ISMS für Unternehmensgruppen: Konzernrichtlinien vs. lokale Umsetzung

Warum ein einzelnes ISMS nicht reicht

Wenn ein Unternehmen wächst, geschieht das selten organisch und gleichförmig. Es werden Firmen zugekauft, Tochtergesellschaften gegründet, Joint Ventures eingegangen. Jede dieser Einheiten bringt eigene Prozesse, Systeme und Kulturen mit. Die Holding oder Muttergesellschaft steht dann vor der Frage: Wie organisieren wir Informationssicherheit über alle Gesellschaften hinweg, ohne entweder in ein zentralistisches Korsett zu zwängen oder in einem Flickenteppich aus Einzellösungen zu versinken?

Diese Frage ist keine theoretische. Sie hat handfeste Konsequenzen. Regulatorische Anforderungen wie NIS2 können je nach Gesellschaft unterschiedlich greifen. Kunden erwarten ein konsistentes Sicherheitsniveau über die gesamte Gruppe. Ein Sicherheitsvorfall bei einer Tochtergesellschaft kann die gesamte Gruppe in Mitleidenschaft ziehen. Und Auditoren, ob intern oder extern, wollen verstehen, wie die Sicherheitsgovernance über die Gruppe funktioniert.

Dieser Artikel beschreibt die verschiedenen Modelle, ihre Vor- und Nachteile und gibt dir einen Fahrplan für die Implementierung eines gruppenweiten ISMS.

Die drei Grundmodelle

Modell 1: Vollständig zentrales ISMS

Beim zentralen Modell gibt es ein einziges ISMS, das von der Holding gesteuert wird und für alle Gesellschaften gilt. Die Zentrale definiert alle Richtlinien, führt die Risikobewertung durch, steuert die Maßnahmen und verantwortet das Audit. Die lokalen Gesellschaften setzen um, was die Zentrale vorgibt.

Vorteile: Maximale Konsistenz, einheitliches Sicherheitsniveau, einfaches Reporting, ein zentraler Ansprechpartner für Auditoren und Kunden, Skaleneffekte bei Tools und Schulungen.

Nachteile: Lokale Besonderheiten werden leicht übersehen. Eine Richtlinie, die für den Hauptsitz mit 500 Mitarbeitern sinnvoll ist, kann für die Tochter mit 20 Mitarbeitern überdimensioniert sein. Die lokale Akzeptanz sinkt, wenn Vorgaben ohne Einbindung der Betroffenen von oben kommen. Und die Zentrale braucht tiefes Wissen über die Prozesse und Systeme aller Gesellschaften, was bei heterogenen Gruppen kaum leistbar ist.

Passt für: Kleine Unternehmensgruppen mit wenigen, ähnlich strukturierten Gesellschaften am gleichen Standort.

Modell 2: Vollständig dezentrale ISMS

Beim dezentralen Modell hat jede Gesellschaft ihr eigenes ISMS mit eigenen Richtlinien, eigener Risikobewertung und eigenem ISB. Die Holding setzt keine inhaltlichen Vorgaben, sondern prüft lediglich, ob jede Gesellschaft ein funktionierendes ISMS hat.

Vorteile: Maximale lokale Anpassungsfähigkeit. Jede Gesellschaft kann ihr ISMS exakt auf ihre Bedürfnisse zuschneiden. Hohe lokale Akzeptanz, weil die Betroffenen an der Gestaltung beteiligt sind.

Nachteile: Kein einheitliches Sicherheitsniveau über die Gruppe. Risiken, die sich über Gesellschaftsgrenzen hinweg erstrecken (z. B. gemeinsam genutzte IT-Infrastruktur), fallen durch das Raster. Reporting ist nicht vergleichbar. Doppelarbeit bei Richtlinien, die sich ähneln. Und wenn eine Gesellschaft kein gutes ISMS hat, betrifft das potenziell die gesamte Gruppe.

Passt für: Lose verbundene Gruppen mit sehr heterogenen Gesellschaften, die wenig operative Abhängigkeiten haben.

