Grundlagen und Theoretisches

Es gibt kein einziges, übergreifendes internationales Regelwerk, das direkt für das ISMS (Information Security Management System) selbst gilt. Das ISMS dient als Rahmenwerk, das Unternehmen bei der Bewältigung von Informationssicherheitsrisiken unterstützt, und es kann so angepasst werden, dass es den verschiedenen Vorschriften entspricht. Deshalb gibt es kein einheitliches “Regelwerk” für die Einhaltung von ISMS:

• Fokus auf Risikomanagement

ISMS legt den Schwerpunkt auf die Identifizierung und Priorisierung von unternehmensspezifischen Informationssicherheitsrisiken.  Internationale Vorschriften haben zwar umfassendere Ziele für die Informationssicherheit, lassen aber oft Flexibilität bei der Erreichung dieser Ziele zu.

• Spezifität der Branche und des Standorts:

Die Vorschriften zur Informationssicherheit können je nach Branche und geografischem Standort Ihres Unternehmens variieren.  So muss ein Gesundheitsdienstleister möglicherweise den HIPAA (Health Insurance Portability and Accountability Act) in den USA einhalten, während ein Unternehmen, das in Europa mit Finanzdaten arbeitet, möglicherweise die GDPR (General Data Protection Regulation) einhalten muss.

In diesem Zusammenhang bietet die Internationale Organisation für Normung (ISO) mehrere Normen für die Informationssicherheit an, darunter die weithin angenommene Norm ISO 27001 für ISMS. ISO 27001 ist zwar selbst keine Vorschrift, bietet aber einen soliden Rahmen, der zur Einhaltung verschiedener Vorschriften zur Informationssicherheit verwendet werden kann.