Mit der Freigabe ist ein ISMS nicht fertig. Neue Systeme, Vorgaben und Dienstleister ändern seine Grundlagen. BlueProceedings ISMS verbindet die Arbeit von der Planung bis zur Prüfung – damit sichtbar bleibt, was gilt, wer entscheidet und was erneut auf den Tisch gehört. Die Funktionen sind nach den fünf Prozessschritten des BSI-Standards 300-1 geordnet: 1 Erhebung und Planung · 2 Anforderungsanalyse · 3 Realisierung · 4 Überwachung · 5 Kontinuierliche Verbesserung · quer durch alle Schritte.
Erhebung und Planung nach BSI-Standard 300-1, Kapitel 2: Die Leitung gibt den Rahmen vor, die Arbeit wird auf mehrere Schultern verteilt. Alle elf Teilschritte mit Bildern aus der Pre-Alpha.
Interne und externe Einflussfaktoren, gesetzliche und vertragliche Verpflichtungen sowie Entscheidungen dazu stehen an einem Ort. Ändert sich ein verwendeter Faktor wesentlich, weist die Anwendung auf betroffene Entscheidungen zur Prüfung hin.
Prozesse, Systeme und andere erfasste Objekte gehören grundsätzlich dazu; Ausschlüsse werden begründet. Erwartungen interessierter Parteien lassen sich erfassen und gewichten.
Geschäftsprozesse werden mit ihren Informationen und Abhängigkeiten beschrieben. Schadensszenarien helfen, den Schutzbedarf je Schutzziel zu begründen.
Sicherheitsziele, Leitlinie und ISMS-Dokumente erhalten einen nachvollziehbaren Stand mit Freigabe und Kommunikation.
Fachbereiche pflegen ihre Angaben, der ISB steuert, die Leitung entscheidet. Die RACI-Matrix zeigt Zuständigkeiten; der Vertretungsplan warnt vor unbesetzten Rollen.
Die Leitung legt den Rahmen für Bewertungen und Entscheidungen fest. Sie kann bestimmen, ob Restrisiken anhand freigegebener Regeln oder einzeln zur Entscheidung vorgelegt werden.
Einflussfaktoren und Stakeholder werden den Gruppen des Standards (Kapitel 2.1.1, 2.1.2 und 2.4) oder eigenen Gruppen zugeordnet. Die Landkarte zeigt, wozu noch nichts erfasst ist. Zum Kontext.
Ein Faktor kann an eine Kennzahl gebunden sein. Nennt eine Entscheidung ihn, bleibt der damalige Wert festgehalten und steht neben dem heutigen.
Überprüfungen und Fristen von Faktoren, Stakeholdern und Compliance-Verpflichtungen an einer Stelle, nach überfällig und Zeitraum.
Je Compliance-Verpflichtung und Objekt: gilt sie hier, warum, und wie viele Anforderungen sind umgesetzt? Erfüllt zählt nur mit gültigem Nachweis. Darunter stehen Objekte ohne Verpflichtung und Verpflichtungen ohne Objekt. Zur Compliance.
Objekte innerhalb je Art, Ausschlüsse namentlich mit Begründung und die Schnittstellen über die Grenze; eine Entscheidungsvorlage bereitet die Freigabe durch die Leitung vor.
Stakeholder-Landkarte und Erwartungs-Trichter zeigen, welche Erwartungen übernommen und mit Maßnahmen hinterlegt sind. Freigegebene Gewichte fließen in einen Vorschlag P1 bis P5 ein, ohne Gesamtpunktzahl und mit dem Grund. Zu den interessierten Parteien.
Zu einem Prozess zeigt die Anwendung, welche Stakeholder, Compliance-Verpflichtungen und Faktoren zu welchen Entscheidungen geführt haben. Ändert sich eine Quelle, führt der Weg direkt zu dem, was neu zu prüfen ist. Darüber hinaus.
