ISMS-Software auf Basis Ihrer CMDB

DataGerry liefert die Datengrundlage für ISO 27001, NIS2 und weitere Rahmenwerke wie BSI IT-Grundschutz, die ein Asset-Inventar, Risikomanagement und nachvollziehbare Maßnahmen verlangen.

Ein ISMS ist nicht pauschal für alle Unternehmen gesetzlich vorgeschrieben. Für bestimmte Branchen, Unternehmensgrößen und Zulieferer kann die Einführung jedoch zwingend verpflichtend sein oder indirekt durch Kunden und Gesetze gefordert werden.

Wer ist gesetzlich verpflichtet?

• KRITIS (Kritische Infrastrukturen): Betreiber in Sektoren wie Energie, Wasser, Gesundheit, Ernährung oder Transport müssen nach dem BSI-Gesetz angemessene Sicherheitsvorkehrungen nachweisen.
• NIS-2-Richtlinie: Durch die NIS-2-Regulierung sind schätzungsweise 25.000 bis 40.000 Unternehmen in Deutschland zu einem ISMS verpflichtet. Betroffen sind mittlere und große Unternehmen (ab 50 Mitarbeitenden oder über 10 Mio. € Umsatz) aus wichtigen und kritischen Sektoren.
• Lieferketten & Zulieferer: Da große Konzerne und regulierte Unternehmen ihre Zulieferer absichern müssen, wird ein ISMS oft indirekt über Verträge gefordert.
• Spezifische Branchen: Beispielsweise Netzbetreiber im Energiesektor, Finanzunternehmen oder Unternehmen der Automobilindustrie.

Wann ist ein ISMS freiwillig?
Für kleine und mittelständische Unternehmen (KMU) außerhalb der NIS-2-Sektoren besteht meist keine direkte gesetzliche Pflicht. Viele Unternehmen führen ein ISMS dennoch freiwillig ein, um sich vor Cyberangriffen zu schützen, DSGVO-Anforderungen besser zu erfüllen oder um Vertrauen bei Kunden und Partnern zu gewinnen.

Für ein ISMS nach NIS2 oder ISO 27001 empfiehlt es sich, mit den kritischen Services und Geschäftsprozessen zu beginnen und erst danach die zugehörigen Assets zu dokumentieren. Ein bewährtes Vorgehen sieht so aus:

1. Scope festlegen: kritische Services und Geschäftsprozesse identifizieren.
2. Assets und Abhängigkeiten dokumentieren: Anwendungen, Systeme, Daten und Lieferanten erfassen, die diese Services stützen.
3. Risiko- und Control-Sicht aufbauen: Risiken bewerten und Maßnahmen auf dieser Grundlage zuordnen.

Risiken betreffen immer konkrete Systeme und Services. Eine CMDB liefert das aktuelle Inventar inklusive Eigentümern und Abhängigkeiten. Baut das ISMS darauf auf, fehlen keine Assets in der Risikoanalyse und Auswirkungen auf abhängige Services werden sichtbar.

In DataGerry legen Sie die Logik Ihrer Risikobewertung selbst fest und passen sie so an Ihre internen Richtlinien oder an Frameworks wie ISO 27001 und NIS2 an. In der ISMS-Konfiguration definieren Sie dafür unter anderem Risikoklassen, Eintrittswahrscheinlichkeiten, Auswirkungen, Schadenskategorien und Schutzziele. Daraus erzeugt DataGerry automatisch eine dynamische Risikomatrix, mit der Sie Risiken einheitlich und nachvollziehbar bewerten.

Ein typischer Risiko-Workflow in DataGerry besteht aus vier Schritten, von der Erfassung der Bedrohungen bis zur Nachverfolgung der Maßnahmen:

1. Bedrohungen und Schwachstellen erfassen: Threats und Vulnerabilities manuell anlegen oder per Import übernehmen.
2. Maßnahmen definieren: Controls und Maßnahmen festlegen, zum Beispiel aus ISO 27001 oder aus internen Anforderungen.
3. Risiken bewerten: Risk Assessments durchführen und direkt mit den betroffenen Assets, Objekten oder Gruppen verknüpfen.
4. Risikobehandlung steuern: Behandlungsoptionen und Umsetzungsstatus pflegen, etwa „geplant“, „in Arbeit“ oder „umgesetzt“.

So entsteht eine durchgängige Dokumentation, die zeigt, welche Risiken bestehen und wie sie behandelt werden.