Wann das ISM ein deutsches Unternehmen trifft: Verträge, Schutzstufen, Anwendbarkeitsmarkierungen und der Nachweis gegenüber australischen Kunden

Problem in der Praxis

Ein deutsches Softwarehaus gewinnt einen australischen Kunden aus dem öffentlichen Bereich, und im Vertragsentwurf steht "Compliance with the ISM". Im deutschen Haus beginnt daraufhin die Suche nach dem "Gesetz" und nach einer Zertifizierung, die man vorlegen könnte. Beides führt ins Leere. Das ISM ist ein Rahmenwerk, aus dem für jedes System eine Auswahl getroffen wird, und der Nachweis, den das ISM für Systeme und Dienste beschreibt, ist kein Zertifikat, sondern eine Bewertung und eine Autorisierungsentscheidung beim Kunden.

Die zweite Falle ist die Schutzstufe. Ohne Angabe, ob das System als nicht eingestuft, OFFICIAL: Sensitive oder höher behandelt wird, lässt sich die Auswahl der Kontrollen nicht treffen, und die Unterschiede sind erheblich: Ein Teil der Kontrollen ist nur für SECRET und TOP SECRET markiert, darunter Beschränkungen für ausländische Staatsangehörige. Die dritte Falle ist die Verwechslung von ISM und Essential Eight, die zu Angeboten führt, die entweder zu viel oder zu wenig versprechen.

CISO-Einordnung

Was das ISM selbst zur Verbindlichkeit sagt

Der Abschnitt "Legislation and legal considerations" sagt: Eine Organisation muss das ISM von Rechts wegen nicht einhalten, außer ein Gesetz oder eine Anordnung, die auf einem Gesetz oder einer sonstigen rechtmäßigen Befugnis beruht, verpflichtet dazu. Das ISM verdrängt keine gesetzlichen Pflichten, und bei einem Widerspruch geht das Gesetz vor. Es nennt beispielhaft Gesetze, mit denen sich eine Organisation vertraut machen sollte, darunter den Security of Critical Infrastructure Act 2018, ohne deren Inhalt zu behandeln. Dieser Inhalt liegt dem Track nicht vor; ob und wie dieses Gesetz eine Einheit zum ISM verpflichtet, bleibt hier offen.

Innerhalb des Rahmenwerks sind die Aussagen abgestuft formuliert. Eine Organisation soll nachweisen können, dass sie die Grundsätze (cyber security principles) einhält. Die Leitlinien soll sie berücksichtigen, soweit sie für ihre Systeme einschlägig sind. Die Kontrollen gelten als Grundlinie (baseline), nicht als abschließende Liste; die eigene Risikoanalyse und Risikobewertung bleibt nach dem ISM erforderlich. Aus diesen Formulierungen folgt keine Rechtspflicht, wohl aber der Maßstab, an dem ein Kunde einen Vertragspartner messen wird, wenn der Vertrag auf das ISM verweist.

Konstellationen für deutsche Unternehmen

Australische Tochter mit eigenen Systemen. Das ISM ist hier zunächst ein freiwillig nutzbares Rahmenwerk. Eine Pflicht kann sich aus einem Kundenvertrag ergeben oder aus australischem Recht beziehungsweise einer gesetzlich gestützten Anordnung; welche das wären, sagt das ISM nicht, und die einschlägigen Quellen sind nicht beschafft.

Managed-Service- oder Cloudanbieter für australische Organisationen. Das ISM richtet an die Kundenorganisation die Erwartung, ein Register ihrer Managed Services und ausgelagerten Clouddienste zu führen und die Anbieter regelmäßig gegen das ISM bewerten zu lassen. Für nicht eingestufte, OFFICIAL: Sensitive, PROTECTED und SECRET Dienste sieht es eine IRAP-Bewertung mindestens alle 24 Monate vor, und zwar gegen die letzte vor Beginn der Bewertung verfügbare ISM-Ausgabe (oder eine spätere); für TOP SECRET Dienste eine Bewertung durch ASD-Prüfer (oder deren Beauftragte) im selben Abstand. Für kommerzielle Anbieter ist der CISO der unterstützten Organisation (oder dessen Beauftragter) der authorising officer; für TOP SECRET Systeme sieht das ISM die Autorisierung durch den Director-General ASD (oder dessen Beauftragten) vor. Vertragsgestaltung und Einzelheiten behandelt ism-australien-005.