Je Teilschritt 2.1 bis 2.11 ein Stand mit einer nachprüfbaren Tatsache, ohne Gesamtzahl. Die Leitungsmappe zeigt alle Freigaben mit Fassung, Rolle, Datum und Termin zur Überprüfung.
Je Rolle Besetzung, Vertretung, RACI und Funktionstrennung. Wer laut RACI beraten oder informiert wird, sieht es in einer eigenen Liste.
Die Zahl der Nutzenden ist nicht begrenzt: Jede Fachabteilung pflegt ihre Prozesse und Objekte selbst, der ISB bündelt, die Leitung gibt frei.
Klassisch holt der ISB jeden Fachbereich in einen Termin, trägt die Ergebnisse zusammen und geht mit den Risiken zur Leitung. Jede Rückfrage braucht einen neuen Termin.
In BlueProceedings ISMS erfassen die Fachbereiche ihre Prozesse und Objekte gleichzeitig selbst. Der ISB bündelt und meldet zurück, die Leitung prüft im Rahmen ihrer Regeln. Die Darstellung ist schematisch und keine Messung.
Fällt jemand aus, bleibt oft offen, wer die Aufgaben übernimmt. Der Vertretungsplan legt Abwesenheiten und Vertretungen je Rolle nebeneinander und weist auf Lücken hin.
Im Beispiel fehlt während einer Abwesenheit die Vertretung für die Rolle Auditor. Der Plan zeigt die eingetragenen Abwesenheiten, nicht deren Grund.
Anforderungsanalyse nach BSI-Standard 300-1, Kapitel 3: vom Geschäftsprozess zum passenden Anforderungspaket.
Prozesse, Informationen, Komponenten, Dienstleister, Standorte und Schnittstellen werden verknüpft. Derselbe Bestand dient auch Risiken, Berichten und Notfallvorsorge.
Kataloge werden mit Version und Herkunft eingelesen. Ein Vergleich zeigt Änderungen, bevor ein Informationsverbund auf einen neuen Stand wechselt. Zur Katalogverwaltung.
Zielobjektkategorien, Kataloge und Blaupausen führen zum Anforderungspaket. Herkunft, Parameter und begründete Ausnahmen bleiben sichtbar.
Informationsverbund-, Komponentensatz- und Komponentenvorlagen helfen, wiederkehrende Strukturen und Erfahrungswissen erneut zu nutzen.
Vor dem Wechsel auf einen neuen Katalogstand zeigt eine eigene Seite je Informationsverbund, welche Anforderungen neu, geändert oder entfallen sind und welcher Status sich dadurch ändert.
Jede Anforderung hat eine eigene Seite mit Gliederung, Status je Objekt, Risikokandidaten und Verlauf.
Ein institutionsweites Mindestniveau und ein Zielniveau je Informationsverbund steuern, welche Anforderungen gelten; „erhöht“ verlangt eine aktuelle Schutzbedarfsfeststellung. Mehr im Anwenderkatalog.
Je Komponente und Leistungsmodell (IaaS, PaaS, SaaS, Outsourcing) wird festgelegt, welche Praktiken bei euch, beim Dienstleister oder geteilt liegen (Kapitel 3.1, Outsourcing-Abgrenzung). Zur Dienstleistersteuerung.
Realisierung nach BSI-Standard 300-1, Kapitel 4: vom Umsetzungsstand zur begründeten Entscheidung.
Verantwortliche erfassen den Umsetzungsstand und planen offene Arbeit. Herkunft und Bezug zum eigenen Objekt bleiben an der Anforderung.
Ein Graph zeigt, welche Objekte über Abhängigkeiten mitbetroffen sein könnten. Die Anwendung schlägt vor; Menschen bestätigen, verwerfen oder klären die Vorschläge.
Die Risikoakte verbindet Ursache, Bewertung, betroffene Objekte, Behandlung, Maßnahme, Restrisiko und Wiedervorlage. Zum Risikomanagement.
