FAQ – Informationssicherheit im Überblick

Grundlegende Fragen zur Informationssicherheit

Was versteht man unter Informationssicherheit?

Informationssicherheit bezeichnet den Schutz von Informationen in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit. Ziel ist es, Informationen vor unbefugtem Zugriff, Verlust, Manipulation oder Ausfall zu schützen – unabhängig davon, ob sie digital, auf Papier oder mündlich vorliegen.

Warum ist Informationssicherheit für Unternehmen wichtig?

Unternehmen sind zunehmend von Cyberangriffen, Datenverlusten und regulatorischen Anforderungen betroffen. Informationssicherheit schützt Geschäftsprozesse, stärkt das Vertrauen von Kunden und Partnern und reduziert rechtliche sowie wirtschaftliche Risiken.

Was ist der Unterschied zwischen Informationssicherheit und Datenschutz?

Datenschutz bezieht sich auf den Schutz personenbezogener Daten und ist rechtlich geregelt, z. B. durch die DSGVO. Informationssicherheit ist weiter gefasst und umfasst den Schutz aller Informationen eines Unternehmens – auch solcher ohne Personenbezug.

Welche Informationen müssen besonders geschützt werden?

Besonders schützenswert sind u. a. personenbezogene Daten, Geschäfts- und Betriebsgeheimnisse, Vertragsunterlagen, technische Dokumentationen sowie Informationen zu IT-Systemen und Sicherheitsmaßnahmen.

‍

ISO 27001, NIS2 und TISAX® – wie hängt das zusammen?

Was ist ISO 27001?

ISO/IEC 27001 ist eine internationale Norm für den Aufbau, Betrieb und die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS). Sie bietet einen systematischen Rahmen für den Umgang mit Informationssicherheitsrisiken.

Was ist NIS2?

NIS2 ist eine EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet bestimmte Unternehmen und Organisationen zur Umsetzung konkreter Sicherheitsmaßnahmen sowie zu Melde- und Nachweispflichten.

Was ist TISAX®?

TISAX® ist ein Prüf- und Austauschmechanismus für Informationssicherheit in der Automobilindustrie und deren Lieferketten. Er basiert inhaltlich auf ISO 27001, ist jedoch branchenspezifisch ausgestaltet.

Was ist der Unterschied zwischen ISO 27001, NIS2 und TISAX®?

ISO 27001 ist ein freiwilliger, internationaler Standard. NIS2 ist eine gesetzliche Verpflichtung für bestimmte Unternehmen. TISAX® ist ein branchenbezogener Standard, der häufig vertraglich gefordert wird. Die Anforderungen überschneiden sich inhaltlich teilweise, verfolgen jedoch unterschiedliche Ziele.

Ersetzt ISO 27001 die Anforderungen aus NIS2 oder TISAX®?

Nein. Eine ISO-27001-Zertifizierung kann die Umsetzung von NIS2 oder TISAX® deutlich erleichtern, ersetzt diese jedoch nicht automatisch. Zusätzliche spezifische Anforderungen müssen gesondert betrachtet werden.

‍

Weiterführende Informationen finden Sie auf unseren Themenseiten zu ISO 27001, NIS2 und TISAX®.

‍

Einstieg und Vorgehen

Wo fängt man mit Informationssicherheit sinnvoll an?

Ein sinnvoller Einstieg ist die Bestandsaufnahme: Welche Informationen, Prozesse und Systeme sind kritisch? Darauf aufbauend können Risiken bewertet und geeignete Sicherheitsmaßnahmen definiert werden.

Brauche ich zwingend eine Zertifizierung?

Eine Zertifizierung ist nicht immer erforderlich. In vielen Fällen reicht ein strukturiertes ISMS ohne formale Zertifizierung aus. Gesetzliche oder vertragliche Anforderungen können jedoch eine Zertifizierung notwendig machen.

Ist Informationssicherheit auch für kleine Unternehmen relevant?

Ja. Auch kleine Unternehmen sind Ziel von Cyberangriffen und müssen gesetzliche Anforderungen erfüllen. Der Umfang der Maßnahmen sollte jedoch immer risikoorientiert und angemessen gewählt werden.

Welche Rolle spielt die Geschäftsleitung?

Die Geschäftsleitung trägt die Gesamtverantwortung für Informationssicherheit. Sie muss Ziele festlegen, Ressourcen bereitstellen und die Umsetzung aktiv unterstützen.

‍

Umsetzung und Unterstützung

Brauche ich externe Unterstützung bei der Informationssicherheit?