Lieferant von Produkten, Software oder Geräten. Die Leitlinien zur Beschaffung erwarten vom Kunden ein Risikomanagement der Lieferkette, ausdrücklich einschließlich rechtsordnungsbezogener Risiken: Dienste im Ausland können rechtmäßiger und verdeckter Datenerhebung ausgesetzt sein, ausländisches Recht kann sich kurzfristig ändern, und Lieferanten in ausländischem Eigentum, die in Australien tätig sind, können dem rechtmäßigen Datenzugriff einer ausländischen Regierung unterliegen. Für ein deutsches Unternehmen heißt das: Es wird als ausländischer Lieferant betrachtet und sollte Fragen nach Rechtsordnung, Datenstandort und Zugriffsmöglichkeiten erwarten. Das ISM sieht außerdem vor, dass Lieferanten Nachweise über die Umsetzung ihrer Sicherheitszusagen offen bereitstellen, besonders auf Anfrage ihrer Kunden, und dass ein Modell geteilter Verantwortung (shared responsibility model) erstellt und zwischen beiden Seiten geteilt wird.

Personal mit Zugang zu Kundensystemen. Das ISM sieht vor, dass Personal vor dem Zugang eine angemessene Beschäftigungsprüfung durchläuft und, wo nötig, eine angemessene Sicherheitsüberprüfung (security clearance) besitzt. Sicherheitsüberprüfungen umfassen in den Leitlinien zum Systemzugang australische Überprüfungen und solche ausländischer Regierungen, die Australien förmlich anerkennt; welche das sind, sagt das ISM nicht. Für Systeme mit Daten der Kennzeichnungen Australian Eyes Only (AUSTEO), Australian Government Access Only (AGAO) oder Releasable To (REL) sieht das ISM vor, ausländische Staatsangehörige als solche samt Staatsangehörigkeit zu kennzeichnen. Unprivilegierten Zugang zu solchen Systemen sollen sie nur haben, wenn wirksame Maßnahmen den Zugriff auf diese Daten verhindern; privilegierten Zugang sieht das ISM für sie dort gar nicht vor. Bei AGAO-Daten nimmt das ISM abgeordnete (seconded) ausländische Staatsangehörige von beiden Beschränkungen aus, bei AUSTEO- und REL-Daten nicht. Administratoren von Gateways zu AGAO-Netzen sollen australische Staatsangehörige oder abgeordnete ausländische Staatsangehörige sein. Systeme mit AUSTEO- oder AGAO-Daten sollen zudem jederzeit unter der Kontrolle einer australischen Staatsangehörigen oder eines australischen Staatsangehörigen stehen, die oder der für die australische Regierung oder in deren Auftrag arbeitet, und auf AUSTEO- und AGAO-Daten soll nur von Systemen zugegriffen werden, die allein unter Kontrolle der australischen Regierung stehen und sich in von ihr autorisierten Einrichtungen befinden. Alle diese Kontrollen sind in der Ausgabe September 2026 nur für SECRET und TOP SECRET markiert. Ausländische Staatsangehörige (foreign national) sind nach dem Glossar des ISM alle Personen ohne australische Staatsbürgerschaft; Mitarbeitende mit deutscher und ohne australische Staatsbürgerschaft fallen darunter, deutsch-australische Doppelstaatsangehörige nicht.