Modell 3: Föderationsmodell (Hub-and-Spoke)

Das Föderationsmodell kombiniert zentrale Steuerung mit lokaler Umsetzung. Die Holding definiert einen verbindlichen Rahmen (Gruppenrichtlinien, Mindeststandards, Bewertungsskalen, Reporting-Anforderungen), und die lokalen Gesellschaften setzen diesen Rahmen um, angepasst an ihre spezifischen Bedürfnisse.

Vorteile: Konsistenz dort, wo sie nötig ist (einheitliche Mindeststandards, vergleichbares Reporting), und Flexibilität dort, wo sie nötig ist (lokale Prozesse, spezifische Risiken). Klare Verantwortungsteilung zwischen Zentrale und Gesellschaften. Gute Balance zwischen Governance und Praxistauglichkeit.

Nachteile: Komplexer aufzusetzen als die beiden anderen Modelle. Erfordert klare Abgrenzung, was zentral vorgegeben wird und was lokal entschieden werden darf. Braucht einen Koordinationsmechanismus zwischen Zentrale und Gesellschaften.

Passt für: Die meisten Unternehmensgruppen mit mehr als drei Gesellschaften, insbesondere wenn die Gesellschaften unterschiedliche Branchen, Größen oder Standorte haben.

Das Föderationsmodell im Detail

Die Architektur

Das Föderationsmodell besteht aus drei Ebenen:

Ebene 1: Gruppenrahmen. Die Holding definiert das übergreifende Framework. Dazu gehören die Informationssicherheitsleitlinie der Gruppe, die verbindlichen Gruppenrichtlinien (Minimum Baseline), die Risikobewertungsmethodik (einheitliche Skalen und Kriterien), die Reporting-Anforderungen und die Governance-Struktur (Rollen, Gremien, Eskalationswege).

Ebene 2: Lokale ISMS. Jede Gesellschaft hat ihr eigenes ISMS innerhalb des Gruppenrahmens. Sie führt ihre eigene Risikobewertung durch, erstellt lokale Richtlinien, die die Gruppenrichtlinien konkretisieren, setzt Maßnahmen um und berichtet an die Zentrale.

Ebene 3: Operative Umsetzung. Die tatsächliche Implementierung von Sicherheitsmaßnahmen in den Systemen, Prozessen und Verhaltensweisen der einzelnen Gesellschaft.

Gruppenrichtlinien vs. lokale Richtlinien

Die Abgrenzung zwischen Gruppenrichtlinien und lokalen Richtlinien ist der kritischste Designentscheid des Föderationsmodells. Die Faustregel: Die Gruppenrichtlinie definiert das Was und das Warum. Die lokale Richtlinie definiert das Wie.

Ein Beispiel: Die Gruppenrichtlinie zur Zugriffskontrolle könnte festlegen:

• Zugriffsrechte müssen nach dem Least-Privilege-Prinzip vergeben werden
• Privilegierte Accounts müssen durch MFA geschützt werden
• Zugriffsrechte müssen bei Rollenwechsel oder Austritt innerhalb von 24 Stunden angepasst werden
• Eine Rezertifizierung aller Zugriffsrechte muss mindestens einmal jährlich erfolgen

Das sind die Mindestanforderungen, die für alle Gesellschaften gelten. Die lokale Richtlinie einer Tochtergesellschaft konkretisiert dann: Welches Identity-Management-System wird verwendet? Wer ist der Genehmiger für welche Systeme? Wie genau wird die Rezertifizierung organisiert? Diese Details unterscheiden sich von Gesellschaft zu Gesellschaft und müssen lokal festgelegt werden.

Was gehört in den Gruppenrahmen?

Nicht alles muss zentral vorgegeben werden. Konzentriere dich auf die Bereiche, die gruppenweite Relevanz haben:

Immer zentral:

• Informationssicherheitsleitlinie der Gruppe
• Risikobewertungsmethodik (Skalen, Kriterien, Akzeptanzschwellen)
• Klassifizierungsschema für Informationen
• Incident-Response-Prozess für gruppenrelevante Vorfälle
• Reporting-Anforderungen und Kennzahlen
• Mindeststandards für kritische Bereiche (Zugriffssteuerung, Verschlüsselung, Backup)

Meist zentral:

• Lieferantenbewertung für gruppenweite Dienstleister
• Awareness-Programm (zumindest Rahmenvorgaben)
• Audit-Planung und -Koordination
• Krisenkommunikation