Externe Unterstützung ist sinnvoll, wenn internes Know-how fehlt oder Ressourcen begrenzt sind. Sie hilft dabei, Anforderungen effizient und praxisnah umzusetzen.

Wie lange dauert die Einführung eines ISMS?

Die Dauer hängt von Größe, Komplexität und Ausgangslage des Unternehmens ab. In der Praxis reichen die Zeiträume von wenigen Monaten bis zu einem Jahr.

Wie praxisnah ist Informationssicherheit im Alltag umsetzbar?

Richtig umgesetzt, lässt sich Informationssicherheit gut in bestehende Prozesse integrieren. Ziel ist nicht zusätzliche Bürokratie, sondern ein bewusster und strukturierter Umgang mit Risiken.

Wie hängen Informationssicherheit und Compliance zusammen?

Informationssicherheit ist ein zentraler Bestandteil von Compliance. Sie unterstützt die Einhaltung gesetzlicher, regulatorischer und vertraglicher Anforderungen.

‍

Kryptografie und Verschlüsselung in der Informationssicherheit

Welche Rolle spielt Kryptografie in der Informationssicherheit?

Kryptografie ist ein zentraler Bestandteil moderner Informationssicherheit. Sie sorgt dafür, dass Informationen vertraulich übertragen werden können, nicht unbemerkt verändert werden und eindeutig einem Kommunikationspartner zugeordnet werden können. In Unternehmen wird Kryptografie beispielsweise bei der Verschlüsselung von Datenübertragungen (z. B. TLS), bei VPN-Verbindungen, bei der Festplattenverschlüsselung oder bei digitalen Signaturen eingesetzt.

Welche Anforderungen stellt ISO 27001 an kryptografische Verfahren?

Die ISO 27001 fordert, dass Organisationen geeignete kryptografische Maßnahmen zum Schutz von Informationen einsetzen. Dazu gehören unter anderem Regelungen zur Nutzung von Verschlüsselung, zum sicheren Umgang mit kryptografischen Schlüsseln sowie zur Auswahl geeigneter Verfahren und Schlüssellängen. Welche Maßnahmen konkret erforderlich sind, ergibt sich aus der jeweiligen Risikoanalyse.

Wann sollten Unternehmen Verschlüsselung einsetzen?

Verschlüsselung sollte immer dann eingesetzt werden, wenn sensible oder vertrauliche Informationen gespeichert oder übertragen werden. Typische Einsatzbereiche sind etwa die Absicherung von Internetverbindungen, der Schutz mobiler Geräte, die Verschlüsselung von Datenträgern oder der sichere Austausch von Daten mit Geschäftspartnern.

Müssen Unternehmen sich bereits auf Post-Quantum-Kryptografie vorbereiten?

Auch wenn leistungsfähige Quantencomputer noch nicht verfügbar sind, beschäftigen sich Sicherheitsbehörden und Forschungseinrichtungen bereits intensiv mit sogenannten Post-Quantum-Kryptografieverfahren. Unternehmen sollten daher frühzeitig prüfen, wo in ihrer IT-Infrastruktur kryptografische Verfahren eingesetzt werden und ob diese langfristig angepasst werden müssen. Hintergrund ist unter anderem das Szenario „Store now, decrypt later“, bei dem verschlüsselte Daten heute gesammelt und in Zukunft entschlüsselt werden könnten.

Mehr dazu lesen Sie auch in unserem Blogbeitrag zur Zukunft der Kryptografie im Zeitalter der Quantencomputer.

Was bedeutet Kryptoagilität?

Kryptoagilität beschreibt die Fähigkeit von IT-Systemen, kryptografische Verfahren oder Schlüssellängen flexibel austauschen zu können. Da sich kryptografische Standards im Laufe der Zeit verändern können, ist es wichtig, dass Systeme so gestaltet sind, dass neue Verfahren ohne grundlegende Systemänderungen eingeführt werden können.

Welche Bedeutung hat Verschlüsselung im Kontext von TISAX®?

Auch im TISAX-Umfeld spielt der Schutz von Informationen durch geeignete kryptografische Maßnahmen eine wichtige Rolle. Unternehmen müssen sicherstellen, dass vertrauliche Informationen, etwa Entwicklungsdaten oder personenbezogene Daten, angemessen geschützt werden. Dazu gehören beispielsweise sichere Kommunikationsprotokolle, verschlüsselte Datenspeicherung und ein kontrolliertes Schlüsselmanagement.

‍

‍