Schutzstufen und Anwendbarkeitsmarkierungen

Das ISM versteht unter Klassifizierung (classification) die Einordnung von Systemen oder Daten nach der erwarteten Auswirkung einer Kompromittierung. Als eingestufte Daten (classified data) bezeichnet das Glossar Daten der Stufen OFFICIAL: Sensitive, PROTECTED, SECRET und TOP SECRET, deren Kompromittierung den nationalen Interessen Australiens, der Regierung allgemein oder einer einzelnen Stelle des Commonwealth begrenzten bis außergewöhnlich schweren Schaden zufügen würde. Das ISM setzt die Stufe in seinen Kontrollen voraus. Die ausgewerteten Abschnitte (Risikomanagement, Glossar, Leitlinien zu Rollen, Beschaffung und Systemzugang) legen weder allgemeine Regeln fest, nach denen eine Information einer Stufe zugeordnet wird, noch eine Zuständigkeit dafür; an einzelnen Stellen, etwa bei Datenbanken, erwartet das ISM, dass die Organisation Sensitivität oder Einstufung bestimmt. Wer eine Stufe verbindlich festlegt, lässt sich mit den Quellen dieses Tracks nicht beantworten. Für ein deutsches Unternehmen heißt das praktisch: die Stufe, die der Kunde für das System erwartet, schriftlich erfragen und die Grundlage festhalten, statt sie stillschweigend anzunehmen.

Die Anwendbarkeitsmarkierungen dienen nach dem ISM der Auswahl und dem Zuschnitt (tailoring) von Kontrollen. In der Ausgabe September 2026 tragen von 1.143 Kontrollen 992 alle fünf Markierungen; die übrigen sind auf einzelne Stufen begrenzt, am häufigsten auf SECRET und TOP SECRET (74) oder nur TOP SECRET (28), und nur drei sind ausschließlich mit NC markiert. Wer ein nicht eingestuftes System betreibt, findet also den weitaus größten Teil der Kontrollen auch für sich markiert. Die Markierungen ersetzen nicht die eigene Risikoanalyse; geerbte Kontrollen (inherited controls), etwa von einem Cloudanbieter, sind nach dem ISM im Anhang des Systemsicherheitsplans zu dokumentieren, und die Auswahl genehmigt der authorising officer.

Essential-Eight-Markierung neben der Anwendbarkeit

Jede Kontrolle trägt zusätzlich eine Essential-Eight-Markierung, entweder N/A oder ein bis drei Reifegrade (Maturity Level One bis Three). Beide Markierungen sind voneinander unabhängig. Eine Anforderung "Essential Eight Maturity Level Two" bezieht sich auf die so markierten Kontrollen (in der Ausgabe September 2026: 87), eine Anforderung "ISM für PROTECTED" auf alle mit P markierten Kontrollen, soweit sie für das System einschlägig sind. Nach dem Reifegradmodell vom November 2023 besteht keine Pflicht zur Zertifizierung der Essential-Eight-Umsetzung durch eine unabhängige Stelle; eine unabhängige Bewertung kann aber nötig werden, wenn eine Anweisung oder Richtlinie der Regierung, eine Regulierungsbehörde oder vertragliche Vereinbarungen sie verlangen. Bewertungen sollen nach "Essential Eight explained" mit dem Essential Eight assessment process guide erfolgen, der dem Track nicht vorliegt. Inhalte und Fassungsstand behandelt ism-australien-004.

Wie der Nachweis gegenüber dem Kunden aussieht

Das ISM beschreibt den Nachweis als Teil seines Risikomanagements (ausführlich ism-australien-003):

