Praxisbuch ISO/IEC 27001 E-Book

Michael Brenner

• Herausgeber: Carl Hanser Verlag GmbH & Co. KG
• Kategorie: Wissenschaft und neue Technologien
• Sprache: Deutsch
• Veröffentlichungsjahr: 2024

Seitenzahl: 341

Beschreibung

- Das umfassende Praxisbuch zum Management der Informationssicherheit
- Enthält die vollständige Norm DIN EN ISO/IEC 27001:2024
- Unentbehrlich für Betreiber kritischer Infrastrukturen (-> IT-Sicherheitsgesetz)
- Mit 80 Prüfungsfragen zur Vorbereitung auf die Foundation-Zertifizierung
- Ihr exklusiver Vorteil: E-Book inside beim Kauf des gedruckten Buches

Informationen sind das wertvollste Kapital vieler Organisationen. Geraten sie in falsche Hände, kann sogar das Überleben eines Unternehmens gefährdet sein. Zur Informationssicherheit müssen alle ihren Beitrag leisten, von der Arbeitsebene bis zum Topmanagement. Die ISO / IEC 27001 stellt dabei die wichtigste internationale Norm dar, an der man praktisch in keiner Branche vorbeikommt. Ein dieser Norm entsprechendes Informationssicherheitsmanagementsystem (ISMS) ist zunehmend Voraussetzung für die Erfüllung von Kunden-Anforderungen sowie von gesetzlichen und behördlichen Vorgaben, u. a. im Rahmen des IT-Sicherheitsgesetzes.
In diesem Buch erhalten Sie die optimale Unterstützung für den Aufbau eines wirksamen ISMS. Die Autoren vermitteln zunächst das notwendige Basiswissen zur ISO / IEC 27001 sowie zur übergeordneten Normenreihe und erklären anschaulich die Grundlagen. Im Hauptteil finden Sie alle wesentlichen Teile der deutschen Fassung der Norm, DIN EN ISO / IEC 27001, im Wortlaut. Hilfreiche Erläuterungen, wertvolle Praxistipps für Maßnahmen und Auditnachweise helfen Ihnen bei der Umsetzung der Norm. Ebenfalls enthalten sind Prüfungsfragen und -antworten, mit deren Hilfe Sie sich optimal auf Ihre persönliche Foundation-Zertifizierung vorbereiten können. Das Buch schließt mit einem Abdruck der kompletten Norm DIN EN ISO/ IEC 27001:2024.

Die Autoren: Michael Brenner, Nils gentschen Felde, Wolfgang Hommel, Stefan Metzger, Helmut Reiser und Thomas Schaaf arbeiten u. a. an der Ludwig-Maximilians-Universität München, der Universität der Bundeswehr München und am Leibniz-Rechenzentrum der Bayerischen Akademie der Wissenschaften. Als Mitglieder der Forschungsgruppe Munich Network Management Team (www.mnmteam.org) forschen und lehren sie alle zu den Themen Informationssicherheitsmanagement und IT-Service-Management.

AUS DEM INHALT //
- Einführung und Basiswissen
- Die Standardfamilie ISO / IEC 27000 im Überblick
- Grundlagen von Informationssicherheitsmanagementsystemen
- ISO / IEC 27001
- Spezifikationen und Mindestanforderungen
- Maßnahmen im Rahmen des ISMS
- Verwandte Standards und Rahmenwerke
- Zertifizierungsmöglichkeiten und Begriffsbildung nach ISO/ IEC 27000
- Abdruck der vollständigen DIN EN ISO / IEC 27001:2024
- Vergleich der Normenfassungen von 2017 und 2024
- Prüfungsfragen mit Antworten zur ISO / IEC 27000 Foundation

Leseprobe

Michael BrennerNils gentschen FeldeWolfgang HommelStefan MetzgerHelmut ReiserThomas Schaaf

Praxisbuch ISO/IEC 27001

Management der Informationssicherheit und Vorbereitung auf die Zertifizierung

5., aktualisierte Auflage

Die Autoren:

Dr. Michael BrennerDr. Nils gentschen FeldeProf. Dr. Wolfgang HommelStefan MetzgerProf. Dr. Helmut ReiserDr. Thomas Schaaf

Die vollständige DIN EN ISO/IEC 27001:2024 sowie Auszüge aus DIN EN ISO/IEC 27000:2020 sind wiedergegeben mit der Erlaubnis des DIN Deutsches Institut für Normung e.V. Maßgebend für das Anwenden der DIN-Norm ist deren Fassung mit dem neuesten Ausgabedatum, die bei der Beuth Verlag GmbH, Burggrafenstraße 6, 10787 Berlin, erhältlich ist.

Alle in diesem Buch enthaltenen Informationen, Verfahren und Darstellungen wurden nach bestem Wissen zusammengestellt und mit Sorgfalt getestet. Dennoch sind Fehler nicht ganz auszuschließen. Aus diesem Grund sind die im vorliegenden Buch enthaltenen Informationen mit keiner Verpflichtung oder Garantie irgendeiner Art verbunden. Autoren und Verlag übernehmen infolgedessen keine juristische Verantwortung und werden keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieser Informationen – oder Teilen davon – entsteht. Ebenso übernehmen Autoren und Verlag keine Gewähr dafür, dass beschriebene Verfahren usw. frei von Schutzrechten Dritter sind. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Buch berechtigt deshalb auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften.

Die endgültige Entscheidung über die Eignung der Informationen für die vorgesehene Verwendung in einer bestimmten Anwendung liegt in der alleinigen Verantwortung des Nutzers.

Aus Gründen der besseren Lesbarkeit wird auf die gleichzeitige Verwendung der Sprachformen männlich, weiblich und divers (m/w/d) verzichtet. Sämtliche Personenbezeichnungen gelten gleichermaßen für alle Geschlechter.

Bibliografische Information der Deutschen Nationalbibliothek:Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

Dieses Werk ist urheberrechtlich geschützt.Alle Rechte, auch die der Übersetzung, des Nachdruckes und der Vervielfältigung des Buches, oder Teilen daraus, vorbehalten. Wir behalten uns auch eine Nutzung des Werks für Zwecke des Text- und Data Mining nach § 44b UrhG ausdrücklich vor. Kein Teil des Werkes darf ohne schriftliche Genehmigung des Verlages in irgendeiner Form (Fotokopie, Mikrofilm oder ein anderes Verfahren) – auch nicht für Zwecke der Unterrichtsgestaltung – reproduziert oder unter Verwendung elektronischer Systeme verarbeitet, vervielfältigt oder verbreitet werden.

© 2024 Carl Hanser Verlag München, www.hanser-fachbuch.deLektorat: Sylvia HasselbachCopy editing: Sandra Gottmann, WasserburgLayout: die Autoren mit LaTeXUmschlagdesign: Marc Müller-Bremer, www.rebranding.de, MünchenUmschlagrealisation: Thomas WestTitelmotiv: © istockphoto.com/bortonia

Print-ISBN:        978-3-446-47711-7E-Book-ISBN:   978-3-446-47845-9E-Pub-ISBN:     978-3-446-48267-8

Inhaltsverzeichnis

Titelei

Impressum

Inhaltsverzeichnis

Vorwort

1 Einführung und Basiswissen

1.1 Worum geht es in ISO/IEC 27000 und ISO/IEC 27001?

1.2 Begriffsbildung

1.2.1 Informationen

1.2.2 Informationssicherheit

1.2.3 Sicherheitsanforderungen und Schutzziele

1.3 IT-Sicherheitsgesetz & KRITIS

1.3.1 Was ist „KRITIS“?

1.3.2 Wer ist in Deutschland von KRITIS betroffen?

1.3.3 KRITIS-Anforderungen – Informationssicherheit nach dem „Stand der Technik“

1.4 Datenschutz-Grundverordnung

1.5 Weitere Richtlinien und Verordnungen der Europäischen Union

1.5.1 NIS-2-Richtlinie

1.5.2 Richtlinie über die Resilienz kritischer Einrichtungen (EU RCE Directive/CER-Richtlinie)

1.5.3 Cyber Resilience Act (CRA)

1.5.4 DORA-Verordnung

1.6 Überblick über die folgenden Kapitel

1.7 Beispiele für Prüfungsfragen zu diesem Kapitel

2 Die Standardfamilie ISO/IEC 27000 im Überblick

2.1 Warum Standardisierung?

2.2 Grundlagen der ISO/IEC 27000

2.3 Normative vs. informative Standards

2.4 Die Standards der ISMS-Familie und ihre Zusammenhänge

2.4.1 ISO/IEC 27000: Grundlagen und Überblick über die Standardfamilie

2.4.2 Normative Anforderungen

2.4.3 Allgemeine Leitfäden

2.4.4 Sektor- und maßnahmenspezifische Leitfäden

2.5 Zusammenfassung

2.6 Beispiele für Prüfungsfragen zu diesem Kapitel

3 Grundlagen von Informationssicherheitsmanagementsystemen

3.1 Das ISMS und seine Bestandteile

3.1.1 (Informations-)Werte

3.1.2 Richtlinien, Prozesse und Verfahren

3.1.3 Dokumente und Aufzeichnungen

3.1.4 Zuweisung von Verantwortlichkeiten

3.1.5 Maßnahmen

3.2 Was bedeutet Prozessorientierung?

3.3 Die PDCA-Methodik: Plan-Do-Check-Act

3.3.1 Planung (Plan)

3.3.2 Umsetzung (Do)

3.3.3 Überprüfung (Check)

