Informationssicherheit Archive

Podcast – Security on Air – Heute Interessenskonflikte in der Funktion des ISB

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Interessenskonflikt ISB: Warum Unabhängigkeit in der Funktion des Informationssicherheitsbeauftragten entscheidend ist

Informationssicherheit ist Führungsaufgabe – und der Informationssicherheitsbeauftragte (ISB) benötigt dafür eine unabhängige Position im Unternehmen. Typische Interessenskonflikte entstehen, wenn der ISB gleichzeitig operative Aufgaben wahrnimmt, etwa als IT-Leiter, Datenschutzbeauftragter oder interner Auditor.

Ausführliche Hintergründe, warum der ISB direkt der obersten Leitung berichten sollte und welche Risiken bei falscher Anbindung entstehen, finden Sie in unserem Beitrag „ISB im Organigramm”.

Jetzt neu: Passend dazu ist unsere Podcast-Folge „Interessenskonflikte in der Funktion des ISB” online – mit praktischen Beispielen und Empfehlungen für die Umsetzung in Ihrem Unternehmen.

Was Sie auch interessieren könnte:

Seminar:

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Dienstleistung:

Wir stellen externe ISB – mehr…

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

8. September 2026/von Alice Laudien

Informationssicherheit

Aus dem Cockpit in den Krisenstab: Entscheidungsfindung mit der FOR-DEC Methode

Wenn im Ernstfall Chaos ausbricht, nützt ein Notfallplan im Ordner recht wenig.
Ob ein schwerer Cyberangriff, ein kritischer Systemausfall oder eine unvorhergesehene Unterbrechung der Lieferkette: Wenn der Ernstfall eintritt, stehen Führungskräfte und Krisenstäbe vor demselben Problem. Informationen sind unvollständig, der Zeitdruck ist hoch, und jede Entscheidung kann teuer werden.
Ein gutes Business Continuity Management (BCM) legt fest, welche Prozesse kritisch sind und welche Ressourcen benötigt werden. Doch für die tatsächliche Entscheidungsfindung im Moment der Krise braucht es ein Werkzeug, das praxistauglich ist.
Hier setzt die FOR-DEC-Methode an und bekämpft die Probleme im Ernstfall: Aktionismus oder Lähmung
Denn unter hohem Stress neigen Menschen in Führungspositionen zu zwei Extremen:

Vorschneller Aktionismus: Es wird die erstbeste Lösung umgesetzt, ohne die Ursache zu kennen oder Risiken abzuwägen.
Entscheidungsparalyse: Aus Angst vor Fehlentscheidungen wird das Handeln so lange verzögert, bis der Schaden unnötig wächst.

Ein strukturiertes BCM liefert Rahmenbedingungen, kann aber das menschliche Denken unter Stress nicht ersetzen. FOR-DEC schließt diese Lücke, indem es dem Krisenstab einen festen Ablauf für Entscheidungen vorgibt.

Was ist die FOR-DEC-Methode?

FOR-DEC ist ein sechsstufiges Modell zur Entscheidungsfindung, das ursprünglich aus der Luftfahrt stammt. Es wird unter anderem von Piloten verwendet um in Krisensituationen die Entscheidungsfindung zu Unterstützen. Es sorgt also dafür, dass Teams auch in unübersichtlichen Lagen geordnet und sachlich vorgehen:

Phase im BSI 200-4 / ISO 22301	FORDEC-Schritt	Umsetzung in der Praxis
Lagefeststellung & Aktivierung	Facts	Der Krisenstab sammelt alle Infos zum IT-Ausfall oder der Katastrophe (Ist-Zustand).
Strategieentwicklung	Options & Risks	Es werden Notbetriebs-Szenarien verglichen (z. B. “Rechenzentrum spiegeln” vs. “auf Papier umstellen”).
Maßnahmen-Beschluss	Decision	Der Krisenmanager trifft die formale Entscheidung, welche BC-Strategie greift.
Reaktion & Bewältigung	Execution	Die im Geschäftsfortführungsplan (GFP) hinterlegten Aufgaben werden abgearbeitet.
Kontinuierliche Überprüfung	Check	Der klassische PDCA-Zyklus (Plan-Do-Check-Act) der ISO-Welt spiegelt sich im permanenten “Check” der Lage wider.

Warum FOR-DEC in Krisensituationen funktioniert:

1. Trennung von Fakten und Vermutungen
In den ersten Minuten einer Krise kursieren meist viele Halbwahrheiten. FOR-DEC zwingt das Team dazu, im ersten Schritt ausschließlich gesicherte Fakten zu sammeln. Das verhindert, dass Entscheidungen auf der Grundlage von Panik oder Spekulationen getroffen werden.
2. Nachvollziehbare Entscheidungen
Nach einer Krise stellt sich oft die Frage, warum bestimmte Schritte gegangen wurden. Da der FOR-DEC-Prozess Schritt für Schritt abläuft, lässt er sich im Stabs-Protokoll sauber dokumentieren. Das macht Entscheidungen im Nachgang transparent und begründbar.
3. Klarheit im Team
Wenn IT, Technik, Recht und Kommunikation an einem Tisch sitzen, redet man schnell aneinander vorbei. FOR-DEC gibt die Struktur vor: Alle sprechen im selben Moment über Fakten, dann über Optionen, dann über Risiken. Das verhindert Diskussionen im Kreis.
4. Eingebaute Korrekturmöglichkeit
Lagen verändern sich dynamisch. Der Schritt Check stellt sicher, dass getroffene Entscheidungen nicht starr durchgezogen werden. Stellt sich heraus, dass eine Maßnahme nicht greift, wird der Prozess mit den neuen Fakten einfach neu gestartet.

Beispielszenario: Ransomware-Angriff bei einem Stadtwerk

Ausgangslage: Die IT meldet, dass Teile der kaufmännischen Server verschlüsselt wurden. Es ist unklar, ob auch produktive Systeme oder die Gebäudeleittechnik betroffen sind.

Situation: Die IT meldet eine Verschlüsselung der kaufmännischen Systeme. Es ist unklar, ob die OT (Operational Technology / Leittechnik) bereits infiziert ist.

Fehler ohne Struktur: Die IT trennt sofort eigenmächtig alle Verbindungen, wodurch auch die Überwachung des Gasnetzes blind wird.