• Systemsicherheitsplan (system security plan): Überblick über Zweck, Systemgrenze und Steuerung des Systems, mit einem Anhang zu ausgewählten und umgesetzten Kontrollen, einschließlich geerbter Kontrollen und Abweichungen von der geplanten Umsetzung.
• Bewertung (security control assessment): Umfang, Art und Tiefe vereinbaren Prüfer, Systemverantwortlicher (system owner) und authorising officer vorab, gegebenenfalls in einem Bewertungsplan. Für nicht eingestufte, OFFICIAL: Sensitive, PROTECTED und SECRET Systeme können eigene Prüfer der Organisation oder IRAP-Prüfer bewerten, für TOP SECRET ASD-Prüfer (oder deren Beauftragte). Prüfer sollen in allen Fällen eine angemessene Sicherheitsüberprüfung und passende Erfahrung haben; Prüfer, ob intern oder extern, sollen nach dem ISM vom bewerteten System unabhängig sein, damit kein Interessenkonflikt entsteht. Wer das System verantwortet oder betreibt, soll es deshalb nicht selbst bewerten. Ergebnis ist ein Bewertungsbericht (security assessment report), daraus ein Maßnahmenplan (plan of action and milestones).
• Autorisierungspaket (authorisation package): Systemsicherheitsplan, Vorfallreaktionsplan, Änderungs- und Konfigurationsmanagementplan, Plan zur kontinuierlichen Überwachung, Bewertungsbericht und Maßnahmenplan. Auf dieser Grundlage entscheidet der authorising officer, ob er die Risiken akzeptiert, gegebenenfalls mit Auflagen oder Befristung, oder die Freigabe verweigert. Für TOP SECRET Systeme, einschließlich Systemen für sensitive compartmented information, holt der Systemverantwortliche die Autorisierung nach dem ISM dagegen beim Director-General ASD (oder dessen Beauftragtem) ein.
• Jährlicher Statusbericht: Der Systemverantwortliche berichtet dem authorising officer nach dem ISM mindestens jährlich über den Sicherheitsstatus jedes Systems; das ist ein eigener Bestandteil des laufenden Nachweises neben den Bewertungen.

Für Managed Services und ausgelagerte Clouddienste sieht das ISM daneben die oben genannte Bewertung mindestens alle 24 Monate vor (bis SECRET durch IRAP-Prüfer, bei TOP SECRET durch ASD-Prüfer). Für ein deutsches Unternehmen als Anbieter bedeutet das: Den Systemsicherheitsplan und die Bewertung liefert es zu, die Autorisierungsentscheidung trifft der CISO des Kunden (oder dessen Beauftragter), bei TOP SECRET Systemen der Director-General ASD (oder dessen Beauftragter). Ein deutsches oder internationales Zertifikat kann als ergänzender Beleg dienen, wenn der Kunde es vertraglich anerkennt; eine Gleichwertigkeit mit Bewertung und Autorisierung nach dem ISM sagt das ISM nicht aus, und eine Ersetzung dieser Schritte tragen die Quellen dieses Tracks nicht.

Was gesperrt ist

Das Protective Security Policy Framework (PSPF) des Department of Home Affairs, auf das das ISM an mehreren Stellen für weitere Informationen verweist, etwa zu ausgelagerten Produkten und Diensten, ist nicht beschafft. Ebenso nicht der Security of Critical Infrastructure Act 2018, das Hosting Certification Framework und die IRAP-Unterlagen; zum Zweck des IRAP verweist das ISM selbst auf weitere Informationen beim ASD. Aussagen darüber, welche Stellen das ISM oder Essential Eight anwenden müssen, welche Reifegrade für sie vorgeschrieben sind oder welche Pflichten sie an Auftragnehmer weitergeben, trifft dieser Artikel deshalb nicht.

