FAQ – Informationssicherheit & KI-Management

Grundlegende Fragen zur Informationssicherheit

Was versteht man unter Informationssicherheit?

Informationssicherheit bezeichnet den Schutz von Informationen in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit. Ziel ist es, Informationen vor unbefugtem Zugriff, Verlust, Manipulation oder Ausfall zu schützen – unabhängig davon, ob sie digital, auf Papier oder mündlich vorliegen.

Warum ist Informationssicherheit für Unternehmen wichtig?

Unternehmen sind zunehmend von Cyberangriffen, Datenverlusten und regulatorischen Anforderungen betroffen. Informationssicherheit schützt Geschäftsprozesse, stärkt das Vertrauen von Kunden und Partnern und reduziert rechtliche sowie wirtschaftliche Risiken.

Was ist der Unterschied zwischen Informationssicherheit und Datenschutz?

Datenschutz bezieht sich auf den Schutz personenbezogener Daten und ist rechtlich geregelt, z. B. durch die DSGVO. Informationssicherheit ist weiter gefasst und umfasst den Schutz aller Informationen eines Unternehmens – auch solcher ohne Personenbezug.

Welche Informationen müssen besonders geschützt werden?

Besonders schützenswert sind u. a. personenbezogene Daten, Geschäfts- und Betriebsgeheimnisse, Vertragsunterlagen, technische Dokumentationen sowie Informationen zu IT-Systemen und Sicherheitsmaßnahmen.

‍

ISO 27001, NIS2 und TISAX® – wie hängt das zusammen?

Was ist ISO 27001?

ISO/IEC 27001 ist eine internationale Norm für den Aufbau, Betrieb und die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS). Sie bietet einen systematischen Rahmen für den Umgang mit Informationssicherheitsrisiken.

Was ist NIS2?

NIS2 ist eine EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet bestimmte Unternehmen und Organisationen zur Umsetzung konkreter Sicherheitsmaßnahmen sowie zu Melde- und Nachweispflichten.

Was ist TISAX®?

TISAX® ist ein Prüf- und Austauschmechanismus für Informationssicherheit in der Automobilindustrie und deren Lieferketten. Er basiert inhaltlich auf ISO 27001, ist jedoch branchenspezifisch ausgestaltet.

Was ist der Unterschied zwischen ISO 27001, NIS2 und TISAX®?

ISO 27001 ist ein freiwilliger, internationaler Standard. NIS2 ist eine gesetzliche Verpflichtung für bestimmte Unternehmen. TISAX® ist ein branchenbezogener Standard, der häufig vertraglich gefordert wird. Die Anforderungen überschneiden sich inhaltlich teilweise, verfolgen jedoch unterschiedliche Ziele.

Ersetzt ISO 27001 die Anforderungen aus NIS2 oder TISAX®?

Nein. Eine ISO-27001-Zertifizierung kann die Umsetzung von NIS2 oder TISAX® deutlich erleichtern, ersetzt diese jedoch nicht automatisch. Zusätzliche spezifische Anforderungen müssen gesondert betrachtet werden.

‍

Weiterführende Informationen finden Sie auf unseren Themenseiten zu ISO 27001, NIS2 und TISAX®.

‍

Einstieg und Vorgehen

Wo fängt man mit Informationssicherheit sinnvoll an?

Ein sinnvoller Einstieg ist die Bestandsaufnahme: Welche Informationen, Prozesse und Systeme sind kritisch? Darauf aufbauend können Risiken bewertet und geeignete Sicherheitsmaßnahmen definiert werden.

Brauche ich zwingend eine Zertifizierung?

Eine Zertifizierung ist nicht immer erforderlich. In vielen Fällen reicht ein strukturiertes ISMS ohne formale Zertifizierung aus. Gesetzliche oder vertragliche Anforderungen können jedoch eine Zertifizierung notwendig machen.

Ist Informationssicherheit auch für kleine Unternehmen relevant?

Ja. Auch kleine Unternehmen sind Ziel von Cyberangriffen und müssen gesetzliche Anforderungen erfüllen. Der Umfang der Maßnahmen sollte jedoch immer risikoorientiert und angemessen gewählt werden.

Welche Rolle spielt die Geschäftsleitung?

Die Geschäftsleitung trägt die Gesamtverantwortung für Informationssicherheit. Sie muss Ziele festlegen, Ressourcen bereitstellen und die Umsetzung aktiv unterstützen.

‍

Umsetzung und Unterstützung

Brauche ich externe Unterstützung bei der Informationssicherheit?

Externe Unterstützung ist sinnvoll, wenn internes Know-how fehlt oder Ressourcen begrenzt sind. Sie hilft dabei, Anforderungen effizient und praxisnah umzusetzen.

Wie lange dauert die Einführung eines ISMS?

