Das australische Information Security Manual (ISM): Herausgeber, Aufbau, Fassungsstand, Rechtsnatur und Verhältnis zu Essential Eight

Problem in der Praxis

In Ausschreibungen und Vertragsentwürfen australischer Kunden steht häufig nur "ISM-konform" oder "Essential Eight". Wer das in Deutschland liest, behandelt es oft wie ein Gesetz mit festem Pflichtenkatalog oder wie ein Zertifikat, das man erwirbt. Beides trifft das ISM nicht. Es ist ein Rahmenwerk, aus dem eine Organisation für jedes System eine Auswahl trifft, sie zuschneidet, umsetzt, bewerten lässt und durch eine verantwortliche Führungskraft freigeben lässt.

Daraus entstehen drei typische Missverständnisse. Erstens wird die Fassung nicht festgehalten, obwohl das ISM in neuen Ausgaben fortgeschrieben wird und jede Kontrolle ein eigenes Aktualisierungsdatum trägt. Zweitens wird "ISM" mit "Essential Eight" gleichgesetzt, obwohl Essential Eight nur einen kleinen Ausschnitt der Kontrollen markiert. Drittens wird übersehen, dass die Anwendbarkeitsmarkierungen nach Schutzstufen unterscheiden und die Schutzstufe des Systems deshalb mit dem Kunden zu klären ist.

CISO-Einordnung

Herausgeber und Autorität

Herausgeber ist das ASD. Das ISM bezeichnet sich als "considered advice" des ASD im Rahmen seiner Aufgaben nach dem Intelligence Services Act 2001. Daneben gibt das ASD weitere Veröffentlichungen heraus, etwa die Australian Communications Security Instructions; dort kann betriebssystem-, anwendungs- oder gerätespezifischer Rat dem ISM vorgehen. Zielpublikum sind nach dem ISM CISOs, CIOs, Fachleute für Cybersicherheit sowie IT- und OT-Verantwortliche.

Rechtsnatur

Der Abschnitt "Legislation and legal considerations" trägt drei Aussagen: keine rechtliche Pflicht zur Einhaltung, außer ein Gesetz oder eine gesetzlich oder anderweitig rechtmäßig gestützte Anordnung schreibt sie vor; kein Vorrang vor gesetzlichen Pflichten; Vorrang des Gesetzes im Konflikt. Das ISM nennt einzelne australische Gesetze als Beispiele für Rechtsvorschriften, mit denen sich eine Organisation vertraut machen sollte (Archives Act 1983, Privacy Act 1988, Security of Critical Infrastructure Act 2018, Telecommunications (Interception and Access) Act 1979), und stellt ausdrücklich klar, dass es solche Fragen nicht umfassend behandelt. Der Inhalt dieser Gesetze liegt dem Track nicht vor. Das ISM enthält zudem einen Haftungsausschluss, wonach sein Inhalt allgemeiner Natur ist und nicht als Rechtsrat zu verstehen ist.

Aufbau

• Einführung "Using the cyber security framework": Zweck, Zielpublikum, Autorität, Rechtsnatur und der risikobasierte Ansatz. Das Risikomanagement des ISM lehnt sich nach eigener Angabe an NIST SP 800-37 Rev. 2 an und hat sechs Schritte: System definieren, Maßnahmen auswählen, umsetzen, bewerten, System autorisieren und überwachen. Einzelheiten dazu in ism-australien-003.
• Cyber security principles: strategische Grundsätze, gruppiert in sechs Funktionen (govern, identify, protect, detect, respond, recover). Eine Organisation soll nach dem ISM nachweisen können, dass sie diese Grundsätze einhält.
• Cyber security guidelines: 23 Kapitel mit der Überschrift "Guidelines for ...", etwa zu Rollen, Vorfällen, Beschaffung und Auslagerung, Systemhärtung, Systemzugang, Kryptografie, Gateways und Datentransfers. Sie unterstützen die Grundsätze mit praktischen Hinweisen; eine Organisation soll die Leitlinien berücksichtigen, die für das jeweilige System einschlägig sind.
• Security controls: Innerhalb der Leitlinien stehen einzelne Kontrollen, in der Ausgabe September 2026 sind es mehr als 1.100. Jede trägt eine Kennung, eine Revisionsnummer, ein Aktualisierungsdatum (Monat und Jahr), eine Anwendbarkeitsmarkierung und eine Essential-Eight-Markierung.
• Terminologie: Abkürzungs- und Begriffsglossar.