Anwendung von FOR-DEC:

F (Facts): IT-Netz betroffen. OT läuft stabil, aber Schnittstelle existiert. Keine Phänomene im Gasnetz.
O (Options): Option A: Sofortige Vollabschaltung aller Netze. Option B: Manuelle Trennung der IT/OT-Schnittstelle bei Aufrechterhaltung der OT-Steuerung vor Ort.
R (Risks/Benefits): Option A garantiert Sicherheit, führt aber zu Versorgungsunterbrechungen. Option B birgt Restrisiko für die OT, erhält aber die Gasversorgung aufrecht.
D (Decision): Entscheidung für Option B inklusive Entsendung von Technikerteams an die kritischen Knotenpunkte.
E (Execution): IT trennt Schnittstelle binnen 10 Minuten. Bereitschaft fährt Stationen an.
C (Check): Nach 30 Minuten: OT läuft weiter isoliert und stabil. Lage neu bewerten.

Resilienz ist eine Übungsfrage!

Ein Methodenkoffer bringt nur etwas, wenn er beherrscht wird. BCM-Prozesse und Notfallpläne sollten daher regelmäßig mit realitätsnahen Szenarien durchgespielt werden. Wenn Teams die FOR-DEC-Struktur in Ruhephasen trainieren, greifen die Mechanismen im Ernstfall automatisch und aus theoretischen Notfallkonzepten wird tatsächliche Handlungsfähigkeit.

Was Sie auch interessieren könnte:

Seminar:

“Business Continuity Management (BCM) nach ISO 22301”

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

2. September 2026/von Benjamin Rath

Datenschutz, Informationssicherheit

Anordnung des Informationssicherheitsbeauftragten (ISB) im Organigramm

Wo sollte der Informationssicherheitsbeauftragte (ISB) idealerweise im Organigramm der Organisation angeordnet sein? Woraus ergeben sich mögliche Interessenkonflikte? Dieser Blog-Artikel gibt Antworten auf diese Fragen.

Die Bezeichnungen des ISB sind in der Praxis unterschiedlich und ergeben sich aus den Gepflogenheiten des Unternehmens bei der Benennung von Stellen und Positionen sowie der Größe und dem Aufbau der jeweiligen Organisation. Beispiele für alternative Titel zum ISB wären: Leiter Informationssicherheit, Vice President Information Security, Information Security Officer (ISO), Chief Information Security Officer (CISO) oder Head of Information Security.

Idealtypische Anordnung des ISB

Die Geschäftsführung trägt im Rahmen ihrer Gesamtverantwortung auch die Verantwortung für die Informationssicherheit. Da sie die damit verbundenen Aufgaben meist nicht selbst wahrnehmen kann, beauftragt sie einen Mitarbeiter des Unternehmens damit: den Informationssicherheitsbeauftragten. Damit ist gleichzeitig geklärt, wer den ISB beauftragt und somit auch, in wessen Auftrag er tätig wird. Der ISB übernimmt damit wichtige Aufgaben, für die Geschäftsleitung, die weiterhin die Gesamtverantwortung trägt. Es ist daher im Interesse der Geschäftsleitung ihren Beauftragten dicht bei sich zu haben, um sich von der ordnungsgemäßen Aufgabenerfüllung angemessen überzeugen zu können. Der ISB ist aus diesem Grund idealerweise als Stabsstelle bei der Geschäftsleitung angesiedelt.

Alternativer Anordnungen des ISB

Häufig gibt es in Unternehmen bzw. bei der Geschäftsleitung den Wunsch den ISB nicht als Stabsstelle bei der Geschäftsführung anzuordnen. Diese Wünsche sind teilweise verständlich, teilweise aber auch unbillig. Beispiele für mögliche Gründe zur alternativen Anordnung wären:

Die Geschäftsleitung möchte das “unangenehme” Thema Informationssicherheit nicht so dicht bei sich haben.
Die Arbeitsbelastung der einzelnen Geschäftsleitungsmitglieder ist bereits sehr hoch. Ein weiteres Thema auf dieser Ebene wird als nicht mehr zu bewältigen angesehen.
Der (geplante) Inhaber der Stelle “Informationssicherheitsbeauftragter” erfüllt nicht die sonstigen Kriterien für eine Person auf dieser Ebene. Oftmals wird er z.B. als zu jung bzw. unerfahren angesehen.
Die neue Stabsstelle würde das etablierte und austarierte Machtgefüge destabilisieren.
Der ISB ist nur Teilzeit-ISB und hat noch weitere Aufgaben innerhalb der Organisation. Dies ist insbesondere in kleineren Unternehmen häufiger anzutreffen.

In diesem Artikel möchte ich zwei in der Praxis beliebte Anordnungen betrachten: der IT-Leiter als ISB und der ISB unterhalb des IT-Leiters. Eine dritte beliebte Kombination, der Datenschutzbeauftragte (DSB) als ISB, bespreche ich in einem späteren Blog-Artikel gesondert.

Zu den typischen Aufgaben des ISB gehören meist u.a.:

die Erstellung einer Informationssicherheitsstrategie sowie von Richtlinien zur Informationssicherheit
Informationssicherheitsrisikomanagement
Überprüfung der Einhaltung der Regelungen der Informationssicherheit

IT-Leiter als ISB

Ein gern genutztes Argument zur Besetzung der Rolle des ISB mit dem IT-Leiter ist, dass Informationssicherheit ein IT-Thema sei und sich der IT-Leiter am besten damit auskenne. Dazu wäre folgendes zu erwidern:

Informationssicherheit beschäftigt sich mit allen Informationen der Organisation, nicht nur mit denen, die in IT-Systemen verarbeitet werden.
Der IT-Leiter ist Teil des operativen Bereiches. Seine Abteilung hat den IT-Betrieb sicherzustellen. Dazu stellt sie bestimmte Systeme und Anwendungen zur Verfügung.
- Der ISB hat eine überwachende und überprüfende Funktion in Bezug auf die Regelungen der Informationssicherheit (s.o.) beim Betrieb dieser Systeme und Anwendungen. Der IT-Leiter überprüft sich in diesem Punkt also selbst.
Ziele des IT-Leiters können zum Beispiel das planmäßige Abschließen von IT-Projekten sein. Sicherheitsfragen und -bedenken können dem entgegen stehen. Ein Interessenkonflikt entsteht insbesondere, wenn die Zielerfüllung Einfluss auf die Vergütung hat.

ISB unterhalb des IT-Leiters

Nicht besser wird es, wenn der ISB innerhalb der IT also unterhalb des IT-Leiters angeordnet ist. Der ISB hat eine überwachende und kontrollierende Funktion im Auftrag der Geschäftsführung. Meistens ist dies deshalb so geregelt, dass der ISB in seiner Funktion als ISB unmittelbar an die Geschäftsleitung berichtet. Er berichtet also der Geschäftsleitung über Entwicklungen, Probleme, Sicherheitsthemen und Nichtkonformitäten im Verantwortungsbereich seines unmittelbaren Vorgesetzten. Dieser ist dann für seine nächste Mitarbeiterbeurteilung inkl. Gehaltserhöhung zuständig. Der Interessenkonflikt ist mit den Händen zu greifen.

