Mit „nur IT“ ist es nicht getan
Wie wichtig es ist, dass alle Verbandsmitglieder sehr gut abgesichert sind, zeigte sich spätestens beim Cyberangriff. Wie entwickelte sich das Thema ISMS?
Der Gedanke, der Sicherheit eine der bedeutendsten Rollen zuzuspielen, war bereits weit vor dem Angriff vorhanden. Dieser Vorfall war dann natürlich ein sehr deutlicher Weckruf, das Tempo zu erhöhen. Und hier sprechen wir nicht nur von einer rein technischen Sicherheit.
Denn wenn wir im Fall der Fälle einfach die Rechner herunterfahren, haben wir keinen Zugriff mehr auf unsere Daten. Daher müssen wir die Balance zwischen der Sicherheit im Bereich IT, zwischen der Verfügbarkeit und auch der Integrität von Daten schaffen. Ein Dreieck, das die Grundlage für alles legt. Bei schnelllebigen Systemupdates oder Software-Neueinführungen ist eine hundertprozentige Sicherheit kaum denkbar.
Wie kann die SIT und wie können die Verbandsmitglieder alles im Blick behalten?
Beim Aufspielen von Patches oder der kurzfristigen Freischaltung von Firewalls gehen wir im täglichen Doing immer wieder Risiken ein. Das müssen wir auch, sonst entwickeln wir uns nicht weiter. Genau aus diesem Grund werden wir, mit offiziellem Verbandsbeschluss, ein einheitliches ISMS bei unseren Kunden einführen.
Einheitlich, weil wir dann Entscheidungen aus einem Managementprozess heraustreten und keine individuellen Impulsaktionen zulassen. Es definiert sich auch als Risikomanagementsystem, das Prozesse, Bedrohungen und Maßnahmen zur Risikominderung umfasst.
Es handelt sich also um einen strukturierten Prozess, aus dem Entscheidungen für die ITSicherheit hergeleitet werden?
Genau darum wird es gehen. Grundsätzlich gehört dann zu einem ISMS auch ein Business Continuity Management. Was passiert denn in der Zeit, in der mein System nicht läuft? Wie bin ich dann arbeitsfähig - auch durch Nicht-IT-Maßnahmen? So etwas einheitlich für alle in der Schublade zu haben, hilft, Risiken und Schäden deutlich zu minimieren. Die Synergieeffekte im Verband verschaffen uns ein Alleinstellungsmerkmal. Das ist die Idee hinter dem ISMS-Projekt.
Wie genau sieht die Implementierung bei den Verbandsmitgliedern aus?
Nach einer europaweiten Ausschreibung haben wir uns für den Dienstleister Deloitte entschieden, der uns dabei unterstützt. Gemeinsam gehen wir in einem Mehr-Phasen-Konzept vor. Im ersten Schritt haben wir eine Sicherheits-Bestandsaufnahme gemacht, um daraus die Handlungsfelder in jeder einzelnen Kommune abzuleiten. Diese erfassen wir bis Ende 2025 in einem Muster-ISMS.
Dabei unterscheiden wir nach den Bedarfen von kleineren Städten und Gemeinden im Vergleich zu größeren Kreisen. Von der Basis Sicherheitsebene bis hin zur Vorbereitung für eine BSIZertifizierung wird alles dabei sein.
Ab 2026 starten wir mit einer Workshopreihe, mit dem Ziel, basierend auf den Vorlagen die Sicherheitsmaßnahmen bei allen auf Stand zu bringen. Schlussendlich entlasten wir damit den IT-Koordinator, damit dieser nicht alle Entscheidungen selber treffen muss.
Denn Informationssicherheit und ein Business Continuity Management sind nicht Aufgabe des IT-Koordinators, sondern die der Führungsspitze.