Cyber Resilience braucht ein starkes Fundament: Wie Governance, ISMS und BCMS zusammenspielen

Key Takeaways

• Cyber Resilience braucht klare Verantwortung: Rollen und Entscheidungswege müssen vor einem Sicherheitsvorfall feststehen.
• Ein wirksames ISMS macht Sicherheit steuerbar: Risiken und Maßnahmen werden kontinuierlich bewertet und überprüft.
• BCM ergänzt die Sicherheitsvorsorge: Es richtet den Blick auf kritische Prozesse und die Handlungsfähigkeit bei Notfällen.

Cyber Resilience beginnt mit der Organisation

Freitag, kurz nach 18 Uhr: Das Monitoring schlägt Alarm, erste Systeme sind nicht mehr erreichbar, und im Krisenteam stellt sich schnell eine Frage, die längst beantwortet sein sollte: Wer entscheidet, ob Systeme vom Netz gehen, wer informiert die Geschäftsleitung und wer spricht mit Kunden oder Behörden?

Genau hier zeigt sich, was der Auftaktbeitrag dieser Reihe beschrieben hat: Widerstandsfähigkeit geht weit über klassische IT-Security hinaus. Organisationen müssen Cyberangriffe möglichst verhindern und ihre Auswirkungen begrenzen, aber auch unter schwierigen Bedingungen handlungsfähig bleiben. Das gelingt nur, wenn die Verantwortung geklärt ist, bevor es ernst wird.

Da digitale Prozesse nahezu alle Bereiche einer Organisation durchziehen, verteilen sich die Aufgaben auf Geschäftsleitung, Informationssicherheit, IT, Fachbereiche, Risikomanagement und weitere Funktionen. Notwendig ist deshalb eine Governance, die eindeutig regelt, wer Risiken bewertet und priorisiert, wer entscheidet und wann eskaliert wird. Diese Verantwortlichkeiten und Entscheidungswege sollten ebenso sorgfältig vorbereitet sein wie die Technik.

Das ISMS schafft einen verlässlichen Rahmen

Auf dieser Governance baut das Informationssicherheitsmanagement auf. Ein ISMS führt Risiken, Richtlinien, Verantwortlichkeiten sowie organisatorische und technische Sicherheitsmaßnahmen in einem kontinuierlichen Managementprozess zusammen. So lässt sich Informationssicherheit systematisch steuern statt über isolierte Einzelmaßnahmen.

Gerade dieser fortlaufende Blick macht das ISMS für die Widerstandsfähigkeit so wertvoll. Neue Anwendungen, Cloud-Dienste, externe Partner oder veränderte Prozesse schaffen neue Abhängigkeiten und Risiken. Organisationen müssen ihre Bewertungen und Schutzmaßnahmen deshalb regelmäßig anpassen und prüfen, ob sie in der Praxis noch wirken.

Das unterscheidet Resilienz von einer rein formalen Compliance-Sicht: Richtlinien, dokumentierte Prozesse und erfolgreiche Audits bleiben wichtig, garantieren aber nicht, dass eine Organisation in einer realen Störung angemessen reagiert.

Das BCM sichert die Handlungsfähigkeit

Auch eine gut geschützte Organisation kann nicht jede Störung verhindern. Cyberangriffe können zentrale Anwendungen lahmlegen oder ganze Prozesse unterbrechen. Hier ergänzt Business Continuity Management das ISMS um eine wichtige Frage: Was muss weiter funktionieren, wenn der Normalbetrieb nicht mehr gewährleistet ist?

Dafür müssen Organisationen ihre kritischen Leistungen und deren Abhängigkeiten kennen: welche Prozesse Priorität haben, welche Ressourcen sie benötigen und wie sie im Notbetrieb weiterarbeiten oder kontrolliert wieder anlaufen können.

Neben Methoden wie Business Impact Analyse, Notfallplanung und Übungen kommt es vor allem auf das Zusammenspiel an: Erkennt das ISMS eine neue Abhängigkeit, muss sie in die Notfallvorsorge einfließen. Umgekehrt zeigt das BCM, welche digitalen Services für kritische Prozesse unverzichtbar sind.

Entscheidend sind die Schnittstellen

Governance, ISMS und BCM haben unterschiedliche Aufgaben, ihre Wirkung entfalten sie jedoch erst im Zusammenspiel. Informationssicherheit, IT, BCM und Fachbereiche müssen keine organisatorische Einheit bilden, brauchen aber klare Schnittstellen und ein gemeinsames Verständnis davon, welche Informationen sie austauschen, wer sie bewertet und was daraus folgt.

An diesen Übergängen zeigt sich, wie belastbar das Fundament tatsächlich ist. Im Ernstfall nützen definierte Sicherheitsprozesse wenig, wenn relevante Informationen nicht bei den richtigen Verantwortlichen ankommen oder Entscheidungen zu lange dauern.

Das Fundament für den nächsten Schritt

Ob im Krisenteam am Freitagabend Klarheit herrscht oder erst einmal Abstimmungschaos, ist deshalb keine Frage des Zufalls. Wer Verantwortung klärt, Risiken laufend bewertet und die eigenen kritischen Leistungen kennt, kann schneller und gezielter handeln, wenn es darauf ankommt.

Darauf baut die operative Cyber Security auf. Doch auch mit klaren Strukturen bleibt offen, wie eine Organisation möglichst früh erkennt, dass sich ihre Sicherheitslage verändert oder ein Angriff begonnen hat. Darum geht es im nächsten Beitrag unserer Cyber-Reihe: Monitoring, Lagebilder und Incident Response.

Weitere Beiträge dieser Reihe

Teil 1: Cyber Resilience: So werden Organisationen in Zeiten von NIS2 und Cyberangriffen widerstandsfähiger

Teil 2: Cyber Resilience braucht ein starkes Fundament: Wie Governance, ISMS und BCM zusammenspielen

Weitere Informationen

Cyber Security und Compliance

Informationssicherheit und ISMS

Business Continuity Management