Sind Interessenkonflikte normkonform?

Es stellt sich die Frage, ob die beispielhaft skizzierten Interessenkonflikte in einem ISMS nach ISO 27001 normkonform sind?

Als erstes kommt einem das Control A.5.3 “Aufgabentrennung” in den Sinn. Dieses fordert, dass sich widersprechende Aufgaben und Verantwortungsbereiche voneinander getrennt sind. Das ist bei der ersten Anordnung IT-Leiter als ISB aus den oben dargelegten Gründen sicherlich nicht der Fall und daher grundsätzlich eine Nichtkonformität.

Im zweiten Fall ISB unterhalb des IT-Leiters ist dies schon schwieriger zu beurteilen. Wenn der ISB z.B. in einer kleinen Organisation nur in Teilzeit ISB ist und darüber hinaus weitere Aufgaben in der IT übernimmt, kommen zumindest für diese weiteren Aufgaben widersprechende Verantwortlichkeiten bei operativen Aufgaben und der Überwachung der selben in Betracht.

Ist der ISB in der Anordnung ISB unterhalb des IT-Leiters aber ausschließlich ISB, so sind Aufgaben und Verantwortlichkeiten voneinander getrennt, zumindest in der Person des ISB. Auf der Ebene der IT-Abteilung ist das nicht der Fall. Hier ist wieder der IT-Leiter für das operative IT-Geschäft verantwortlich. Ebenfalls ist er für die überwachende und kontrollierende Tätigkeit seines Mitarbeiters, dem ISB, verantwortlich. Eine Trennung liegt also nicht vor. Damit handelt es sich grundsätzlich um eine Nichtkonformität. Als Grundlage für eine Nichtkonformität käme in diesem Fall auch Kapitel 5.3 in Frage. Dieses fordert u.a., dass die Geschäftsleitung die Verantwortlichkeit und die Befugnis für das Sicherstellen, dass das ISMS die Anforderungen der ISO 27001 erfüllt, zuweisen muss. Das eine solche dysfunktionale Anordnung ein Funktionieren des ISMS sicherstellt, kann man zumindest bezweifeln. Da damit die Funktionsweise des ISMS als Ganzes in Frage gestellt ist, könnte man sogar zum Ergebnis kommen, dass es sich um eine schwerwiegende Nichtkonformität (Hauptabweichung) handelt.

Gerade in kleineren Organisationen ist eine vollständige Trennung der Aufgaben und Verantwortlichkeiten nicht immer zu gewährleisten. Mit der Frage, wie die unerwünschten Folgen abgemildert werden können, beschäftigt sich ein folgender Artikel. Für größere Organisationen können die entschuldigenden Zwänge kleinerer Unternehmen jedoch nicht gelten.

Was Sie auch interessieren könnte:

Seminar:

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

27. August 2026/von Matthias Weigmann

Informationssicherheit

Von der Audit-Feststellung zur echten Verbesserung

Während eines Audits trifft der Auditor Feststellungen, die im Auditbericht dokumentiert werden. Nach ISO 19011 ist eine Auditfeststellung das Ergebnis der Beurteilung von Auditnachweisen im Vergleich zu festgelegten Auditkriterien. Es wird also geprüft, ob der durch Nachweise belegte IST-Zustand dem definierten MUSS-Zustand entspricht. Weicht der IST-Zustand vom MUSS-Zustand ab, liegt eine Nichtkonformität vor.

Nichtkonformitäten

Bei Nichtkonformitäten gibt es streng genommen nichts zu „verbessern“. Verbesserungen betreffen nur Zustände, die bereits mindestens ausreichend sind. Nichtkonformitäten müssen hingegen abgestellt, beseitigt oder behoben werden, da die Mindestanforderungen nicht erfüllt sind.

Nichtkonformitäten als Chance

Verstehen Sie Nichtkonformitäten als Chance. Auch wenn sie nicht wünschenswert sind, bieten sie die Möglichkeit, sich intensiv mit dem betroffenen Themenbereich auseinanderzusetzen. Die ISO 27001:2022 fordert dies ausdrücklich in Kapitel 10.2. Dabei ist nicht nur die Nichtkonformität selbst zu beseitigen (Symptom), sondern auch ihre Ursache zu analysieren. Ziel ist es, ähnliche Abweichungen künftig zu vermeiden – auch in anderen Bereichen, etwa in benachbarten Abteilungen.

Nichtkonformitäten weisen zudem immer auf bestehende Risiken hin, die bei einem konformen ISMS nicht vorhanden wären. Eine ehrliche Ursachenanalyse und die konsequente Beseitigung der Ursachen helfen Organisationen, Risiken zu reduzieren, zu verlagern oder zu vermeiden und insgesamt besser zu werden.

Verbesserungsmöglichkeiten

Lautet die Feststellung des Auditors „konform“, sind die Mindestanforderungen erfüllt. In Schulnoten entspricht dies mindestens „ausreichend“ (Note 4 oder besser). Erkennt der Auditor darüber hinaus Optimierungspotenzial – etwa zur Verbesserung von einer 4 auf eine 2 oder von einer 2 auf eine 1+ –, kann er eine Empfehlung aussprechen.

Auch diese Empfehlungen sollten als Chance gesehen werden, die Organisation weiterzuentwickeln. Sie sind ein zentraler Bestandteil des kontinuierlichen Verbesserungsprozesses (KVP), wie er in ISO-Managementsystemnormen verankert ist.

Umgang mit Verbesserungsempfehlungen

Empfehlungen müssen mindestens bewertet werden. Diese Bewertung kann unterschiedlich ausfallen:

Umsetzung der Empfehlung inklusive Planung und Realisierung
Ablehnung aufgrund fehlender Ressourcen oder eines ungünstigen Kosten-Nutzen-Verhältnisses
Erreichen des angestrebten Ziels auf einem alternativen Weg
Begründete Ablehnung, wenn die Empfehlung nicht zur Organisation passt (z. B. aufgrund begrenzter Einblicke des Auditors)

Unabhängig vom Ergebnis führt die Auseinandersetzung mit der Empfehlung zu einem tieferen Verständnis des jeweiligen Themenbereichs.