3.3.4 Verbesserung (Act)

3.4 Zusammenfassung

3.5 Beispiele für Prüfungsfragen zu diesem Kapitel

4 DIN EN ISO/IEC 27001 – Spezifikationen und Mindestanforderungen

4.0 Einleitung

4.0.1 Allgemeines

4.0.2 Kompatibilität mit anderen Normen für Managementsysteme

4.1 Anwendungsbereich

4.2 Normative Verweisungen

4.3 Begriffe

4.4 Kontext der Organisation

4.4.1 Verstehen der Organisation und ihres Kontextes

4.4.2 Verstehen der Erfordernisse und Erwartungen interessierter Parteien

4.4.3 Festlegen des Anwendungsbereichs des Informationssicherheitsmanagementsystems

4.4.4 Informationssicherheitsmanagementsystem

4.5 Führung

4.5.1 Führung und Verpflichtung

4.5.2 Politik

4.5.3 Rollen, Verantwortlichkeiten und Befugnisse in der Organisation

4.6 Planung

4.6.1 Maßnahmen zum Umgang mit Risiken und Chancen

4.6.2 Informationssicherheitsziele und Planung zu deren Erreichung

4.6.3 Planung von Änderungen

4.7 Unterstützung

4.7.1 Ressourcen

4.7.2 Kompetenz

4.7.3 Bewusstsein

4.7.4 Kommunikation

4.7.5 Dokumentierte Information

4.8 Betrieb

4.8.1 Betriebliche Planung und Steuerung

4.8.2 Informationssicherheitsrisikobeurteilung

4.8.3 Informationssicherheitsrisikobehandlung

4.9 Bewertung der Leistung

4.9.1 Überwachung, Messung, Analyse und Bewertung

4.9.2 Internes Audit

4.9.3 Managementbewertung

4.10 Verbesserung

4.10.1 Fortlaufende Verbesserung

4.10.2 Nichtkonformität und Korrekturmaßnahmen

4.11 Zusammenfassung

4.12 Beispiele für Prüfungsfragen zu diesem Kapitel

5 Maßnahmen im Rahmen des ISMS

5.1 A.5 Organisatorisches Maßnahmen

5.1.1 [A.5.1] Informationssicherheitspolitik und -richtlinien

5.1.2 [A.5.2] Informationssicherheitsrollen und -verantwortlichkeiten

5.1.3 [A.5.3] Aufgabentrennung

5.1.4 [A.5.4] Verantwortlichkeiten der Leitung

5.1.5 [A.5.5] Kontakt mit Behörden

5.1.6 [A.5.6] Kontakt mit speziellen Interessensgruppen

5.1.7 [A.5.7] Informationen über die Bedrohungslage

5.1.8 [A.5.8] Informationssicherheit im Projektmanagement

5.1.9 [A.5.9] Inventar der Informationen und anderen damit verbundenen Werte

5.1.10 [A.5.10] Zulässiger Gebrauch von Informationen und anderen damit verbundenen Werten

5.1.11 [A.5.11] Rückgabe von Werten

5.1.12 [A.5.12] Klassifizierung von Informationen

5.1.13 [A.5.13] Kennzeichnung von Informationen

5.1.14 [A.5.14] Informationsübermittlung

5.1.15 [A.5.15] Zugangssteuerung

5.1.16 [A.5.16] Identitätsmanagement

5.1.17 [A.5.17] Authentisierungsinformationen

5.1.18 [A.5.18] Zugangsrechte

5.1.19 [A.5.19] Informationssicherheit in Lieferantenbeziehungen

5.1.20 [A.5.20] Behandlung von Informationssicherheit in Lieferantenvereinbarungen

5.1.21 [A.5.21] Umgang mit der Informationssicherheit in der Lieferkette der Informations- und Kommunikationstechnologie (IKT)

5.1.22 [A.5.22] Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen

5.1.23 [A.5.23] Informationssicherheit für die Nutzung von Cloud-Diensten

5.1.24 [A.5.24] Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen

5.1.25 [A.5.25] Beurteilung und Entscheidung über Informationssicherheitsereignisse

5.1.26 [A.5.26] Reaktion auf Informationssicherheitsvorfälle

5.1.27 [A.5.27] Erkenntnisse aus Informationssicherheitsvorfällen

5.1.28 [A.5.28] Sammeln von Beweismaterial

5.1.29 [A.5.29] Informationssicherheit bei Störungen

5.1.30 [A.5.30] IKT-Bereitschaft für Business-Continuity

5.1.31 [A.5.31] Juristische, gesetzliche, regulatorische und vertragliche Anforderungen

5.1.32 [A.5.32] Geistige Eigentumsrechte

5.1.33 [A.5.33] Schutz von Aufzeichnungen

5.1.34 [A.5.34] Datenschutz und Schutz von personenbezogenen Daten (PbD)

5.1.35 [A.5.35] Unabhängige Überprüfung der Informationssicherheit

5.1.36 [A.5.36] Einhaltung von Richtlinien, Vorschriften und Normen für die Informationssicherheit

5.1.37 [A.5.37] Dokumentierte Betriebsabläufe

5.2 A.6 Personenbezogene Maßnahmen

5.2.1 [A.6.1] Sicherheitsüberprüfung

5.2.2 [A.6.2] Beschäftigungs- und Vertragsbedingungen

5.2.3 [A.6.3] Informationssicherheitsbewusstsein, -ausbildung und -schulung

5.2.4 [A.6.4] Maßregelungsprozess

5.2.5 [A.6.5] Verantwortlichkeiten bei Beendigung oder Änderung der Beschäftigung

5.2.6 [A.6.6] Vertraulichkeits- oder Geheimhaltungsvereinbarungen

5.2.7 [A.6.7] Remote-Arbeit

5.2.8 [A.6.8] Meldung von Informationssicherheitsereignissen

5.3 A.7 Physische Maßnahmen

5.3.1 [A.7.1] Physische Sicherheitsperimeter

5.3.2 [A.7.2] Physischer Zutritt

5.3.3 [A.7.3] Sichern von Büros, Räumen und Einrichtungen

5.3.4 [A.7.4] Physische Sicherheitsüberwachung

5.3.5 [A.7.5] Schutz vor physischen und umweltbedingten Bedrohungen

5.3.6 [A.7.6] Arbeiten in Sicherheitsbereichen

5.3.7 [A.7.7] Aufgeräumte Arbeitsumgebung und Bildschirmsperren

5.3.8 [A.7.8] Platzierung und Schutz von Geräten und Betriebsmitteln

5.3.9 [A.7.9] Sicherheit von Assets außerhalb der Standorte der Organisation

5.3.10 [A.7.10] Speichermedien

5.3.11 [A.7.11] Versorgungseinrichtungen

5.3.12 [A.7.12] Sicherheit der Verkabelung

5.3.13 [A.7.13] Instandhaltung von Geräten und Betriebsmitteln

5.3.14 [A.7.14] Sichere Entsorgung oder Wiederverwendung von Geräten und Betriebsmitteln

