ISMS-Tools

Anforderungen an ISMS-Tools und Übersicht von verschiedenen ISMS-Tools im Vergleich der Unterstützung von verschiedener Standards und Anforderungen.

Einleitung

Die folgende Seite gibt einen Überblick über die Unterstützung der relevanten Standards und Anforderungen durch verschiedene ISMS-Tools, die im deutschsprachigen Raum besonders verbreitet sind. Die Tabelle umfasst die gängigsten Tools und erhebt keinen Anspruch auf Vollständigkeit und Richtigkeit.

Die Tools wurden nicht getestet und die Informationen stammen von den Herstellerseiten oder anderen öffentlich zugänglichen Quellen. Die Tabelle zeigt, welche Standards wie ISO/IEC 27001, BSI IT-Grundschutz, CISIS12 und VDA ISA von den jeweiligen Tools unterstützt werden. Darüber hinaus werden zusätzliche technische und organisatorische Funktionen wie Dokumentationsmanagement, Risikomanagement, Compliance-Management und API-Unterstützung erfasst. Diese Übersicht soll helfen, das geeignete ISMS-Tool zu identifizieren, das die eigenen Anforderungen am besten erfüllt.

Vor einer Entscheidung sollten in jedem Fall die Hersteller kontaktiert werden, um den tatsächlichen Funktionsumfang der aktuellen Version zu erfragen. Wer ein Tool im Einsatz hat und Fehler in der Tabelle feststellt, kann diese gerne aktualisieren.

Liste von ISMS-Tools

Hier werden die in Deutschland am häufigsten genutzten Tools, sortiert nach ihrer Verbreitung, mit einer Kurzbeschreibung und Links zu den Herstellern vorgestellt:

Verinice

Verinice ist ein Open-Source-Tool zur Verwaltung von Informationssicherheitsmanagementsystemen (ISMS) und wird häufig für die Implementierung nach ISO/IEC 27001 und BSI IT-Grundschutz verwendet. Es bietet umfassende Funktionen zur Risikobewertung, Compliance-Überwachung und Dokumentenverwaltung. Verinice ist besonders in öffentlichen Einrichtungen und mittelständischen Unternehmen verbreitet.

Mehr Informationen zu Verinice

HiScout

HiScout ISMS ist eine in Deutschland entwickelte Softwarelösung, die eine nahtlose Integration des BSI IT-Grundschutzes und der ISO/IEC 27001 ermöglicht. Es bietet eine umfassende Plattform zur Verwaltung von ISMS, Datenschutz und Business Continuity Management. HiScout wird häufig in größere Unternehmen und Organisationen eingesetzt, die eine umfassende und skalierbare Lösung benötigen.

Mehr Informationen zu HiScout

i-doit

i-doit ist ein flexibles IT-Dokumentationssystem, das auch als Basis für ein ISMS nach ISO/IEC 27001 genutzt werden kann. Es bietet umfangreiche Funktionen zur Dokumentation von IT-Infrastrukturen und zur Verwaltung von Sicherheits- und Compliance-Daten. i-doit ist besonders in IT-Abteilungen und für Unternehmen geeignet, die eine detaillierte Dokumentation ihrer IT-Assets benötigen.

Mehr Informationen zu i-doit

DocSetMinder

DocSetMinder ist ein spezialisiertes Tool zur Unterstützung von ISMS nach ISO/IEC 27001 und BSI IT-Grundschutz. Es bietet Funktionen zur Erstellung und Verwaltung von Dokumentationen, Risikomanagement und Audits. DocSetMinder ist besonders für Unternehmen geeignet, die eine strukturierte und umfassende Dokumentation ihrer Sicherheitsmaßnahmen benötigen.

Mehr Informationen zu DocSetMinder

QSEC

QSEC ist eine integrierte Softwarelösung für Governance, Risk & Compliance (GRC), die besonders für die Implementierung von ISMS nach ISO/IEC 27001 und BSI IT-Grundschutz ausgelegt ist. Die Software bietet Module für Risikomanagement, Compliance-Management und Datenschutz. QSEC ist besonders in größeren Unternehmen beliebt, die eine umfassende und flexible GRC-Lösung suchen.

