In diesem Dokument wird die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicherheitsmanagementsystems (ISMS) der Stadtwerke Dietzenbach GmbH festgelegt. Das System stellt innerhalb der Stadtwerke Dietzenbach GmbH eine strategische Entscheidung dar und richtet sich nach den Bedürfnissen und Zielen, den Sicherheitsanforderungen, den organisatorischen Abläufen sowie Struktur der Stadtwerke Dietzenbach GmbH.

Das ISMS umfasst alle Regelungen, die für die Steuerung und Lenkung des Unternehmens sorgen. Es legt fest, mit welchen Instrumenten und Methoden die Leitungsebene die auf Informationssicherheit ausgerichteten Aufgaben und Aktivitäten nachvollziehbar lenkt, plant, ein­setzt, durchführt, überwacht und verbessert. Dazu gehören wie folgt:

• Managementprinzipien, Ressourcen, Mitarbeiter, Sicherheitsprozesse

Das ISMS richtet sich nach der Norm ISO/IEC 27001:2022 (Informationssicherheit, Cybersicherheit und Datenschutz), dem IT-Grundschutz-Kompendium des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und die NIS2-Richtlinie mit dem für die nationale Umsetzung vorgenommenen BSI-Gesetz. Die ISO-Norm umfasst 93 Kontrollen, die in folgende Maßnahmen-Bereiche unterteilt sind:

• Organisatorisch, Personenbezogen, Physisch, Technologisch

Jede Maßnahme wird durch Attribute gekennzeichnet die sich in folgende fünf Eigenschaften (Attribute) einteilen lassen:

• Kategorisierung, Informationssicherheitsmerkmale, Cybersicherheitskonzepte, Betriebsfähigkeit, Sicherheitsbereiche

Die NIS2 ist die aktuelle EU-Richtlinie zur Stärkung der Cybersicherheit und macht den Aufbau eines robusten Informationssicherheits-Managementsystems (ISMS) erforderlich. Die Richtlinie erfordert von Unternehmen die Umsetzung von angemessenen Sicherheitsmaßnahmen zum Schutz ihrer Netz- und Informationssysteme. Dazu gehören

• die Einführung von Sicherheitsrichtlinien und -verfahren,
• die Identifizierung und Bewältigung von Sicherheitsvorfällen sowie
• die Gewährleistung einer ausreichenden Widerstandsfähigkeit gegen Cyberangriffe.

Diese Maßnahmen werden durch das ISMS zusammengefasst, abgedeckt und ergänzt. Eine Zuordnung zwischen den ISO/IEC 27001:2022 und NIS-2 Bestimmungen kann im folgendem BSI-Dokument eingesehen werden: https://www.openkritis.de/massnahmen/nis2-mapping-standards-implementing.html