5.4 A.8 Technologische Maßnahmen

5.4.1 [A.8.1] Endpunktgeräte des Benutzers

5.4.2 [A.8.2] Privilegierte Zugangsrechte

5.4.3 [A.8.3] Informationszugangsbeschränkung

5.4.4 [A.8.4] Zugriff auf den Quellcode

5.4.5 [A.8.5] Sichere Authentisierung

5.4.6 [A.8.6] Kapazitätssteuerung

5.4.7 [A.8.7] Schutz gegen Schadsoftware

5.4.8 [A.8.8] Handhabung von technischen Schwachstellen

5.4.9 [A.8.9] Konfigurationsmanagement

5.4.10 [A.8.10] Löschung von Informationen

5.4.11 [A.8.11] Datenmaskierung

5.4.12 [A.8.12] Verhinderung von Datenlecks

5.4.13 [A.8.13] Sicherung von Informationen

5.4.14 [A.8.14] Redundanz von informationsverarbeitenden Einrichtungen

5.4.15 [A.8.15] Protokollierung

5.4.16 [A.8.16] Überwachung von Aktivitäten

5.4.17 [A.8.17] Uhrensynchronisation

5.4.18 [A.8.18] Gebrauch von Hilfsprogrammen mit privilegierten Rechten

5.4.19 [A.8.19] Installation von Software auf Systemen im Betrieb

5.4.20 [A.8.20] Netzwerksicherheit

5.4.21 [A.8.21] Sicherheit von Netzwerkdiensten

5.4.22 [A.8.22] Trennung von Netzwerken

5.4.23 [A.8.23] Webfilterung

5.4.24 [A.8.24] Verwendung von Kryptographie

5.4.25 [A.8.25] Lebenszyklus einer sicheren Entwicklung

5.4.26 [A.8.26] Anforderungen an die Anwendungssicherheit

5.4.27 [A.8.27] Sichere Systemarchitektur und Entwicklungsgrundsätze

5.4.28 [A.8.28] Sichere Codierung

5.4.29 [A.8.29] Sicherheitsprüfung bei Entwicklung und Abnahme

5.4.30 [A.8.30] Ausgegliederte Entwicklung

5.4.31 [A.8.31] Trennung von Entwicklungs-, Test- und Produktivumgebungen

5.4.32 [A.8.32] Änderungssteuerung

5.4.33 [A.8.33] Testdaten

5.4.34 [A.8.34] Schutz der Informationssysteme während Tests im Rahmen von Audits

5.5 Beispiele für Prüfungsfragen zu diesem Kapitel

6 Verwandte Standards und Rahmenwerke

6.1 Standards und Rahmenwerke für IT- und Informationssicherheit

6.1.1 IT-Grundschutz-Kompendium

6.1.2 BSI-Standards

6.1.3 CISIS12

6.1.4 Cybersecurity Framework

6.1.5 ISO/IEC 15408

6.1.6 VDA ISA (TISAX)

6.2 Standards und Rahmenwerke für Qualitätsmanagement, Auditierung und Zertifizierung

6.2.1 ISO 9000

6.2.2 ISO 19011

6.2.3 ISO/IEC 17020

6.3 Standards und Rahmenwerke für Governance und Management in der IT

6.3.1 ITIL

6.3.2 ISO/IEC 20000

6.3.3 FitSM

6.4 Beispiele für Prüfungsfragen zu diesem Kapitel

7 Zertifizierungsmöglichkeiten nach ISO/IEC 27000

7.1 ISMS-Zertifizierung nach ISO/IEC 27001

7.1.1 Grundlagen der Zertifizierung von Managementsystemen

7.1.2 Typischer Ablauf einer Zertifizierung

7.1.3 Auditumfang

7.1.4 Akzeptanz und Gültigkeit des Zertifikats

7.1.5 Aufwände und Kosten für Zertifizierungen

7.2 Personenqualifizierung auf Basis von ISO/IEC 27000

7.2.1 Programme zur Ausbildung und Zertifizierung von Personal

7.2.2 Erlangen eines Foundation-Zertifikats

7.3 Zusammenfassung

7.4 Beispiele für Prüfungsfragen zu diesem Kapitel

A Begriffsbildung nach ISO/IEC 27000

B Abdruck der DIN EN ISO/IEC 27001:2024

B.1 DIN EN ISO/IEC 27001:2024

B.2 DIN EN ISO/IEC 27001:2024, Anhang A

B.3 Vergleich: DIN EN ISO/IEC 27001 Anhang A :2024 vs. :2017

C Prüfungsfragen mit Antworten zur ISO/IEC 27001 Foundation

C.1 Antworten auf die Prüfungsfragen zu den einzelnen Buchkapiteln

C.2 Ein beispielhafter Prüfungsfragebogen zur ISO/IEC 27001-Foundation-Prüfung

C.3 Antworten auf den Prüfungsfragebogen zur ISO/IEC 27001-Foundation-Prüfung

Literaturverzeichnis

Vorwort

Liebe Leserinnen und Leser,

dieses nunmehr in seiner fünften überarbeiteten Auflage vorliegende Buch verfolgt das Ziel, Sie auf Basis des Wortlauts der aktuellen deutschen Fassung der internationalen Norm ISO/ IEC 27001 durch die Welt der Informationssicherheitsmanagementsysteme (ISMS) zu begleiten. Es wird Ihnen sowohl bei der Vorbereitung auf eine Personen- oder Organisationszertifizierung als auch bei der praktischen Anwendung als Nachschlagewerk nützlich sein.

Für alle, die sich mit Informationssicherheit und ISMS sowie verwandten Themen wie Datenschutz, IT-Governance, Risikomanagement und Compliance auseinandersetzen, führt branchenübergreifend faktisch kein Weg an ISO/ IEC 27001 vorbei. Diese Normist seit rund zwei Jahrzehnten der international bewährte gemeinsame Nenner, der sich beispielsweise auch im IT-Grundschutz des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) und den Branchenspezifischen Sicherheitsstandards (B3S) für Kritische Infrastrukturen wiederfindet. Zuletzt wurde die englische ISO/ IEC 27001 im Jahr 2022 deutlich überarbeitet; die 2024 erschienene deutsche Fassung, DIN EN ISO/IEC 27001:2024-01, ist in Anhang B dieses Buchs im Originallayout vollständig abgedruckt.

Die ersten drei Buchkapitel führen Sie zunächst kompakt in die spannende, aber auch komplexe Welt der ISMS und der Normenreihe ISO/IEC 27000 ein. In den Kapiteln 4 und 5 werden alle Anforderungen und Maßnahmen aus der DIN EN ISO/IEC 27001 in grau hinterlegten Kästen im Wortlaut wiedergegeben, im Sinne einer verständlichen Einführung im Einzelnen erläutert und mit Umsetzungsbeispielen sowie ergänzenden Hinweisen aus der Praxis angereichert. Anschließend zeigt Kapitel 6 Schnittstellen zu verwandten Standards und Rahmenwerken auf. Kapitel 7 erläutert die Vorgehensweisen bei der Zertifizierung von ISMS sowie bei der Personenqualifizierung. In Anhang A dieses Buchs finden Sie zudem alle in der DIN EN ISO/IEC 27000 definierten Fachbegriffe im Wortlaut.

Die Schwerpunkte unserer Erläuterungen orientieren sich an den Prüfungsinhalten zu den Foundation-Lehrgangskonzepten u. a. von APMG, ICOund der TÜV Süd Akademie. Jeweils am Ende der Kapitel 1 bis 7 finden Sie in Summe 40 exemplarische Prüfungsfragen, deren Schwierigkeitsgrad und Format der ISO/ IEC 27001 Foundation-Prüfung der TÜV Süd Akademie entsprechen, aber ein auch von anderen Anbietern häufig verwendetes Prüfungsschema darstellen. In Anhang C sind 40 weitere Prüfungsfragen am Stück abgedruckt; dies entspricht dem Umfang der „richtigen“ Prüfung, sodass Sie ein Gespür für die 60 Minuten Prüfungszeit entwickeln können. Die begründeten Musterlösungen zu allen 80 Prüfungsfragen finden Sie dort ebenfalls.

Wir wünschen Ihnen viel Erfolg bei der Zertifizierung und der praktischen Anwendung!

München, im Juli 2024

Die Autoren

Aufgrund der besseren Lesbarkeit haben wir auf eine gendergerechte Sprache verzichtet. Selbstverständlich sprechen wir aber alle Personen jeglichen Geschlechts gleichermaßen an.

Verweise auf Kapitel beziehen sich ohne weitere Angabe immer auf dieses Buch. Verweise auf Abschnitte beziehen sich immer auf den entsprechenden Standard.