Die Leitlinien sind ausdrücklich keine abschließende Liste: Sie bilden eine Grundlinie (baseline) und einen wichtigen Input für Risikoidentifikation und Risikobehandlung, ersetzen aber nicht die eigene Risikoanalyse und Risikobewertung der Organisation.

Anwendbarkeitsmarkierungen

Die Markierungen helfen bei Auswahl und Zuschnitt. Das ISM nennt NC für nicht eingestufte Systeme, und zwar ausdrücklich für Regierungs- und Nicht-Regierungssysteme, OS für OFFICIAL: Sensitive, P für PROTECTED, S für SECRET und TS für TOP SECRET. In der Ausgabe September 2026 kommen nur diese fünf Werte vor. Wie eine Organisation ihre Daten und Systeme einer Stufe zuordnet und wer das vorgibt, behandelt ism-australien-002; die ausgewerteten Abschnitte des ISM legen dafür weder Zuordnungsregeln noch eine Zuständigkeit fest.

Fassungsstand

Ausgewertet ist die Ausgabe mit dem Vermerk "Last updated: September 2026", bezogen aus dem offiziellen ASD-Spiegel auf GitHub (Release v2026.09.4; die OSCAL-Kataloge desselben Releases tragen als letzte Änderung den 03.09.2026). Frühere Ausgaben liegen dem Track nicht vor, und einen festen Erscheinungsrhythmus sagt das ISM selbst nicht zu; vor Verwendung ist auf cyber.gov.au zu prüfen, ob eine neuere Ausgabe vorliegt. Für die Praxis wichtig ist, dass das ISM Fassungen selbst als Bezugsgröße verwendet: Für die regelmäßige Bewertung von Managed Services und ausgelagerten Clouddiensten verlangt es etwa die jeweils letzte vor Beginn der Bewertung verfügbare Ausgabe (oder eine spätere); Einzelheiten in ism-australien-005. Die Fassung gehört deshalb in jeden Vertrag und jeden Nachweis.

Lizenz

Nach dem Copyright-Abschnitt des ISM gilt: © Commonwealth of Australia 2026; mit Ausnahme des Wappens (Coat of Arms) und soweit nicht anders angegeben steht das Material unter der Lizenz Creative Commons Attribution 4.0 International (CC BY 4.0), und die Lizenz gilt nur für das im Dokument so bezeichnete Material. Die beiden Essential-Eight-Dokumente vom November 2023 tragen einen entsprechenden Vermerk (© Commonwealth of Australia 2023), dort sind zusätzlich das ASD-Logo ausgenommen. Die Lizenzbedingungen im Einzelnen ergeben sich aus dem Lizenztext bei Creative Commons. Unabhängig davon gibt dieser Korpus keine Kontrolltexte im Wortlaut und keine Kontroll- oder Kennungslisten wieder.

Verhältnis zu Essential Eight

Essential Eight ist nach dem Reifegradmodell vom November 2023 die wirksamste Teilmenge der priorisierten Minderungsstrategien, die das ASD in der Veröffentlichung "Strategies to mitigate cybersecurity incidents" beschreibt. Es umfasst acht Strategien, darunter Patchen von Anwendungen und Betriebssystemen, Mehrfaktor-Authentisierung und regelmäßige Datensicherungen; die vollständige Darstellung steht in ism-australien-004. Das Modell ist für internetverbundene IT-Netze entworfen; die Prinzipien lassen sich auf mobile Endgeräte und OT übertragen, das Modell ist dafür aber nicht entworfen, und andere Strategien können dort besser passen.

Das Reifegradmodell (maturity model, also Stufenmodell der Umsetzungsreife) kennt vier Reifegrade, Maturity Level Zero bis Three. Level Zero kennzeichnet Schwächen; die Level One bis Three richten sich an zunehmend fähigen Angreifern aus, gemessen an ihrer Vorgehensweise (tradecraft) und ihrer Zielauswahl (targeting). Das Modell sieht keine Pflicht vor, die Umsetzung durch eine unabhängige Stelle zertifizieren zu lassen; eine unabhängige Bewertung kann aber nötig werden, wenn eine Anweisung oder Richtlinie der Regierung, eine Regulierungsbehörde oder vertragliche Vereinbarungen sie verlangen. Essential Eight ist nach dem Modell eine Mindestmenge vorbeugender Maßnahmen: Wo die eigene Umgebung es erfordert, sind zusätzliche Maßnahmen umzusetzen, und weil Essential Eight nicht alle Bedrohungen mindert, sind weitere Minderungsstrategien und Kontrollen zu erwägen, unter anderem aus den Strategies to mitigate cybersecurity incidents und dem ISM.

