ISM Australien: Vorfälle und Meldung an ASD, Lieferkette, Managed Services und Cloud, und was ein deutscher Dienstleister eines australischen Kunden erwarten muss

Problem in der Praxis

Drei Fehlannahmen treten bei deutschen Lieferanten regelmäßig auf. Die erste lautet: „Das ISM ist eine australische Behördenrichtlinie, es betrifft uns nicht.“ Richtig daran ist nur, dass das ISM aus sich heraus keine allgemeine gesetzliche Befolgungspflicht begründet; ob für einen konkreten Lieferanten eine Bindung durch Gesetzgebung oder eine rechtmäßige Anordnung besteht, prüft dieser Artikel nicht. Praktisch ist der Satz falsch. Das ISM richtet sich an „an organisation“ und deren Systeme. Ein großer Teil der Beschaffungs- und Auslagerungskapitel beschreibt aber, was diese Organisation von ihren Lieferanten verlangen und vertraglich festhalten soll. Wer einen ISM-orientierten Kunden beliefert, liest diese Kapitel daher am besten als Vorschau auf die Ausschreibung, den Fragebogen und den Vertragsentwurf.

Die zweite Fehlannahme betrifft die Meldung. Wer eine feste Stundenfrist erwartet, sucht im ISM eine Zahl und findet keine. Das ISM spricht von „as soon as possible after they occur or are discovered“, beim unberechtigten Zugriff eines Dienstleisters von sofortiger Benachrichtigung („immediately notified“) und bei Kunden und Öffentlichkeit von „timely manner“. Eine kürzere oder härtere Frist kann aus australischem Recht oder aus dem Vertrag folgen. Das ISM beschreibt solche Fristen nicht, und die einschlägigen Gesetze liegen dem Korpus nicht vor.

Die dritte Fehlannahme lautet, ein Rechenzentrum in Deutschland oder in der EU sei für den australischen Kunden ein Qualitätsmerkmal. Aus Sicht des ISM ist der Betrieb außerhalb Australiens zunächst ein Risikofaktor, der in die Lieferkettenbewertung eingeht. Das ISM nennt ausdrücklich das Risiko rechtmäßiger und verdeckter Datenerhebung ohne Wissen des Kunden bei Diensten im Ausland, das Risiko, dass sich ausländisches Recht kurzfristig ändert, und das Risiko, dass ausländisch beherrschte Lieferanten in Australien dem rechtmäßigen Datenzugriff einer ausländischen Regierung unterliegen können. Ein deutscher Anbieter muss diese Fragen beantworten können, statt sie als Misstrauen zu deuten.

CISO-Einordnung

Rechtsnatur und Wirkungsweg. Nach dem Abschnitt „Legislation and legal considerations“ ist eine Organisation rechtlich nicht verpflichtet, das ISM zu befolgen, es sei denn, Gesetzgebung oder eine gesetzlich oder durch eine sonstige rechtmäßige Stelle erteilte Anordnung verlangt es. Das ISM verdrängt keine gesetzlichen Pflichten und tritt bei einem Widerspruch hinter das Gesetz zurück. Es nennt als Beispiele einschlägiger Gesetzgebung unter anderem den Privacy Act 1988 und den Security of Critical Infrastructure Act 2018, behandelt sie aber nicht umfassend. Für einen deutschen Lieferanten folgt daraus: Vertraglich verbindlich wird für ihn, was er mit seinem Kunden vereinbart; ob daneben eine Bindung durch Gesetzgebung oder eine rechtmäßige Anordnung besteht, prüft dieser Artikel nicht. Ob der Kunde selbst zur Anwendung verpflichtet ist, beurteilt sich nach Quellen, die der Korpus nicht führt (Protective Security Policy Framework, Security of Critical Infrastructure Act); dazu trifft dieser Artikel keine Aussage.