1Einführung und Basiswissen

Kaum eine Woche vergeht mehr ohne Berichte über gravierende IT-Sicherheitsvorfälle bei bekannten Unternehmen oder Behörden in der Fach- oder Tagespresse und dringend zu installierende Updates für Betriebssysteme und Standardsoftware. Die Digitalisierung vieler Abläufe und Vernetzung nahezu aller Systeme bis hin zum Wasserkocher im Smart Home bietet viele Vorzüge, aber auch deutlich in Erscheinung tretende Risiken. Lange Zeit fand das Thema Informationssicherheit nur wenig Beachtung sowohl in der Öffentlichkeit als auch in den oberen Leitungsebenen von Organisationen. Inzwischen hat sich die Hoffnung auf eine Selbstregulierung des Markts allerdings zerschlagen – das Pendel nicht nur im deutschsprachigen und europäischen Raum schlägt um in Richtung strikter gesetzlicher und branchenspezifischer Vorgaben, wiederum mit ihren Vor- und Nachteilen.

Die Plage Ransomware als nur eines von vielen Beispielen veranschaulicht sowohl die Entwicklung als auch die Breite der Problematik recht eingängig: Auf der einen Seite war Schadsoftware, die PCs kompromittiert, Dateien verschlüsselt und nur gegen Lösegeldzahlung wieder zugänglich macht, zunächst ein Massenphänomen, das insbesondere Privatpersonen betroffen hat. Erst in den letzten rund zehn Jahren haben sich die Kriminellen zu Ransomware-Gangs organisiert, professionalisiert und sich auf die Monetarisierung über mehr oder weniger zahlungskräftige Organisationen als Opfer spezialisiert. Auf der anderen Seite laufen Ransomware-Vorfälle nicht ausschließlich technisch ab, auch der „Faktor Mensch“ spielt eine Schlüsselrolle: Häufig dienen Phishing-E-Mails oder Links auf mit Schadsoftware verseuchte Inhalte über Social-Media-Plattformen als Einfallstor für die Angreifer.

Insbesondere in Zeiten des anhaltenden Fachkräftemangels im IT-Sektor ist deshalb eklatant, dass sich Organisationen systematisch um Informationssicherheit kümmern müssen. Vorfälle bedeuten oftmals nicht nur schlechte Presse, sondern können durch längere Ausfälle oder ausgespähte Betriebsgeheimnisse sogar existenzbedrohend sein. Die „Aufräumarbeiten“ nach einem typischen Ransomware-Vorfall beschäftigen das IT-Personal oft monatelang und lähmen dadurch die Weiterentwicklung der Organisation nachhaltig. Neben den rein technischen Aspekten sind häufig auch personenbezogene Daten involviert, sodass mit einem IT-Sicherheitsvorfall oft auch ein Datenschutzvorfall einhergeht, der die Reputation und das Vertrauen von Beschäftigten, Kunden und Partnern beschädigt.

Die Gesetzgebung hat darauf zwischenzeitlich reagiert. Bereits 2015 wurde in Deutschland die erste Fassung des IT-Sicherheitsgesetzes eingeführt und 2021 überarbeitet. Damit einher gingen Verordnungen zur Festlegung sogenannter Kritischer Infrastrukturen (KRITIS), für die höhere rechtliche Anforderungen in Bezug auf die IT-Sicherheit erlassen wurden. KRITIS-Betreiber wurden verpflichtet, angemessene technische und organisatorische Maßnahmen für die IT-Sicherheit umzusetzen und dabei den Stand der Technik einzuhalten. Auch die vielfältigen regulatorischen Bemühungen der Europäischen Union, von der Datenschutz-Grundverordnung (DSGVO) über die NIS-2-Richtlinie und den Cyber Resilience Act bis hin zur Richtlinie für Critical Entities Resilience (CER), drehen sich im Kern darum, dass Organisationen ihren Umgang mit – also das Management von – Informationssicherheit professionalisieren und auf ein angemessenes Niveau heben.

Wenn sich eine Organisation heute vornimmt, einen strukturierten Ansatz zum wirksamen Management der Informationssicherheit einzuführen, kommt sie an der Standardreihe ISO/IEC 27000 praktisch nicht vorbei. Bei ISO/IEC 27000 handelt es sich um eine Reihe von Dokumenten, in denen verschiedene Aspekte des Informationssicherheitsmanagements betrachtet werden. Dass es sich um von der ISO (International Organization for Standardization) und der IEC (International Electrotechnical Commission) standardisierte Dokumente handelt, erhöht dabei die Verbreitung, Bedeutung und Akzeptanz dieser Standards maßgeblich. Das zentrale und wichtigste Dokument der Reihe ist dabei DIN EN ISO/IEC 27001.

1.1Worum geht es in ISO/IEC 27000 und ISO/IEC 27001?

ISO/IEC 27000 ist eine Standardfamilie, also eine ganze Reihe von zusammenhängenden Standards, die sich insgesamt hauptsächlich mit drei Kernbereichen befasst:

1.      Begriffe: Es werden die wichtigsten Fachbegriffe aus der Welt der Informationssicherheit einheitlich und verbindlich definiert.

2.      Grundlegendes Managementsystem: Es wird beschrieben, was eine Organisation umzusetzen hat und sicherstellen muss, um die eigenen Aktivitäten und Maßnahmen im Bereich Informationssicherheit wirksam steuern zu können.

3.      Maßnahmen: Es werden Maßnahmen beschrieben, die eine Organisation grundsätzlich umzusetzen hat, um ein hohes Maß an Informationssicherheit gewährleisten zu können.

DIN EN ISO/IEC 27001 ist zwar „nur“ eines der Dokumente in der Standardfamilie, ihm kommt aber eine ganz besondere Bedeutung zu: Es gibt die (Mindest-)Anforderungen an organisatorische Prozesse und umzusetzende Maßnahmen verbindlich vor und bildet somit die Grundlage für die Zertifizierung sowohl der Informationssicherheitsmanagementsysteme (ISMS) von Organisationen als auch von Einzelpersonen.

Dieses Buch behandelt ebenfalls alle drei Kernbereiche. Während die beiden letzteren in späteren Kapiteln vertieft behandelt werden, beschäftigt sich dieses Kapitel zunächst mit der grundlegenden Begriffsbildung.

1.2Begriffsbildung

Die Standardfamilie ISO/ IEC 27000 dient ganz wesentlich dazu, die Verwendung von Fachbegriffen zu vereinheitlichen. Nur so kann erreicht werden, dass diejenigen, die sich mit Informationssicherheitsmanagement beschäftigen, nicht aneinander vorbeireden, obwohl sie eigentlich inhaltlich dasselbe meinen.

Im Folgenden werden die wichtigsten Begriffe und Grundlagen rund um das Thema Informationssicherheit eingeführt, die zum Verständnis von DIN EN ISO/IEC 27001 erforderlich sind. Ergänzend finden Sie alle offiziellen, kompakten Begriffsdefinitionen aus der ISO/IEC 27000 im Wortlaut in Anhang A dieses Buchs.

1.2.1Informationen

In unserer längst hochgradig digital vernetzten Welt stellen Informationen Werte dar, die von entscheidender Wichtigkeit für den Betrieb einer Organisation sind. Dabei sind diese Informationen allerdings einer größeren Zahl von Bedrohungen ausgesetzt, die sich ihrerseits teilweise weiterentwickeln. Informationssysteme, Netze und Organisationen sind beispielsweise durch Cyber-Angriffe (Ransomware, Denial-of-Service-Angriffe, Hacking, Spam etc.), Sabotage, Spionage und Vandalismus, aber auch Elementarschäden durch Wasser, Feuer sowie Katastrophen gefährdet. Gesetzliche Regelungen (wie z. B. das IT-Sicherheitsgesetz oder die Datenschutz-Grundverordnung) fordern entsprechend Schutzmaßnahmen für sensible Informationen.

Der Begriff „Informationen“ wird hierbei sehr weit gefasst. Sie können in Form verschiedener Medien vorliegen, also geschrieben, gedruckt, elektronisch, als Film etc., und auf unterschiedlichen Wegen übermittelt werden, z. B. per Post, per Funk/WLAN, über das Internet usw. Unabhängig vom Medium und vom Übertragungsweg ist die Aufgabe der Informationssicherheit, diese Informationen angemessen vor Bedrohungen zu schützen. Nur so können die Risiken minimiert, der Geschäftsbetrieb gesichert und die Wettbewerbsfähigkeit, Rentabilität sowie die Chancen einer Organisation maximiert werden.

1.2.2Informationssicherheit

Für die Informationssicherheit existiert, anders als beispielsweise für Gewichte, Längen oder Temperaturen, keine physikalische Maßeinheit, um sie einfach in Zahlen – also quantitativ – auszudrücken. Deshalb wählen die Standards der Reihe ISO/ IEC 27000 – und damit auch das Hauptdokument DIN EN ISO/IEC 27001 – einen seit Langem praxisbewährten qualitativen Ansatz über sogenannte Schutzziele. Diese werden nachfolgend im Einzelnen vorgestellt und genauer erläutert.