Die Dauer hängt von Größe, Komplexität und Ausgangslage des Unternehmens ab. In der Praxis reichen die Zeiträume von wenigen Monaten bis zu einem Jahr.

Wie praxisnah ist Informationssicherheit im Alltag umsetzbar?

Richtig umgesetzt, lässt sich Informationssicherheit gut in bestehende Prozesse integrieren. Ziel ist nicht zusätzliche Bürokratie, sondern ein bewusster und strukturierter Umgang mit Risiken.

Wie hängen Informationssicherheit und Compliance zusammen?

Informationssicherheit ist ein zentraler Bestandteil von Compliance. Sie unterstützt die Einhaltung gesetzlicher, regulatorischer und vertraglicher Anforderungen.

‍

ISO 42001 und KI-Management

Was ist die ISO 42001?

Die ISO/IEC 42001 ist die internationale Norm für ein Managementsystem für Künstliche Intelligenz (Artificial Intelligence Management System, kurz AIMS). Sie unterstützt Unternehmen dabei, KI verantwortungsvoll zu entwickeln, bereitzustellen und einzusetzen. Im Mittelpunkt stehen klare Verantwortlichkeiten, KI-spezifisches Risikomanagement und die kontinuierliche Verbesserung.

Für welche Unternehmen ist die ISO 42001 relevant?

Die ISO 42001 richtet sich an Unternehmen jeder Größe und Branche, die Künstliche Intelligenz entwickeln, anbieten oder einsetzen. Dazu gehören sowohl Entwickler eigener KI-Lösungen als auch Unternehmen, die beispielsweise ChatGPT, Microsoft Copilot oder andere KI-Anwendungen im Geschäftsalltag nutzen.

Ist eine ISO-42001-Zertifizierung verpflichtend?

Nein. Die ISO 42001 ist grundsätzlich eine freiwillige Managementsystemnorm. Eine Zertifizierung kann jedoch durch Kundenanforderungen, Ausschreibungen oder vertragliche Vereinbarungen relevant werden. Sie bietet Unternehmen außerdem die Möglichkeit, einen strukturierten und verantwortungsvollen Umgang mit KI nachzuweisen.

Was ist der Unterschied zwischen ISO 42001 und ISO 27001?

Die ISO 27001 konzentriert sich auf das Management der Informationssicherheit. Die ISO 42001 betrachtet dagegen das Management Künstlicher Intelligenz. Dazu gehören neben Sicherheitsaspekten auch Transparenz, Verantwortlichkeiten, KI-spezifische Risiken und mögliche Auswirkungen auf Menschen und Organisationen.

Beide Normen lassen sich miteinander kombinieren. Unternehmen mit einem bestehenden ISMS nach ISO 27001 können viele vorhandene Prozesse für ihr KI-Managementsystem nutzen.

Erfüllt eine ISO-42001-Zertifizierung automatisch die Anforderungen des EU AI Acts?

Nein. Der EU AI Act ist eine europäische Verordnung mit verbindlichen gesetzlichen Anforderungen. Die ISO 42001 ist dagegen eine freiwillige internationale Managementsystemnorm.

Ein KI-Managementsystem nach ISO 42001 kann die Umsetzung regulatorischer Anforderungen unterstützen, ersetzt jedoch nicht die Prüfung und Erfüllung der jeweils geltenden gesetzlichen Pflichten.

Welche Anforderungen stellt die ISO 42001 an Unternehmen?

Die ISO 42001 fordert einen systematischen Umgang mit Künstlicher Intelligenz. Dazu gehören insbesondere die Festlegung von Verantwortlichkeiten, die Bewertung von KI-Risiken und möglichen Auswirkungen, geeignete Policies und Prozesse sowie die regelmäßige Überprüfung der Wirksamkeit des KI-Managementsystems.

Welche Maßnahmen konkret erforderlich sind, hängt unter anderem von der Rolle des Unternehmens, den eingesetzten KI-Systemen und deren Risiken ab.

Kann ein bestehendes ISMS nach ISO 27001 um ISO 42001 erweitert werden?

Ja. Beide Normen besitzen eine vergleichbare Managementsystemstruktur. Vorhandene Prozesse, beispielsweise für Risikomanagement, Dokumentation, interne Audits und Managementbewertungen, können häufig gemeinsam genutzt werden.

Ergänzt werden insbesondere die KI-spezifischen Anforderungen an Risiken, Auswirkungen und den verantwortungsvollen Einsatz Künstlicher Intelligenz.

Wie lange dauert die Einführung eines KI-Managementsystems nach ISO 42001?

Die Dauer hängt von der Unternehmensgröße, der Anzahl und Komplexität der KI-Anwendungen sowie den bereits vorhandenen Prozessen ab. Unternehmen mit einem etablierten Managementsystem nach ISO 27001 können häufig auf bestehenden Strukturen aufbauen und dadurch den Aufwand reduzieren.

