ISMS

Ein ISMS (Informationssicherheitsmanagementsystem) ist ein systematischer Ansatz zur Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in einem Unternehmen.

Ein ISMS bietet mehrere Vorteile für ein Unternehmen, zum Beispiel:

Risikominimierung — Ein ISMS hilft, die potenziellen Bedrohungen für die Informationssicherheit zu identifizieren, zu bewerten und zu behandeln, bevor sie zu Schäden oder Verlusten führen. Dadurch werden die Risiken für das Unternehmen reduziert und die Haftung bei Sicherheitsvorfällen verringert.
‍
Rechtskonformität — Ein ISMS unterstützt die Einhaltung der relevanten gesetzlichen und regulatorischen Anforderungen an die Informationssicherheit, wie z.B. die Datenschutz-Grundverordnung (DSGVO) oder die ISO 27001. Dies vermeidet mögliche Sanktionen, Bussgelder oder Klagen bei Verstössen gegen diese Vorschriften.
‍
Wettbewerbsvorteil — Ein ISMS zeigt den Kund:innen, Partner:innen und Stakeholdern, dass das Unternehmen die Informationssicherheit ernst nimmt und ein hohes Mass an Vertrauen und Zuverlässigkeit bietet. Dies kann zu einer verbesserten Kundenzufriedenheit, Loyalität und Reputation führen und neue Geschäftsmöglichkeiten eröffnen.
‍
Effizienzsteigerung — Ein ISMS fördert die Optimierung der Prozesse, Ressourcen und Aktivitäten im Kontext der Informationssicherheit. Dies kann zu einer Erhöhung der Produktivität, Qualität und Kosteneinsparung führen und die Innovationsfähigkeit des Unternehmens stärken.
‍
Schnellerer Sales Cycle — Eine ISMS-Zertifizierung erlaubt schneller Vertragsabschlüsse durch schnellere Lieferantenprüfung ihrer potenziellen Kund:innen.
‍
Reputationsgewinn & Branding — Durch ein Informationssicherheits-Managementsystem bauen Sie Vertrauen auf und steigern die Reputation ihres Unternehmens.

SIDD kann beim Aufbau eines ISMS nach ISO27001 helfen, indem wir:

Eine Lücken-Analyse durchführen, um die bestehenden Stärken und Schwächen des Unternehmens in Bezug auf die Informationssicherheit zu bewerten.
‍
Einen Aktionsplan erstellen, um die notwendigen Massnahmen zur Erfüllung der Anforderungen der Norm zu definieren und umzusetzen.
‍
Die Beschäftigten schulen und sensibilisieren, um das Bewusstsein für die Bedeutung der Informationssicherheit zu erhöhen und die Sicherheitskultur zu fördern.
‍
Die Dokumentation des ISMS unterstützen, indem wir helfen, die relevanten Richtlinien, Verfahren und Nachweise zu erstellen und zu aktualisieren.
‍
Das Unternehmen bei der Vorbereitung, Durchführung und Nachbereitung von internen und externen Audits begleiten und beraten.

Die Kosten für ein zertifiziertes ISMS nach ISO27001 hängen von verschiedenen Faktoren ab, wie:

Die Grösse und Komplexität des Unternehmens und seiner Prozesse
Der Umfang und die Reichweite des Anwendungsbereichs der Zertifizierung
Die vorhandenen Sicherheitsmassnahmen und -dokumente
Die Anzahl und Qualifikation der beteiligten Beschäftigten
Die Wahl des Zertifizierers und der Auditor:innen

Eine pauschale Aussage über die Kosten ist daher nicht möglich, da sie von Fall zu Fall variieren können. Allgemein kann man jedoch sagen, dass kleine Unternehmen mit weniger als 50 Beschäftigten und einem einfachen Geschäftsmodell mit Kosten zwischen 20.000 und 50.000 CHF rechnen können. Grössere Unternehmen mit mehr als 250 Beschäftigten und einer komplexen IT-Landschaft müssen mit Kosten zwischen 50.000 und 200.000 CHF rechnen. Diese Kosten beinhalten sowohl die Beratungsleistungen von SIDD als auch die Gebühren für die Zertifizierung selbst.