Mehr Informationen zu QSEC

INDITOR

INDITOR ist ein spezialisiertes Tool für die Umsetzung der ISO/IEC 27001 oder BSI IT-Grundschutzes. Es unterstützt Unternehmen bei der Implementierung und Überwachung von Sicherheitsmaßnahmen gemäß den Anforderungen der ISO oder des BSI. Die Software bietet eine benutzerfreundliche Oberfläche und umfangreiche Funktionen zur Dokumentation und Analyse von Sicherheitsmaßnahmen.

Mehr Informationen zu INDITOR BSI

IT-Grundschutz-Cockpit

Das IT-Grundschutz-Cockpit ist ein Tool zur Unterstützung der IT-Grundschutz-Methodik des BSI. Es ermöglicht die einfache Verwaltung und Umsetzung der Anforderungen des BSI IT-Grundschutzes, inklusive Risikomanagement und Sicherheitsanalysen. Das Tool ist besonders für Organisationen geeignet, die den IT-Grundschutz nach BSI effizient umsetzen möchten.

Mehr Informationen zum IT-Grundschutz-Cockpit

fuentis Suite

Die fuentis Suite bietet eine umfassende Lösung für die Verwaltung von ISMS, IT-Compliance und Datenschutzmanagement. Sie unterstützt die Umsetzung von Sicherheitsstandards wie ISO/IEC 27001 und BSI IT-Grundschutz und bietet Funktionen für Risikomanagement, Auditierung und Berichtswesen. Die Suite ist besonders für größere Unternehmen und öffentliche Verwaltungen geeignet.

Mehr Informationen zur fuentis Suite

BIC BSI Grundschutz

BIC BSI Grundschutz ist eine Softwarelösung zur Unterstützung des BSI IT-Grundschutzes und ISO/IEC 27001. Sie bietet umfassende Funktionen zur Umsetzung, Überwachung und Dokumentation von Sicherheitsmaßnahmen gemäß den Vorgaben des BSI. Das Tool ist besonders für Unternehmen und Behörden geeignet, die ihre Sicherheitsprozesse effizient und konform gestalten möchten.

Mehr Informationen zu BIC BSI Grundschutz

Beschreibung der Anforderungen

Die folgenden Anforderungen an ISMS-Tools werden häufig zur Entscheidungsfindung und Toolauswahl herangezogen:

Unterstützung von ISO/IEC 27001:

• Das Tool unterstützt die Implementierung und Verwaltung eines Informationssicherheitsmanagementsystems (ISMS) gemäß dem internationalen Standard ISO/IEC 27001.

Unterstützung von BSI IT-Grundschutz:

• Das Tool unterstützt den BSI IT-Grundschutz, ein umfassendes Konzept zur Identifizierung und Bewertung von Sicherheitsrisiken und der Implementierung von Schutzmaßnahmen nach dem deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI).

Unterstützung von CISIS12:

• Das Tool unterstützt den CISIS12-Standard, der speziell für kleine und mittlere Unternehmen entwickelt wurde und eine vereinfachte Umsetzung von Informationssicherheit ermöglicht. Es gibt derzeit nur wenig Tools die CISIS12 unterstützen, von den hier betrachteten Top10 ist leider keines dabei. Dennoch ist dieser Standard der Vollständigkeit halber mit aufgeführt.

Unterstützung von VDA ISA:

• Das Tool unterstützt den VDA ISA (Verband der Automobilindustrie Information Security Assessment), der spezifische Anforderungen für Informationssicherheit in der Automobilindustrie beschreibt.

Unterstützung KRITIS:

• Das Tool unterstützt spezifische Anforderungen für Betreiber Kritischer Infrastrukturen gemäß dem deutschen IT-Sicherheitsgesetz (IT-SiG).

Unterstützung NIS2:

• Das Tool unterstützt die Anforderungen der NIS2-Richtlinie der EU.

Unterstützung Datenschutz:

• Das Tool unterstützt die Anforderungen des Datenschutzmanagements, der DSGVO und des BDSG.

Dokumentationsmanagement:

• Das Tool bietet Funktionen zur Verwaltung und Versionierung von Sicherheitsdokumentationen, Richtlinien und Prozessen.

Risikomanagement:

• Das Tool unterstützt die Identifikation, Bewertung und Behandlung von Risiken, die die Informationssicherheit betreffen.

Compliance-Management:

• Das Tool hilft bei der Einhaltung von gesetzlichen und regulatorischen Anforderungen, indem es Compliance-Aufgaben verwaltet und überwacht.