Verantwortung, Frist und Fortschritt stehen bei der Maßnahme. Was nach der Behandlung verbleibt, wird erneut bewertet und zur Entscheidung vorgelegt.
Anlass, Bezüge und Einflussfaktoren stehen an der Maßnahme. Die vorgeschlagene Priorität nennt ihren Grund, etwa eine überschrittene Frist oder die Gewichtung eines Stakeholders.
Gefährdungen aus dem Register werden je Asset betrachtet; am Ende stehen Risikokandidaten, kein automatisch angelegtes Risiko. Jeder Informationsverbund entscheidet, ob die Analyse für ihn hinreichend ist.
Die Leitung legt je Zelle der Risikomatrix fest, ob ein Restrisiko vorab akzeptiert, einzeln entschieden oder abgelehnt wird. Ausnahmen sind befristet, bei MUSS-Anforderungen ausgeschlossen. Zum Risikorahmen.
Eine Zeile im Risikoregister verrät nicht, woher ein Risiko kommt, was dagegen getan wird und was übrig bleibt. Jedes Risiko hat deshalb eine eigene Seite mit Ursache, Bewertung, Behandlung, Maßnahme und Restrisiko.
Im Beispiel ist die Anforderung zur Speicherverschlüsselung noch nicht umgesetzt; die Maßnahme ist in Umsetzung. Mehr auf der Seite Risikomanagement.
Ein Datenbank-Cluster fällt aus. Welche Prozesse und Komponenten davon abhängen, zeigt die Ausbreitungsprüfung anhand der erfassten Beziehungen.
Die Anwendung schlägt mögliche Betroffenheiten vor. Ihr prüft jeden Vorschlag und bestätigt oder verwerft ihn mit Begründung.
Überwachung nach BSI-Standard 300-1, Kapitel 5: Ein vorhandenes Dokument und ein erledigter Arbeitsschritt sind noch keine Wirksamkeitsprüfung.
Bezug, Gültigkeit und Prüfstatus stehen beim Nachweis. Zum Nachweismanagement.
Auditprogramm, Feststellungen, Kennzahlen und Managementbewertung führen Prüfergebnisse und Entscheidungen zusammen.
Ein Sicherheitskonzept ist eine Momentaufnahme. Ändern sich Grundlagen, zeigt ein Hinweis, warum es veraltet ist. Zum Berichtswesen.
Erwartungen werden importiert und Nachweise als Prüfpaket exportiert. Der Austausch benötigt kein Gastkonto.
Eingebaute, berechnete und manuell gemessene Kennzahlen mit Zielwert, Schwellen und Zeitreihe; Ziele der Leitlinie lassen sich mit ihnen verbinden. Der Wert wird angezeigt, nicht bewertet.
Je Bericht ein Erzeugungsintervall und aufbewahrte Stände; das Dokument entsteht aus einem gewählten Stand. Zum Berichtswesen.
Die dem Audit zugeordneten Anforderungen als Checkliste; ein eingereichtes Audit ist als Ergebnisstand eingefroren, Korrekturen laufen über einen protokollierten Rücksetzvorgang.
Ein Sicherheitskonzept hält einen Stand fest. Ändern sich danach seine Grundlagen, zeigt die Anwendung, welche Bereiche betroffen sind und wann sie geändert wurden.
Das Beispiel zeigt einen Informationsverbund mit Demodaten. Die Verantwortlichen prüfen, was neu bewertet und berichtet werden muss.
Eine Maßnahme lässt sich erst abschließen, wenn Wirksamkeitskriterien geprüft sind, ein gültiger Nachweis akzeptiert ist und die erforderliche Freigabe vorliegt (BSI-Standard 300-1, Kapitel 6.4). Fehlt etwas, sagt die Anwendung, was.
Im Beispiel stammt die Maßnahme aus einer Audit-Feststellung; die Kriterien für die Wirksamkeitsprüfung fehlen noch. Mehr auf der Seite Nachweismanagement.