Um Ihnen eine genaue Schätzung der Kosten für Ihr individuelles ISMS zu geben, bieten wir Ihnen gerne ein kostenloses Erstgespräch an, in dem wir Ihre Anforderungen und Erwartungen besprechen und Ihnen eine unverbindliche Offerte unterbreiten.

Der Betrieb eines ISMS nach ISO27001 erfordert einen kontinuierlichen Aufwand, um die Wirksamkeit und Aktualität der Sicherheitsmassnahmen zu überprüfen und zu verbessern.

Dies umfasst unter anderem die Durchführung regelmässiger interner Audits, die Analyse von Sicherheitsvorfällen, die Aktualisierung von Risikobewertungen und Dokumentationen, die Sensibilisierung und Schulung der Beschäftigten, die Überwachung der technischen Kontrollen und die Einhaltung der gesetzlichen Anforderungen. Der konkrete Aufwand hängt von der Grösse und Komplexität der Organisation, der Anzahl und Art der betrachteten Prozesse und Informationen, dem Reifegrad des bestehenden Managementsystems und den spezifischen Zielen und Anforderungen der Organisation ab.

SIDD unterstützt Sie dabei, den Betriebsaufwand so gering wie möglich zu halten, indem wir Ihnen geeignete Werkzeuge und Methoden zur Verfügung stellen, Ihnen bei der Planung und Durchführung der notwendigen Aktivitäten helfen und Ihnen regelmässiges Feedback und Verbesserungsvorschläge geben. Als externe Auditorin nehmen wir Ihnen ausserdem einen Teil der Verantwortung und der administrativen Arbeit ab, sodass Sie sich auf Ihr Kerngeschäft konzentrieren können.

Zudem arbeiten wir optional softwaregestützt mit der Priverion Plattform, um ein noch effizienteres Risikomanagement zu ermöglichen.

Nach der Beauftragung von SIDD erfolgt das Onboarding:

Vertragsunterzeichnung

Wir schliessen einen Dienstleistungsvertrag ab, der die Rahmenbedingungen und den Leistungsumfang unserer Tätigkeit enthält. Natürlich digital 😉

Kick-off Meeting

Wir führen ein Kick-off Workshop mit Ihnen durch, um uns kennenzulernen, die Erwartungen abzustimmen und die nächsten Schritte zu besprechen.

Festlegung des Anwendungsbereichs

Definition des Anwendungsbereichs, also welche Bereiche des Unternehmens vom ISMS abgedeckt werden.

Festlegung der ISMS-Politik

Entwicklung einer Informationssicherheitspolitik, die die Verpflichtungen und Ziele des Unternehmens in Bezug auf Informationssicherheit festlegt.

Risikobewertung und Risikobehandlung

· Identifikation von Assets (Informationen und Ressourcen), Bedrohungen und Schwachstellen

· Entwicklung von Massnahmen zur Risikobehandlung, um Risiken zu reduzieren oder zu akzeptieren

Auswahl von Sicherheitskontrollen

· Festlegung von Sicherheitskontrollen basierend auf den identifizierten Risiken und den Anforderungen der ISO 27001

· Integration von geeigneten Sicherheitskontrollen aus Annex A der ISO 27001

Erstellung von Dokumentation

· Entwicklung von Dokumenten wie Sicherheitsrichtlinien, Verfahren und Arbeitsanweisungen.

· Erstellung eines Risikobehandlungsplans

Implementierung und Schulung

· Implementierung der festgelegten Sicherheitskontrollen und Prozesse

· Schulung von Beschäftigten und Stakeholdern in Bezug auf die Informationssicherheitsrichtlinien und -verfahren

Überwachung und Messung

· Einführung von Überwachungs- und Messprozessen zur Bewertung der Leistung des ISMS

· Überprüfung und Überwachung von Sicherheitsereignissen

Bewertung der Leistung

· Durchführung interner Audits, um die Konformität des ISMS mit ISO 27001 zu prüfen

· Bewertung der Wirksamkeit der implementierten Sicherheitskontrollen

Managementbewertung

· Regelmässige Überprüfung des ISMS durch das Top-Management

· Identifikation von Verbesserungsmöglichkeiten und Anpassungen an das ISMS

Zertifizierung (optional)

Einholung einer Zertifizierung durch eine unabhängige Zertifizierungsstelle, um die Konformität mit ISO 27001 zu bestätigen.