1.2.3Sicherheitsanforderungen und Schutzziele

Die Gefährdung wichtiger Informationen lässt sich alleine mit Beispielen natürlich nur ungenau und unvollständig beschreiben. In der ISO/IEC 27000 und im Security Engineering werden deshalb abstrakte Schutzziele bzw. Sicherheitsanforderungen für Informationswerte (zum Begriff der „(Informations-)Werte“ vgl. Kapitel 3.1.1) definiert. Die zentralen Schutzziele sind die Vertraulichkeit, Integrität und Verfügbarkeit (engl. Confidentiality, Integrity and Availability, als Eselsbrücke gerne mit „CIA“ abgekürzt) von Informationen. Andere wünschenswerte Eigenschaften, deren Aufrechterhaltung nach ISO/IEC 27000 ebenfalls Gegenstand der Informationssicherheit sein kann, sind Authentizität, Zurechenbarkeit, Nichtabstreitbarkeit und Verlässlichkeit (engl. Authenticity, Accountability, Nonrepudiation and Reliability). Diese Schutzziele werden im Folgenden erläutert.

Zur Beschreibung von Angriffsszenarien und Sicherheitsmaßnahmen werden oft fiktive Personen verwendet. Diese Personen haben definierte Rollen und Namen. Die „Guten“ heißen immer Alice und Bob und versuchen in der Regel, miteinander zu kommunizieren bzw. gegenseitig Nachrichten auszutauschen. Der „Böse” (engl. malicious) heißt Mallet; er versucht, Alice, Bob oder deren Interaktionen bzw. Kommunikation anzugreifen, also z. B. abzuhören oder zu stören bzw. zu verfälschen. Im Folgenden werden Alice, Bob und Mallet in diesem Sinn verwendet, um die Verletzung von Schutzzielen zu verdeutlichen.

1.2.3.1Vertraulichkeit (Confidentiality)

Abbildung 1.1Verletzung der Vertraulichkeit durch Abhören

Die Vertraulichkeit bezeichnet die Eigenschaft, dass eine Information für dazu nicht berechtigte Personen, Entitäten oder Prozesse nicht zugänglich ist und von diesen auch nicht offengelegt werden kann. Die Vertraulichkeit ist beispielsweise verletzt, wenn ein Angreifer eine Kommunikation abhören kann (vgl. Abbildung 1.1). In der Praxis werden Informationen beispielsweise auf dem Übertragungsweg über das Internet häufig verschlüsselt, um die Vertraulichkeit zu gewährleisten.

1.2.3.2Integrität (Integrity)

Mit Integrität wird die Eigenschaft bezeichnet, dass Werte im Hinblick auf ihre Richtigkeit und Vollständigkeit geschützt werden. Eine Integritätsprüfung einer digitalen Information oder Nachricht erkennt jede unautorisierte Veränderung. Hierunter fallen alle denkbaren Manipulationen wie das Einfügen oder Löschen von Zeichen, das Wiedereinspielen einer alten Nachricht, das Umordnen aufeinanderfolgender Nachrichtenteile sowie Duplikate.

Abbildung 1.2Verletzung der Integrität

Abbildung 1.2 stellt einen Angriff auf die Integrität der Kommunikation zwischen Alice und Bob dar. Mallet verändert die Nachricht, die Alice an Bob schickt. In der Praxis werden zur Sicherstellung der Integrität häufig kryptographische Prüfsummen und digitale Signaturen eingesetzt.

1.2.3.3Verfügbarkeit (Availability)

Abbildung 1.3Verletzung der Verfügbarkeit durch DDoS-Angriff

Die Verfügbarkeit bezeichnet die Eigenschaft einer Information oder eines Wertes, für einen berechtigten Nutzer verfügbar und nutzbar zu sein, sobald der Nutzer dies verlangt. Die Verfügbarkeit wird z.B. durch Elementarschäden oder Katastrophen bedroht. Die prominentesten Angriffe auf die Verfügbarkeit von Diensten oder Ressourcen sind wie in Abbildung 1.3 dargestellt Denial-of-Service-(DoS-) oder Distributed-Denial-of-Service-(DDoS-)Angriffe, bei denen beispielsweise Webserver mit Datenmüll überflutet werden, wodurch sie für legitime Nutzer nicht mehr verfügbar sind.

Anders als zur Vertraulichkeit und Integrität kann Kryptographie nur begrenzt zur Verfügbarkeit beitragen. Praktisch wird verstärkt auf Redundanz gesetzt: Beispielweise können Backups, also Kopien von Daten, verwendet werden, um auf einem System z. B. durch ein defektes Speichermedium oder Ransomware nicht mehr verfügbare Daten wiederherstellen zu können.

Abbildung 1.4Verletzung der Authentizität durch einen Man-in-the-Middle-Angriff

1.2.3.4Authentizität (Authenticity) und Authentisierung (Authentication)

Der Vorgang der zweifelsfreien Ermittlung und Prüfung einer Entität bzw. einer geforderten Charakteristik einer Entität wird als Authentisierung bezeichnet. Dementsprechend bezeichnet Authentizität die Eigenschaft einer Entität, das zu sein, was sie vorgibt zu sein. In der Benutzerverwaltung wird über verschiedenste Mechanismen ein Nutzer zweifelsfrei mit einer digitalen Identität (z.B. einer eindeutigen Benutzerkennung oder Kontonummer) verbunden. Bei der Authentisierung wird diese Verbindung zwischen digitaler Identität und Nutzer geprüft (z.B. durch Eingabe eines Passworts, das nur der Nutzer kennt, oder durch ein biometrisches Merkmal, z.B. einen Fingerabdruck). Nach dieser Prüfung kann man davon ausgehen, dass die digitale Identität authentisch ist.

In Abbildung 1.4 ist ein sogenannter Man-in-the-Middle-Angriff dargestellt. Mallet unterbricht dabei die Kommunikationsverbindung zwischen Alice und Bob und gibt sich einerseits gegenüber Bob als Alice und andererseits gegenüber Alice als Bob aus. Er fälscht also gewissermaßen seine Identität. Damit ist die Authentizität nicht mehr gewährleistet. Steht Alice und Bob nur dieser verwendete Kommunikationskanal zur Verfügung, so ist der Angriff nur sehr schwer zu erkennen. In der Praxis werden z.B. X.509v3-Zertifikate in Kombination mit verschlüsselten Verbindungen eingesetzt, damit ein Client überprüfen kann, ob er mit dem richtigen Server kommuniziert. Diese Zertifikate werden von einer Certificate Authority (CA) ausgestellt, der die Clients dahingehend vertrauen müssen, dass die Identität des Zertifikatsinhabers zuverlässig überprüft worden ist.

1.2.3.5Verlässlichkeit (Reliability)

Die Eigenschaft, ein konsistentes und bestimmungsgemäßes Verhalten zu zeigen und konsistente Ergebnisse zu liefern, wird als Verlässlichkeit bezeichnet. Beispielsweise würde eine Verschlüsselungssoftware für E-Mails, die jede dritte Nachricht unverschlüsselt überträgt, die Sicherheitsanforderung nach Verlässlichkeit nicht erfüllen.

1.2.3.6Nichtabstreitbarkeit/Verbindlichkeit (Non-Repudiation)

Unter Verbindlichkeit bzw. Nichtabstreitbarkeit versteht man, dass der Eintritt eines Ereignisses oder einer Aktion sowie die verursachende Entität zweifelsfrei belegt werden können. Beispielsweise kann ein Nutzer das Auslösen einer Aktion, z.B. eine kostenpflichtige Bestellung, bei gegebener Nichtabstreitbarkeit später nicht erfolgreich leugnen. In der Praxis wird zur Gewährleistung der Nichtabstreitbarkeit häufig darauf zurückgegriffen, gegebenenfalls kritische Aktionen authentisierter Benutzer zu protokollieren und diese Aufzeichnungen angemessen lange aufzubewahren. Bei Dokumenten kommen auch Unterschriften bzw. digitale Signaturen zum Einsatz.

1.2.3.7Zurechenbarkeit (Accountability)

Die Zurechenbarkeit realisiert die Verantwortlichkeit einer Entität für ihre Aktionen und Entscheidungen. So müssen z. B. sicherheitsrelevante Aktionen demjenigen, der die entsprechende Aktion ausgeführt hat, zurechenbar sein. Die Zuweisung von Verantwortlichkeiten und die Übernahme von Verantwortung für Werte und Daten, sogenannte Assets, sind Grundsätze des Standards (vgl. Kapitel 3.1.4), die sich aber nur umsetzen lassen, wenn es Mechanismen gibt, um eine Zurechenbarkeit technisch umzusetzen.