Im ISM September 2026 erscheint Essential Eight als Markierung an 126 Kontrollen; mit Maturity Level One sind 46, mit Two 87 und mit Three 123 markiert (eine Kontrolle kann mehreren Levels zugeordnet sein). Die aufgelösten OSCAL-Kataloge des ASD für die drei Levels (Release v2026.09.4) enthalten jeweils genau diese Anzahl Kontrollen. OSCAL ist ein maschinenlesbares Format für Kontrollkataloge. Der Fließtext des ISM erläutert die Essential-Eight-Markierung nicht weiter.

Das Reifegradmodell vom November 2023 und das ISM 2026 fallen zeitlich auseinander: 90 der 126 markierten Kontrollen tragen im ISM ein Aktualisierungsdatum nach November 2023. Ob und wo sich dadurch die Anforderungen gegenüber dem Modell 2023 inhaltlich verschoben haben, behandelt ism-australien-004. Dieser Track stützt die aktuelle Zuordnung auf das ISM September 2026 und die OSCAL-Kataloge; eine jüngere Fassung des Reifegradmodells war nicht beschaffbar.

Umsetzungsperspektive

1. Fassung festhalten. In jedem Angebot, Vertrag und Nachweis die ISM-Ausgabe (Monat und Jahr) und gegebenenfalls die Essential-Eight-Quelle nennen. Ohne Fassungsangabe ist "ISM-konform" nicht prüfbar.
2. Anlass klären. Feststellen, woraus sich die Anforderung ergibt: Vertrag, Ausschreibung, Kundenrichtlinie oder eine australische Rechtsgrundlage, die der Kunde benennt. Das ISM selbst begründet keine Pflicht.
3. Schutzstufe erfragen. Klären, welche Schutzstufe der Kunde für das System erwartet (NC, OS, P, S oder TS). Die Markierungen unterstützen Auswahl und Zuschnitt der Kontrollen an den Sicherheits- und Resilienzzielen des Systems; die eigene Risikoanalyse ersetzen sie nicht. Wer eine Stufe verbindlich festlegt, ist mit den Quellen dieses Tracks nicht zu beantworten.
4. ISM und Essential Eight trennen. Klären, ob der Kunde das ISM für eine Schutzstufe, einen Essential-Eight-Reifegrad oder beides erwartet. Das sind unterschiedliche Mengen.
5. An bestehendes ISMS andocken. Das ISM verlangt die eigene Risikoanalyse ohnehin; ein vorhandenes Managementsystem nach ISO/IEC 27001 oder IT-Grundschutz bleibt der Rahmen, das ISM liefert die australische Grundlinie dazu.
6. Änderungen verfolgen. Bei jeder neuen Ausgabe die Kontrollen mit neuem Aktualisierungsdatum in der eigenen Auswahl sichten; die OSCAL-Kataloge eignen sich für einen maschinellen Abgleich der eigenen Werkzeuge.

Typische Fehler

1. "ISM" wird als Gesetz gelesen, obwohl das ISM sich selbst nur dann als verpflichtend bezeichnet, wenn ein Gesetz oder eine Anordnung, die auf einem Gesetz oder einer sonstigen rechtmäßigen Befugnis beruht, die Einhaltung vorschreibt.
2. Die Fassung wird nicht dokumentiert, sodass ein Nachweis aus dem Vorjahr unbemerkt gegen eine ältere Ausgabe läuft.
3. Essential Eight wird mit dem ISM gleichgesetzt, obwohl es nur einen Bruchteil der Kontrollen markiert.
4. Die Anwendbarkeitsmarkierung wird ignoriert und entweder alles oder zu wenig umgesetzt.
5. Die Leitlinien werden als abschließende Checkliste behandelt, obwohl das ISM sie nur als Grundlinie für die eigene Risikoanalyse versteht.
6. Das Reifegradmodell 2023 wird als aktueller Stand zitiert, ohne die Markierungen im ISM der aktuellen Ausgabe zu prüfen.
7. Aus der CC-BY-Lizenz wird gefolgert, Kontrolltexte könnten ohne Quellenangabe in eigene Dokumente übernommen werden.

