In der täglichen Berichterstattung in den Medien sowie in einschlägigen Fachpublikationen wird ein breites Spektrum an Fällen von Cyberkriminalität und Sicherheitsvorfällen thematisiert. Die Bandbreite der Erscheinungsformen von Cyberkriminalität ist groß und umfasst eine Vielzahl von Methoden und Vorgehensweisen. Das Spektrum der kriminellen Aktivitäten umfasst unter anderem die Verbreitung von Computerviren, Identitätsdiebstahl sowie die Erpressung von Lösegeld für die Verschlüsselung von Daten (Ransomware). In vielen Fällen ist das Schadensausmaß, insbesondere bei Unternehmen, signifikant. Organisationen, deren Beeinträchtigung eine erhebliche Einschränkung der Versorgung oder Störung der öffentlichen Sicherheit zur Folge hat, werden als kritische Infrastrukturen (KRITIS) bezeichnet und sind daher in besonderem Maße schutzbedürftig.
Der vorliegende Leitfaden präsentiert eine Handlungsempfehlung zur Implementierung eines Informationssicherheitskonzepts bei der Deutschen Rentenversicherung Bund (DRV Bund), einer Organisation, die als Teil der kritischen Infrastruktur betrachtet wird. Die nachfolgende Beschreibung der Umsetzungsmaßnahmen orientiert sich an der IT‑Grundschutz‑Methodik gemäß dem IT‑Grundschutz‑Standard 200‑2 zur Standardabsicherung der Geschäftsprozesse, IT‑Systeme und Daten. Im Folgenden wird das schrittweise Vorgehen zur Umsetzung eines Informationssicherheitskonzepts am Beispiel eines ausgewählten IT‑Verfahrens beschrieben. Der Leitfaden ermöglicht den für die Umsetzung des Sicherheitskonzepts verantwortlichen Mitarbeitern eine zeit‑ und ressourceneffiziente Überprüfung des bestehenden Informationssicherheitsniveaus, eine gezielte Bestimmung von Maßnahmen für nicht umgesetzte Anforderungen sowie eine erneute Bewertung der Informationssicherheit nach der Umsetzung des Sicherheitskonzepts.
Das im Leitfaden beschriebene Vorgehensmodell wurde spezifisch auf die DRV Bund zugeschnitten, lässt sich jedoch auch in anderen Organisationen der öffentlichen Verwaltung anwenden, um die Informationssicherheit deutlich zu erhöhen.
**Keywords:** Informationssicherheit, IT‑Sicherheit, IT‑Sicherheitskonzept, Informationssicherheitskonzept, IT‑Grundschutz‑Standard 200‑2, IT‑Sicherheitsprozess, Schutz vor Cyberkriminalität, Sicherheitsmaßnahmen öffentliche Verwaltung, Organisationen der kritischen Infrastruktur