Asset-Management:

• Das Tool ermöglicht die Verwaltung von Informationswerten (Assets) und deren Zuordnung zu Schutzklassen und Sicherheitsmaßnahmen.

Vorfallmanagement:

• Das Tool bietet Funktionen zur Erfassung, Bewertung und Nachverfolgung von Sicherheitsvorfällen und zur Verwaltung von Reaktionsmaßnahmen.

Benutzer- und Rollenmanagement:

• Das Tool unterstützt die Verwaltung von Benutzerkonten und Rollen, einschließlich der Definition und Steuerung von Zugriffsrechten.

Mehrstufige Authentifizierung:

• Das Tool bietet Unterstützung für eine mehrstufige Authentifizierung, um den Zugriff auf das System zusätzlich abzusichern.

Protokollierung und Audit-Trails:

• Das Tool protokolliert Aktivitäten im System und erstellt Audit-Trails, die für Sicherheitsüberprüfungen und Audits verwendet werden können.

Risikobewertungsmethoden (qualitativ, quantitativ):

• Das Tool unterstützt sowohl qualitative als auch quantitative Methoden zur Bewertung von Informationssicherheitsrisiken.

Szenarioanalyse:

• Das Tool bietet Funktionen zur Durchführung von "Was-wäre-wenn"-Szenarien, um die Auswirkungen von Sicherheitsvorfällen oder Risikoveränderungen zu simulieren.

Automatisierte Berichterstellung:

• Das Tool ermöglicht die automatisierte Erstellung von Berichten über den Sicherheitsstatus, Risiken, Compliance und andere relevante Aspekte.

Dashboard-Funktionalität:

• Das Tool bietet interaktive Dashboards, die den aktuellen Sicherheitsstatus, Risiken und andere wichtige Kennzahlen in Echtzeit visualisieren.

Vorlagen und Best Practices:

• Das Tool stellt vorgefertigte Vorlagen und Best Practices zur Verfügung, um die Implementierung und Verwaltung von Sicherheitsprozessen zu erleichtern.

Workflow-Management:

• Das Tool ermöglicht die Definition und Automatisierung von Sicherheitsprozessen und Workflows, einschließlich Genehmigungs- und Eskalationsprozessen.

Aufgabenverteilung und -verfolgung:

• Das Tool bietet Funktionen zur Zuweisung und Nachverfolgung von Aufgaben, die im Zusammenhang mit der Informationssicherheit stehen.

API-Unterstützung:

• Das Tool bietet eine API, die die Integration mit anderen Systemen und Anwendungen ermöglicht.

Import-/Export-Funktionalitäten:

• Das Tool unterstützt den Import und Export von Daten, um die Integration mit anderen Systemen zu erleichtern.

Anpassungsfähigkeit:

• Das Tool bietet Flexibilität bei der Anpassung an die spezifischen Bedürfnisse und Prozesse einer Organisation.

Skalierbarkeit:

• Das Tool ist in der Lage, mit den Anforderungen einer wachsenden Organisation mitzuwachsen, ohne an Leistung oder Funktionalität zu verlieren.

Mandantenfähigkeit:

• Das Tool unterstützt die Verwaltung mehrerer Organisationseinheiten oder Standorte innerhalb eines Unternehmens (Mandantenfähigkeit).

Intuitive Benutzeroberfläche:

• Das Tool verfügt über eine benutzerfreundliche und leicht verständliche Benutzeroberfläche, die die Bedienung erleichtert.

Mehrsprachigkeit:

• Das Tool unterstützt mehrere Sprachen für die Benutzeroberfläche und die Dokumentation.

Schulung und Support:

• Das Tool bietet Zugang zu Schulungen, Dokumentationen und technischem Support, um die Implementierung und Nutzung zu erleichtern.

Regelmäßige Updates:

• Das Tool wird regelmäßig aktualisiert, um Sicherheitslücken zu schließen und neue Funktionen bereitzustellen.

Support und Wartung:

• Das Tool bietet fortlaufenden Support und Wartungsdienste, um den sicheren und effizienten Betrieb zu gewährleisten.

Lizenzmodell (flexibel, nach Bedarf):

• Das Tool bietet ein flexibles Lizenzmodell, das auf die spezifischen Bedürfnisse der Organisation zugeschnitten werden kann.