Immer lokal:

• Detaillierte Verfahrensanweisungen
• Asset-Inventar
• Lokale Risikobewertung
• Operative Maßnahmen
• Schulungsdurchführung
• Lokale Incident-Response-Verfahren

Governance-Struktur

Rollen in der Gruppenstruktur

Gruppen-CISO / Gruppen-ISB: Verantwortlich für den Gruppenrahmen, die Koordination zwischen den Gesellschaften und das konsolidierte Reporting an die Gruppengeschäftsführung. In kleineren Gruppen kann diese Rolle auch vom ISB der Muttergesellschaft übernommen werden, sofern die Kapazitäten vorhanden sind.

Lokale ISBs: Verantwortlich für das ISMS ihrer Gesellschaft innerhalb des Gruppenrahmens. Sie berichten fachlich an den Gruppen-CISO und disziplinarisch an die lokale Geschäftsführung. Diese Doppelberichtslinie ist gewollt, denn der lokale ISB muss sowohl die Gruppenanforderungen umsetzen als auch die lokalen Bedürfnisse vertreten.

ISMS-Steuerungskreis: Ein regelmäßiges Gremium (quartalsweise oder halbjährlich), in dem der Gruppen-CISO und die lokalen ISBs zusammenkommen. Tagesordnung: Status der lokalen ISMS, gruppenweite Risiken, Harmonisierungsbedarf, Erfahrungsaustausch.

Lokale Risikoeigner: In jeder Gesellschaft gibt es Risikoeigner, die für bestimmte Risiken verantwortlich sind. Sie berichten an den lokalen ISB.

Kommunikationswege

Definiere klare Kommunikationswege für verschiedene Szenarien:

Regelbetrieb: Lokale ISBs berichten quartalsweise an den Gruppen-CISO. Der ISMS-Steuerungskreis tagt quartalsweise.

Sicherheitsvorfälle: Bei lokalen Vorfällen entscheidet der lokale ISB über die Eskalation. Bei gruppenkritischen Vorfällen (Betrifft mehrere Gesellschaften, regulatorische Relevanz, Reputationsrisiko) wird sofort der Gruppen-CISO einbezogen.

Neue Anforderungen: Regulatorische Änderungen, die die Gruppe betreffen, werden zentral bewertet und als Anforderung an die lokalen ISBs kommuniziert.

Risikomanagement über Gesellschaftsgrenzen

Lokale Risiken vs. Gruppenrisiken

Im Föderationsmodell gibt es zwei Kategorien von Risiken, die unterschiedlich gehandhabt werden:

Lokale Risiken betreffen eine einzelne Gesellschaft und werden dort bewertet, behandelt und berichtet. Beispiel: Der Server eines lokalen ERP-Systems fällt aus und beeinträchtigt nur die lokale Auftragsabwicklung.

Gruppenrisiken betreffen mehrere Gesellschaften oder haben Auswirkungen auf die Gesamtgruppe. Sie entstehen typischerweise durch gemeinsam genutzte Infrastruktur (zentrales Active Directory, gemeinsamer Internetanschluss), durch Abhängigkeiten zwischen Gesellschaften (Zulieferbeziehungen innerhalb der Gruppe), durch Reputationsrisiken (ein Datenschutzvorfall bei einer Tochter schadet der Marke der Gruppe) oder durch regulatorische Risiken (NIS2 könnte die gesamte Gruppe als verbundenes Unternehmen betrachten).

Gruppenrisiken werden zentral erfasst, bewertet und gesteuert. Die Risikobewertung erfolgt durch den Gruppen-CISO unter Einbeziehung der betroffenen lokalen ISBs.

Einheitliche Risikobewertung

Damit Risiken über Gesellschaftsgrenzen hinweg vergleichbar sind, braucht es einheitliche Bewertungsskalen. Wenn Gesellschaft A die Eintrittswahrscheinlichkeit auf einer Skala von 1-3 bewertet und Gesellschaft B auf einer Skala von 1-5, sind die Ergebnisse nicht aggregierbar.

