B. Äußere Einflüsse auf das Sicherheitsmanagement
C. Interne Themen / Rahmenbedingungen
Der Kontext der Stadtwerke Beispielstadt ist geprägt durch den gesetzlichen Auftrag zur Daseinsvorsorge, den Schutz kritischer Infrastrukturen und die wachsende Bedeutung digitaler Systeme. Das ISMS berücksichtigt interne und externe Einflussfaktoren, um den Schutz der Informationswerte nachhaltig sicherzustellen und regulatorische wie gesellschaftliche Anforderungen zu erfüllen.
Die Stadtwerke Beispielstadt GmbH sind ein kommunales Versorgungsunternehmen mit den Aufgabenbereichen Trinkwasserversorgung, Energieverteilung und öffentliche Infrastrukturservices.
Die Organisation betreibt technische Anlagen, IT-Systeme und Kommunikationsnetze, die der kritischen Infrastruktur (KRITIS) zugeordnet sind und damit besonderen gesetzlichen Anforderungen an Verfügbarkeit, Integrität und Vertraulichkeit unterliegen.
Ziel des Informationssicherheits-Managementsystems (ISMS) ist es, ein angemessenes Sicherheitsniveau für alle Geschäfts- und Unterstützungsprozesse sicherzustellen, Risiken zu erkennen und zu behandeln sowie den kontinuierlichen Betrieb der Versorgungsleistungen zu gewährleisten.
B. Äußere Einflüsse auf das Sicherheitsmanagement
Die Auslegung der Sicherheitsmaßnahmen berücksichtigt insbesondere diese externen Faktoren:
-
Bedrohungslage insbesondere für kritische Anlagen der Beispiel GmbH
-
Gesetzliche Anforderungen wie NIS-2
-
Anforderungen der externen Interessierten Partien, insbesondere Kunden und Eigentümer
-
Technologische Abhängigkeiten von externen IT-Dienstleistern, Cloud- und Netzbetreibern
C. Interne Themen / Rahmenbedingungen
Der Aufbau und Betrieb des ISMS muss diese internen und externen Rahmenbedingungen berücksichtigen
-
Aufbau und Betrieb einer zentralen IT- und OT-Sicherheitsorganisation
-
Möglichst nahtlose Integration von Informationssicherheit in bestehende Managementsysteme (Qualität, Umwelt, Arbeitsschutz)
und Funktionen (HR, Einkauf, Serviceerbringung und IT) -
Einführung eines Risikomanagement-Prozesses nach ISO 27005
-
Etablierung eines kontinuierlichen Verbesserungsprozesses (KVP)
-
Sehr unterschiedliche ausgeprägtes Bewusstsein und Kenntnisse und zu Informationsrisiken und Maßnahmen zum einem Sicherheitsmanagement
-
Entsprechende Rollen sind zu definieren und in der Organisation zu etablieren
-
Risikoappetit der Organisation:
Die Beispiel AG orientiert sich an gesetzlichen Vorgaben (siehe B.) zum Risko- und Sicherheitsmanagement, wo entsprechende Flexibilität gegeben ist, werden Sichehreitsmaßnamhmen als angemessen angesehen, wenn gegeben ist:
Angemessenes Schutzniveau (soweit gesetzliche Anforderungen dies zulassen):
Schäden durch mangelnde Informationssicherheit = Aufwendungen für Schutzmaßnahmen zur Vermeidung von Schäden
Daraus ergibt sich das die Beispiel GmbH kein 100 % Absicherung anstrebt und handhabbare Schäden in Kauf nimmt, jedoch elementare Risiken für das Unternehmen vermeiden möchte.