Vorfallsmanagement beim Kunden. Die Guidelines for cyber security incidents, Abschnitt „Managing cyber security incidents“, sehen eine Vorfallsrichtlinie samt zugehörigem Reaktionsplan vor, die entwickelt, umgesetzt, gepflegt und mindestens jährlich geübt wird. Dazu kommen ein Vorfallsregister mit Angaben zu Zeitpunkten, Sachverhalt, ergriffenen Maßnahmen und Meldeempfängern sowie ein Programm gegen Innentäter, zu dessen Aufbau Rechtsrat eingeholt werden soll. Was der Reaktionsplan abdecken soll, steht in den Guidelines for cyber security documentation, Abschnitt „System-specific cyber security documentation“: unter anderem, wie intern und extern an zuständige Stellen gemeldet wird, wer sonst zu informieren ist, und nach welchen Kriterien eine Untersuchung durch Strafverfolgung, ASD oder eine andere Stelle angefordert wird.

Meldung an den CISO und an ASD. Vorfälle sollen dem CISO oder einem seiner Delegierten so bald wie möglich nach Eintritt oder Entdeckung gemeldet werden. An ASD soll ebenfalls so bald wie möglich nach Eintritt oder Entdeckung gemeldet werden. Das ISM empfiehlt, die Meldungen an ASD in der Organisation zu koordinieren, und erinnert daran, gesetzliche Meldepflichten gegenüber ASD im Blick zu haben, ohne sie zu benennen. Als meldewürdig nennt es Beispiele wie verdächtige Sperrungen privilegierter Konten, verdächtige Fernzugriffsanmeldungen, Kompromittierung sensibler oder eingestufter Daten, Denial-of-Service-, Ransomware-Angriffe und den Verdacht auf Manipulation elektronischer Geräte. ASD nutzt die Meldungen, um Organisationen zu unterstützen und das Lagebild zu pflegen. Nach der „limited use obligation“ von ASD dürfen Informationen, die ASD freiwillig über Vorfälle oder mögliche Vorfälle erhält, nicht für Regulierungszwecke verwendet werden. Wie weit diese Zusage reicht und wie sie sich zu gesetzlichen Meldungen verhält, beschreibt das ISM nicht.

Meldung an Kunden und Öffentlichkeit. Das ISM sieht vor, Vorfälle zeitnah nach Eintritt oder Entdeckung an Kunden und Öffentlichkeit zu melden, und zwar ausdrücklich sowohl Vorfälle mit Kundendaten als auch solche ohne Kundendaten. Es begründet das mit Transparenz und verweist erneut auf etwaige gesetzliche Pflichten. Für einen deutschen Dienstleister heißt das: Ein ISM-orientierter Kunde hat einen Grund, auch Vorfälle ohne Personen- oder Kundendaten nach außen zu kommunizieren, und braucht dafür die Fakten vom Dienstleister.

Reaktion. Abschnitt „Responding to cyber security incidents“: Nach Feststellung eines Vorfalls wird der Reaktionsplan in Kraft gesetzt. Bei einem Datenabfluss (data spill) werden die Dateneigentümer informiert und der Zugriff beschränkt; das Abschalten von Systemen kann forensisch nützliche Daten vernichten. Bei Schadcode werden befallene Systeme isoliert, zuvor verbundene Medien geprüft und Systeme notfalls aus einer bekannt guten Sicherung wiederhergestellt oder neu aufgebaut. Bei einem Eindringen kann eine Organisation in begrenzten Fällen das Eindringen kurz weiterlaufen lassen, um das Ausmaß zu verstehen oder die Bereinigung zu planen. Lässt sie es weiterlaufen, um weitere Daten oder Beweise zu sammeln, sollen vorher Rechtsrat eingeholt, insbesondere zur Frage eines Verstoßes gegen den Telecommunications (Interception and Access) Act 1979, und die Systemeigentümer konsultiert werden. Die Bereinigung soll von vertrauenswürdigen, vom kompromittierten System getrennten Systemen aus geplant und so abgestimmt werden, dass eine erneute Kompromittierung möglichst ausgeschlossen ist, und danach folgt verstärkte Überwachung, bis belastbare Gewissheit besteht, dass die Angreifer entfernt sind. Beweise sollen mit Protokoll aller Handlungen und lückenloser Beweiskette gesichert werden; wird ASD um Unterstützung gebeten, soll vorher nichts geschehen, was die Beweise beeinträchtigen könnte.