Umsetzungsperspektive

1. Anforderung auflösen. Bei jeder Vertragsklausel mit ISM- oder Essential-Eight-Bezug vier Angaben erfragen: ISM-Ausgabe, Schutzstufe des Systems (Markierung), gegebenenfalls Essential-Eight-Reifegrad und Art der geforderten Bewertung (eigene Prüfer, IRAP, ASD).
2. Rechtsgrundlage benennen lassen. Stützt der Kunde die Anforderung auf eine Rechtsvorschrift oder Anordnung, die Fundstelle schriftlich erbitten und durch australische Rechtsberatung einordnen lassen.
3. Auswahl treffen. Aus den für die Stufe markierten Kontrollen die einschlägigen auswählen, zuschneiden und begründen; geerbte Kontrollen von Cloud- oder Plattformanbietern ausweisen.
4. Verantwortung teilen. Ein Modell geteilter Verantwortung erstellen und mit dem Kunden abstimmen, wie es das ISM in den Leitlinien zur Lieferkette vorsieht.
5. Personal prüfen. Klären, ob der Kunde Beschäftigungsprüfungen, Sicherheitsüberprüfungen oder Einschränkungen für ausländische Staatsangehörige erwartet, und welche ausländischen Überprüfungen er anerkennt.
6. Nachweis paketieren. Systemsicherheitsplan mit Anhang, Bewertungsbericht und Maßnahmenplan so führen, dass sie in das Autorisierungspaket des Kunden passen, und mit der ISM-Ausgabe datieren.

Typische Fehler

1. Das ISM wird als unmittelbar geltendes Gesetz behandelt, obwohl es sich selbst nur dann als verpflichtend bezeichnet, wenn ein Gesetz oder eine Anordnung, die auf einem Gesetz oder einer sonstigen rechtmäßigen Befugnis beruht, die Einhaltung vorschreibt.
2. Das Angebot wird ohne Schutzstufe kalkuliert, obwohl die Markierung die Auswahl der Kontrollen bestimmt.
3. Eine Schutzstufe wird stillschweigend angenommen, statt die Erwartung des Kunden zu erfragen und festzuhalten.
4. "Essential Eight" und "ISM" werden im Angebot gleichgesetzt.
5. Ein ISO/IEC-27001-Zertifikat wird als Ersatz für Bewertung und Autorisierung nach dem ISM angeboten, statt als ergänzender Beleg, den der Kunde vertraglich anerkennen kann; eine solche Ersetzung tragen die Quellen dieses Tracks nicht.
6. Die Rolle des authorising officer wird beim eigenen Unternehmen gesehen, obwohl sie nach dem ISM bei kommerziellen Anbietern beim CISO des Kunden (oder dessen Beauftragtem) liegt und bei TOP SECRET Systemen beim Director-General ASD (oder dessen Beauftragtem).
7. Fragen nach Rechtsordnung, Datenstandort und staatlichem Zugriff werden als unüblich abgewehrt, obwohl das ISM sie als Teil der Lieferkettenprüfung vorsieht.
8. Weil es kein ISM-Zertifikat für den Dienst gibt, wird geschlossen, es gebe keine Prüfung; das ISM sieht Bewertungen vor, bei Managed Services und Clouddiensten im Abstand von höchstens 24 Monaten.

Risiken und Trade-offs

Der erste Zielkonflikt liegt in der Zusage. Eine pauschale Zusage "ISM-konform" ist vertrieblich bequem, rechtlich aber unbestimmt und lädt zu Streit über Fassung, Stufe und Umfang ein; eine präzise Zusage mit Ausgabe, Markierung und Bewertungsart verlängert die Verhandlung, schafft aber prüfbare Pflichten.

Der zweite betrifft die Bewertung. Systeme der Stufen nicht eingestuft bis SECRET können nach dem ISM eigene Prüfer der Organisation oder IRAP-Prüfer bewerten, sofern sie vom bewerteten System unabhängig sind; bei Managed Services und Clouddiensten sieht das ISM für diese Stufen die IRAP-Bewertung vor. Eine IRAP-Bewertung ist planbarer gegenüber mehreren Kunden, verursacht aber Kosten und wiederkehrenden Aufwand; Einzelbewertungen durch jeden Kunden vervielfachen dagegen den Aufwand auf Anbieterseite.

