Die Bausteine eines praxistauglichen Konzepts
Das Konzept muss zur Grösse und Arbeitsweise des Unternehmens passen. Ein kleines Büro braucht eine andere Detailtiefe als eine Praxis mit besonders schützenswerten Daten oder ein Produktionsbetrieb mit vernetzten Anlagen.
- Zweck, Geltungsbereich und betroffene Standorte
- Rollen, Entscheidungswege und Stellvertretungen
- Inventar der wichtigen Systeme, Dienste und Daten
- Schutzbedarf, Risiken und akzeptierte Restrisiken
- organisatorische und technische Schutzmassnahmen
- Meldewege, Notbetrieb und Wiederherstellung
- Kontrolle, Schulung und regelmässige Aktualisierung
In fünf Schritten zum belastbaren Arbeitsstand
Beginne nicht mit Formulierungen, sondern mit dem Betrieb. Welche Leistungen müssen funktionieren, welche Informationen sind kritisch und welche Abhängigkeiten können den Betrieb stoppen?
- 01
Geltungsbereich festlegen
Unternehmen, Standorte, Systeme, Cloud-Dienste und externe Partner eindeutig eingrenzen.
- 02
Verantwortung klären
Geschäftsentscheidungen, technische Umsetzung und Kontrolle voneinander unterscheiden.
- 03
Risiken bewerten
Mögliche Schäden, Eintrittswahrscheinlichkeit und bestehende Schutzmassnahmen gemeinsam betrachten.
- 04
Massnahmen planen
Soll-Zustände, Prioritäten, Verantwortliche und realistische Termine festhalten.
- 05
Wirksamkeit prüfen
Backups testen, Berechtigungen kontrollieren, Vorfälle üben und das Konzept regelmässig aktualisieren.
Die Geschäftsleitung bleibt verantwortlich
Technische Aufgaben können an interne Fachpersonen oder einen IT-Partner delegiert werden. Entscheidungen über Schutzbedarf, akzeptierte Risiken, Budget und betriebliche Prioritäten bleiben jedoch Führungsaufgaben.
Das BACS empfiehlt ausdrücklich, Informationssicherheit nicht allein als Aufgabe der IT zu behandeln. Organisatorische und technische Massnahmen müssen zusammenspielen.
Vom Konzept zur laufenden Steuerung
Ein einmal geschriebenes Dokument veraltet schnell. Neue Mitarbeitende, Cloud-Dienste, Lieferanten und Geschäftsprozesse verändern den Geltungsbereich laufend.
Darum sollte das Konzept mit Aufgaben, Nachweisen, Registern und einer festen Überprüfung verbunden sein. Das Framework hält diese Elemente zusammen, ohne eine umfangreiche Dokumentenverwaltung vorauszusetzen.