Bezug zu Essential Eight. Im ISM September 2026 tragen von den Vorfallsregeln genau drei eine Essential-Eight-Markierung, nämlich die Meldung an den CISO, die Meldung an ASD und das Inkraftsetzen des Reaktionsplans, jeweils für Maturity Level Two und Three (Reifegrad zwei und drei), nicht für Level One. Die aufgelösten OSCAL-Kataloge derselben Ausgabe bestätigen das, und das Reifegradmodell vom November 2023 führt diese Punkte ebenfalls erst ab Reifegrad zwei. Die Regeln des Beschaffungskapitels tragen keine Essential-Eight-Markierung. Wer vom Kunden „Essential Eight Maturity Level Two“ als Vertragsziel bekommt, übernimmt damit also auch Meldewege.

Lieferkette. Die Guidelines for procurement and outsourcing, Abschnitt „Cyber supply chain risk management“, sehen Lieferkettenrisikomanagement bei der Beschaffung von Betriebssystemen, Anwendungen, IT- und OT-Ausrüstung und Diensten über den ganzen Lebenszyklus vor. Lieferanten sollen identifiziert und einer Lieferkettenrisikobewertung unterzogen werden; als hohes Risiko eingestufte Lieferanten sollen nicht genutzt werden. Beschafft werden soll bei Lieferanten, die ein Bekenntnis zur Sicherheit und zur Transparenz ihrer Produkte und Dienste nachgewiesen haben und eine starke Erfolgsbilanz beim Schutz ihrer eigenen Systeme haben. Lieferanten sollen dafür offen Nachweise liefern, besonders auf Anfrage des Kunden. Ein geteiltes Verantwortungsmodell (shared responsibility model) soll zwischen Lieferant und Kunde erstellt, dokumentiert und ausgetauscht werden. Der Kunde soll eine Richtlinie für das Lieferantenmanagement und eine Liste zugelassener Lieferanten führen, nur von zugelassenen Lieferanten beziehen, für kritische Güter mehrere mögliche Lieferanten identifizieren und ausreichende Ersatzteile kritischer IT- und OT-Ausrüstung vorhalten. Bei der Lieferung soll die Integrität gewahrt bleiben, und bei der Abnahme sollen Integrität und Echtheit geprüft werden; der Lieferant soll dazu befragt werden, wie sich beides bestätigen lässt.

Managed Services und Cloud. Abschnitt „Managed services and cloud services“: Ist ein ausgelagerter Cloud-Dienst zugleich ein Managed Service, gelten die Cloud-Regeln anstelle der gleichwertigen Managed-Service-Regeln. Eine KI-Anwendung oder ein KI-Dienst kann je nach Bereitstellung und Betreiber ein Managed Service, ein Cloud-Dienst, beides oder keines davon sein. Der Kunde soll Register seiner Managed Services und seiner Cloud-Dienste führen und regelmäßig verifizieren. Zu den Angaben zählen unter anderem der Name des Anbieters, die Sensitivität oder Einstufung der Daten, das Fälligkeitsdatum der nächsten Prüfung, die vertraglichen Regelungen und Kontaktdaten des Anbieters rund um die Uhr. Anbieter und ihre Dienste sollen regelmäßig gegen die Anforderungen des ISM geprüft werden. Für die Stufen non-classified, OFFICIAL: Sensitive, PROTECTED und SECRET sieht das ISM ein IRAP-Assessment mindestens alle 24 Monate vor, und zwar nach der neuesten vor Beginn verfügbaren ISM-Ausgabe oder einer späteren. Für TOP SECRET prüfen ASD oder deren Beauftragte im selben Rhythmus. IRAP ist nach dem Glossar des ISM eine Initiative von ASD, die geeignet qualifizierte Personen für solche Prüfungen registriert. Wie man Assessor wird, was ein Assessment kostet und ob es außerhalb Australiens stattfinden kann, steht nicht im Quellensatz. Für ausgelagerte SECRET- und TOP-SECRET-Cloud-Dienste sollen nur Community- oder Private Clouds genutzt werden. Für kommerzielle Anbieter, die Dienste für eine Organisation erbringen, ist nach dem Abschnitt „Applying a risk-based approach to cyber security“ der CISO der unterstützten Organisation (oder sein Delegierter) der authorising officer. Für TOP-SECRET-Systeme nennt derselbe Abschnitt allgemein Director-General ASD (oder dessen Delegierten); wie sich beide Regeln bei TOP-SECRET-Diensten kommerzieller Anbieter zueinander verhalten, sagt das ISM nicht ausdrücklich.