Wie läuft eine ISO-42001-Zertifizierung ab?

Zunächst wird ein KI-Managementsystem aufgebaut und im Unternehmen eingeführt. Dazu gehören unter anderem die Festlegung des Geltungsbereichs, die Bewertung von KI-Risiken, die Einführung geeigneter Maßnahmen sowie interne Audits und eine Managementbewertung.

Anschließend überprüft eine unabhängige Zertifizierungsstelle, ob das Managementsystem die Anforderungen der ISO 42001 erfüllt.

Wie unterstützt glacier bei der Umsetzung der ISO 42001?

Die glacier ac GmbH unterstützt Unternehmen beim Aufbau und der Weiterentwicklung eines KI-Managementsystems nach ISO/IEC 42001. Dazu gehören Bestandsaufnahmen, Gap-Analysen, KI-Risikomanagement, die Entwicklung geeigneter Policies und Prozesse sowie die Vorbereitung auf interne und externe Audits.

Dabei berücksichtigen wir bestehende Managementsysteme und relevante regulatorische Anforderungen, insbesondere den EU AI Act.

‍

Weiterführende Informationen finden Sie auf unserer Themenseite „ISO 42001 – KI braucht mehr als gute Prompts.“

‍

Kryptografie und Verschlüsselung in der Informationssicherheit

Welche Rolle spielt Kryptografie in der Informationssicherheit?

Kryptografie ist ein zentraler Bestandteil moderner Informationssicherheit. Sie sorgt dafür, dass Informationen vertraulich übertragen werden können, nicht unbemerkt verändert werden und eindeutig einem Kommunikationspartner zugeordnet werden können. In Unternehmen wird Kryptografie beispielsweise bei der Verschlüsselung von Datenübertragungen (z. B. TLS), bei VPN-Verbindungen, bei der Festplattenverschlüsselung oder bei digitalen Signaturen eingesetzt.

Welche Anforderungen stellt ISO 27001 an kryptografische Verfahren?

Die ISO 27001 fordert, dass Organisationen geeignete kryptografische Maßnahmen zum Schutz von Informationen einsetzen. Dazu gehören unter anderem Regelungen zur Nutzung von Verschlüsselung, zum sicheren Umgang mit kryptografischen Schlüsseln sowie zur Auswahl geeigneter Verfahren und Schlüssellängen. Welche Maßnahmen konkret erforderlich sind, ergibt sich aus der jeweiligen Risikoanalyse.

Wann sollten Unternehmen Verschlüsselung einsetzen?

Verschlüsselung sollte immer dann eingesetzt werden, wenn sensible oder vertrauliche Informationen gespeichert oder übertragen werden. Typische Einsatzbereiche sind etwa die Absicherung von Internetverbindungen, der Schutz mobiler Geräte, die Verschlüsselung von Datenträgern oder der sichere Austausch von Daten mit Geschäftspartnern.

Müssen Unternehmen sich bereits auf Post-Quantum-Kryptografie vorbereiten?

Auch wenn leistungsfähige Quantencomputer noch nicht verfügbar sind, beschäftigen sich Sicherheitsbehörden und Forschungseinrichtungen bereits intensiv mit sogenannten Post-Quantum-Kryptografieverfahren. Unternehmen sollten daher frühzeitig prüfen, wo in ihrer IT-Infrastruktur kryptografische Verfahren eingesetzt werden und ob diese langfristig angepasst werden müssen. Hintergrund ist unter anderem das Szenario „Store now, decrypt later“, bei dem verschlüsselte Daten heute gesammelt und in Zukunft entschlüsselt werden könnten.

Mehr dazu lesen Sie auch in unserem Blogbeitrag zur Zukunft der Kryptografie im Zeitalter der Quantencomputer.

Was bedeutet Kryptoagilität?

Kryptoagilität beschreibt die Fähigkeit von IT-Systemen, kryptografische Verfahren oder Schlüssellängen flexibel austauschen zu können. Da sich kryptografische Standards im Laufe der Zeit verändern können, ist es wichtig, dass Systeme so gestaltet sind, dass neue Verfahren ohne grundlegende Systemänderungen eingeführt werden können.

Welche Bedeutung hat Verschlüsselung im Kontext von TISAX®?

Auch im TISAX-Umfeld spielt der Schutz von Informationen durch geeignete kryptografische Maßnahmen eine wichtige Rolle. Unternehmen müssen sicherstellen, dass vertrauliche Informationen, etwa Entwicklungsdaten oder personenbezogene Daten, angemessen geschützt werden. Dazu gehören beispielsweise sichere Kommunikationsprotokolle, verschlüsselte Datenspeicherung und ein kontrolliertes Schlüsselmanagement.

‍

‍