Was ist ein ISMS?
Ein ISMS ist die Summe aus Regeln, Rollen, Prozessen und Nachweisen, mit denen eine Organisation den Umgang mit ihren Informationen steuert: Wer ist wofür zuständig, wie werden Risiken bewertet, welche Schutzmaßnahmen gelten, und wie wird ihre Wirksamkeit nachgewiesen?
Wichtig ist die Abgrenzung: Ein ISMS ist kein IT-System und keine Software. Firewall, Virenschutz oder Multi-Faktor-Authentifizierung sind Bestandteile der Informationssicherheit, ersetzen aber kein ISMS. Das ISMS ist die organisatorische Ebene darüber und stellt sicher, dass technische Maßnahmen aus einer Risikobewertung folgen, dokumentiert und überprüft werden. Typische Bestandteile sind die Informationssicherheits-Leitlinie, einzelne Richtlinien und Verfahrensanweisungen, ein Risikoregister, die Schutzbedarfsanalyse, der Vorfallsmanagement-Prozess, das Awareness-Konzept sowie interne Audits und Management-Review.
Typische Bestandteile eines ISMS:
- Informationssicherheits-Leitlinie (Grundsatzdokument der Geschäftsführung)
- Richtlinien und Verfahrensanweisungen für einzelne Themen (Passwörter, Zugriff, mobile Geräte, Cloud-Nutzung)
- Risikoregister mit identifizierten, bewerteten und behandelten Risiken
- Schutzbedarfsanalyse für Informationen, Anwendungen und IT-Systeme
- Vorfallsmanagement-Prozess für Sicherheits-Ereignisse
- Schulungs- und Awareness-Konzept
- Interne Audits und Management-Review-Strukturen
ISO/IEC 27001 oder BSI IT-Grundschutz: welcher Standard passt?
Im deutschsprachigen Raum sind zwei Standards etabliert, beide zertifizierbar, aber sehr unterschiedlich im Zuschnitt:
ISO/IEC 27001:2022
- Herkunft
- International (ISO)
- Umfang
- ~30 Seiten + Annex A mit 93 Maßnahmen
- Charakter
- Schlank, prozess- und risikobasiert
- Typische Anwender
- Mittelstand, Konzerne, IT-/Tech-Branche, international
- Internationale Anerkennung
- Weltweit
BSI IT-Grundschutz
- Herkunft
- Deutschland (BSI)
- Umfang
- Kompendium, über 100 Bausteine
- Charakter
- Sehr ausführlich, bausteinbasiert
- Typische Anwender
- Behörden, KRITIS, deutsche Aufsicht
- Internationale Anerkennung
- Vor allem DACH-Raum
Eine dritte Variante ist die Zertifizierung nach ISO/IEC 27001 auf Basis IT-Grundschutz, also Aufbau nach BSI-Methodik mit international gültigem Zertifikat. Für die meisten Mittelständler ohne starken Behörden-Bezug ist ISO/IEC 27001 die pragmatischere Wahl.
Wann sich ein ISMS lohnt, und wann nicht
Ein ISMS ist kein Selbstzweck: Der Aufbau bindet Kapazität, kostet Geld und will gepflegt werden. Sinnvoll wird er, wenn ein wichtiger Kunde eine ISO/IEC-27001-Zertifizierung verlangt, wenn eine regulatorische Pflicht wie NIS-2, KRITIS, DORA oder TISAX® ein dokumentiertes ISMS fordert, oder wenn die eigene Risiko-Lage es zur Chefsache macht, etwa nach einem Vorfall oder vor einer M&A-Transaktion. Ohne solchen Druck ist ein formales ISMS für kleinere Unternehmen oft Overkill. Dann zuerst die Hausaufgaben: Patchmanagement, Backup, Berechtigungskonzept, Awareness.
Wie ein ISMS aufgebaut wird
Der Aufbau läuft in vier Phasen, für ein mittelständisches Unternehmen realistisch in 7 bis 17 Monaten.
Bestandsaufnahme
Gap-Analyse gegen die gewählte Norm.
Aufbau
Aufbau der Pflichtdokumente iterativ mit den Verantwortlichen.
Einführung
Einführung mit Schulung, erstem internen Audit und Management-Review
Zertifizierung oder Betrieb
Auf Wunsch die Begleitung des Zertifizierungsaudits durch eine akkreditierte Stelle oder der Übergang in den laufenden Betrieb.
Nach der Zertifizierung beginnt die eigentliche Arbeit: Pflege des Risikoregisters, jährliche Audits, Reaktion auf neue Bedrohungen. Ein ISMS, das nach dem Audit einschläft, war Aufwand für ein Stück Papier.