Vertragsklauseln. Das ISM stellt klar, dass Schutzpflichten für Daten bei einem ausgelagerten Dienst dieselben sind wie im Eigenbetrieb. Es sieht vor, dass Dienstleister einschließlich ihrer Unterauftragnehmer die anvertrauten Daten angemessen schützen. Der Vertrag soll regeln, wie die anvertrauten Daten, auch bei Unterauftragnehmern, während der Vertragslaufzeit und nach Erfüllung oder Beendigung des Vertrags geschützt werden. In den Vertrag gehören danach unter anderem die Sicherheitsanforderungen an Vertraulichkeit, Integrität und Verfügbarkeit mit regelmäßiger Überprüfung, ein Prüfrecht, das auch regelmäßig ausgeübt wird, Kündigungsklauseln für den Fall verfehlter Sicherheitsanforderungen und die Pflicht des Dienstleisters, Vorfälle so bald wie möglich nach Eintritt oder Entdeckung an eine benannte Kontaktstelle zu melden. Hinzu kommen Datenarten und Dateneigentum, die Regionen oder Verfügbarkeitszonen der Verarbeitung, Speicherung und Übertragung samt einer Mindestfrist für die Ankündigung von Konfigurationsänderungen, der Zugang zu allen Protokollen über Daten und Dienste des Kunden und eine portable Datenhaltung, die Sicherung, Migration und Außerbetriebnahme ohne Datenverlust erlaubt. Eine Mindestankündigungsfrist von einem Monat nennt das ISM an zwei Stellen: für wesentliche Änderungen an den eigenen Dienstleisterbeziehungen des Anbieters und für die Einstellung eines Dienstes. Für die Ankündigung von Konfigurationsänderungen nennt es keine Dauer. Muss ein Dienst genutzt werden, bevor der Anbieter alle Anforderungen umgesetzt hat, sollen Umsetzungsfristen und Kündigungsklauseln vereinbart werden.

Zugriff des Dienstleisters auf Kundensysteme. Das ISM sieht vor, dass ein Dienstleister Systeme des Kunden nur auf Grundlage einer vertraglichen Vereinbarung nutzt oder administriert. Sein Zugriff soll allen Maßnahmen unterliegen, die sonst für unprivilegierte und privilegierte Nutzer, Fernzugriff und Administration gelten, je nach Art des Zugriffs etwa individuell zuordenbare Konten, minimale Rechte und Mehrfaktor-Authentisierung. Der Zugriff soll auf vom Kunden ausdrücklich genehmigte Fernwartungswerkzeuge, Quelladressen und Zeitfenster beschränkt sein, und zwar zusätzlich zu diesen Maßnahmen, nicht anstelle von ihnen. Das ISM begründet die Schutzmaßnahmen für Dienstleisterzugriffe ausdrücklich auch mit Zugriffen, die von außerhalb Australiens ausgehen. Jeder Zugriff des Dienstleisters soll vom Kunden unabhängig protokolliert werden, so dass der Dienstleister die Protokolle nicht ändern oder löschen kann, und zeitnah ausgewertet werden. Ein unberechtigter Zugriff oder eine unberechtigte Administration durch den Dienstleister gilt als Vorfall, und der Kunde wird sofort benachrichtigt. Nach dem erläuternden Text soll der Dienstleister in diesem Fall auch alle zugehörigen Protokolle bereitstellen. Die Beschränkung auf genehmigte Werkzeuge, Adressen und Zeitfenster und die unabhängige Protokollierung tragen im ISM September 2026 den Revisionsstand 0 mit Vermerk September 2026; nach den Revisionsvermerken sind sie also mit dieser Ausgabe hinzugekommen.

