EAM und ISMS zusammenführen: Eine Datenbasis statt doppelter Pflege

In großen IT-Organisationen gibt es oft Abteilungen, die räumlich nah beieinander sitzen, in der Praxis jedoch so weit voneinander entfernt arbeiten, als befänden sie sich auf verschiedenen Planeten. Ein klassisches Beispiel für dieses Silo-Denken ist das Verhältnis zwischen dem Team für das Enterprise Architecture Management (EAM) und dem Team, das für das Informationssicherheits-Managementsystem (ISMS), oft nach ISO 27001, verantwortlich ist.

Die EAM-Abteilung (die „Stadtplaner“ der IT) zeichnet Bebauungspläne, plant Cloud-Migrationen und verwaltet das Applikations-Portfolio. Ihr Ziel ist es, die IT-Landschaft effizient, redundant und zukunftsfähig (aligned mit der Business-Strategie) zu gestalten.

Das ISMS-Team (die „Wächter“) kümmert sich um Risikomanagement, Bedrohungsanalysen, Security-Richtlinien und Compliance-Audits. Ihr Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit der Systeme zu gewährleisten (CIA-Triade, teils erweitert um „Authentizität“).

Obwohl diese Ziele stark miteinander verwoben sind, arbeiten beide Teams traditionell mit völlig unterschiedlichen Tools, Datenbanken und Prozessen. In diesem Beitrag zeigen wir auf, warum diese Trennung ein massiver strategischer Fehler ist, wie beide Disziplinen von einer gemeinsamen Datenbasis extrem profitieren und wie „Security by Design“ überhaupt erst möglich wird.

Das doppelte Daten-Dilemma

Der Kern des Problems liegt in der Datenerhebung. Um ein ISMS aufzubauen (insbesondere die Risikobewertung nach ISO 27001), benötigt das Security-Team ein lückenloses Inventar aller schützenswerten Werte (Assets). Sie müssen wissen, welche Server, Applikationen und Daten existieren.

Um eine Architektur zu planen, benötigt das EAM-Team exakt dasselbe: Ein lückenloses Inventar aller Server, Applikationen und deren Abhängigkeiten.

Was passiert in der Realität? Beide Teams schicken getrennte Excel-Fragebögen an die Abteilungsleiter in Unternehmen. Beide Teams kaufen eigene Tools zur Modellierung (das eine Team ein GRC-Tool für Risk & Compliance, das andere ein teures EAM-Tool). Beide Teams pflegen ihre eigene „Wahrheit“. Das Ergebnis sind zwei voneinander isolierte Datenbanken, die spätestens drei Monate nach ihrer Erstellung nicht mehr synchron sind. Wenn ein System im EAM abgeschaltet (decommissioned) wird, läuft es im Risikoregister des ISMS oft noch jahrelang als potenzielles Risiko weiter.

Die „Single Source of Truth“ als verbindendes Element

Die offensichtliche (aber technisch oft anspruchsvolle) Lösung ist die Schaffung einer einzigen, automatisierten Daten-Ebene (Meta-Ebene), aus der sich sowohl das ISMS als auch das EAM bedienen.

Wenn Unternehmen eine Plattform wie Qbilon implementieren, die sich über APIs direkt mit der operativen IT-Infrastruktur (Cloud, Netzwerk, vCenter, Security-Tools) verbindet, entsteht eine dynamische „Single Source of Truth“. Diese gemeinsame Datenbasis hebt enorme Synergien:

1. Kontextreiches Risikomanagement (ISMS profitiert von EAM): Das ISMS-Team sieht in seinem Scanner eine Schwachstelle auf einem Linux-Server. Allein auf Basis dieser Information ist eine Risikobewertung kaum möglich. Blickt das Team nun in die gemeinsame, EAM-angereicherte Datenbasis, sieht es sofort den „Business-Kontext“: Der Server unterstützt die Applikation „Kundenportal“ (gepflegt vom EAM), der verantwortliche Business-Owner ist das Marketing (aus dem EAM), und die Applikation verarbeitet DSGVO-relevante Daten (gepflegt vom Privacy-Team). Die abstrakte Schwachstelle wird sofort zu einem priorisierten Geschäftsrisiko.
2. Security by Design (EAM profitiert vom ISMS): Enterprise Architekten planen den Ersatz von Legacy-Systemen. Ohne den Security-Kontext entscheiden sie rein nach Funktionalität oder Kosten. Wenn die EAM-Ansicht aber mit den Live-Daten des ISMS verknüpft ist, ändert sich die Diskussion: „Wir sehen, dass die Applikation X auf Servern läuft, die laut ISMS chronisch veraltet sind und für die der Hersteller keine Sicherheitspatches mehr liefert (CRA-Verstoß). Die Migration dieser Applikation in eine sichere SaaS-Umgebung bekommt auf der Architektur-Roadmap sofort höchste Priorität.“ Security wird nicht mehr am Ende des Projekts drangeflanscht, sondern ist bereits in der Design-Phase der Architektur (Security by Design) verankert.
3. Eine Wahrheit für Auditoren: Wenn der ISO-27001-Auditor kommt, fragt er nach dem Asset-Inventar. Es gibt nichts Schlimmeres, als wenn das ISMS-Team eine Liste mit 500 Servern vorlegt und der Auditor in einem Gespräch mit dem IT-Architekten erfährt, dass das Unternehmen laut EAM-Planung 600 Server betreibt. Eine gemeinsame, automatisierte Datenbasis eliminiert diese Inkonsistenzen vollständig.

Fazit: Silos einreißen, Effizienz steigern

EAM und ISMS sind zwei Seiten derselben Medaille. Beide Disziplinen haben die Aufgabe, die Komplexität der IT-Landschaft beherrschbar zu machen und das Unternehmen vor existenziellen Risiken (seien es Cyberangriffe oder technologische Sackgassen) zu schützen.

Unternehmen können es sich im Jahr 2026 nicht mehr leisten, diese beiden strategischen Säulen in isolierten Datensilos operieren zu lassen. Die Einführung einer automatisierten Asset-Management-Plattform als „Single Source of Truth“ beendet die redundante Datenpflege, liefert den Architekten den notwendigen Security-Kontext und verschafft dem Compliance-Team das tiefe Business-Verständnis. Reißen Sie sich die Hände über den Flur – und teilen Sie sich die Wahrheit.