Bei der Weiterentwicklung der Informationssicherheit stößt man oft schon zu Beginn auf die Frage, was eigentlich alles berücksichtigt und erledigt werden sollte – und in welcher Reihenfolge. Genau dabei helfen die verschiedenen Rahmenwerke für Informationssicherheit bei der Vorbereitung. Sie fassen Best Practices in einer fertig durchdachten Struktur zusammen, auf deren Basis eine Organisation ihre Sicherheitsarbeit aufbauen kann.
In diesem Blogbeitrag gehe ich auf die gängigsten Rahmenwerke für Informationssicherheit ein und erkläre, warum sie gerade heute für Organisationen so wichtig sind.
Was ist ein Rahmenwerk für Informationssicherheit?
Ein Rahmenwerk für Informationssicherheit ist eine strukturierte Sammlung von Anforderungen, Kontrollmaßnahmen und Praktiken, mit deren Hilfe eine Organisation ihre Risiken erkennen, ihre wichtigsten Daten und Systeme schützen und die Angemessenheit ihrer Maßnahmen nachweisen kann. Manche Rahmenwerke sind freiwillige Standards oder Empfehlungen, andere basieren auf Gesetzen und sind für Organisationen im jeweiligen Anwendungsbereich verpflichtend.
Ein Rahmenwerk schützt an sich nichts, ermöglicht der Organisation aber, Informationssicherheit als beherrschtes Gesamtbild zu betrachten. Ohne ein verfolgtes Rahmenwerk bleibt die Sicherheitsarbeit leicht auf einzelne technische Maßnahmen beschränkt, deren Abdeckung oder Wirksamkeit sich kaum beurteilen lässt.
Die gängigsten Rahmenwerke für Informationssicherheit
Es gibt Dutzende Rahmenwerke, und viele davon überschneiden sich inhaltlich teilweise. Aus Sicht einer finnischen Organisation sind die folgenden am gebräuchlichsten.
ISO/IEC 27001
ISO 27001 ist der weltweit bekannteste Standard für Informationssicherheit. Er legt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) fest – also daran, wie eine Organisation ihre Informationssicherheit kontinuierlich steuert, plant, umsetzt, überwacht und verbessert. Anhang A des Standards umfasst heute 93 Kontrollmaßnahmen, die in organisatorische, personelle, physische und technische Bereiche unterteilt sind.
Für viele Organisationen ist die ISO-27001-Zertifizierung die klarste Möglichkeit nachzuweisen, dass Informationssicherheit systematisch gesteuert und umgesetzt wird. Die Zertifizierung ist jedoch nicht der einzige Grund, den Standard zu nutzen, denn seine Struktur eignet sich auch ohne offizielles Audit hervorragend als Gerüst.
Cybersicherheitsgesetz und NIS2-Richtlinie
Das Cybersicherheitsgesetz trat in Finnland im April 2025 in Kraft und überführte die Anforderungen der EU-NIS2-Richtlinie in nationales Recht. Organisationen im Anwendungsbereich müssen ihre Cybersicherheitsrisiken managen, wesentliche Vorfälle den Behörden melden sowie beispielsweise für Sicherheit, Kontinuität und Schulung des Personals in der Lieferkette sorgen. Die Verantwortung liegt ausdrücklich bei der Geschäftsführung der Organisation.
Auch wenn eine Organisation selbst nicht in den Anwendungsbereich des Gesetzes fällt, wirken sich die Anforderungen häufig entlang der Lieferkette aus. Ein Kunde, der unter das Gesetz fällt, verlangt in der Regel auch von seinen Lieferanten Nachweise über das Niveau ihrer Informationssicherheit.
NIST Cybersecurity Framework (CSF 2.0)
Das Cybersicherheits-Rahmenwerk des US-amerikanischen NIST wird auch in Europa breit eingesetzt. Die 2024 veröffentlichte Version 2.0 gliedert Cybersicherheit in sechs Funktionen: Governance, Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Die Stärke dieses Rahmenwerks liegt in seiner Klarheit – es hilft zu erkennen, ob die Sicherheitsarbeit einer Organisation ausgewogen ist oder sich beispielsweise zu stark auf den Schutz konzentriert.
CIS Controls
CIS Controls ist eine priorisierte Liste von 18 Schutzmaßnahmenpaketen, die auf realen Angriffen basieren. Die Implementierungsgruppen (IG1–IG3) zeigen, wo eine Organisation je nach Größe und Ressourcen am besten ansetzen sollte. Für kleine und mittlere Organisationen eignet sich IG1 als solide Basis-Checkliste: Geräte- und Softwareinventar, Verwaltung von Zugriffsrechten, Updates, Backups und Sicherheitsbewusstsein. Anders als ISO 27001 oder NIST CSF ist CIS Controls kein administratives Rahmenwerk für Informationssicherheit. Es beschreibt nicht, wie Informationssicherheit gesteuert wird, sondern welche konkreten Schutzmaßnahmen umgesetzt werden sollten. Deshalb funktioniert es am besten als Ergänzung zu einem administrativen Rahmenwerk, zur Unterstützung der praktischen Umsetzung.
