ISMS, Audit, Risiko & Awareness

Was macht ein ISMS-Manager?

Er betreibt das Managementsystem, mit dem eine Organisation ihre Informationssicherheit steuert und belegt. Der Kern ist ein geschlossener Kreis: Ziele festlegen, Werte und Schutzbedarf erfassen, Risiken bewerten, Maßnahmen auswählen, umsetzen lassen, Wirksamkeit messen, korrigieren. ISO/IEC 27001 gibt diesen Rahmen vor; ihr Anhang A nennt 93 Maßnahmen in vier Themenfeldern, und ISO/IEC 27002 erklärt sie. Der IT-Grundschutz des BSI führt über die Standards 200-1 bis 200-4 zum selben Ziel, arbeitet aber mit Bausteinen und Schutzbedarfskategorien statt mit einer freien Risikoanalyse.

Daneben stehen drei eigene Zuschnitte, die in Anzeigen oft dieselbe Stelle betreffen. Die Auditseite plant und führt interne Audits, begleitet externe und hält Feststellungen nach; eine Zertifizierung läuft über drei Jahre mit jährlichen Überwachungsaudits. Die Risikoseite pflegt das Risikoregister, bewertet Lieferanten und Auslagerungen und verantwortet die Notfallvorsorge. Die Awareness-Seite macht aus Regeln Verhalten: Schulungen, Phishing-Übungen, Einweisungen, Kampagnen.

Wie wird man ISMS-Manager?

Zwei Herkünfte sind üblich und beide anerkannt. Die erste kommt aus der IT und bringt mit, was eine Maßnahme im Betrieb wirklich bedeutet. Die zweite kommt aus Qualitätsmanagement, Revision, Risikomanagement oder Datenschutz und bringt mit, wie ein Managementsystem funktioniert – die Struktur aus ISO 27001 ist derselben Bauart wie die aus ISO 9001. Verlangt wird meist ein Studium oder eine IT-Ausbildung mit Praxis.

Die Nachweise sind hier aussagekräftiger als in anderen Bereichen, weil sie Erfahrung verlangen. CISA ist das Auditzertifikat, CISM das Managementzertifikat, beide mit fünf Jahren Berufspraxis; CISSP setzt fünf Jahre in zwei von acht Domänen voraus. Für die Auditarbeit gibt es Auditorenqualifikationen nach ISO 27001, für den IT-Grundschutz die Lehrgänge des BSI-Umfelds bis hin zum Auditteamleiter für Audits auf Basis von IT-Grundschutz. Wer in einer Branche mit eigenem Prüfsystem arbeitet, braucht deren Kenntnis: TISAX in der Automobilzulieferkette, DORA in der Finanzwirtschaft.

Was der Beruf verlangt

Genauigkeit und Ausdauer im Schriftlichen. Ein ISMS besteht aus Nachweisen, und ein Nachweis, der nicht auffindbar ist, gilt im Audit als nicht vorhanden. Wer Dokumentation für Nebensache hält, ist in diesem Beruf falsch. Dazu kommt ein Jahreslauf, der von außen getaktet wird: Rezertifizierung, Überwachungsaudit, Managementbewertung, Nachweise gegenüber Aufsichtsbehörden liegen jedes Jahr an derselben Stelle und lassen sich nicht verschieben.

Die menschliche Seite ist der schwerere Teil. Sie fordern Arbeit ein, die nicht Ihre ist, von Menschen, die Ihnen nicht unterstellt sind. Besonders die Awareness-Arbeit verlangt Fingerspitzengefühl: Eine Phishing-Übung, die Beschäftigte vorführt, richtet mehr Schaden an als der Test an Erkenntnis bringt. Die Arbeitszeiten sind regulär, in den Wochen vor einem Audit aber nicht.

Aussichten

Dies ist der Bereich mit dem stärksten Zuwachs, und zwar aus einem klaren Grund: Was hier gearbeitet wird, ist gesetzlich verlangt. NIS2 erweitert den Kreis der verpflichteten Unternehmen weit über die bisherigen KRITIS-Sektoren, Betreiber kritischer Anlagen führen regelmäßig Nachweise gegenüber dem BSI, Finanzunternehmen erfüllen DORA, Automobilzulieferer halten ihr TISAX-Label. Wer ein ISMS einmal zur Zertifizierung geführt hat, ist auf dem Markt gut aufgestellt. Weiterwege führen in die Leitung der Informationssicherheit, in die Beratung und in externe Prüf- und Auditrollen.