Informationssicherheits-Managementsystem nach ISO 27001 und BSI IT-Grundschutz.

Was ist ein Informationssicherheits-Managementsystem?

Ein Informationssicherheits-Managementsystem — kurz ISMS — ist die Summe aus Regeln, Rollen, Prozessen und Nachweisen, mit denen eine Organisation den Umgang mit ihren Informationen steuert. Es definiert, wer wofür zuständig ist, wie Risiken bewertet werden, welche Schutzmaßnahmen gelten und wie deren Wirksamkeit nachgewiesen wird.

Wichtig ist die Abgrenzung: Ein ISMS ist kein IT-System. Es ist auch keine Software, kein Tool und keine Sammlung technischer Schutzmaßnahmen. Eine Firewall, ein Antivirus-Programm oder eine Multi-Faktor-Authentifizierung sind Bestandteile der Informationssicherheit — aber sie ersetzen kein Managementsystem. Das ISMS ist die organisatorische Ebene darüber: Es stellt sicher, dass diese technischen Maßnahmen aus einer Risiko-Bewertung folgen, dokumentiert und überprüft werden.

Typische Bestandteile eines ISMS:

• Informationssicherheits-Leitlinie (Grundsatzdokument der Geschäftsführung)
• Richtlinien und Verfahrensanweisungen für einzelne Themen (Passwörter, Zugriff, mobile Geräte, Cloud-Nutzung)
• Risikoregister mit identifizierten, bewerteten und behandelten Risiken
• Schutzbedarfsanalyse für Informationen, Anwendungen und IT-Systeme
• Vorfallsmanagement-Prozess für Sicherheits-Ereignisse
• Schulungs- und Awareness-Konzept
• Interne Audits und Management-Review-Strukturen

ISO 27001 oder BSI IT-Grundschutz — welche Norm passt?

Im deutschsprachigen Raum sind zwei Normen für ein ISMS etabliert: die internationale ISO/IEC 27001 und der BSI IT-Grundschutz. Beide ermöglichen eine Zertifizierung — aber sie sind in Umfang, Tiefe und Schwerpunkt sehr unterschiedlich.

Eine dritte Variante ist die Zertifizierung nach ISO 27001 auf Basis IT-Grundschutz. Hier wird das ISMS nach BSI-Methodik aufgebaut, das Zertifikat ist aber international gültig. Diese Kombination ist beliebt bei deutschen Großunternehmen, die international tätig sind und gleichzeitig die methodische Tiefe des Grundschutzes nutzen möchten.

Welche Norm im Einzelfall passt, hängt von drei Faktoren ab: Wer fordert den Nachweis (Kunde, Aufsicht, intern)? Welche Aufsichtsbehörden sind beteiligt? Wie ausgeprägt ist die deutsche Verwaltungs- und Dokumentationskultur im Unternehmen? Für die Mehrheit der Mittelständler ohne starken Behörden-Bezug ist ISO 27001 die pragmatischere Wahl.

Wann sich ein ISMS lohnt — und wann nicht

Ein ISMS ist kein Selbstzweck. Der Aufbau bindet personelle Kapazität, kostet Geld und erzeugt laufenden Pflegeaufwand. Sinnvoll wird der Aufwand, wenn mindestens einer von drei Auslösern vorliegt:

1. Kundenanforderung. Ein wichtiger Kunde verlangt eine ISO-27001-Zertifizierung oder ein gleichwertiges Sicherheitsniveau als Vertragsvoraussetzung. Im Mittelstand kommt das zunehmend über Lieferanten-Audits, Fragebögen oder direkte Auflagen in Rahmenverträgen.
2. Regulatorische Pflicht. NIS-2, KRITIS, DORA, TISAX oder branchenspezifische Vorgaben verlangen ein dokumentiertes Managementsystem als Nachweis-Grundlage. Diese Pflichten sind in den letzten Jahren stark ausgeweitet worden — allein NIS-2 betrifft in Deutschland geschätzt 30.000 Unternehmen.
3. Eigene Risiko-Lage. Ein Sicherheits-Vorfall, eine Versicherungs-Anfrage, eine M&A-Transaktion oder ein neues Geschäftsfeld machen den Reife-Stand der eigenen Informationssicherheit zur Geschäftsführungs-Frage.