Der dritte betrifft Personal und Standort. Eine Bereitstellung aus Deutschland ist für nicht eingestufte Systeme häufig vertretbar, stößt bei höheren Stufen aber auf die Erwartungen des ISM zu Sicherheitsüberprüfungen und zu ausländischen Staatsangehörigen. Ein australisches Betriebsteam entschärft einen Teil davon, verdoppelt aber Strukturen und genügt nicht automatisch: Für Systeme mit AUSTEO- oder AGAO-Daten kommt es nach dem ISM zusätzlich auf die Kontrolle durch australische Staatsangehörige an, die für die australische Regierung oder in deren Auftrag arbeiten, und auf Systeme allein unter Regierungskontrolle in von der Regierung autorisierten Einrichtungen (beides nur für SECRET und TOP SECRET markiert).

Entscheidungspunkte

• Welche australischen Kunden verweisen auf ISM oder Essential Eight, und sind Ausgabe, Schutzstufe, Reifegrad und Bewertungsart je Vertrag festgehalten?
• Bieten wir eine IRAP-Bewertung für unsere Dienste an, oder lassen wir uns von jedem Kunden einzeln bewerten?
• Bis zu welcher Schutzstufe bedienen wir australische Kunden aus Deutschland, und ab wann braucht es ein Team in Australien?
• Wer stellt sicher, dass Mitarbeitende mit Kundenzugang die geforderten Prüfungen oder Überprüfungen haben?
• Holen wir für Kunden, die sich auf eine australische Rechtsgrundlage berufen, australische Rechtsberatung ein?

Praktische Empfehlungen

• Eine Standardklausel für australische Verträge entwickeln, die ISM-Ausgabe, Anwendbarkeitsmarkierung, gegebenenfalls Essential-Eight-Reifegrad, Bewertungsart und Umgang mit neuen Ausgaben regelt.
• Die erwartete Schutzstufe immer schriftlich beim Kunden erfragen, nicht stillschweigend annehmen, und die Grundlage festhalten.
• Einen Systemsicherheitsplan nach dem Aufbau des ISM je australischem Dienst führen, mit Anhang zu ausgewählten, geerbten und abweichend umgesetzten Kontrollen.
• Fragen zu Rechtsordnung, Datenstandort, Unterauftragnehmern und staatlichem Zugriff vorab in einer Lieferantenauskunft beantworten.
• Personalprüfungen und Staatsangehörigkeiten für Zugänge zu Kundensystemen ab SECRET vorab mit dem Kunden klären.
• Für alle Fragen nach PSPF, SOCI Act, IRAP-Verfahren oder Hosting Certification Framework auf die Originalquellen beim Kunden oder bei der zuständigen australischen Stelle verweisen; dieser Track trägt sie nicht.

Relevante Normreferenzen

• ASD, Information Security Manual, Ausgabe September 2026: "Executive summary" (Legislation and legal considerations, Cyber security principles, Cyber security guidelines); "Applying a risk-based approach to cyber security" (Select security controls mit den Anwendbarkeitsmarkierungen, Assess security controls, Authorise the system); "Guidelines for cyber security roles" (System owners); "Guidelines for procurement and outsourcing" (Cyber supply chain risk management; Managed services and cloud services); "Guidelines for cyber security documentation" (System-specific cyber security documentation); "Guidelines for system access" (Identity and access management); Glossar (classification, classified data, authorising officer, system security plan).
• ASD, Essential Eight maturity model (November 2023), Abschnitt Implementation; Essential Eight explained (November 2023), Abschnitt Assessing implementations of the Essential Eight.
• Nicht im Quellensatz, Aussagen daraus gesperrt: Protective Security Policy Framework, Security of Critical Infrastructure Act 2018, Hosting Certification Framework, IRAP-Unterlagen, Essential Eight assessment process guide.
• Abgrenzung: Das Bewertungs- und Autorisierungsmodell des ISM lehnt sich an NIST SP 800-37 an; NIST selbst steht im nist-Track. ISO/IEC 27001 steht im core-iso27001-Track und IT-Grundschutz im it-grundschutz-Track, ohne Zuordnung zum ISM. Die CIS Controls stehen im cis-Track.