ITISMS, Datenschutz und NIS-2 integriert: ein Managementsystem statt drei
Ein integriertes Managementsystem für IT, Datenschutz und Informationssicherheit nutzt eine gemeinsame Grundlage aus Bestandsaufnahme, Risikomanagement, Maßnahmenkatalog, Vorfallprozess und Audit für alle Pflichten. So erfüllen Unternehmen ISO/IEC 27001, DSGVO und NIS-2 mit einem System, statt drei Parallelwelten zu pflegen.
- Gemeinsame Bausteine: Werte- und Verarbeitungsverzeichnis, Risikomanagement, Maßnahmen, Vorfälle, Audits.
- Unterschiedliche Blickwinkel bleiben erhalten: Risiko für Organisation vs. Risiko für Betroffene.
- Fristen im Vorfall parallel steuern: 24 h BSI, 72 h Datenschutzaufsicht.
- ISO/IEC 27701 erweitert ein ISMS um Datenschutzanforderungen.
Welche Bausteine lassen sich gemeinsam nutzen?
| Baustein | ISMS (ISO 27001) | Datenschutz (DSGVO) | NIS-2 (BSIG) |
|---|---|---|---|
| Bestandsaufnahme | Inventar der Werte | Verzeichnis der Verarbeitungstätigkeiten | Systeme und Prozesse für die Diensterbringung |
| Risikomanagement | Risikobeurteilung und -behandlung | Risiko für Betroffene, DSFA | Risikoanalyse nach § 30 |
| Maßnahmen | Anhang A, Erklärung zur Anwendbarkeit | TOM nach Art. 32 | Zehn Mindestmaßnahmen |
| Dienstleister | Lieferantenbeziehungen | Auftragsverarbeitung (Art. 28) | Sicherheit der Lieferkette |
| Vorfälle | Vorfallmanagement | Datenpanne, 72 h (Art. 33) | Meldung 24 h / 72 h / 1 Monat (§ 32) |
| Verantwortung | Oberste Leitung | Verantwortlicher, DSB | Geschäftsleitung (§ 38) |
| Prüfung | Internes Audit, Managementbewertung | Überprüfung der TOM, Kontrolle durch DSB | Wirksamkeitsbewertung, Nachweise |
Wie geht man bei der Integration vor?
- Gemeinsame Struktur festlegen: ein Geltungsbereich, eine Leitlinie, klare Rollen für ISB, DSB und IT.
- Einmal erfassen: Prozesse, Systeme, Daten und Dienstleister verknüpft, sodass Verarbeitungsverzeichnis und Werteinventar aufeinander verweisen.
- Ein Risikomodell mit zwei Blickwinkeln: Risiken für die Organisation und für Betroffene in einem Verfahren bewerten.
- Ein Maßnahmenkatalog: jede Maßnahme einmal beschreiben und allen Anforderungen zuordnen, siehe TOM-Vergleich.
- Ein Vorfallprozess mit Fristenweiche: Bei jedem Vorfall wird geprüft, ob er nach DSGVO, nach BSIG oder nach beiden meldepflichtig ist.
- Gemeinsame Audits: Internes Audit und Managementbewertung decken alle Anforderungen ab.
Wann lohnt sich ISO/IEC 27701?
Die ISO/IEC 27701 erweitert ein ISMS um ein Datenschutz-Managementsystem (PIMS) mit zusätzlichen Anforderungen für Verantwortliche und Auftragsverarbeiter. Sie lohnt sich vor allem für Dienstleister, die ihren Kunden einen zertifizierbaren Nachweis für Datenschutz und Informationssicherheit aus einer Hand geben wollen.
Ergänzend gehört die Aufrechterhaltung des Betriebs dazu: Für Notfall- und Krisenmanagement bietet das Business Continuity Management nach ISO 22301 die passende Methodik.