. Es gibt dafür auch eine eigene Zertifizierung.
Wann hilft mir das?
- Wenn du konkrete Anforderungen für einzelne Systemarten suchst
- Wenn du typische Gefährdungen als Ausgangspunkt für Risiken nutzen willst
Schnellvergleich
| Regelwerk | Charakter | Kerninhalt |
|---|---|---|
| NIS-2 (im BSIG) | Pflicht | Risikomanagement, Meldefristen, Registrierung, Haftung der Leitung |
| ISO/IEC 27001:2022 | Zertifizierbar | Kapitel 4 bis 10 verpflichtend, Annex A mit 93 Controls |
| ISO/IEC 27002 | Leitfaden | Erläuterung der 93 Controls |
| ISO/IEC 27005 | Leitfaden | Risikobewertung, Bedrohungskatalog in Anhang B |
| BSI IT-Grundschutz | Leitfaden mit eigener Zertifizierung | Bausteine und 47 elementare Gefährdungen |
So unterstützen dich Ariadne ISMS und Ariadne
Die Anforderungen verteilen sich auf zwei Orte: Das operative Informationssicherheits-Management läuft im ISMS-Modul, Richtlinien und Nachweise auf Managementebene pflegst du in Ariadne.
| Anforderung | Wo du sie umsetzt |
|---|---|
| Schutzbedarf von Informationen und Prozessen, Business-Impact-Analyse | ISMS-Modul |
| Risikobewertung, Risikobehandlung und Wiedervorlage | ISMS-Modul |
| Maßnahmen mit Status und Nachweisdokumenten | ISMS-Modul |
| Risikolage für das Management-Review | ISMS-Modul Dashboard Risikomanagement |
| Statement of Applicability (SoA) | Ariadne über die Normzuordnung |
| Informationssicherheits-Richtlinien | Ariadne |
| Sicherheitsvorfälle melden, NIS-2-Meldepflichten | Ariadne als Prozess |
| BCM-Pläne und Schulungsnachweise | Ariadne |
Kataloge als Startpunkt
Du musst Risiken und Maßnahmen nicht bei null beginnen. Für die Einführung gibt es Kataloge, die du per Datenimport übernehmen kannst:
- Informationskatalog auf Basis von DSGVO und ISO 27001
- Risikokatalog nach ISO 27005 mit 206 Einträgen im Format „Bedrohung – Schwachstelle“
- Maßnahmenkatalog nach Annex A ISO 27001 mit 93 Controls
- BSI IT-Grundschutz mit wählbaren Bausteinen
- Eigene Kataloge per Excel-Import
Die Einträge findest du danach im Benutzermenü unter Risiko- und Maßnahmenkataloge. Beim Anlegen eines Risikos oder einer Maßnahme durchsuchst du sie direkt über das Titelfeld.
Verwandte Artikel
War dieser Artikel hilfreich?
Das ist großartig!
Vielen Dank für das Feedback
Leider konnten wir nicht helfen
Vielen Dank für das Feedback
Feedback gesendet
Wir wissen Ihre Bemühungen zu schätzen und werden versuchen, den Artikel zu korrigieren