Zurechenbarkeit und Nichtabstreitbarkeit hängen somit oftmals eng zusammen. Die Abgrenzung beider Begriffe kann man sich mit einem Beispiel veranschaulichen: Fallen in einem Mobilfunktarif zusätzliche Kosten für Telefonate ins Ausland an, so fällt es in den Bereich der Zurechenbarkeit, dass einzelne Auslandstelefonate genau einem Mobilfunkvertrag zugeordnet werden können. Erst wenn der Vertragsinhaber behauptet, hohe Kosten durch Auslandstelefonate nicht selbst verursacht zu haben, kommt die Nichtabstreitbarkeit ins Spiel.

1.2.3.8Zugangs- und Zugriffssteuerung (Access Control)

Als letzten Begriff betrachten wir noch die Zugriffssteuerung. Dabei handelt es sich zwar nicht um ein Schutzziel, aber um einen sehr grundlegenden Sicherheitsmechanismus, der in verschiedensten Maßnahmen der DIN EN ISO/IEC 27001 zum Einsatz kommt. Die Zugriffssteuerung stellt sicher, dass der Zugang zu Assets nur autorisiert erfolgen kann und Einschränkungen auf Basis von Geschäfts- oder Sicherheitsanforderungen möglich sind. Die Zugriffssteuerung setzt also ein Berechtigungskonzept technisch um; nur autorisierte Personen dürfen auf IT-Systeme und Informationen zugreifen. Bei physischem Zugang, z. B. dem Betreten gesicherter Gebäudebereiche, wird der Begriff Zutritt bzw. Zutrittskontrolle verwendet.

1.3IT-Sicherheitsgesetz & KRITIS

2015 hatte der Deutsche Bundestag das IT-Sicherheitsgesetz (IT-SiG) beschlossen, das in erster Linie Änderungen an bestehenden Gesetzen, darunter dem BSI-Gesetz (BSIG), umfasste. 2021 ist eine überarbeitete Fassung (IT-SiG 2.0) in Kraft getreten. Im Kern bedeuteten diese Änderungen die Abkehr vom Prinzip der Freiwilligkeit für den Bereich sogenannter kritischer Infrastrukturen. Dabei handelt es sich gemäß der Definition aus der KRITIS-Strategie des Bundes um Organisationen oder Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten können.

KRITIS-Betreiber (Betreiber kritischer Infrastrukturen) werden nach dem Gesetz verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten und Prozesse zu treffen. Den Nachweis darüber haben die Betreiber durch Sicherheitsaudits, Prüfungen und/ oder Zertifizierungen zu erbringen, indem sie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Aufstellung der durchgeführten Audits oder Zertifizierungen übermitteln. Darüber hinaus müssen Betreiber kritischer Infrastrukturen erhebliche IT-Sicherheitsvorfälle melden. Das BSI agiert als Zentralstelle für IT-Sicherheit und wertet Meldungen der KRITIS-Betreiber aus.

1.3.1Was ist „KRITIS“?

Unter dem Schlagwort KRITIS (Kritische Infrastrukturen) versteht man übergreifend die Anforderungen, die sich aus dem IT-Sicherheitsgesetz und der Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-Kritisverordnung, kurz BSI-KritisV) für KRITIS-Betreiber ergeben. Dabei beschränkt sich die BSI-Kritisverordnung in ihrer letzten Änderung vom November 2023 auf die folgenden Sektoren bzw. Branchen:

       Energie

       Wasser

       Ernährung

       Informationstechnik und Telekommunikation

       Gesundheit

       Finanz- und Versicherungswesen

       Transport und Verkehr

       Siedlungsabfallentsorgung

Darüber hinaus stellen auch einerseits Medien und Kultur und andererseits Staat und Verwaltung weitere Sektoren kritischer Infrastrukturen dar, die derzeit jedoch nicht der Regulierung durch das BSI-Gesetz unterliegen.

1.3.2Wer ist in Deutschland von KRITIS betroffen?

Während die eigentlichen Gesetzestexte offenlassen, welche Organisationen oder Unternehmen tatsächlich betroffen sind und somit die KRITIS-Anforderungen erfüllen müssen, wird die BSI-Kritisverordnung konkreter. Sie definiert nämlich spezifische Anlagenkategorien, Bemessungskriterien und Schwellenwerte, aus denen jede Organisation oder Einrichtung aus einer der genannten Branchen ableiten kann, ob sie als Betreiber einer Kritischen Infrastruktur gilt oder nicht.

Die BSI-Kritisverordnung ist unter https://www.gesetze-im-internet.de/bsi-kritisv frei zugänglich. Sie ist wie folgt aufgebaut:

       § 1 enthält die für diese Verordnung relevanten Begriffsbestimmungen.

       In § 2 bis § 9 findet man zu jedem der betroffenen Sektoren eine genauere Beschreibung der relevanten kritischen Dienstleistungen.

       In § 10 wird festgelegt, dass die Verordnung und die enthaltenen Festlegungen (zu den kritischen Dienstleistungen, Anlagenkategorien und Schwellenwerten) alle zwei Jahre erneut evaluiert werden sollen.

       Zuletzt folgen die Anhänge, die wiederum zu jedem der betroffenen Sektoren und den zuvor beschriebenen kritischen Dienstleistungen die Anlagenkategorien, Bemessungskriterien und Schwellenwerte tabellarisch auflisten.

Beispiel 1: Im Sektor Wasser ist eine kritische Dienstleistung die Versorgung der Allgemeinheit mit Trinkwasser. Diese umfasst gemäß § 3 der BSI-Kritisverordnung die Gewinnung, Aufbereitung, Verteilung sowie Steuerung und Überwachung von Trinkwasser. Gemäß Anhang 2 sind relevante Anlagenkategorien unter anderem Gewinnungsanlagen, Aufbereitungsanlagen, Leitzentralen sowie das Wasserverteilungssystem (z.B. Rohrnetz mit Druckregulierstationen). Für die Anlagenkategorie der Gewinnungsanlagen ist das relevante Bemessungskriterium die gewonnene Wassermenge in Millionen Kubikmeter pro Jahr, und der Schwellenwert wurde hierfür mit 22 festgelegt. Gewinnt ein Wasserversorger (z.B. Stadtwerk, Wasserwerk) also mehr als diese 22 Millionen Kubikmeter Trinkwasser pro Jahr in eigenen oder zumindest durch ihn verantworteten Anlagen, so gilt er als Betreiber einer Kritischen Infrastruktur.

Beispiel 2: Im Sektor Transport und Verkehr ist eine kritische Dienstleistung die Versorgung der Allgemeinheit mit Leistungen zum Transport von Personen und Gütern. Diese umfasst gemäß § 8 der BSI-Kritisverordnung den Luftverkehr, Schienenverkehr, die Binnen- und Seeschifffahrt, den Straßenverkehr, den öffentlichen Personennahverkehr (ÖPNV) sowie die Logistik. Gemäß Anhang 7 ist eine relevante Anlagenkategorie beispielsweise ein System zur Passagierabfertigung an Flugplätzen. Das relevante Bemessungskriterium ist die Anzahl der Passagiere pro Jahr, und der Schwellenwert wurde hierfür mit 20 Millionen festgelegt. Werden also an einem Flughafen mehr als 20 Millionen Fluggäste pro Jahr abgefertigt, so gilt der Betreiber als Betreiber einer Kritischen Infrastruktur. In Deutschland waren das im Jahr 2023 Frankfurt, München und Berlin Brandenburg.

1.3.3KRITIS-Anforderungen – Informationssicherheit nach dem „Stand der Technik“

Nachdem nun also seit Inkrafttreten der BSI-Kritisverordnung klar sein sollte, wer genau vom IT-Sicherheitsgesetz betroffen ist und die KRITIS-Anforderungen erfüllen muss, bleibt noch die Frage: Was genau müssen KRITIS-Betreiber tun, und worüber müssen sie Nachweise erbringen?

Die wesentliche Anforderung besteht darin, dass die Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität durch angemessene organisatorische und technische Vorkehrungen nach dem „Stand der Technik“ aufrechterhalten werden müssen. Hierzu gehört seit dem 1. Mai 2023 auch die Verpflichtung zum Betrieb eines sogenannten Systems zur Angriffserkennung (SzA).

