Informationssicherheit ist längst nicht mehr nur ein Thema für Großunternehmen. Gerade kleine und mittlere Unternehmen (KMU), kommunale Verwaltungen und Organisationen rücken zunehmend in den Fokus von Cyberangriffen, Industriespionage und digitaler Sabotage. Doch der Aufbau eines umfassenden Informationssicherheits-Managementsystems (ISMS) nach ISO/IEC 27001 stellt viele kleinere Einrichtungen vor enorme Herausforderungen: zu komplex, zu ressourcenintensiv, zu teuer.

CISIS 12 bietet hier eine pragmatische und praxisnahe Alternative. Oft als die „kleine Schwester der ISO 27001“ bezeichnet, wurde das Modell vom IT-Sicherheitscluster e. V. speziell für kleine und mittelständische Organisationen sowie Kommunen entwickelt, die ein strukturiertes und nachvollziehbares Vorgehen zur Informationssicherheit etablieren möchten – ohne die Komplexität und die formalen Anforderungen eines zertifizierten ISMS nach ISO 27001.

ZIELSETZUNG UND ANSATZ

Ziel von CISIS 12 ist es, den Einstieg in die Informationssicherheit niedrigschwellig und verständlich zu gestalten. Organisationen erhalten eine klare, verständliche und systematische Vorgehensweise, die auch ohne umfangreiche Vorbildung im Bereich IT-Sicherheit umsetzbar ist. Das System gliedert den Prozess in zwölf aufeinander aufbauende Schritte – von der Bestandsaufnahme bis zur kontinuierlichen Verbesserung – und ermöglicht es, Informationssicherheit systematisch aufzubauen, stetig weiterzuentwickeln und nahtlos in bestehende Organisationsstrukturen zu integrieren. Durch diese klare und praxisorientierte Struktur wird es auch kleineren Organisationen ermöglicht, alle wesentlichen Aspekte der Informationssicherheit Schritt für Schritt effektiv und effizient aufzubauen und nachhaltig in den laufenden Betrieb zu integrieren.

COMPLIANCE-INFORMATIONSSICHERHEITS-MANAGEMENT-SYSTEM IN 12 SCHRITTEN:

1. PROJEKTORGANISATION UND VERANTWORTLICHKEITEN: Definition der Rollen und Zuständigkeiten für Informationssicherheit.
2. IT-STRUKTURANALYSE: Erfassung der vorhandenen IT-Landschaft und -Systeme (Softwarelandkarte).
3. SCHUTZBEDARFSFESTSTELLUNG: Bewertung der Schutzbedarfe für Daten und Systeme.
4. IT-RISIKOMANAGEMENT: Identifikation und Bewertung von Risiken, Entwicklung von Maßnahmen.
5. ERSTELLUNG EINES MASSNAHMENPLANS: Systematische Planung und Dokumentation notwendiger Schutzmaßnahmen.
6. IT-NOTFALLMANAGEMENT: Aufbau von Konzepten zur Reaktion auf IT-Notfälle und Cyberangriffe.
7. ERSTELLUNG EINES INFORMATIONSSICHERHEITSKONZEPTS: Zusammenführung der Analyseergebnisse in ein Gesamtkonzept.
8. ERARBEITUNG VON INFORMATIONSSICHERHEITSRICHTLINIEN: Entwicklung konkreter Vorgaben und Handlungsanweisungen für Mitarbeitende.
9. MITARBEITERSENSIBILISIERUNG: Schulungen und Maßnahmen zur Stärkung des Sicherheitsbewusstseins.
10. ÜBERWACHUNG UND KONTROLLE: Regelmäßige Prüfung der Wirksamkeit der Maßnahmen.
11. KONTINUIERLICHE VERBESSERUNG: Anpassung und Weiterentwicklung des Sicherheitsniveaus.
12. INTEGRATION IN BESTEHENDE MANAGEMENTSYSTEME: Verknüpfung mit anderen Systemen wie Datenschutzmanagement, Notfall- und Krisenmanagement, Risikomanagement oder Qualitätsmanagement.