IT-Sicherheitskonzept: Aufbau und Vorgehen nach BSI

Oft heißt das Dokument auch Sicherheitskonzept oder Informationssicherheitskonzept. Es ist kein einmaliges Papier. Sie pflegen es weiter, wenn sich Systeme, Prozesse oder Bedrohungen ändern.

Sicherheitskonzept und Leitlinie: der Unterschied

Die IT-Sicherheitsleitlinie ist das Grundsatzdokument der Geschäftsleitung. Sie nennt Ziele, Stellenwert und Verantwortung. Das Sicherheitskonzept ist dagegen konkret und technisch.

• Leitlinie: Warum betreiben wir Informationssicherheit und welche Ziele gelten?
• Sicherheitskonzept: Welche Systeme haben wir, wie hoch ist ihr Schutzbedarf und mit welchen Maßnahmen schützen wir sie?

Die Leitlinie ändert sich selten. Das Konzept passen Sie laufend an.

Vorgehen nach BSI IT-Grundschutz

Der BSI IT-Grundschutz beschreibt in BSI-Standard 200-2, wie ein Sicherheitskonzept entsteht. Das BSI nennt diesen Teil die Sicherheitskonzeption. Sie besteht aus mehreren Schritten.

Vorher wählen Sie eine Vorgehensweise. Die Basis-Absicherung ist ein schneller Einstieg mit grundlegenden Anforderungen. Die Standard-Absicherung deckt den gesamten Informationsverbund umfassend ab. Die Kern-Absicherung konzentriert sich auf besonders wichtige Teile, die „Kronjuwelen“. Die Schritte unten folgen der Standard-Absicherung.

1. Strukturanalyse

Sie erfassen alles, was zum Informationsverbund gehört. Dazu zählen Geschäftsprozesse, Anwendungen, IT-Systeme, Netze, Räume und Gebäude. Ein Netzplan hilft, die Verbindungen zu verstehen.

2. Schutzbedarfsfeststellung

Für jedes Objekt fragen Sie: Wie groß wäre der Schaden, wenn Vertraulichkeit, Integrität oder Verfügbarkeit verloren gehen? Das BSI nutzt drei Kategorien: „normal“, „hoch“ und „sehr hoch“. Die Grundlage sind die Schutzziele der Informationssicherheit.

3. Modellierung

Sie ordnen jedem Objekt die passenden Bausteine aus dem IT-Grundschutz-Kompendium zu. Ein Server bekommt andere Bausteine als ein Büroraum oder eine Webanwendung. Jeder Baustein enthält Anforderungen.

4. IT-Grundschutz-Check

Jetzt prüfen Sie, welche Anforderungen schon erfüllt sind. Das Ergebnis ist ein Soll-Ist-Vergleich. Er zeigt, wo Lücken bestehen.

5. Risikoanalyse

Bei hohem oder sehr hohem Schutzbedarf reichen die Standardanforderungen oft nicht. Dann folgt eine Risikoanalyse, etwa nach BSI-Standard 200-3. Sie zeigt, welche zusätzlichen Maßnahmen nötig sind.

6. Realisierungsplan

Am Ende planen Sie die Umsetzung. Für jede offene Maßnahme legen Sie fest, wer sie umsetzt, bis wann und mit welchen Mitteln. So wird aus dem Konzept ein Arbeitsplan.

Typische Bestandteile

Ein vollständiges IT-Sicherheitskonzept enthält in der Regel:

• Geltungsbereich und Bezug zur Leitlinie
• Übersicht der Geschäftsprozesse, Anwendungen und Systeme
• Netzplan
• Schutzbedarf je Objekt mit Begründung
• Ergebnis der Risikoanalyse
• Liste der Maßnahmen mit Stand der Umsetzung
• Realisierungsplan mit Zuständigkeiten und Terminen
• Regeln zur Pflege und Prüfung des Konzepts

Achten Sie darauf, dass das Konzept lesbar bleibt. Lange Tabellen gehören in den Anhang. Vorne stehen die wichtigsten Ergebnisse, damit auch die Geschäftsleitung den Stand schnell erfassen kann.

Häufige Fehler

• Zu groß starten: Wer alles auf einmal erfassen will, wird selten fertig. Ein klar begrenzter Geltungsbereich hilft.
• Nur Technik betrachten: Prozesse, Räume und Personal gehören ebenso dazu wie Server und Netze.
• Kein Realisierungsplan: Ohne Zuständigkeiten und Termine bleiben Lücken offen.
• Keine Pflege: Ein Konzept, das niemand aktualisiert, passt bald nicht mehr zur Realität.

Das Sicherheitskonzept in ISO/IEC 27001

ISO/IEC 27001 verwendet den Begriff „Sicherheitskonzept“ nicht. Die Inhalte finden sich aber in mehreren Dokumenten wieder. Die Norm verlangt eine Risikobeurteilung und eine Risikobehandlung.

• Risikobehandlungsplan: Er legt fest, wie Sie mit jedem Risiko umgehen und welche Maßnahmen Sie umsetzen.
• Erklärung zur Anwendbarkeit (Statement of Applicability): Sie zeigt, welche Maßnahmen aus Anhang A Sie anwenden und warum. Ausgeschlossene Maßnahmen begründen Sie.

Wer schon ein Konzept nach BSI IT-Grundschutz hat, kann vieles davon für ISO 27001 nutzen. Wie Risiken bewertet werden, erklärt der Eintrag IT-Risikomanagement.

Wer braucht ein IT-Sicherheitskonzept?

Grundsätzlich hilft ein Sicherheitskonzept jeder Organisation, die von IT abhängt. Für manche ist es aber faktisch Pflicht:

• KRITIS-Betreiber: Sie müssen angemessene Vorkehrungen für die Sicherheit ihrer Systeme nachweisen.
• Unternehmen unter NIS2: Die NIS2-Richtlinie verlangt Risikomanagementmaßnahmen. Ein Konzept dokumentiert sie.
• Behörden und Kommunen: Viele öffentliche Stellen arbeiten nach BSI IT-Grundschutz oder müssen ein Sicherheitskonzept vorlegen.
• Zulieferer und Dienstleister: Kunden fragen in Ausschreibungen und Audits immer öfter nach einem dokumentierten Sicherheitskonzept.

Ein Sicherheitskonzept ist ein zentraler Teil eines Informationssicherheits-Managementsystems (ISMS). Verantwortlich für die Pflege ist meist der Sicherheitsbeauftragte oder der CISO.

Häufige Fragen

Wie lange dauert es, ein IT-Sicherheitskonzept zu erstellen?

Das hängt von Größe und Komplexität ab. Ein kleiner Informationsverbund ist schneller erfasst als viele Standorte mit eigener IT. Beginnen Sie mit den wichtigsten Geschäftsprozessen und erweitern Sie dann.

Wie oft muss das Konzept aktualisiert werden?

Immer dann, wenn sich Wichtiges ändert, etwa neue Systeme, Standorte oder Bedrohungen. Zusätzlich sollten Sie es in festen Abständen prüfen, zum Beispiel bei der jährlichen Managementbewertung.

Kann ich das Konzept extern erstellen lassen?

Ja. Viele Unternehmen holen sich Hilfe, weil intern Zeit oder Erfahrung fehlen. Ein externer Informationssicherheitsbeauftragter oder eine ISMS-Beratung unterstützt dabei. Die Verantwortung bleibt aber bei der Geschäftsleitung.