Der Stand der Technik ist ein Rechtsbegriff, der in verschiedenen Rechtsgebieten Verwendung findet und höhere Ansprüche stellt als etwa die anerkannten Regeln der Technik. Übertroffen wird er noch vom Stand von Wissenschaft und Technik. Unter dem Stand der Technik werden die technischen Möglichkeiten verstanden, die zum gegenwärtigen Zeitpunkt den gewünschten Effekt gewährleisten können und sich dabei auf wissenschaftliche und technische Erkenntnisse stützen. Die Erfüllung anerkannter Standards, die etwa von Standardisierungsgremien oder Branchenverbänden herausgegeben werden, kann juristisch gesehen die begründete Vermutung nahelegen, dass in dem jeweiligen Gebiet der Stand der Technik erreicht wurde. Im Zusammenhang mit der Informationssicherheit bzw. dem Management der Informationssicherheit gilt dies entsprechend auch für die Etablierung eines Informationssicherheitsmanagementsystems (ISMS) auf Basis der Standardfamilie ISO/IEC 27000.

Das BSI weist allerdings in seinen KRITIS-Orientierungshilfen darauf hin, dass eine Zertifizierung nach DIN EN ISO/IEC 27001 allein noch nicht automatisch ausreichend ist, um den Anforderungen des IT-Sicherheitsgesetzes vollständig zu genügen. Das liegt beispielsweise daran, dass auch in einem nach DIN EN ISO/IEC 27001 zertifizierten ISMS Akzeptanzschwellen für Informationssicherheitsrisiken vom Betreiber festgelegt werden könnten, die die Akzeptanz erheblicher Risiken für die Versorgungssicherheit erlauben würden, was der Zielsetzung von KRITIS widerspricht. Aus diesem Grund können sowohl KRITIS-Betreiber als auch ihre Branchenverbände eigene bzw. branchenspezifische Informationssicherheitsstandards (B3S) festlegen und ihre Eignung vom BSI feststellen lassen. Das BSI führt auf seinen Webseiten eine Übersicht über die B3S, deren Eignung festgestellt wurde und die daher zur Nachweisführung über den Stand der Technik herangezogen werden können. Praktisch alle bisher eignungsgeprüften B3S basieren in der einen oder anderen Form auf Inhalten und Anforderungen aus der Standardfamilie ISO/IEC 27000. So wurde beispielsweise von der Deutschen Krankenhausgesellschaft (DKG e.V.) im Jahr 2022 die Version 1.2 des branchenspezifischen Sicherheitsstandards für die Gesundheitsversorgung im Krankenhaus herausgegeben[Deu22]; auch dieser orientiert sich in seinen empfohlenen Umsetzungsschritten eng an DIN EN ISO/IEC 27001.

1.4Datenschutz-Grundverordnung

Die Europäische Union hat mit der Datenschutz-Grundverordnung (DSGVO) [DSG16] im Jahr 2018 das Datenschutzrecht EU-weit und für den Europäischen Wirtschaftsraum vereinheitlicht. Nationale und föderale Gesetze, wie z. B. das Bundesdatenschutzgesetz oder die Landesdatenschutzgesetze, sind weiterhin möglich, müssen aber mit der DSGVO vereinbar sein.

Die DSGVO übernimmt viele Prinzipien aus der Vorgängerrichtlinie (95/46) und dem ehemaligen deutschen Bundesdatenschutzgesetz. Der zentrale Begriff der Personenbezogenen Daten in Art. 4 ist sehr weit gefasst: „personenbezogene Daten“[sind] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person [...] beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.

Neu in der DSGVO sind die in Art. 5 aufgeführten Grundsätze für die Verarbeitung personenbezogener Daten:

a)      Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

b)      Zweckbindung (Verarbeitung nur für definierte, eindeutige und legitime Zwecke)

c)      Datenminimierung („dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung [...] notwendige Maß beschränkt“)

d)      Richtigkeit („sachlich richtig und erforderlichenfalls auf dem neuesten Stand [...]; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung [...] unrichtig sind, unverzüglich gelöscht oder berichtigt werden“)

e)      Speicherbegrenzung („nur so lange [...], wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“)

f)      Integrität und Vertraulichkeit („in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen“)

Art. 32 der DSGVO fordert explizit die Berücksichtigung des Stands der Technik. Technische und organisatorische Maßnahmen zum Schutz von Daten sind ein Hauptaspekt der DIN EN ISO/IEC 27001. Ein Nachweis des Stands der Technik kann z. B. durch eine Organisationszertifizierung nach DIN EN ISO/IEC 27001 erfolgen. Eine weitere Neuerung der DSGVO ist die in Art. 35 eingeführte Datenschutz-Folgenabschätzung. Falls eine Verarbeitung personenbezogener Daten „aufgrund des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge“ hat, so ist eine Datenschutz-Folgenabschätzung durchzuführen. Dabei handelt es sich um einen klassischen Risikomanagementprozess, wie er ab Kapitel 4.6.1 erläutert wird.

Die Grundlagen, Prinzipien und Prozesse der DIN EN ISO/IEC 27001 lassen sich somit gewinnbringend auch bei der Umsetzung der Datenschutz-Grundverordnung nutzen.

1.5Weitere Richtlinien und Verordnungen der Europäischen Union

Neben der jeweiligen nationalen Gesetzgebung muss auch eine zunehmende Anzahl an Gesetzesvorhaben der EU berücksichtigt werden. Während EU-Richtlinien mit einer gewissen Frist nach Inkrafttreten in nationales Recht der Mitgliedsstaaten umgesetzt werden müssen, finden Verordnungen direkte Anwendung. Grundsätzlich zeichnet sich dabei einerseits ab, dass die Rechtsakte der EU zusätzliche Sektoren und insgesamt deutlich mehr Organisationen betreffen als die bisherigen deutschen Regelungen. Andererseits sind beispielsweise die relevanten KRITIS-Sektoren bislang nicht einheitlich bzw. konsistent definiert, sodass die Analyse der und die Entscheidung über die Relevanz der einzelnen Regulierungen mit einem erheblichen Aufwand für die potenziell betroffenen Unternehmen verbunden ist.

1.5.1NIS-2-Richtlinie

Anfang 2023 ist die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) [NIS22a] in Nachfolge der Richtlinie zur Netz- und Informationssicherheit (NIS-Richtlinie) aus dem Jahr 2016 in Kraft getreten. Sie stellt einerseits sicher, dass die EU-Mitgliedsstaaten jeweils nationale Cybersicherheitsstrategien haben, definiert andererseits aber auch Aufgaben für Unternehmen. Zu den Kernthemen gehören beispielsweise Risikomanagement, Asset Management, die Meldung von IT-Sicherheitsvorfällen, die Betrachtung der Lieferkettensicherheit und die Umsetzung des Stands der Technik in der IT-Sicherheit. Der Schwerpunkt liegt also auf IT- und Informationssicherheit.

Die NIS-2-Richtlinie betrachtet insgesamt 18 Sektoren, von denen elf als wesentliche Sektorenmit hoher Kritikalität (engl. essential) und die anderen sieben als weitere wichtige kritische Sektoren (engl. important) bezeichnet werden. In die erste Kategorie fallen beispielsweise der Sektor digitale Infrastruktur einschließlich Anbietern von Rechenzentrumsdiensten und der Sektor Weltraum, wohingegen die zweite Kategorie unter anderem Post- und Kurierdienste, Forschungseinrichtungen sowie digitale Anbieter wie Online-Marktplätze umfasst.

Die Umsetzung in deutsches Recht erfolgt über das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das als Änderungsgesetz vor allem die KRITIS-Teile des BSI-Gesetzes betrifft.

1.5.2Richtlinie über die Resilienz kritischer Einrichtungen (EU RCE Directive/CER-Richtlinie)

Die Directive on the Resilience of Critical Entities (EU RCE bzw. (EU) 2022/2557) [EU-22b] aus dem Jahr 2022, auch als CER-Richtlinie (Critical Entities Resilience Directive) bezeichnet, fokussiert die physische Resilienz von kritischen Infrastrukturen und hat die European Critical Infrastructures Directive aus dem Jahr 2008 abgelöst. Die umzusetzenden Maßnahmen betreffen neben der physischen Sicherheit beispielsweise Krisenmanagement und Wiederanlaufpläne in elf regulierten Sektoren. Zu diesen elf Sektoren gehört beispielsweise auch der Sektor Ernährung, der in der NIS-2-Richtlinie als important, aber nicht essential gilt. Hingegen betrachtet die CER-Richtlinie beispielsweise im Sektor Transport auch explizit den öffentlichen Personennahverkehr (ÖPNV), der in der NIS-2-Richtlinie fehlt.