Was Sie auch interessieren könnte:

Seminar:

„Einführung in die Auditierung von Managementsystemen nach ISO 19011“

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare. Diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an: KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

18. August 2026/von Matthias Weigmann

Datenschutz, Informationssicherheit, Seminare

Interne Audits – Abweichungen und Maßnahmen – Teil 5

Interner Auditor: In Managementsystemen nach ISO 27001, ISO 9001 oder ISO 22301 entscheidet nicht das Audit selbst über den Erfolg, sondern der professionelle Umgang mit den daraus resultierenden Feststellungen. Genau hier entfaltet der interne Auditor seinen größten Mehrwert: Er identifiziert nicht nur Abweichungen, sondern stellt sicher, dass daraus nachhaltige und wirksame Verbesserungen im Unternehmen entstehen.

Rolle des internen Auditors im Umgang mit Feststellungen

Ein interner Auditor bewertet Prozesse systematisch und unterscheidet dabei klar zwischen:

Hauptabweichungen (kritische, systemgefährdende Mängel)
Nichtkonformitäten (Abweichungen von Anforderungen)
Empfehlungen (Optimierungspotenziale ohne Normverstoß)

Die Qualität dieser Einordnung ist entscheidend. Eine zu „weiche“ Bewertung verschleiert Risiken, während eine zu harte Bewertung Ressourcen unnötig bindet. Die Weiterbildung vermittelt hier die notwendige Sicherheit in der Bewertung und Argumentation.

Nichtkonformitäten und Hauptabweichungen sicher erkennen

Ein zentraler Bestandteil der Auditorenausbildung ist die Fähigkeit, Abweichungen präzise zu formulieren und normkonform einzuordnen:

Hauptabweichung: Systematische oder kritische Schwäche mit unmittelbarem Risiko für die Wirksamkeit des Managementsystems (z. B. fehlende Risikobewertungen im ISMS).
Nichtkonformität: Eine konkrete Anforderung ist nicht erfüllt (z. B. fehlende Dokumentation, unvollständige Umsetzung).

Wichtig ist dabei:

Bezug zur konkreten Normanforderung
Nachvollziehbare Begründung
Objektive Nachweise (Audit-Trails)

Nur so lassen sich Diskussionen im Audit vermeiden und Maßnahmen gezielt ableiten.

Empfehlungen als strategisches Werkzeug

Neben Abweichungen spielen Empfehlungen eine oft unterschätzte Rolle. Ein gut ausgebildeter interner Auditor nutzt sie gezielt, um:

zukünftige Risiken frühzeitig zu adressieren
Effizienzpotenziale aufzuzeigen
Best Practices im Unternehmen zu verbreiten

Damit wird das Audit vom reinen Kontrollinstrument zum echten Verbesserungshebel.

Maßnahmenplanung: Vom Audit zur Verbesserung

Der eigentliche Mehrwert entsteht erst nach dem Audit – in der strukturierten Maßnahmenplanung. Je konkreter die Empfehlung vom Auditor formuliert wird, desto einfacher ist es daraus die Maßnahmenplanung abzuleiten.

Ursachenanalyse (z. B. nach dem 5-W-Prinzip) für Nichtkonformitäten
Priorisierung nach Risiko und Auswirkung
Definition konkreter Maßnahmen in Abstimmung mit den Verantwortlichen
Festlegung von Verantwortlichkeiten und Fristen zur Umsetzung der Maßnahmen

Besonders relevant ist die Differenzierung zwischen:

Quick Wins: Schnell umsetzbare Maßnahmen mit hoher Wirkung (z. B. Anpassung einer Richtlinie, Schließen von Dokumentationslücken)
Strukturellen Maßnahmen: Nachhaltige Änderungen an Prozessen oder Systemen (z. B. Einführung eines Berechtigungsmanagement-Prozesses)

Ein erfahrener interner Auditor erkennt, wann eine schnelle Lösung ausreicht – und wann grundlegende Veränderungen notwendig sind – und leitet die Verantwortlichen entsprechend an.

Mehrwert für Unternehmen

Unternehmen profitieren direkt von dieser strukturierten Herangehensweise:

Abweichungen werden nicht nur dokumentiert, sondern nachhaltig beseitigt
Kritische Schwachstellen werden frühzeitig erkannt (insbesondere bei Hauptabweichungen)
Maßnahmen werden effizient priorisiert und umgesetzt
Audit-Ergebnisse werden steuerbar und messbar
Externe Audits verlaufen deutlich stabiler

Gerade im KRITIS- und NIS2-Umfeld ist dieser strukturierte Umgang mit Feststellungen entscheidend für die Nachweisfähigkeit gegenüber Aufsichtsbehörden.

Praxisbeispiel

In einem internen ISO-27001-Audit wird festgestellt, dass regelmäßige Kontrollen und Überwachung von zugewiesenen Benutzerrechten nicht durchgeführt werden.

Ein unerfahrener Auditor dokumentiert dies pauschal als „Verbesserungspotenzial“.
Ein geschulter Auditor erkennt eine Nichtkonformität (oder sogar Hauptabweichung, je nach Kritikalität).

Die daraus abgeleitete Maßnahmenplanung umfasst:

Quick Win: Sofortige Durchführung einer Berechtigungsprüfung
Nachhaltige Maßnahme: Einführung eines systematischen Prozesses zur Überprüfung und Dokumentation der Benutzerberechtigungen inkl. Verantwortlichkeiten

Das Ergebnis: Reduziertes Sicherheitsrisiko und belastbare Compliance.

Fazit

Die Weiterbildung zum internen Auditor befähigt Mitarbeitende nicht nur zur Durchführung von Audits, sondern vor allem zum professionellen Umgang mit deren Ergebnissen.

Der strukturierte Umgang mit Nichtkonformitäten, Hauptabweichungen und Empfehlungen – kombiniert mit einer wirksamen Maßnahmenplanung – macht interne Audits zu einem zentralen Steuerungsinstrument für Qualität, Sicherheit und Compliance.

Was Sie auch interessieren könnte:

Seminar:

„Einführung in die Auditierung von Managementsystemen nach ISO 19011“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

12. August 2026/von Sandra Cleven

Informationssicherheit, Podcast

Podcast – Security on Air – Heute Supply Chain Resilienz

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Warum die Widerstandsfähigkeit von Lieferketten jetzt zählt

Die Supply Chain Resilienz ist heute weit mehr als ein Thema für Einkauf und Logistik. Für Unternehmen ist sie ein zentraler Faktor für Stabilität, Lieferfähigkeit und Wettbewerbsfähigkeit. Wer ihre Widerstandsfähigkeit nicht aktiv aufbaut, riskiert schnell Verzögerungen in der Produktion, Probleme in der Kundenkommunikation und im Zweifel auch Reputationsschäden.

