➧ Was ist ein ISMS?
Ein ISMS ist ein Management-System für Informationssicherheit. ISMS steht für „Information Security Management System“. Es bildet ab,
- welche technischen und organisatorischen IT-Sicherheitsmaßnahmen notwendig sind,
- wie sie sich umsetzen lassen und
- wie Verantwortliche den Erfolg der Sicherheitsmaßnahmen kontrollieren und überwachen.
Aus Sicht des Datenschutzes ist wichtig: Personenbezogene Daten haben darin keine Sonderstellung. Ein ISMS behandelt sie wie andere zu schützende Daten.
➧ Wie stehen Datenschutz und Informationssicherheit zueinander?
Datenschutz und IT-Sicherheit gehören zusammen, so sagen Datenschützer. IT-Sicherheitsbeauftragte sehen das häufig genauso. Denn sie erachten den Datenschutz persönlich als wichtig.
Genau betrachtet käme die Informationssicherheit jedoch ohne den Datenschutz aus. Im Gegenteil: Manchmal erscheint der Datenschutz für die IT-Sicherheit sogar als hinderlich, etwa wenn die IT versucht, mit Monitoring (Überwachung des Datenverkehrs) mögliche Angriffe zu erkennen.
➧ Wie hängen ISMS, Datenschutz und IT-Grundschutz des BSI zusammen?
Der IT-Grundschutz, den das Bundesamt für Informationstechnik (BSI) entwickelt hat, versteht sich als Basis der Informationssicherheit. Er hilft, die erforderlichen IT-Sicherheitsmaßnahmen zu identifizieren und umzusetzen. Daher ist das ISMS ein eigener Baustein im IT-Grundschutz-Kompendium des BSI.
Was bei ISMS zu beachten ist, beschreibt unter anderem der BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS).
Ebenfalls ein Baustein im IT-Grundschutz ist der BSI-Baustein „Datenschutz“. Er basiert auf dem Datenschutzrecht und ist nicht Teil der internationalen Norm ISO/IEC 27001 (Information Security Management). Er stellt die Verbindung her zwischen den Anforderungen des Standard-Datenschutzmodells und dem IT-Grundschutz.
➧ Welche Rolle spielen personenbezogene Daten in einem ISMS?
Für Datenschutzbeauftragte (DSB) jedoch ist es entscheidend, sich mit der Sicherheit der Verarbeitung personenbezogener Daten zu befassen. Das zeigt ganz deutlich die Datenschutz-Grundverordnung (Artikel 32 DSGVO).
Das Instrument ISMS hilft generell, zu schützende Daten – gleich ob personenbezogen oder nicht – abzusichern. Damit dient es jedoch zugleich der Sicherheit personenbezogener Daten, sie hat aber keine Sonderstellung im ISMS..
➧ Wie unterscheiden sich die Aufgaben von DSB und ISB?
Die Aufgabenteilung zwischen den Datenschutzbeauftragten (DSB) und den Informationssicherheitsbeauftragten (ISB) sieht der IT-Grundschutz so:
- Grundsätzlich sind die DSB zuständig dafür, die Einhaltung der Anforderungen der DSGVO zu überwachen.
- Die ISB sind aber bei strategischen Entscheidungen stets einzubeziehen. Außerdem sind die ISB dafür zuständig, dass alle Sicherheitsanforderungen gemäß dem festgelegten Sicherheitskonzept erfüllt und überprüft werden.