Definiere im Gruppenrahmen eine einheitliche Risikobewertungsmethodik:

• Die Bewertungsskala für Eintrittswahrscheinlichkeit (z. B. 1-5 mit definierten Kriterien)
• Die Bewertungsskala für Schadenshöhe (z. B. 1-5 mit definierten Schwellenwerten in Euro)
• Die Risikoakzeptanzschwelle (z. B. Risiken bis Risikowert 8 sind akzeptabel, darüber ist Behandlung erforderlich)
• Die Bewertungsmethodik (qualitativ, semi-quantitativ, Matrixverfahren)

Die Schwellenwerte für die Schadenshöhe können zwischen Gesellschaften variieren, müssen aber zueinander in Beziehung stehen. Ein Schaden von 100.000 Euro hat für eine Gesellschaft mit 10 Millionen Euro Umsatz eine andere Bedeutung als für eine mit 200 Millionen Euro Umsatz. Definiere die Stufen daher prozentual oder lege gesellschaftsspezifische absolute Werte fest, die der gleichen relativen Schwere entsprechen.

Zertifizierung in der Unternehmensgruppe

Option 1: Gruppenzertifikat

Ein einzelnes ISO-27001-Zertifikat, das alle Gesellschaften abdeckt. Der Scope umfasst die gesamte Gruppe, und der Audit prüft sowohl die zentrale Governance als auch die lokale Umsetzung in den Gesellschaften.

Vorteile: Ein Zertifikat, das gegenüber allen Kunden und Partnern vorgezeigt werden kann. Geringerer Gesamtaufwand für Audits, weil der Auditor bei wiederkehrenden Audits nicht alle Gesellschaften jedes Mal prüfen muss (Stichprobenverfahren).

Nachteile: Eine Hauptabweichung bei einer einzelnen Gesellschaft gefährdet das Zertifikat der gesamten Gruppe. Der initiale Zertifizierungsaudit ist aufwendig und teuer. Und alle Gesellschaften müssen ein vergleichbares Reifegrad-Niveau haben, was bei heterogenen Gruppen schwer zu erreichen ist.

Option 2: Einzelzertifikate pro Gesellschaft

Jede Gesellschaft wird separat zertifiziert, mit eigenem Scope, eigenem Audit und eigenem Zertifikat. Der Gruppenrahmen wird als Kontext berücksichtigt, aber nicht direkt auditiert.

Vorteile: Eine Abweichung bei einer Gesellschaft betrifft nur deren Zertifikat. Gesellschaften können in unterschiedlichem Tempo zertifiziert werden. Gut geeignet, wenn nicht alle Gesellschaften ein Zertifikat brauchen.

Nachteile: Höherer Gesamtaufwand für Audits. Kein einheitliches Zertifikat für die Gruppe. Und es besteht die Gefahr, dass die nicht zertifizierten Gesellschaften als Schwachstelle wahrgenommen werden.

Option 3: Stufenweiser Ansatz

Starte mit der Zertifizierung der Muttergesellschaft oder der wichtigsten Tochtergesellschaft. Erweitere den Scope in den Folgejahren auf weitere Gesellschaften. Dieser Ansatz ist der pragmatischste für Gruppen, die mit der ISMS-Reise beginnen.

Reporting über die Gruppe

Konsolidierte Kennzahlen

Für das Management der Gruppe brauchst du Kennzahlen, die den Sicherheitsstatus der gesamten Gruppe auf einen Blick zeigen. Definiere ein einheitliches Kennzahlen-Set, das alle Gesellschaften erheben:

Risiko-Kennzahlen: Anzahl offener Risiken nach Risikoklasse, Trend der Risikosituation (verbessert/stabil/verschlechtert), Anzahl akzeptierter Risiken oberhalb der Schwelle.

Maßnahmen-Kennzahlen: Umsetzungsgrad der geplanten Maßnahmen, Anzahl überfälliger Maßnahmen, durchschnittliche Umsetzungsdauer.

Vorfall-Kennzahlen: Anzahl gemeldeter Sicherheitsvorfälle, Anteil der Vorfälle mit definiertem Prozess behandelt, durchschnittliche Reaktionszeit.

Compliance-Kennzahlen: Anteil der Mitarbeiter mit aktueller Awareness-Schulung, Anteil der Controls mit Nachweis, Ergebnis des letzten Audits.