In der aktuellen Folge von „Security on Air“ geht es genau darum: Wie können Unternehmen ihre Supply Chain so aufstellen, dass sie Krisen nicht nur übersteht, sondern mit ihnen besser umgehen kann? Dabei wird deutlich, dass geopolitische Ereignisse, logistische Engpässe und digitale Abhängigkeiten heute eng zusammenhängen.

Supply Chain Resilienz ist Führungsaufgabe

Eine resiliente Supply Chain entsteht nicht zufällig. Unternehmen müssen wissen, welche Prozesse kritisch sind, wo Abhängigkeiten bestehen und wie lange ein Ausfall tragbar wäre. Genau hier setzt Business Continuity Management an: nicht erst reagieren, wenn eine Störung bereits eingetreten ist, sondern Risiken frühzeitig erkennen und auf mögliche Szenarien vorbereitet sein.

Besonders deutlich wird das an Beispielen wie dem Ukrainekrieg, der Straße von Hormus oder der Blockade des Suezkanals. Solche Ereignisse zeigen, wie schnell einzelne Störungen weltweite Auswirkungen auf Transport, Versorgung und Planung haben können. Für Unternehmen bedeutet das: Lieferkettenresilienz ist kein theoretisches Konzept, sondern eine praktische Voraussetzung für Handlungsfähigkeit.

Auch Informationssicherheit spielt dabei eine zentrale Rolle. Denn die Supply Chain ist längst nicht nur physisch, sondern auch digital. Wenn Dienstleister, Cloud-Anwendungen, Kommunikationswege oder OT-Systeme ausfallen, entstehen ähnliche Folgen wie bei fehlenden Bauteilen oder Rohstoffen.

Die Folge zeigt anschaulich, dass Unternehmen ihre Lieferanten, Dienstleister und digitalen Abhängigkeiten gemeinsam betrachten sollten. Gerade in KRITIS-nahen Bereichen, wie Stadtwerken, in der Automobilindustrie oder in Laborumgebungen wird deutlich, wie stark Verfügbarkeit, Qualität und Wiederanlauf ineinandergreifen.

Für weiterführende Impulse zur Resilienz von Lieferketten lohnt sich auch ein Blick auf das Fraunhofer IML: Fraunhofer IML – Supply Chain Resilienz.

Wenn Sie wissen möchten, wie Unternehmen ihre Supply Chain widerstandsfähiger machen und Risiken früher erkennen können, ist diese Podcast-Folge besonders empfehlenswert.

Hören Sie rein!

Alle unsere Podcast-Folgen finden Sie auf „Apple Podcast”, „Spotify” und „YouTube” sowie natürlich auf unserer Website.

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

Was Sie noch interessieren könnte…

Seminare:

“Business Continuity Management (BCM) nach ISO 22301”

„Informationssicherheit für Vorstände und Geschäftsführer“

„TISAX® – Informationssicherheit in der Automobilindustrie“

Weitere Seminare finden Sie unter https://anmatho.de/seminare – diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an: KONTAKT.

28. Juli 2026/von Alice Laudien

Informationssicherheit

Wertemanagement nach ISO 27001 als Sicherheitsfaktor

Wertemanagement (im Kontext der Informationssicherheit meist Asset Management) bezeichnet die systematische Erfassung, Klassifizierung, Verwaltung und den Schutz aller Werte (Assets) einer Organisation.

Zu diesen Werten gehören beispielsweise:

Informationen und Daten
IT-Systeme und Anwendungen
Server, Endgeräte und Netzwerke
Geschäftsprozesse
Dokumentationen
Mitarbeiterwissen und geistiges Eigentum

Das Ziel des Wertemanagements ist es, zu wissen:

Welche Werte vorhanden sind.
Welchen Schutzbedarf sie haben.
Wer für sie verantwortlich ist.
Wie sie angemessen geschützt werden müssen.

Wertemanagement nach ISO 27001

Die internationale Norm ISO/IEC 27001 fordert, dass Organisationen ihre Informationswerte identifizieren und verwalten. In den aktuellen Anforderungen der Norm ist das Asset Management in verschiedene Kontrollen integriert, beispielsweise Inventarisierung von Informationen und anderen zugehörigen Werten, Verantwortlichkeiten sowie Regeln für den Umgang mit Informationen.

Typische Maßnahmen sind:

Führen eines Asset-Verzeichnisses
Benennung von Asset-Eigentümern (Ownern)
Klassifizierung von Informationen (z. B. öffentlich, intern, vertraulich)
Regelungen zur Nutzung und Aufbewahrung
Sichere Entsorgung oder Löschung von Informationen

Warum ist Wertemanagement ein Sicherheitsfaktor?

Wertemanagement ist ein wesentlicher Sicherheitsfaktor, weil man nur schützen kann, was man kennt.

Ohne Wertemanagement:

bleiben wichtige Daten oder Systeme unentdeckt,
werden Schutzmaßnahmen falsch priorisiert,
entstehen Sicherheitslücken,
können gesetzliche oder vertragliche Anforderungen verletzt werden.

Mit wirksamem Wertemanagement:

werden kritische Werte identifiziert,
Risiken gezielt bewertet,
Sicherheitsmaßnahmen bedarfsgerecht umgesetzt,
Ressourcen wirtschaftlich eingesetzt,
Vertraulichkeit, Integrität und Verfügbarkeit besser gewährleistet.

Wertemanagement schafft die notwendige Transparenz über die schützenswerten Werte einer Organisation und bildet damit die Grundlage für ein wirksames Informationssicherheitsmanagement. Doch die bloße Erfassung, Klassifizierung und Zuordnung von Assets reicht allein nicht aus. Ob Verantwortlichkeiten tatsächlich wahrgenommen, Risiken offen kommuniziert und Sicherheitsmaßnahmen konsequent umgesetzt werden, hängt maßgeblich von der Unternehmenskultur ab. Damit wird deutlich: Informationssicherheit ist nicht nur eine Frage von Prozessen und Technik, sondern auch von den Werten, die in einer Organisation gelebt werden.

Gelebte Unternehmenskultur

Technologie allein schafft keine Sicherheit. Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 basiert zwar auf Prozessen, Rollen und Risikobewertungen, seine Wirksamkeit hängt jedoch entscheidend von der gelebten Unternehmenskultur ab.

Verantwortung – Sicherheit aktiv leben

ISO 27001 fordert klare Verantwortlichkeiten für Informationen und technische Assets. Entscheidend ist jedoch, dass diese Verantwortung nicht nur dokumentiert, sondern auch gelebt wird. Mitarbeitende und Asset-Verantwortliche, die Risiken aktiv erkennen und adressieren, tragen wesentlich zur Stabilität und Sicherheit der Organisation bei.