Risiken und Trade-offs

Wer das ISM eng an der Ausgabe des Vertragsschlusses festschreibt, gewinnt Planbarkeit, riskiert aber, dass der Kunde bei der nächsten Bewertung die dann aktuelle Ausgabe zugrunde legt; das ISM selbst knüpft die Bewertung von Managed Services und ausgelagerten Clouddiensten an die letzte vor Beginn verfügbare Ausgabe. Wer dagegen "jeweils aktuelle Fassung" zusagt, übernimmt einen laufenden Änderungsaufwand, der sich mit jeder neuen Ausgabe summiert.

Ein zweiter Zielkonflikt liegt zwischen Essential Eight und dem vollen ISM. Essential Eight ist schmal, gut messbar und wird oft zuerst verlangt; das volle ISM für eine Schutzstufe ist breiter und verlangt Systemdokumentation, Bewertung und Autorisierung. Eine Organisation, die nur Essential Eight umsetzt, hat damit nach dem Reifegradmodell selbst nur eine Mindestmenge vorbeugender Maßnahmen und muss zusätzliche Maßnahmen umsetzen, wo ihre Umgebung es erfordert.

Schließlich das Verhältnis zum eigenen ISMS: Eine parallele australische Dokumentation verursacht Doppelaufwand, eine reine Zuordnung zu ISO/IEC 27001 oder IT-Grundschutz reicht dem Kunden möglicherweise nicht, weil das ISM eigene Artefakte wie den Systemsicherheitsplan erwartet.

Entscheidungspunkte

• Welche ISM-Ausgabe und welche Essential-Eight-Quelle legen wir in Angeboten und Verträgen fest, und wer pflegt den Wechsel?
• Erwarten unsere australischen Kunden das ISM für eine Schutzstufe, einen Essential-Eight-Reifegrad oder beides, und ist das schriftlich festgehalten?
• Woraus ergibt sich die Anforderung im Einzelfall, und haben wir die Rechtsgrundlage, auf die sich der Kunde stützt, von ihm benannt bekommen?
• Führen wir eine eigene australische Systemdokumentation oder bilden wir sie aus dem bestehenden ISMS ab?
• Wer prüft bei jeder neuen ISM-Ausgabe, ob sich Kontrollen in unserer Auswahl geändert haben?

Praktische Empfehlungen

• Im Vertrag ISM-Ausgabe, erwartete Anwendbarkeitsmarkierung, gegebenenfalls Essential-Eight-Reifegrad und die Art der Bewertung ausdrücklich festhalten.
• Das ISM als Rahmenwerk zur Auswahl behandeln, nicht als Pflichtenkatalog; die Auswahl mit Begründung dokumentieren.
• Bei jeder neuen Ausgabe die Kontrollen mit neuem Aktualisierungsdatum in der eigenen Auswahl sichten und das Ergebnis datieren.
• Für die aktuelle Essential-Eight-Zuordnung die Markierungen der aktuellen ISM-Ausgabe oder die OSCAL-Kataloge verwenden, nicht allein das Reifegradmodell 2023.
• Fragen zu australischen Rechtspflichten an den Kunden oder an australische Rechtsberatung geben; das ISM beantwortet sie nicht.
• Bei Übernahme von ISM-Inhalten in eigene Unterlagen die CC-BY-Namensnennung beachten und Kontrolltexte nicht als eigene Anforderungen ausgeben.

Relevante Normreferenzen

• ASD, Information Security Manual, Ausgabe September 2026: Abschnitte "Executive summary" (Purpose, Intended audience, Authority, Legislation and legal considerations), "Applying a risk-based approach to cyber security", "Cyber security principles", die 23 "Guidelines for ..."-Kapitel, "Cyber security terminology", Disclaimer und Copyright.
• ASD, ISM OSCAL, aufgelöste Kataloge der Profile Essential Eight Maturity Level One, Two und Three, Release v2026.09.4.
• ASD, Essential Eight maturity model (November 2023) und Essential Eight explained (November 2023).
• Im ISM als Beispiele genannt, Inhalt nicht im Quellensatz: Archives Act 1983, Privacy Act 1988, Security of Critical Infrastructure Act 2018, Telecommunications (Interception and Access) Act 1979; ebenso die Australian Communications Security Instructions.
• Abgrenzung: Das ISM-Risikomanagement lehnt sich an NIST SP 800-37 an; NIST selbst steht im nist-Track. ISO/IEC 27001 steht im core-iso27001-Track und IT-Grundschutz im it-grundschutz-Track; Zuordnungstabellen zum ISM enthält dieser Track nicht. Die CIS Controls stehen im cis-Track.