Personal des Dienstleisters. Nach den Guidelines for system access sollen Personen vor dem Zugriff eine angemessene Personalüberprüfung durchlaufen und, wo nötig, eine angemessene Sicherheitsermächtigung besitzen; als solche gelten auch förmlich von Australien anerkannte Ermächtigungen ausländischer Regierungen. Für Systeme mit Daten der Kennzeichnungen AUSTEO, AGAO oder REL gelten in den Stufen SECRET und TOP SECRET zusätzliche Beschränkungen für ausländische Staatsangehörige. Ob das einen konkreten Auftrag betrifft, hängt von der Einstufung des Kundensystems ab, die nur der Kunde kennt.

Umsetzungsperspektive

1. Kundenanforderung zuerst klären. Fragen, ob der Kunde das ISM vertraglich zugrunde legt, auf welche Einstufung (non-classified bis TOP SECRET) sich der Auftrag bezieht und ob ein Essential-Eight-Reifegrad vereinbart werden soll. Ohne diese drei Angaben lässt sich keine Anforderung belastbar ableiten.
2. Eigene Rolle bestimmen. Ist die Leistung ein Produkt, ein Managed Service, ein ausgelagerter Cloud-Dienst oder beides? Die Antwort steuert Register, Prüfungen und Vertragsklauseln. Bei KI-Diensten ist sie nach dem ISM ausdrücklich von Bereitstellung und Betreiber abhängig. Die verbindliche Einordnung trifft der Kunde.
3. Nachweispaket für die Lieferkettenbewertung vorbereiten. Sicherheitsengagement, Transparenz, Umgang mit Schwachstellen und Patches, Erfolgsbilanz beim Schutz eigener Systeme, Standort und Eigentümerstruktur, Rechtsordnungen mit möglichem Behördenzugriff. Diese Fragen kommen, und sie sollten nicht erst im Angebot beantwortet werden.
4. Geteiltes Verantwortungsmodell schriftlich anbieten. Das ISM sieht vor, es zu erstellen, zu dokumentieren und zu teilen; ein Anbieter, der es mitbringt, verkürzt die Verhandlung.
5. Melde- und Kontaktwege bauen. Eine Kontaktstelle rund um die Uhr, ein Meldeweg an die benannte Kontaktstelle des Kunden „so bald wie möglich“ und die Fähigkeit, Protokolle zum betroffenen Kundendienst bereitzustellen. Die konkrete Frist steht im Vertrag, nicht im ISM.
6. Fernzugriff kundenkonform gestalten. Genehmigte Werkzeuge, feste Quelladressen, vereinbarte Zeitfenster, individuelle Konten mit Mehrfaktor-Authentisierung, und die Bereitschaft, dass der Kunde jeden Zugriff selbst protokolliert, so dass der Dienstleister die Protokolle nicht ändern oder löschen kann.
7. IRAP-Fähigkeit prüfen, wenn Managed Services oder Cloud-Dienste angeboten werden. Den Zyklus von höchstens 24 Monaten und die Bindung an die aktuelle ISM-Ausgabe einplanen. Die Einzelheiten des Programms beim Kunden oder bei ASD erfragen.
8. Vertragsklauseln vorab durchsehen. Prüfrecht, Kündigungsklauseln, Datenregionen, Portabilität, Ankündigungsfristen von einem Monat für die Einstellung eines Dienstes und für wesentliche Änderungen der eigenen Dienstleisterbeziehungen.