Gruppen-Dashboard

Fasse die Kennzahlen in einem Gruppen-Dashboard zusammen, das der Gruppengeschäftsführung und dem ISMS-Steuerungskreis zur Verfügung steht. Das Dashboard sollte sowohl die aggregierte Gruppensicht als auch die Möglichkeit bieten, auf einzelne Gesellschaften herabzubrechen.

Ein Ampelsystem (Grün/Gelb/Rot) pro Gesellschaft und Kennzahlenbereich gibt einen schnellen Überblick. Wichtig dabei: Die Ampellogik muss transparent definiert sein, damit alle Gesellschaften nach denselben Kriterien bewertet werden.

Praxisempfehlungen für die Implementierung

Starte mit dem Gruppenrahmen

Bevor du lokale ISMS aufbaust, definiere den Gruppenrahmen. Das bedeutet: Gruppenrichtlinien erstellen, Risikobewertungsmethodik festlegen, Reporting-Anforderungen definieren, Governance-Struktur aufsetzen. Dieser Rahmen muss nicht perfekt sein, aber er muss existieren, bevor die lokalen Gesellschaften starten. Sonst baust du lokale ISMS auf, die später mühsam harmonisiert werden müssen.

Pilotiere mit einer Gesellschaft

Implementiere das Föderationsmodell zunächst in einer Gesellschaft, bevor du es auf alle ausrollst. Wähle eine Gesellschaft, die groß genug ist, um repräsentativ zu sein, aber klein genug, um überschaubar zu bleiben. Die Erfahrungen aus dem Piloten fließen in die Anpassung des Gruppenrahmens ein.

Investiere in den Steuerungskreis

Der ISMS-Steuerungskreis ist das Herzstück der Governance. Nimm dir Zeit für die Meetings, bereite sie gut vor und stelle sicher, dass die Ergebnisse dokumentiert und nachverfolgt werden. Ein funktionierender Steuerungskreis erspart dir dutzende bilaterale Abstimmungen.

Harmonisiere Werkzeuge

Es ist nicht zwingend, dass alle Gesellschaften dasselbe ISMS-Tool nutzen. Aber wenn die Reporting-Anforderungen einheitlich sind, ist ein gemeinsames Tool der einfachste Weg, diese zu erfüllen. Die Alternative, manuelle Datenkonsolidierung aus verschiedenen Tools, ist fehleranfällig und zeitaufwendig. ISMS Lite unterstützt Multi-Scope-Szenarien mit zentralem Gruppenrahmen und lokaler Umsetzung in einer einzigen Instanz.

Respektiere lokale Unterschiede

Der Gruppenrahmen darf nicht so eng sein, dass lokale Besonderheiten keinen Platz haben. Eine Tochter in einem regulierten Umfeld (z. B. Gesundheitswesen) braucht strengere Anforderungen als eine Tochter in einem weniger regulierten Bereich. Eine Tochter mit 20 Mitarbeitern braucht schlankere Prozesse als eine mit 500. Das Föderationsmodell lebt davon, dass die Zentrale die Unterschiede anerkennt und die Mindeststandards so setzt, dass sie für alle erreichbar sind, ohne dass die führenden Gesellschaften gebremst werden.

Ein gruppenweites ISMS ist kein einmaliges Projekt, sondern ein dauerhafter Governance-Prozess. Er erfordert Investition in Koordination, Kommunikation und Werkzeuge. Aber der Aufwand lohnt sich: Eine Gruppe mit konsistenter Informationssicherheit ist widerstandsfähiger gegen Angriffe, glaubwürdiger gegenüber Kunden und besser aufgestellt für regulatorische Anforderungen als eine Gruppe, in der jede Gesellschaft für sich allein kämpft.

Weiterführende Artikel

• ISMS aufbauen: Der komplette Leitfaden für Unternehmen mit 50 bis 500 Mitarbeitern
• Geltungsbereich (Scope) definieren: Was gehört ins ISMS und was nicht?
• Die wichtigsten ISMS-Rollen: ISB, CISO, Risikoeigner
• ISO 27001 Zertifizierung: Ablauf, Kosten und Vorbereitung
• ISMS und ISO 9001: Synergien zwischen Qualitäts- und Informationssicherheitsmanagement