Transparenz – Grundlage für wirksame Risikosteuerung

Informationssicherheit lebt von Offenheit und Nachvollziehbarkeit. Eine transparente Unternehmenskultur fördert die Meldung von Schwachstellen, Sicherheitsvorfällen und Verbesserungspotenzialen. Dadurch können Risiken realistischer bewertet und Maßnahmen dort umgesetzt werden, wo sie den größten Nutzen bringen.

Fehlertoleranz – Lernen statt Verbergen

Fehler lassen sich weder bei Menschen noch bei technischen Systemen vollständig vermeiden. Entscheidend ist der Umgang mit ihnen. Organisationen mit einer positiven Fehlerkultur analysieren Vorfälle systematisch, lernen daraus und verbessern kontinuierlich ihre Prozesse und Sicherheitsmaßnahmen. Dadurch steigt die Resilienz des gesamten Systems.

Werte zeigen sich im Umgang mit Assets

Ob Server, Anwendungen, Cloud-Dienste oder Dokumentationen – der Umgang mit Assets macht die Sicherheitskultur sichtbar. Werden Systeme gepflegt, dokumentiert und regelmäßig überprüft? Werden Risiken offen angesprochen und Verbesserungen umgesetzt? Solche Entscheidungen entstehen nicht allein aus Richtlinien, sondern aus gelebten Werten.

Kultur als Bestandteil wirksamer Informationssicherheit

Unternehmenswerte beeinflussen unmittelbar die Risikowahrnehmung, die Auswahl von Schutzmaßnahmen und die Wirksamkeit von Audits. Organisationen, die Verantwortung, Transparenz und Lernbereitschaft fördern, erfüllen die Anforderungen der ISO 27001 nicht nur formal, sondern stärken die Informationssicherheit nachhaltig.

Fazit

Wertemanagement sorgt dafür, dass schützenswerte Informationen und Ressourcen bekannt sind. Eine werteorientierte Unternehmenskultur sorgt dafür, dass diese Werte tatsächlich geschützt werden. Erst das Zusammenspiel von Assets, Prozessen, Technik und gelebten Werten macht Informationssicherheit langfristig wirksam und belastbar.

Was Sie auch interessieren könnte:

Seminar:

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

14. Juli 2026/von Sandra Cleven

Informationssicherheit

Kennzahlen-Dashboard für die Geschäftsleitung

Seit NIS2 und den Verschärfungen im BSI-Gesetz ist klar: Informationssicherheit ist kein IT-Nebenthema mehr, sondern eine originäre Pflicht der Geschäftsleitung. Sie müssen Risiken kennen, Maßnahmen umsetzen und deren Wirksamkeit überwachen – und das nachweisbar. Ein Kennzahlen-Dashboard kann dafür ein zentrales Führungsinstrument sein, weil es komplexe Daten in entscheidungsrelevante Informationen für das Management verdichtet.

Genau deshalb ist die Art und Weise, wie ein Dashboard aufgebaut ist, entscheidend. Dashboards, die sich nur am Design orientieren, aber nicht an den tatsächlichen Nutzeranforderungen der Entscheider, werden schnell ignoriert oder falsch interpretiert. Für eine Geschäftsleitung zählt nicht die Optik, sondern die Frage: „Erkenne ich auf einen Blick, wo ich handeln muss?“

Kein Wassermelonen-Dashboard

Ein verbreitetes Problem ist das sogenannte Wassermelonen-Dashboard. Von außen sieht alles positiv aus: Alle Ampeln stehen auf „grün“, alle KPIs erfüllen scheinbar die Zielsetzungen. Doch hinter der Oberfläche sind die Risiken hoch, Maßnahmen verzögert oder nur auf dem Papier umgesetzt – in Wahrheit stehen die Ampeln auf „rot“. Ein solches Dashboard mag kurzfristig beruhigen, erfüllt aber weder die gesetzlichen Pflichten noch die Verantwortung gegenüber Unternehmen, Mitarbeitenden und Kunden.

Für eine Geschäftsleitung ist ein ehrliches Dashboard deutlich wertvoller als ein schönes. Es sollte

klar zeigen, wo Risiken zunehmen,
offenlegen, welche Maßnahmen überfällig oder unwirksam sind,
Trends über die Zeit sichtbar machen, statt nur eine Momentaufnahme zu liefern,
die tatsächlich kritischen Abweichungen deutlich hervorheben.

Hierfür kann es sinnvoll sein, die Kennzahlen gezielt so zu wählen, dass sie Bereiche messen, in denen Probleme vermutet werden, und andere Kennzahlen wieder zu entfernen, wenn sie sich über mehrere Messintervalle stabil im positiven Bereich halten. Einen normativen Rahmen hierzu liefert die ISO 27001 mit Kapitel 9.1. Darin wird explizit gefordert, dass die Organisation bestimmen muss,

was überwacht wird,
wie gemessen wird,
wann gemessen wird und
wer die Ergebnisse analysiert und bewertet.

Die Ergebnisse sollten vergleichbar, reproduzierbar und dokumentiert sein, um als Grundlage für Entscheidungen zu dienen. Ein Kennzahlen-Dashboard, das diese Anforderungen erfüllt, liefert der Geschäftsleitung genau das: eine belastbare Basis, um Prioritäten zu setzen, Budgets zu steuern und Risiken bewusst zu akzeptieren oder zu reduzieren.

Ein „ehrlich rotes“ Dashboard ist daher kein Makel, sondern ein Signal für Transparenz und Reife. Es zeigt, dass Risiken gesehen, benannt und aktiv adressiert werden. Nur auf dieser Grundlage kann die Geschäftsleitung ihrer Pflicht zur Umsetzung und Überwachung von Maßnahmen gewissenhaft nachkommen – und das Unternehmen wirksam steuern, statt sich von einer grünen Oberfläche in Sicherheit wiegen zu lassen.

Was Sie auch interessieren könnte:

Seminar:

„Wirksamkeitsmessung nach ISO 27004“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Besonders interessant ist die Folge: Kennzahlen im ISMS

Hören Sie rein!

7. Juli 2026/von Richard Weigmann

Informationssicherheit, Seminare

Wirksamkeitsmessung im ISMS – Wirksamkeit nachweisen

In einem vorangehenden Beitrag habe ich einen kurzen Überblick über die Messung der Wirksamkeit eines Informationssicherheits-Managementsystems (ISMS) und seiner Maßnahmen gegeben. Dieser Artikel beschäftigt sich mit der Frage, wie Wirksamkeit nachgewiesen werden kann.