Typische Fehler

1. Das ISM wird als für Lieferanten irrelevant abgetan, obwohl die Beschaffungs- und Auslagerungskapitel genau die Anforderungen beschreiben, die der Kunde weitergibt.
2. Eine Stundenfrist aus anderen Regelwerken wird ins ISM hineingelesen, oder umgekehrt wird aus dem Fehlen einer Zahl geschlossen, es gebe in Australien keine Frist. Das ISM nennt keine Zahl, und gesetzliche Fristen beschreibt es nicht.
3. Nur Vorfälle mit Kundendaten werden an den Kunden gemeldet, obwohl das ISM die Meldung an Kunden und Öffentlichkeit auch für Vorfälle ohne Kundendaten vorsieht.
4. Der Standort Deutschland wird als Entlastung präsentiert, statt die vom ISM ausdrücklich genannten Rechtsordnungs- und Behördenzugriffsrisiken zu beantworten.
5. Fernwartung läuft über ein generisches Supportkonto ohne Mehrfaktor-Authentisierung und ohne vereinbarte Zeitfenster; die Protokolle liegen nur beim Dienstleister.
6. Die Ankündigungsfrist von einem Monat wird auf alle Änderungen übertragen, obwohl das ISM sie nur für die Einstellung eines Dienstes und für wesentliche Änderungen der eigenen Dienstleisterbeziehungen nennt.
7. Der Unterauftragnehmer oder die Zeit nach Vertragsende fehlt im Vertrag, obwohl das ISM den Schutz anvertrauter Daten ausdrücklich auch für Unterauftragnehmer und auch nach Erfüllung oder Beendigung des Vertrags vorsieht.
8. Ein Lieferant erklärt sich selbst für „ISM-konform“ oder „IRAP-fähig“, obwohl die Freigabe nach dem ISM beim Kunden liegt (für Dienste kommerzieller Anbieter bei dessen CISO oder Delegiertem; für TOP-SECRET-Systeme nennt das ISM allgemein Director-General ASD) und das IRAP-Assessment durch registrierte Assessoren erfolgt.

Risiken und Trade-offs

Der Grundkonflikt liegt zwischen Marktzugang und Betriebskosten. Ein Anbieter, der IRAP-Assessment, kundenseitig protokollierten Fernzugriff und Kontaktstellen rund um die Uhr vorhält, ist für ISM-orientierte Kunden anschlussfähig, trägt aber diese Kosten für einen Markt, der oft nur einen kleinen Umsatzanteil ausmacht. Wer darauf verzichtet, riskiert, in der Lieferkettenbewertung als hohes Risiko eingestuft zu werden, und solche Lieferanten sollen nach dem ISM nicht genutzt werden.

Beim Fernzugriff steht Effizienz gegen Kontrolle. Feste Zeitfenster und genehmigte Werkzeuge verlangsamen den Support, und die kundenseitige Protokollierung gibt dem Kunden Einblick in die Arbeitsweise des Dienstleisters. Dafür stärkt sie die Beweislage des Kunden, weil der Dienstleister diese Protokolle nach dem ISM nicht ändern oder löschen können soll. Einen entsprechenden Schutz gegenüber dem Kunden sieht das ISM nicht vor.

Bei der Meldung schließlich steht Schnelligkeit gegen Gewissheit. „So bald wie möglich“ verlangt eine frühe Meldung auch mit unvollständigem Bild. Wer erst meldet, wenn die Ursache feststeht, verfehlt den Maßstab. Wer früh meldet, muss später berichtigen und sollte das intern und vertraglich vorbereiten.

