Braucht ein ISMS zwingend eine eigene IT-Abteilung?

Nein. Entscheidend sind passende Kompetenzen, klare Zuständigkeiten und wirksame Abläufe. Technischer Betrieb kann extern erfolgen; geschäftliche Anforderungen und Entscheidungen müssen trotzdem zugeordnet sein.

Kann unser IT-Dienstleister alle Sicherheitsfragen beantworten?

Er kann Informationen über seinen Leistungsumfang und technische Umsetzung liefern. Welche Geschäftsprozesse kritisch sind und welche Auswirkungen akzeptabel wären, muss das Unternehmen mit beurteilen.

ISMS ohne eigene IT-Abteilung: Aufgaben sinnvoll verteilen

Ein ISMS braucht keine Abteilung mit der Aufschrift „IT“. Es braucht Menschen, die Anforderungen kennen, Maßnahmen umsetzen und Entscheidungen treffen können. Ein externer IT-Dienstleister kann den technischen Betrieb übernehmen. Er weiß aber nicht automatisch, welche Informationen euer Geschäft tragen und welche Unterbrechung ihr verkraftet.

Beginnt daher mit euren Leistungen und den beteiligten Personen. Der ISMS-Grundlagenleitfaden erklärt den Zusammenhang zwischen Sicherheitszielen, Risiken und Maßnahmen.

Verteilt konkrete Aufgaben statt einer Sammelzuständigkeit

„Unser Dienstleister macht Sicherheit“ lässt offen, wer neue Mitarbeiter meldet, Berechtigungen genehmigt oder eine Wiederherstellung beurteilt. Zerlegt wiederkehrende Vorgänge in überschaubare Beiträge.

Vorgang	Beitrag im Unternehmen	Beitrag des Dienstleisters
Mitarbeiter tritt ein	Benötigte Zugriffe freigeben	Konten und Rechte im vereinbarten Umfang einrichten
Mitarbeiter scheidet aus	Zeitpunkt und betroffene Zugänge mitteilen	Vereinbarte Zugänge entziehen und Umsetzung belegen
Wiederherstellung testen	Benötigten Geschäftsablauf und Erfolgskriterien beschreiben	Technischen Test durchführen und Ergebnis liefern
Sicherheitsvorfall bearbeiten	Geschäftliche Auswirkungen und Entscheidungen klären	Vereinbarte technische Analyse und Reaktion leisten

Diese Zuordnung muss zum tatsächlichen Vertrag passen. Was nicht vereinbart ist, wird nicht durch eine Tabellenzeile zur Dienstleisterpflicht.

NIST CSF 2.0 berücksichtigt neben internen Rollen auch die Abstimmung mit Lieferanten und Partnern. Das bietet eine Grundlage für klare Schnittstellen; es verlangt keine bestimmte Größe eurer IT-Abteilung. NIST CSF 2.0, GV.RR und GV.SC

Gebt einer Person die Koordination

Die koordinierende Person muss nicht jede technische Frage selbst beantworten. Sie muss erkennen können, welche Antwort fehlt, wer sie liefern soll und wann eine Entscheidung erforderlich ist.

Reserviert dafür Arbeitszeit und benennt eine Vertretung. Eine Rolle zusätzlich zu vergeben, ohne Kapazität oder Rückhalt zu schaffen, löst das organisatorische Problem nicht. Bei der Einführung einer GRC-Software sollten diese Beiträge vor dem ersten Import feststehen.

Fragt nach dem Ergebnis, nicht nach Fachwörtern

Lasst euch technische Aussagen an eurem Bedarf erklären. „Backup läuft“ beantwortet beispielsweise nicht, ob der benötigte Prozess rechtzeitig wiederhergestellt werden kann.

Vereinbart, welcher Nachweis eine Frage beantwortet, wer ihn prüft und wie offene Punkte behandelt werden. Der Leitfaden zu aktuellen und überprüfbaren Nachweisen hilft, Dateidatum und tatsächliche Aussagekraft auseinanderzuhalten.

Fiktiver Fall: Ein kleiner Fachbetrieb nutzt einen extern betriebenen Dateidienst. Der Dienstleister bestätigt die tägliche Sicherung. Die interne Verantwortliche ergänzt den fehlenden Prüffall: Kann das Team nach einem Ausfall auf die Unterlagen eines laufenden Kundenauftrags zugreifen? Gemeinsam werden Test, benötigte Dateien und erwartetes Ergebnis festgelegt. Erst dieses Ergebnis beantwortet die betriebliche Frage.

Holt die Belegschaft in die Abläufe

Informationssicherheit betrifft auch Einkauf, Personal und Fachabteilungen. Sie erkennen neue Dienstleister, melden Austritte und nutzen die Dokumente im Alltag. Beschreibt die für sie relevanten Schritte verständlich und benennt erreichbare Ansprechpartner.

Mit dem Workforce Hub bringt Kopexa relevante Dokumente und Richtlinien zur Belegschaft. Bei neuen Versionen können die betroffenen Personen benachrichtigt und an Lesen und Quiz erinnert werden; die entsprechenden Nachweise kommen in Kopexa zurück.

Das ersetzt keine verständliche Richtlinie. Es hilft euch aber, Veröffentlichung und Kenntnisnahme als zusammenhängenden Ablauf zu behandeln.

Prüft regelmäßig die offenen Übergaben

Geht gemeinsam durch: Welche Aufgabe wartet auf eine Information? Welche Maßnahme ist umgesetzt, aber noch nicht belegt? Wo fehlt eine Entscheidung der Leitung? Eskaliert solche Punkte mit einer konkreten Frage statt einem pauschalen roten Status.

Wenn zusätzliche Beratung nötig ist, vereinbart neben dem Aufbau auch die Übergabe der ISMS-Arbeit. Ziel ist ein tragfähiger Betrieb, den eure vorhandenen Personen und Dienstleister gemeinsam leisten können.

Testet diesen Ablauf mit einem begrenzten Anwendungsfall, bevor ihr alle Anforderungen auf einmal verteilt.