Voraussetzung für die Wirksamkeitsfeststellung

Was bedeutet Wirksamkeit? Die ISO 27000 definiert Wirksamkeit als “das Ausmaß, in dem geplante Aktivitäten umgesetzt und geplante Ergebnisse erreicht werden”. Es bedarf also zunächst geplanter, d.h. beabsichtigter Aktivitäten und beabsichtigter Ergebnisse. Ohne konkrete Vorstellung eines zu erreichenden Zustandes kann es also keine Wirksamkeitsmessung geben.

Vergleichen wir das mit der Realität in vielen Organisationen, so muss man feststellen, dass es einer validen Wirksamkeitsmessung bereits an den Voraussetzungen mangelt. Häufig werden Maßnahmen der Informationssicherheit umgesetzt, weil das so üblich ist. Auch wenn die Maßnahme zur Bearbeitung eines Risikos oder zur Erfüllung einer zutreffenden Anforderung ausgewählt wurde, fehlt oft eine (dokumentierte) Vorstellung, unter welchen Umständen man die Maßnahme als wirksam und erfolgreich bezeichnen möchte. Häufig geht man davon aus, dass die Maßnahme schon (vollumfänglich) erfolgreich sein wird. Mit der Umsetzung der Maßnahme gilt das Ziel dann als erreicht. Eine Wirksamkeitsmessung erübrigt sich unter dieser Annahme.

Die Festlegung von Kriterien der Wirksamkeit und des Erfolges von Maßnahmen ist also zwingend notwendig.

Feststellung der Wirksamkeit

Maßnahmen können vollumfänglich erfolgreich sein, teilweise erfolgreich, unwirksam oder, wenn es ganz schlecht läuft, sogar kontraproduktiv. Wer nicht nachschaut, wird nicht erfahren, wie es im konkreten Fall bei ihm ausschaut.

Überwachung und Messung

Für die Überprüfung der Wirksamkeit bieten sich Messungen an. Diese sind als Mittel der Bewertung der Leistung eines ISMS sowie der Informationssicherheitsleistung in Kapitel 9.1 der ISO 27001 verbindlich vorgesehen.

Die Definition und Pflege von Leistungskennzahlen sind ein probates Mittel. Leistungskennzahlen enthalten in ihrem Zielwert das beabsichtigte Ergebnis. Die Wirksamkeit einer oder mehrerer Maßnahmen oder eines Teilaspekts dieser Maßnahmen lässt sich an der Leistungskennzahl also direkt ablesen. Weitere Ausführungen hierzu finden sich in den Artikeln “Wirksamkeitsmessung im ISMS – Wirksamkeit des Managementsystems” und “Wirksamkeitsmessung im ISMS – Informationssicherheitsleistung”

Audits

Audits sind ein weiteres Mittel zur Überprüfung der Wirksamkeit. Typischerweise umfassen Audits drei Prüfebenen: Eignung, Angemessenheit und Wirksamkeit.

In der Praxis verbringen Auditoren leider zuviel Zeit mit Dokumentenprüfungen, d.h. mit Eignungsprüfung sowie mit der Umsetzung der anwendbaren Regelungen. Für die Prüfung der Wirksamkeit bleibt häufig zu wenig Zeit. Wenn die Reife eines ISMS zunimmt sollte sich der Schwerpunkt der Audits allerdings deutlich Richtung Wirksamkeit verschieben. Auditoren sollten dann intensiver und nachdrücklicher nach “geplanten Ergebnissen” fragen sowie sich mit der Frage der Zielerreichung beschäftigen.

Weitere Ausführungen zu Audits als Mittel der Wirksamkeitsprüfung finden Sie in dem Artikel “Wirksamkeitsmessung im ISMS – Interne Audits“.

Managementbewertung

Die Managementbewertung nach ISO 27001 ist eine Bewertung durch die oberste Leitung einer Organisation. Die Vorstände, Geschäftsführungen, Präsidenten, wie immer auch die Mitglieder der obersten Leitung in der konkreten Organisation heißen, sind für die Informationssicherheit verantwortlich. Meist delegieren sie diese Aufgabe an einen Beauftragten (Informationssicherheitsbeauftrager – ISB) mit dem Auftrag ein ISMS aufzubauen, zu verwirklichen, aufrechtzuerhalten und fortlaufend zu verbessern. In geplanten Abständen müssen sie überprüfen, ob diese Aufgabe in geeigneter, angemessener und wirksamer Weise ausgeführt wird. Eine solche Prüfung kann valide nur durchgeführt werden, wenn die oberste Leitung konkrete Vorstellungen von der Zielsetzung des ISMS hat. Damit ist auch die Managementbewertung eine Form bzw. ein Element der Wirksamkeitsmessung.

Weitere Ausführungen zu Audits als Mittel der Wirksamkeitsprüfung finden Sie in dem Artikel “Wirksamkeitsmessung im ISMS – Managementbewertung”

Was Sie noch interessieren könnte…

Seminar:

„Wirksamkeitsmessung nach ISO 27004“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

In unserem Podcast “Wirksamkeitsmessung in der ISO 27001” informieren wir Sie in lockerer Art und Weise über folgende Aspekte:

Was fordert die ISO 27001 und die ISO 27004?
Wie findet man heraus, was gemessen werden sollte und mit welchen Methoden?
Worauf achten Auditoren?
Was sind beispielhafte Kenngrößen?

Hören Sie rein!

30. Juni 2026/von Matthias Weigmann

Datenschutz, Informationssicherheit

Von der Normenvielfalt zur integrierten Compliance

Warum integrierte Compliance zum Gamechanger wird

Unternehmen stehen heute vor der Herausforderung, unterschiedliche Anforderungen aus Informationssicherheit, Datenschutz und branchenspezifischen Standards nicht nur zu erfüllen, sondern sinnvoll miteinander zu verzahnen. Gerade NIS2, TISAX und die DSGVO zeigen, wie eng regulatorische Vorgaben, technische Schutzmaßnahmen und organisatorische Prozesse miteinander verbunden sind. Wer diese Anforderungen einzeln betrachtet, riskiert Doppelarbeit, Medienbrüche und uneinheitliche Nachweise. Ein integrierter Ansatz schafft hier deutlich mehr Klarheit, Effizienz und Steuerbarkeit.

Gemeinsame Basis statt paralleler Systeme

Ob NIS2, TISAX oder Datenschutz: Im Kern geht es fast immer um denselben Grundgedanken – Informationen, Prozesse und Lieferketten wirksam zu schützen. Die Unterschiede liegen vor allem in der Sprache der Regelwerke, den jeweiligen Schwerpunkten und den konkreten Nachweisanforderungen. Genau deshalb lohnt es sich, die Anforderungen nicht isoliert umzusetzen, sondern in ein gemeinsames Managementsystem zu überführen. Ein solides Informationssicherheits-Managementsystem auf Basis der ISO 27001 kann dafür das Rückgrat bilden.