Tabelle der ISMS-Tools und erfüllten Anforderungen

Anforderung	Verinice	HiScout	i-doit	DocSetMinder	QSEC	INDITOR	IT-Grundschutz-Cockpit	fuentis Suite	BIC BSI Grundschutz
Unterstützung von ISO/IEC 27001	✅	✅	✅	✅	✅	✅	⚪	✅	⚪
Unterstützung von BSI IT-Grundschutz	✅	✅	✅	✅	✅	✅	✅	✅	✅
Unterstützung von CISIS12	❌	❌	❌	❌	❌	❌	❌	❌	❌
Unterstützung von VDA ISA	✅	⚪	❌	✅	✅	❌	❌	✅	❌
Unterstützung KRITIS	✅	✅	❌	✅	✅	✅	🟡	✅	🟡
Unterstützung NIS2	✅	✅	❌	⚪	🟡	🟡	🟡	✅	🟡
Unterstützung Datenschutz	✅	⚪	❌	✅	✅	⚪	⚪	✅	❌
Dokumentationsmanagement	✅	✅	✅	✅	✅	✅	✅	✅	✅
Risikomanagement	✅	✅	✅	✅	✅	✅	✅	✅	✅
Compliance-Management	✅	✅	✅	✅	✅	✅	✅	✅	✅
Asset-Management	✅	✅	✅	✅	✅	✅	✅	✅	✅
Vorfallmanagement	✅	✅	✅	✅	✅	✅	✅	✅	✅
Benutzer- und Rollenmanagement	✅	✅	✅	✅	✅	✅	✅	✅	✅
Mehrstufige Authentifizierung	⚪	⚪	⚪	⚪	⚪	⚪	⚪	⚪	⚪
Protokollierung und Audit-Trails	✅	✅	✅	✅	✅	✅	✅	✅	✅
Risikobewertungsmethoden (qualitativ, quantitativ)	✅	✅	✅	✅	✅	✅	✅	✅	✅
Szenarioanalyse	⚪	🟡	❌	⚪	✅	❌	❌	✅	❌
Automatisierte Berichterstellung	✅	✅	✅	✅	✅	✅	✅	✅	✅
Dashboard-Funktionalität	✅	✅	✅	✅	✅	✅	✅	✅	✅
Vorlagen und Best Practices	✅	✅	✅	✅	✅	✅	✅	✅	✅
Workflow-Management	✅	✅	⚪	⚪	✅	✅	✅	✅	✅
Aufgabenverteilung und -verfolgung	✅	✅	✅	✅	✅	✅	✅	✅	✅
API-Unterstützung	✅	✅	✅	✅	✅	✅	✅	✅	✅
Import-/Export-Funktionalitäten	✅	✅	✅	✅	✅	✅	✅	✅	✅
Anpassungsfähigkeit	✅	✅	✅	✅	✅	✅	✅	✅	✅
Skalierbarkeit	✅	✅	✅	✅	✅	✅	✅	✅	✅
Mandantenfähigkeit	🟡	✅	⚪	⚪	⚪	⚪	⚪	✅	✅
Intuitive Benutzeroberfläche	✅	✅	✅	✅	✅	✅	✅	✅	✅
Mehrsprachigkeit	✅	✅	⚪	⚪	⚪	⚪	⚪	✅	✅
Schulung und Support	✅	✅	✅	✅	✅	✅	✅	✅	✅
Regelmäßige Updates	✅	✅	✅	✅	✅	✅	✅	✅	✅
Support und Wartung	✅	✅	✅	✅	✅	✅	✅	✅	✅
Lizenzmodell (flexibel, nach Bedarf)	✅	✅	✅	✅	✅	✅	✅	✅	✅

Erklärung der Symbole:

✅ = Vollständig umgesetzt (grüner Haken)
❌ = Nicht umgesetzt (rotes Kreuz)
🟡 = Teilweise umgesetzt (gelber Kreis)
⚪ = Unbekannt oder nicht genügend Informationen (weißer Kreis)

Transparenzinformation:

Alle Informationen stammen aus öffentlich zugänglichen Quellen.

Die Reihenfolge der Tools (Verbreitung in Deutschland) ist das Ergebnis einer gleichlautenden Anfrage an ChatGPT (Stand: August 2024).

Der Autor ist selbst verinice Partner und kennt verinice und HiScout aus der praktischen Anwendung, hat sich aber bemüht, keine eigenen Erfahrungen in diesen Artikel einfließen zu lassen.