Kontinuierliche Verbesserung nach BSI-Standard 300-1, Kapitel 6: Aus Feststellungen wird Folgearbeit, deren Wirkung geprüft wird.
Eine Maßnahme lässt sich erst abschließen nach geprüften Wirksamkeitskriterien, gültigem Nachweis und erforderlicher Freigabe. Im Kleinunternehmen-Modus entfällt nur die personelle Trennung.
Eine Zeitlinie hält Ereignisse und Entscheidungen fest; Korrekturen werden ergänzt. Erkenntnisse können bewusst in Folgearbeit übernommen werden.
BIA, Verfahren, Organisation und Übungen nutzen den gemeinsamen Bestand. Im Lagezentrum stehen Plan und Ist nebeneinander. Zu BCM und Notfallmanagement.
Einrichtungsassistent, Feldhilfe und eine getrennte Übungsumgebung helfen beim Einstieg. Zum Lern-Modus.
Berührt ein Ereignis ein bestehendes Risiko inhaltlich, etwa Sicherheitsniveau oder Schutzziel, steht das Risiko wieder zur Prüfung an (Anhang 3, Kriterium 35). Ein geänderter Einflussfaktor erzeugt Prüfhinweise an den Entscheidungen, die auf ihm beruhen.
Für den Ausfall eines Standorts oder Objekts vergleicht die Anwendung Planungsverfahren für die Reihenfolge des Wiederanlaufs mit begrenztem Personal. Das Ergebnis ist ein Planungsvorschlag, keine Lagebeurteilung. Zu BCM und Notfallmanagement.
Fällt ein Standort oder ein Objekt aus, muss schnell entschieden werden, was zuerst wieder anläuft. Mit begrenztem Personal gibt es viele mögliche Reihenfolgen.
Die Anwendung vergleicht Planungsverfahren anhand der hinterlegten Abhängigkeiten und Annahmen. Das Ergebnis ist ein Planungsvorschlag; der Krisenstab beurteilt die tatsächliche Lage.
Im Lagezentrum steht der Plan eines Krisenlaufs neben dem tatsächlichen Ablauf: Was läuft, was ist abgeschlossen und wo entsteht Verzug?
Das Beispiel zeigt eine Funktionsübung mit mehreren Teams. Die Fortschreibung hilft beim Überblick; der Krisenstab beurteilt die Lage.
Einige Funktionen gehören zu keinem einzelnen Prozessschritt.
Dienstleister-Cockpit, versionierte Zusicherungen, Subdienstleister-Ketten, Risikomeldungen auch im OSCAL-Format, Wirkung je Prozess und Angebotsvergleich. Zur Dienstleistersteuerung.
Einreichen, Freigeben und Ablehnen tragen eine Begründung und auf Wunsch die Einflussfaktoren, die die Entscheidung geprägt haben. Das Ereignis wird zusammen mit dem Statuswechsel gespeichert.
Ein Sicherheitskonzept kennt seinen Datenstand. Ändern sich danach Risiken, Schutzbedarf oder andere Grundlagen, nennt ein Hinweis die betroffenen Bereiche. Zum Berichtswesen.
Persönliche Aufgaben, Kalenderdatei der Fälligkeiten, Papierkorb, signierte Vorlagenpakete, verschlüsselte Datenbank und weiteres. Zu den weiteren Funktionen.
Weitere Funktionen sind bereits umgesetzt; die Beitragsreihe stellt sie Prozessschritt für Prozessschritt vor. Schaut in die Neuigkeiten oder folgt BlueProceedings auf LinkedIn.
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Die Funktionsbeschreibung gibt den Stand der Pre-Alpha wieder; methodische Aussagen sind als solche benannt und belegt.
Auf der Startseite zeigen wir anhand von Demodaten, wie einzelne Schritte in der Pre-Alpha aussehen.