Umgekehrt gilt: Bei kleineren Unternehmen ohne externen Druck ist ein formales ISMS oft Overkill. Vor dem ISMS-Aufbau sollten dann zunächst die pragmatischen Sicherheits-Hausaufgaben erledigt werden — Patchmanagement, Backup-Strategie, Berechtigungs-Konzept, Awareness. Das schafft eine substanzielle Sicherheits-Basis, ohne dass eine Norm im Hintergrund läuft.

Wie ein ISMS aufgebaut wird

Der Aufbau eines ISMS folgt typischerweise vier Phasen. Für ein mittelständisches Unternehmen mit 50 bis 500 Mitarbeitenden liegt der realistische Zeitrahmen zwischen 6 und 12 Monaten — je nach Ausgangslage, Komplexität und gewünschter Tiefe.

Wichtig: Nach der Zertifizierung beginnt die eigentliche Arbeit. Ein ISMS lebt von kontinuierlicher Pflege — Aktualisierung des Risikoregisters, jährliche Audits, Management-Reviews, Reaktion auf neue Bedrohungslagen. Wer ein ISMS aufbaut und es dann ablegt, hat Aufwand für ein Stück Papier betrieben.

Was den Aufwand bestimmt

Eine pauschale Kostenangabe für einen ISMS-Aufbau ist seriös nicht möglich — die Spannbreite ist zu groß. Was den Aufwand treibt, lässt sich aber klar benennen:

• Unternehmensgröße. Anzahl der Mitarbeitenden, Standorte, Tochterunternehmen
• IT-Komplexität. Eigene Entwicklung vs. Standard-Software, Cloud-Anteil, Anzahl kritischer Anwendungen
• Vorhandene Dokumentation. Wer schon Richtlinien, Prozessdokumentation und Berechtigungs-Konzepte hat, startet nicht bei null
• Internes Know-how. Gibt es einen internen Verantwortlichen mit Vorkenntnissen, oder muss alles extern getrieben werden?
• Tiefe des Vorhabens. Nur ISMS-Aufbau, oder gleich Zertifizierung? Mit oder ohne Re-Zertifizierungs-Begleitung?
• Spezialthemen. Cloud-Sicherheit, Lieferanten-Bewertung, internationale Verbindungen, KI-Einsatz — jedes Spezialthema bringt zusätzliche Anforderungen

Der Aufbau-Aufwand richtet sich nach Ausgangslage, Reifegrad und Größe des Unternehmens, dazu kommen die laufenden Kosten für die ISB-Funktion. Belastbare Zahlen ergeben sich erst aus der Bestandsaufnahme — auf dieser Grundlage kalkulieren wir mandatsspezifisch und aufwandsbasiert.

Häufige Fehler beim Aufbau

Aus Sicht der Beratungspraxis wiederholen sich beim ISMS-Aufbau bestimmte Muster, die ein Projekt teuer oder unwirksam machen:

• Dokumente werden zu kompliziert. Eine 80-seitige Sicherheits-Leitlinie, die niemand liest, schützt nichts. ISMS-Dokumente sollten so kurz wie möglich, so lang wie nötig sein.
• Das ISMS wird als IT-Thema verstanden. Wenn die Geschäftsführung nicht aktiv eingebunden ist und das ISMS allein in der IT-Abteilung lebt, fehlt die Durchschlagskraft. Informationssicherheit ist eine Management-Aufgabe.
• Die Risiko-Bewertung bleibt halbherzig. Wer „mittel“ für alle Risiken einträgt, hat keine Steuerung. Risikobewertung verlangt Differenzierung und regelmäßige Aktualisierung.
• Zertifizierung wird als Endpunkt verstanden. Das Zertifikat ist nicht das Ziel — es ist die Bestätigung eines funktionierenden Systems. Wer nach dem Audit das ISMS einschlafen lässt, verliert Geld und Glaubwürdigkeit beim Re-Audit.
• Awareness wird unterschätzt. Die beste Richtlinie nützt nichts, wenn Mitarbeitende nicht wissen, warum sie existiert. Schulung und Sensibilisierung sind kein Anhängsel, sondern Kern.