Was ist ein Managementsystem?
Ein Managementsystem bündelt die Regeln, mit denen eine Leitung ein Thema steuert: Ziele, Rollen, Prozesse, Nachweise und einen Mechanismus, der Abweichungen erkennt und Verbesserungen auslöst. Der BSI-Standard 200-1 beschreibt es in Kapitel 3.1 als alle Regelungen, „die für die Steuerung und Lenkung einer Institution sorgen und letztlich zur Zielerreichung führen sollen“.
Das ISMS ist der Teil davon, der sich mit Informationssicherheit befasst. Fehlt der Mechanismus für Abweichungen und Verbesserung, bleibt eine Dokumentensammlung ohne Regelkreis.
Was ist die harmonisierte Struktur?
Die harmonisierte Struktur ist die gemeinsame Gliederung mit Mustertexten, die ISO für Managementsystemnormen vorgibt. Sie wird auch Annex SL oder High Level Structure genannt. Der Mustertext spricht vom „XXX management system“; jede Norm setzt ihr Thema ein. Am Beispiel von ISO/IEC 27001 sehen die Abschnitte so aus (BSI-Zuordnungstabelle):
| Abschnitt | Worum es geht |
|---|---|
| 4 | Rahmen und Geltung: wofür das System gilt und wer was erwartet |
| 5 | Verantwortung der Leitung und Zuständigkeiten |
| 6 | Ziele setzen, Risiken und Chancen planen |
| 7 | Mittel, Wissen und Dokumentation bereitstellen |
| 8 | die geplanten Tätigkeiten im Alltag steuern |
| 9 | Wirkung messen, intern prüfen und durch die Leitung bewerten |
| 10 | Abweichungen beheben und das System verbessern |
Die Abschnitte 1 bis 3 sind einleitend; die Anforderungen stehen in den Abschnitten 4 bis 10. Den PDCA-Zyklus nennt ISO/IEC 27001 seit der Anpassung an Annex SL nicht mehr ausdrücklich. Nach BSI-Standard 200-1 lassen sich die Tätigkeiten im ISMS aber weiterhin danach ausrichten.
Wie eng die Normen gekoppelt sind, zeigte die Klima-Änderung von 2024. ISO ergänzte die Abschnitte 4.1 und 4.2 des Mustertextes um Sätze zum Klimawandel. Dieselbe Änderung erschien als Amendment zu ISO/IEC 27001:2022, ISO 22301:2019, ISO 37301:2021, ISO 9001:2015 und weiteren Normen.
Was unterscheidet ISO 27001, ISO 22301 und ISO 37301?
Die Mechanik bleibt gleich, der Gegenstand wechselt:
| Norm | Managementsystem für | Themenspezifischer Teil |
|---|---|---|
| ISO/IEC 27001:2022 | Informationssicherheit | Risikobeurteilung und -behandlung (Abschnitte 6.1.2, 6.1.3, 8.2, 8.3); Anhang A mit 93 Maßnahmen |
| ISO 22301:2019 | Business Continuity | Anforderungen an die Betriebskontinuität; der BSI-Standard 200-4 enthält eine Zuordnung zu dieser Norm |
| ISO 37301:2021 | Compliance | Anforderungen an das Compliance-Management |
| ISO 9001 | Qualität | Anforderungen an das Qualitätsmanagement; aktuelle Ausgabe ist ISO 9001:2026 |
Wer ISO/IEC 27001, ISO 22301 oder ISO 37301 betreibt, hat die Abschnitte 4 bis 10 für die nächste bereits stehen. Hinzu kommt nur der themenspezifische Teil. Wie sich Informationssicherheit und Business Continuity im Detail unterscheiden, zeigt der Vergleich ISO 27001 vs. ISO 22301.
Sechs Bausteine lassen sich zwischen Managementsystemen teilen
Ein integriertes Managementsystem betreibt mehrere Normen über gemeinsame Bausteine. Sechs Bausteine lassen sich teilen, der jeweils zugehörige Inhalt bleibt themenspezifisch:
| Gemeinsam nutzbar | Themenspezifisch |
|---|---|
| Umfeld und Anspruchsgruppen | Risikomethodik je Thema |
| Politikrahmen und Dokumentenverwaltung | inhaltliche Vorgaben |
| Rollenmodell und Schulungsprozess | fachliche Kompetenzanforderungen |
| Auditprogramm und Auditorenpool | Prüftiefe je Norm |
| Managementbewertung | Eingaben und Kennzahlen |
| Abweichungs- und Maßnahmenverfahren | Bewertungsmaßstäbe |
Der Nutzen liegt in einem Auditprogramm statt dreien, einer Managementbewertung statt mehrerer und einem Maßnahmenregister für alle Themen.
DORA, BSIG und DSGVO verlangen Bausteine, kein Zertifikat
Drei Vorschriften verlangen Bausteine eines Managementsystems, ohne ein Zertifikat vorzuschreiben:
| Vorschrift | Baustein |
|---|---|
| Art. 6 Abs. 1 der Verordnung (EU) 2022/2554 (DORA) | IKT-Risikomanagementrahmen als Teil des Gesamtrisikomanagementsystems |
| § 30 Abs. 2 Satz 2 Nr. 1 und 6 BSIG | Konzepte zur Risikoanalyse; Verfahren zur Bewertung der Wirksamkeit |
| Art. 32 Abs. 1 Buchst. d DSGVO | Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen |
Ein bestehendes Managementsystem trägt solche Anforderungen, weil es Risikobeurteilung, Nachweisführung und Wirksamkeitsprüfung bereits organisiert. Ob eine konkrete Vorschrift erfüllt ist, entscheidet aber der Abgleich ihres Anwendungsbereichs mit dem Geltungsbereich des Systems.
Wie Rizzqo ISO/IEC 27001 mit anderen Regelwerken an einem Asset-Register führt
Rizzqo führt die Anforderungen aus ISO/IEC 27001 und weiteren Regelwerken über ein gemeinsames Asset-Register. ISO/IEC 27001 und ISO/IEC 27002 sind als Anforderungskataloge hinterlegt. Ihre Anforderungen erscheinen an denselben Assets wie die aus DORA oder dem Cyber Resilience Act. Für die Managementbewertung nach Abschnitt 9.3 frieren tägliche Snapshots die Abdeckung ein, die Rizzqo aus den finalisierten Antworten rechnet, sodass ein Verlauf über Monate vorliegt.
Korrekturmaßnahmen nach Abschnitt 10 laufen als Aufgaben in einem gemeinsamen Register für alle Regelwerke und synchronisieren sich in beide Richtungen mit Jira.