Entscheidungspunkte

• Wollen wir australische Kunden bedienen, die das ISM vertraglich zugrunde legen, und bis zu welcher Einstufung?
• Bieten wir Managed Services oder Cloud-Dienste an, für die ein IRAP-Assessment erwartet wird, und tragen wir dessen Zyklus?
• Welche Vorfallsfrist sagen wir vertraglich zu, und reicht unsere Erkennungs- und Meldeorganisation dafür rund um die Uhr?
• Wie beantworten wir die Fragen nach Standort, Eigentümerstruktur und möglichem Behördenzugriff?
• Akzeptieren wir die kundenseitige, für uns unveränderbare Protokollierung unseres Fernzugriffs?
• Welche Unterauftragnehmer setzen wir ein, sichern wir deren Schutzniveau ab, und können wir wesentliche Änderungen unserer eigenen Dienstleisterbeziehungen mit einem Monat Vorlauf ankündigen?

Praktische Empfehlungen

• Ein australisches Kundenpaket vorhalten: geteiltes Verantwortungsmodell, Standort- und Eigentümerangaben, Sicherheitsnachweise, Vorfallsprozess, Kontaktstelle rund um die Uhr.
• Den Vorfallsprozess so einrichten, dass die benannte Kontaktstelle des Kunden früh informiert wird, auch bei Vorfällen ohne Kundendaten, und dass die zugehörigen Protokolle bereitgestellt werden können.
• Bei Eindringvorfällen in Kundensystemen keine eigenmächtigen Bereinigungs- oder Abschaltschritte ohne Abstimmung mit dem Kunden; das ISM betont Beweissicherung und abgestimmte Bereinigung.
• Fernwartung auf genehmigte Werkzeuge, feste Adressen und Zeitfenster umstellen und individuelle Konten mit Mehrfaktor-Authentisierung nutzen.
• Vertragsentwürfe australischer Kunden gegen die Themen des ISM-Auslagerungskapitels lesen und die Fristen genau an der Stelle übernehmen, an der sie stehen.
• Aussagen zu IRAP, PSPF und zum Security of Critical Infrastructure Act nicht selbst treffen, sondern beim Kunden, bei ASD oder bei australischer Rechtsberatung klären.

Relevante Normreferenzen

• ASD, Information Security Manual, Ausgabe September 2026: Using the cyber security framework, Abschnitte „Legislation and legal considerations“ (Rechtsnatur) und „Applying a risk-based approach to cyber security“ (authorising officer für Anbieter, Prüfung durch eigene oder IRAP-Assessoren); Cyber security principles, Funktionen Govern (Verantwortlichkeiten mit Lieferanten, Lieferantenzusicherung), Protect (Lieferkettensicherheit) und Respond (Meldung, Koordination).
• Guidelines for cyber security incidents, Abschnitte „Managing cyber security incidents“ (Richtlinie, Register, Innentäterprogramm, Meldung an CISO, ASD, Kunden und Öffentlichkeit) und „Responding to cyber security incidents“ (Datenabfluss, Schadcode, Eindringen, Beweissicherung).
• Guidelines for procurement and outsourcing, Abschnitte „Cyber supply chain risk management“ und „Managed services and cloud services“.
• Guidelines for cyber security documentation, Abschnitt „System-specific cyber security documentation“ (Inhalt des Reaktionsplans); Guidelines for cyber security roles, Abschnitt „Chief information security officer“; Guidelines for system access, Abschnitt „Identity and access management“.
• Essential Eight maturity model, Stand November 2023, Anhänge A bis C; Essential-Eight-Markierungen im ISM September 2026 und OSCAL-Kataloge ML1 bis ML3 (v2026.09.4).
• Abgrenzung: Incident Response nach NIST SP 800-61 und das Risikomanagement nach NIST SP 800-37, an das sich das ISM anlehnt, im nist-Track; Lieferanten- und Vorfallsmanagement nach ISO/IEC 27001 im core-iso27001-Track; Outsourcing und Notfallmanagement nach IT-Grundschutz im it-grundschutz-Track; Dienstleistermanagement und Incident Response nach den CIS Controls im cis-Track. Hier steht nur, was das ISM selbst dazu sagt; Rahmenwerk, Rechtsnatur und Markierungen im Ganzen in ism-australien-001 und ism-australien-002, Essential Eight in ism-australien-004.