Was gehört in ein IT-Sicherheitskonzept?
| Baustein | Inhalt |
|---|---|
| Geltungsbereich | welche Standorte, Systeme und Abläufe erfasst sind |
| Bestandsaufnahme | Server, Arbeitsplätze, Netzwerk, Cloud-Dienste, Anwendungen, Daten |
| Schutzbedarf | wie schlimm ein Ausfall oder Datenverlust je System wäre |
| Risikoanalyse | welche Gefahren realistisch sind und wie wahrscheinlich |
| Maßnahmen | technische und organisatorische Schutzmaßnahmen je Risiko |
| Zuständigkeiten | wer verantwortlich ist, intern und beim Dienstleister |
| Notfallvorsorge | Verweis auf Backup- und Notfallplan |
| Überprüfung | wann und wie das Konzept aktualisiert wird |
Wie geht man vor?
Der BSI-Standard 200-2 beschreibt mit dem IT-Grundschutz eine bewährte Methodik und unterscheidet drei Vorgehensweisen: Basis-, Kern- und Standard-Absicherung.[1] Für die meisten Mittelständler ist die Basis-Absicherung ein guter Einstieg: Sie deckt zunächst die wichtigsten Maßnahmen in der Breite ab und wird später vertieft.
- Geltungsbereich festlegen und Verantwortlichen benennen.
- Systeme, Anwendungen und Daten erfassen.
- Schutzbedarf bestimmen: Was darf wie lange ausfallen, was darf nicht nach außen dringen?
- Risiken bewerten und Maßnahmen auswählen.
- Maßnahmen umsetzen, dokumentieren und einmal im Jahr überprüfen.
Welche Vorgaben ein Konzept erfüllt
Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und ein Verfahren zur regelmäßigen Überprüfung ihrer Wirksamkeit.[2] Für Unternehmen unter NIS2 sind Konzepte für Risikoanalyse und Sicherheit der Informationssysteme ausdrücklich die erste Pflichtmaßnahme.[3] Ein schriftliches Sicherheitskonzept ist für beides der Nachweis.
Beispiel aus der Praxis
Eine Zahnarztpraxis mit drei Behandlungszimmern erstellt ihr erstes Sicherheitskonzept. Die Bestandsaufnahme ergibt 14 Geräte, darunter Röntgen, Praxissoftware, Abrechnung und ein NAS. Beim Schutzbedarf zeigt sich: Die Praxissoftware darf höchstens einen halben Tag ausfallen, Patientendaten dürfen keinesfalls nach außen dringen. Daraus folgen konkrete Maßnahmen: tägliches Backup mit Offline-Kopie, getrenntes Netz für Medizingeräte, MFA für den Fernzugang des Softwareherstellers. Das Konzept umfasst zwölf Seiten und wird jedes Frühjahr überprüft.
IT-Sicherheitskonzept vs. ISMS
Das Sicherheitskonzept ist das Dokument. Ein Informationssicherheits-Managementsystem (ISMS) ist der dauerhafte Prozess, der das Konzept umsetzt, überprüft und weiterentwickelt, etwa nach ISO/IEC 27001 oder BSI-Grundschutz. Für kleinere Betriebe reicht oft ein gepflegtes Konzept mit festem Überprüfungstermin.
Kurz gesagt
Ein IT-Sicherheitskonzept beschreibt, was ein Unternehmen schützt, wovor und mit welchen Maßnahmen, und wer dafür zuständig ist. Es beruht auf Bestandsaufnahme und Risikoanalyse, erfüllt Anforderungen aus DSGVO und NIS2 und wird regelmäßig überprüft.
Weiterlesen: IT-Sicherheitskonzept für den Mittelstand, IT-Risikoanalyse richtig planen, IT-Sicherheitsanalyse im Mittelstand