Die EU RCE wird über das KRITIS-Dachgesetz (KRITIS-DachG) national umgesetzt. Dabei fließen z. B. von den Aufsichtsbehörden gemeldete Sicherheitsvorfälle beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) zusammen.

1.5.3Cyber Resilience Act (CRA)

Bereits 2019 ist der Rechtsakt zur Cybersicherheit (Cybersecurity Act, Verordnung (EU) 2019/881) [EU-19] in Kraft getreten, der einen einheitlichen Rahmen für die IT-Sicherheitszertifizierung von Produkten, Dienstleistungen und Prozessen geschaffen hat.

Mit dem initial 2022 vorgeschlagenen Cyber Resilience Act (CRA) sollen sowohl Verbraucher als auch Unternehmenskunden, die Software oder Produkte mit digitalen Komponenten kaufen, besser vor IT-Sicherheitslücken geschützt werden. Für Hersteller und Händler sowie deren Zulieferketten ergeben sich dadurch neue Pflichten, die IT-Sicherheit ihrer Produkte über deren gesamten Lebenszyklus abzusichern und beispielsweise kostenlose Security-Updates bereitzustellen. Neben Meldepflichten für bekannt werdende Schwachstellen werden Hersteller auch zu regelmäßigen Tests auf Schwachstellen verpflichtet. Der CRA legt unter anderem eine Reihe von kritischen Produkten wie Passwortmanager und Antivirenprogramme in zwei Klassen fest, für die eine Vertrauenswürdigkeitsprüfung notwendig ist.

1.5.4DORA-Verordnung

Der Digital Operational Resilience Act, Verordnung (EU) 2022/2554 (DORA, zu Deutsch Verordnung über die digitale operationale Resilienz im Finanzsektor) [EU-22a] gilt als Verordnung ohne weitere Gesetzgebung unmittelbar in den EU-Mitgliedsstaaten. DORA zielt auf die Resilienz der Finanz- und Versicherungsbranche sowie deren IT- und Telekommunikationsdienstleister (IKT) ab, wobei es Ausnahmen für kleinere Unternehmen gibt.

In seinen neun Kapiteln behandelt DORA unter anderem das Risikomanagement, die Behandlung und Meldung von Sicherheitsvorfällen und das Testen der digitalen operationalen Resilienz. Ein zertifizierungsfähiges Informationssicherheitsmanagementsystem stellt damit eine postulierte Grundlage dar. Durch die recht breite Definition von IKT-Drittdienstleistern gilt die DORA-Verordnung zudem für Betreiber von Cloud-Diensten, Rechenzentren und Datenanalysen, soweit diese von den Finanzunternehmen genutzt werden.

1.6Überblick über die folgenden Kapitel

In Kapitel 2 wird ein grundlegender Überblick über die Standardfamilie ISO/IEC 27000 und ihre Struktur gegeben, bevor im darauffolgenden Kapitel die Grundlagen eines Informationssicherheitsmanagementsystems dargestellt werden. Der Standard DIN EN ISO/IEC 27001 wird in den Kapiteln 4 und 5 ausführlich erläutert und kommentiert. Die Mindestanforderungen, d. h. die Abschnitte 1 bis 10 des Standards, finden sich in den Kapiteln 4.1 bis 4.10. Der Anhang A von DIN EN ISO/IEC 27001, der umzusetzende Maßnahmen auflistet, wird in Kapitel 5 ausführlich erklärt. Die danach folgenden Kapitel erläutern verwandte Standards und Rahmenwerke sowie die verschiedenen Zertifizierungsmöglichkeiten nach DIN EN ISO/IEC 27001. Im Anhang des Buches finden Sie 40 Prüfungsfragen mit entsprechenden Musterlösungen, die vom Schwierigkeitsgrad her der DIN EN ISO/IEC 27001 Foundation-Prüfung entsprechen.

1.7Beispiele für Prüfungsfragen zu diesem Kapitel

Nachfolgend finden Sie Beispiele für Prüfungsfragen, die sich thematisch mit den in diesem Kapitel erlernten Inhalten auseinandersetzen. Die richtigen Antworten inklusive Erläuterungen und Verweisen befinden sich in Anhang C.1 ab Seite 235.

Prüfungsfrage 1.1:

Was versteht ISO/IEC 27000 unter dem Begriff Vertraulichkeit (engl. Confidentiality)?

A)      Den Abschluss einer Vertraulichkeitsvereinbarung (Non-disclosure agreement).

B)      Die Geheimhaltungsverpflichtung aller Mitarbeiter, die Zugriff auf das ISMS haben.

C)      Die Vertraulichkeit schützt die Werte im Hinblick auf ihre Richtigkeit und Vollständigkeit.

D)      Eine Information ist für unautorisierte Personen, Entitäten oder Prozesse nicht zugänglich.

Prüfungsfrage 1.2:

Was versteht ISO/IEC 27000 unter dem Begriff Verfügbarkeit (engl. Availability)?

A)      Die Eigenschaft einer Information oder eines Wertes, für eine berechtigte Person oder Entität zugreifbar und nutzbar zu sein.

B)      Die Eigenschaft einer informationsverarbeitenden Einrichtung, genügend Ressourcen für eine Aufgabe zur Verfügung zu haben.

C)      Die Eigenschaft einer Information oder eines Wertes, vor Manipulation geschützt zu sein.

D)      Die Eigenschaft einer Information oder eines Wertes, vor Offenlegung geschützt zu sein.

Prüfungsfrage 1.3:

Was versteht ISO/IEC 27000 unter dem Begriff Nichtabstreitbarkeit (engl. Non-Repudiation)?

A)      Die Eigenschaft, dass interne Sicherheitsaudits wie geplant durchgeführt werden.

B)      Die Eigenschaft eines Informationswertes, für eine berechtigte Person verfügbar und nutzbar zu sein.

C)      Die Fähigkeit, den Eintritt eines behaupteten Ereignisses oder einer Aktion zweifelsfrei nachweisen zu können. Der Verursacher kann den Vorgang nicht leugnen.

D)      Die Eigenschaft, ein konsistentes und bestimmungsgemäßes Verhalten zu zeigen und konsistente Ergebnisse zu liefern.

2Die Standardfamilie ISO/IEC 27000 im Überblick

Im ersten Kapitel wurde dargestellt, welche Teilaspekte zum Themengebiet der Informationssicherheit gehören. In diesem Kapitel betrachten wir nun zunächst, welche Ziele mit Normierung und Standardisierung grundsätzlich verfolgt werden. Dieses Wissen ist hilfreich, um Ziele, Inhalte und Aufbau des Standards DIN EN ISO/IEC 27001 zu verstehen. Danach werden ausgewählte Aspekte wie die Unterschiede zwischen normativen und informativen Standards erläutert und die einzelnen Dokumente der Standardfamilie (oder Standardreihe) ISO/IEC 27000 samt ihren Zusammenhängen etwas näher vorgestellt. Die Inhalte von DIN EN ISO/IEC 27001 vertiefen wir in den nächsten Kapiteln.

2.1Warum Standardisierung?

Allgemein betrachtet versteht man unter Standardisierung die Vereinheitlichung und Harmonisierung. Bestimmte, als erwünscht oder essenziell erachtete Merkmale werden zu einer Norm bzw. einem Standard erhoben. Wie bereits im ersten Kapitel angedeutet, ist es oft notwendig, auch Fachbegriffe im Rahmen der Standardisierung zu vereinheitlichen, damit alle beteiligten Personen dasselbe darunter verstehen. Standardisierung begegnet einem in vielen Bereichen des täglichen Lebens, beispielsweise:

       Standardisierung von gemeinsamen Messverfahren, die Definition von Maßen für Temperatur, Gewicht und Geschwindigkeit und insbesondere auch die Verwendung einer gemeinsamen Uhrzeit oder Sprache.

       Standardisierung von Produkten, also beispielsweise die Vereinheitlichung von Größen, Abmessungen oder Formen. Zu nennen sind hier etwa einheitliche Papierformate wie DIN A4 oder die Größe und Form eines Steckers.

       Standardisierung von technischen Kommunikationsprotokollen, welche die Kodierung, Dekodierung und Interpretation von Steuersignalen, die für eine Kommunikation notwendig sind, vereinheitlichen und somit eine herstellerunabhängige Kommunikation ermöglichen.

Nennenswerte Beispiele sind das unter anderem von Webbrowsern bekannte HyperText Transfer Protocol (HTTP) und SIP, welches das Telefonieren über das Internet-Protokoll (Voice over IP; VoIP) beschreibt.

Es