DSGVO
Die EU-Datenschutz-Grundverordnung ist kein eigentliches Rahmenwerk für Informationssicherheit, verlangt aber angemessene technische und organisatorische Schutzmaßnahmen bei der Verarbeitung personenbezogener Daten. In der Praxis gehen Datenschutz und Informationssicherheit weitgehend Hand in Hand. Dieselben Kontrollmaßnahmen dienen beiden Zielen.
Warum sind Rahmenwerke für Organisationen wichtig?
Viele Organisationen empfinden Rahmenwerke als schwerfällig und bürokratisch. Ich selbst sehe es genau umgekehrt: Ein gut gewähltes Rahmenwerk spart Zeit und Geld, weil es Ressourcen gezielt auf die richtigen Themen lenkt.
Die Vorteile eines Rahmenwerks auf einen Blick:
- Gesamtüberblick über Risiken. Ein Rahmenwerk hilft, blinde Flecken zu erkennen, die einzelne technische Lösungen nicht aufdecken können.
- Priorisierung. Nicht alles muss gleichzeitig erledigt werden. Das Rahmenwerk hilft, kritische Themen von denen zu unterscheiden, die später bearbeitet werden können.
- Klare Verantwortlichkeiten. Wenn Aufgaben und Zuständige definiert sind, bleibt die Informationssicherheit nicht an einer einzelnen Person hängen.
- Nachweis der Compliance. Kunden, Partner, Versicherer und Behörden fragen zunehmend Nachweise über das Sicherheitsniveau an. Dokumentierte, auf einem Rahmenwerk basierende Maßnahmen beantworten diese Fragen.
- Steuerbarkeit durch die Geschäftsführung. Ein Rahmenwerk gibt der Geschäftsführung Verständnis und Kennzahlen, mit denen Informationssicherheit als Teil des unternehmerischen Risikomanagements verfolgt werden kann. Die Geschäftsführung einer Organisation trägt letztlich stets die Verantwortung für die Informationssicherheit.
- Kontinuierliche Verbesserung. Informationssicherheit ist kein Projekt, das zu einem bestimmten Zeitpunkt abgeschlossen ist. Die Entwicklung und Aufrechterhaltung der Informationssicherheit ist ein fortlaufender Prozess.
Digiturvamalli als ISMS-System
Die Wahl des Rahmenwerks ist erst der Anfang. Die größte Herausforderung besteht darin, die Anforderungen in konkrete Maßnahmen umzusetzen und die Sicherheitsarbeit Jahr für Jahr auf dem neuesten Stand zu halten. Auf Excel-Tabellen und Ordner verteilte Dokumentation veraltet schnell, und oft weiß niemand mehr genau, welche Version überhaupt gültig ist. Um diesen Anforderungen gerecht zu werden, wurden Informationssicherheits-Managementsysteme, also ISMS-Tools, entwickelt.
Ein Beispiel dafür ist das bei uns und unseren Kunden eingesetzte Digiturvamalli, ein als SaaS-Dienst betriebenes Informationssicherheits-Managementsystem. Die Anforderungsbibliothek von Digiturvamalli umfasst über 80 Anforderungsrahmenwerke, darunter ISO 27001, NIS2 und das Cybersicherheitsgesetz, DSGVO, NIST CSF, CIS Controls, das Informationsmanagementgesetz und Julkri. Die Organisation wählt die für sie relevanten Rahmenwerke aus, und Digiturvamalli zerlegt deren Anforderungen in konkrete Aufgaben, Anleitungen und Arbeitsaufwände.
Zusammenfassung
Rahmenwerke für Informationssicherheit zeigen auf, was Informationssicherheit beinhalten sollte, und ermöglichen es, das eigene Sicherheitsniveau nachzuweisen. ISO 27001, das Cybersicherheitsgesetz, NIST CSF, CIS Controls und andere Rahmenwerke stehen nicht in Konkurrenz zueinander, sondern ergänzen sich. Entscheidend ist, das für die eigene Organisation passende Rahmenwerk oder die passenden Rahmenwerke auszuwählen und die Anforderungen im Tagesgeschäft zu verankern.
Sind Sie unsicher, welches Rahmenwerk für Ihre Organisation passt oder wie Sie das Thema überhaupt angehen sollen? Lassen Sie uns kurz sprechen und die Situation gemeinsam betrachten. Buchen Sie sich einen passenden Termin in meinem Kalender!
Mika Hakkarainen
CTO, Mitgründer & Consigliere
Mika Hakkarainen ist CTO, Mitgründer und IT-Management-Berater bei Above IT. Er verfügt über fast 30 Jahre Erfahrung in der IT-Branche in verschiedenen Organisationen in Finnland und im Ausland. Mika unterstützt Kunden dabei, sowohl die technische als auch die administrative Informationssicherheit zu verbessern.
