Mit der Freigabe ist ein ISMS nicht fertig. Neue Systeme, Vorgaben und Dienstleister ändern seine Grundlagen. BlueProceedings ISMS verbindet die Arbeit von der Planung bis zur Prüfung – damit sichtbar bleibt, was gilt, wer entscheidet und was erneut auf den Tisch gehört.
Erhebung und Planung nach BSI-Standard 300-1, Kapitel 2: Die Leitung gibt den Rahmen vor, die Arbeit wird auf mehrere Schultern verteilt. Alle elf Teilschritte mit Bildern aus der Pre-Alpha.
Interne und externe Einflussfaktoren, rechtliche und vertragliche Pflichten sowie Entscheidungen dazu stehen an einem Ort. Ändert sich ein verwendeter Faktor wesentlich, weist die Anwendung auf betroffene Entscheidungen zur Prüfung hin.
Prozesse, Systeme und andere erfasste Objekte gehören grundsätzlich dazu; Ausschlüsse werden begründet. Erwartungen interessierter Parteien lassen sich erfassen und gewichten.
Geschäftsprozesse werden mit ihren Informationen und Abhängigkeiten beschrieben. Schadensszenarien helfen, den Schutzbedarf je Schutzziel zu begründen.
Sicherheitsziele, Leitlinie und ISMS-Dokumente erhalten einen nachvollziehbaren Stand mit Freigabe und Kommunikation.
Fachbereiche pflegen ihre Angaben, der ISB steuert, die Leitung entscheidet. Die RACI-Matrix zeigt Zuständigkeiten; der Vertretungsplan warnt vor unbesetzten Rollen.
Die Leitung legt den Rahmen für Bewertungen und Entscheidungen fest. Sie kann bestimmen, ob Restrisiken anhand freigegebener Regeln oder einzeln zur Entscheidung vorgelegt werden.
Fällt jemand aus, bleibt oft offen, wer die Aufgaben übernimmt. Der Vertretungsplan legt Abwesenheiten und Vertretungen je Rolle nebeneinander und weist auf Lücken hin.
Im Beispiel fehlt während einer Abwesenheit die Vertretung für die Rolle Auditor. Der Plan zeigt die eingetragenen Abwesenheiten, nicht deren Grund.
Anforderungsanalyse nach BSI-Standard 300-1, Kapitel 3: vom Geschäftsprozess zum passenden Anforderungspaket.
Prozesse, Informationen, Komponenten, Dienstleister, Standorte und Schnittstellen werden verknüpft. Derselbe Bestand dient auch Risiken, Berichten und Notfallvorsorge.
Kataloge werden mit Version und Herkunft eingelesen. Ein Vergleich zeigt Änderungen, bevor ein Informationsverbund auf einen neuen Stand wechselt. Zur Katalogverwaltung.
Zielobjektkategorien, Kataloge und Blaupausen führen zum Anforderungspaket. Herkunft, Parameter und begründete Ausnahmen bleiben sichtbar.
Informationsverbund-, Komponentensatz- und Komponentenvorlagen helfen, wiederkehrende Strukturen und Erfahrungswissen erneut zu nutzen.
Realisierung nach BSI-Standard 300-1, Kapitel 4: vom Umsetzungsstand zur begründeten Entscheidung.
Verantwortliche erfassen den Umsetzungsstand und planen offene Arbeit. Herkunft und Bezug zum eigenen Objekt bleiben an der Anforderung.
Ein Graph zeigt, welche Objekte über Abhängigkeiten mitbetroffen sein könnten. Die Anwendung schlägt vor; Menschen bestätigen, verwerfen oder klären die Vorschläge.
Die Risikoakte verbindet Ursache, Bewertung, betroffene Objekte, Behandlung, Maßnahme, Restrisiko und Wiedervorlage. Zum Risikomanagement.
Verantwortung, Frist und Fortschritt stehen bei der Maßnahme. Was nach der Behandlung verbleibt, wird erneut bewertet und zur Entscheidung vorgelegt.
Ein Datenbank-Cluster fällt aus. Welche Prozesse und Komponenten davon abhängen, zeigt die Ausbreitungsprüfung anhand der erfassten Beziehungen.
Die Anwendung schlägt mögliche Betroffenheiten vor. Du prüfst jeden Vorschlag und bestätigst oder verwirfst ihn mit Begründung.
Überwachung nach BSI-Standard 300-1, Kapitel 5: Ein vorhandenes Dokument und ein erledigter Arbeitsschritt sind noch keine Wirksamkeitsprüfung.
Bezug, Gültigkeit und Prüfstatus stehen beim Nachweis. Zum Nachweismanagement.
Auditprogramm, Feststellungen, Kennzahlen und Managementbewertung führen Prüfergebnisse und Entscheidungen zusammen.
Ein Sicherheitskonzept ist eine Momentaufnahme. Ändern sich Grundlagen, zeigt ein Hinweis, warum es veraltet ist. Zum Berichtswesen.
Erwartungen werden importiert und Nachweise als Prüfpaket exportiert. Der Austausch benötigt kein Gastkonto.
Kontinuierliche Verbesserung nach BSI-Standard 300-1, Kapitel 6: Aus Feststellungen wird Folgearbeit, deren Wirkung geprüft wird.
Eine Maßnahme schließt erst nach geprüften Wirksamkeitskriterien, gültigem Nachweis und erforderlicher Freigabe. Im Kleinunternehmen-Modus entfällt nur die personelle Trennung.
Eine Zeitlinie hält Ereignisse und Entscheidungen fest; Korrekturen werden ergänzt. Erkenntnisse können bewusst in Folgearbeit übernommen werden.
BIA, Verfahren, Organisation und Übungen nutzen den gemeinsamen Bestand. Im Lagezentrum stehen Plan und Ist nebeneinander. Zu BCM und Notfallmanagement.
Einrichtungsassistent, Feldhilfe und eine getrennte Übungsumgebung helfen beim Einstieg. Zum Lern-Modus.
Im Lagezentrum steht der Plan eines Krisenlaufs neben dem tatsächlichen Ablauf: Was läuft, was ist abgeschlossen und wo entsteht Verzug?
Das Beispiel zeigt eine Funktionsübung mit mehreren Teams. Die Fortschreibung hilft beim Überblick; der Krisenstab beurteilt die Lage.
Weitere Funktionen sind bereits umgesetzt. Wir bereiten ihre Vorstellung noch vor – schau später wieder vorbei.
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 27.10.2026 mit den Quellen abgeglichen. Die Funktionsbeschreibung gibt den Stand der Pre-Alpha wieder; methodische Aussagen sind als solche benannt und belegt.
Auf der Startseite zeigen wir anhand von Demodaten, wie einzelne Schritte in der Pre-Alpha aussehen.