Die ISO 27001 bietet mit ihrem risikobasierten Ansatz, klaren Verantwortlichkeiten und dokumentierten Prozessen einen Rahmen, der sich gut auf weitere Anforderungen ausdehnen lässt. So können technische und organisatorische Maßnahmen aus der DSGVO, branchenspezifische Vorgaben aus TISAX und die erweiterten Cybersecurity-Pflichten aus NIS2 in einer konsistenten Struktur zusammengeführt werden. Das reduziert Redundanzen und verbessert die Nachweisfähigkeit.

Typische Beispiele aus der Praxis

Besonders anschaulich wird der Nutzen integrierter Compliance an konkreten Anwendungsfeldern. In der Energiewirtschaft etwa treffen verschiedene Regelwerke aufeinander: der IT-Sicherheitskatalog nach § 11 EnWG, branchenspezifische Sicherheitsstandards, NIS2, ISO 27001 und ISO 27019, KRITIS-Vorgaben, Datenschutzrecht, Business-Continuity-Management und teilweise auch technische Sicherheitsmanagementsysteme. Diese Vielfalt führt schnell zu parallelen Prüfungen, unterschiedlichen Verantwortlichkeiten und hohem Dokumentationsaufwand.

Ein integriertes Vorgehen setzt hier auf gemeinsame Kontrollpunkte, abgestimmte Rollen und eine einheitliche Governance. Statt jede Anforderung separat zu pflegen, werden Überschneidungen systematisch zusammengeführt. So kann etwa ein zentrales Risikomanagement gleichzeitig Anforderungen aus Informationssicherheit, Krisenresilienz und Lieferketten-Compliance bedienen. Auch gemeinsame Audits werden dadurch realistischer und effizienter.

Erfolgsfaktoren der Integration

Damit integrierte Compliance funktioniert, braucht es mehr als nur eine gute Absicht. Entscheidend ist zunächst ein sauberes Anforderungs-Mapping, also die strukturierte Zuordnung von Pflichten, Kontrollen und Nachweisen aus verschiedenen Regelwerken. Auf dieser Basis lassen sich gemeinsame Kontrollrahmen entwickeln, die fachlich tragfähig und organisatorisch praktikabel sind.

Ebenso wichtig ist eine einheitliche Governance. Wenn Rollen, Verantwortlichkeiten und Berichtslinien nicht klar definiert sind, entstehen Lücken zwischen Fachbereichen, Informationssicherheit, Datenschutz und Management. Hinzu kommt die technische Unterstützung: Zentrale GRC- oder ISMS-Tools helfen, Maßnahmen, Nachweise und Risikoanalysen konsistent zu dokumentieren. So wird aus einem komplexen Anforderungsgemisch ein steuerbares System.

Datenschutz als Integrationsbeispiel

Ein gutes Beispiel für das Zusammenspiel von Datenschutz und Informationssicherheit ist das Löschkonzept. Die DSGVO verlangt, dass personenbezogene Daten nicht länger als notwendig aufbewahrt werden und nach Wegfall des Zwecks ordnungsgemäß gelöscht werden. In der Praxis braucht es dafür klare Regeln zu Datenarten, Löschfristen, Verantwortlichkeiten, Verfahren und Dokumentation.

Genau hier zeigt sich der Mehrwert eines integrierten ISMS. Löschkonzepte lassen sich mit bestehenden Kontrollen zur Informationsklassifizierung, Archivierung, Berechtigung und Incident-Bearbeitung verbinden. Datenschutz wird dadurch nicht als separate Sonderaufgabe behandelt, sondern als Teil eines durchgängigen Sicherheits- und Governance-Modells. Das erleichtert die Umsetzung und stärkt zugleich die Rechenschaftsfähigkeit.

TISAX und NIS2 im Zusammenspiel

Auch TISAX und NIS2 profitieren von einer integrierten Sichtweise. TISAX stellt in der automobilen Lieferkette besondere Anforderungen an Informationssicherheit, etwa beim Schutz von Prototypen, bei der Steuerung von Dienstleistern und bei der Klassifizierung sensibler Informationen. NIS2 erweitert den Fokus zusätzlich auf Cybersecurity-Risikomanagement, Incident-Management, Business Continuity und Meldepflichten.

Viele dieser Themen sind bereits in einem gut aufgebauten ISMS angelegt. Wer also Risiken systematisch bewertet, Zugriffe sauber steuert, Lieferanten einbindet und Vorfälle strukturiert behandelt, schafft eine belastbare Basis für mehrere Anforderungen zugleich. Die branchenspezifischen Ergänzungen werden dann zu Erweiterungen eines bereits funktionierenden Rahmens statt zu einem zusätzlichen Parallelprojekt.

Zusammenarbeit als strategischer Hebel

NIS2 macht außerdem deutlich, dass Sicherheit heute nicht an der eigenen Unternehmensgrenze endet. Betreiber, Lieferanten, IT-Dienstleister und Behörden müssen enger zusammenarbeiten, um Sicherheitsvorfälle, Abhängigkeiten und Risiken beherrschbar zu machen. Gerade in regulierten Branchen entstehen dadurch neue Netzwerke und abgestimmte Vorgehensweisen, die über das einzelne Unternehmen hinausreichen.

Das ist nicht nur eine regulatorische Pflicht, sondern auch eine strategische Chance. Wer seine Partner in Sicherheits- und Compliance-Prozesse einbindet, verbessert die Transparenz entlang der Lieferkette und stärkt die Resilienz des eigenen Geschäftsmodells. Integrierte Compliance wird so zu einem Instrument moderner Unternehmenssteuerung.

Fazit

Integrierte Compliance reduziert Doppelarbeit, verbessert Nachweisführung und Governance, erhöht Sicherheitsreife und Resilienz und verwandelt regulatorischen Aufwand in strategischen Mehrwert.

Was Sie auch interessieren könnte:

Beiträge:

Beitragsreihe: TISAX® – Informationssicherheit im Detail Teil 1-8

Beitragsreihe: Datenschutz in ein bestehendes ISMS integrieren Teil 1-5

NIS2 Umsetzung in Deutschland: Risikomanagement

Ratgeber Informationssicherheit für Geschäftsführung

Seminare:

“ISO 27701 – Den Datenschutz in ein bestehendes ISMS nach ISO 27001 integrieren”

„TISAX® – Informationssicherheit in der Automobilindustrie“

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

25. Juni 2026/von Sandra Cleven