Was den Aufwand bestimmt
Eine pauschale Kostenangabe ist seriös nicht möglich. Die Treiber sind Unternehmensgröße, IT-Komplexität, die bereits vorhandene Dokumentation, das interne Know-how, die Tiefe des Vorhabens (nur Aufbau oder Zertifizierung) und Spezialthemen wie Cloud, Lieferanten oder KI. Belastbare Zahlen ergeben sich erst aus der Bestandsaufnahme, auf dieser Grundlage kalkulieren wir mandatsspezifisch und aufwandsbasiert.
Häufige Fehler beim Aufbau
Aus der Praxis wiederholen sich fünf Muster:
- Zu komplizierte Dokumente, die niemand liest.
- Das ISMS als reines IT-Thema ohne Einbindung der Geschäftsführung
- Eine halbherzige Risikobewertung, die überall „mittel“ einträgt und damit nicht steuert
- Die Zertifizierung als vermeintlicher Endpunkt statt als Bestätigung eines lebenden System
- Eine unterschätzte Awareness, denn die beste Richtlinie nützt nichts, wenn niemand weiß, warum es sie gibt.
Häufig gestellte Fragen
Sieben Punkte, die in fast jedem Erstgespräch vorkommen. Klicken Sie eine Frage an, um die Antwort zu sehen.
Wie lange dauert ein ISMS-Aufbau bis zur Zertifizierung?
Für ein mittelständisches Unternehmen typischerweise 9 bis 15 Monate, abhängig von Ausgangslage und Kapazität der internen Verantwortlichen. Die schnellste sinnvolle Variante liegt bei 6 Monaten, wenn vorhandene Dokumentation und ein interner Treiber gegeben sind.
Brauchen wir das, auch wenn niemand uns dazu zwingt?
Nicht automatisch. Wenn weder Kunden noch Aufsicht noch eigene Risiko-Lage einen Auslöser geben, ist ein formales ISMS oft Overkill. In diesem Fall empfehlen sich zunächst pragmatische Sicherheits-Hausaufgaben (Backup, Patch-Management, Berechtigungen, Awareness). Ein ISMS-Aufbau lohnt sich erst, wenn der externe Druck oder das interne Risiko-Profil es rechtfertigen.
Können wir ein ISMS selbst aufbauen, ohne Berater?
Grundsätzlich ja, wenn intern entsprechende Kapazität und Norm-Kenntnis vorhanden sind. In der Praxis scheitert das oft an drei Punkten: Zeitkapazität der Verantwortlichen, methodische Sicherheit bei der Norm-Auslegung und die nötige Distanz für eine ehrliche Risikobewertung. Externe Begleitung beschleunigt den Aufbau erheblich und reduziert das Risiko teurer Umwege.
Was unterscheidet ein ISMS vom Datenschutz-Management?
Datenschutz (DSGVO) schützt personenbezogene Daten. Ein ISMS schützt alle schutzwürdigen Informationen, auch nicht-personenbezogene (Geschäftsgeheimnisse, Konstruktionsdaten, Vertragsinhalte). Beide Systeme haben Überschneidungen und sollten integriert betrachtet werden. Ein ISMS umfasst den Datenschutz, ersetzt aber nicht die spezifischen DSGVO-Pflichten.
Reicht ein externer Informationssicherheitsbeauftragter, oder brauchen wir eine interne Verantwortung?
Beides hat seinen Platz. Ein externer ISB bringt Methodik, Erfahrung aus anderen Mandaten und die nötige Distanz. Eine interne Verantwortung, oft auf Bereichsleiter-Ebene, ist nötig, damit das ISMS im Alltag getragen wird. In den meisten Mittelstands-Mandaten besteht die Lösung aus einem externen ISB plus internem Ansprechpartner.
Was kostet die Zertifizierung selbst, also der Auditor?
Die Zertifizierung selbst läuft über eine akkreditierte Zertifizierungsstelle (TÜV, DEKRA, DQS, Bureau Veritas und andere); diese Kosten fallen separat an und richten sich nach Unternehmensgröße und Audit-Tagen. Neben dem Erst-Audit kommen jährliche Überwachungsaudits hinzu. Unser eigener Beratungs-Aufwand wird mandatsspezifisch und aufwandsbasiert kalkuliert.
Wie wir Sie beim ISMS-Aufbau unterstützen.
Wir begleiten mittelständische Unternehmen beim ISMS-Aufbau nach ISO/IEC 27001 oder BSI IT-Grundschutz, von der Bestandsaufnahme über alle Pflichtdokumente bis zur Begleitung des Zertifizierungsaudits. Auf Wunsch stellen wir anschließend einen externen Informationssicherheitsbeauftragten und begleiten den laufenden Betrieb.
Unser Ansatz ist pragmatisch: Strukturen, die zur Größe und Realität Ihres Unternehmens passen. Im Erstgespräch klären wir ehrlich, ob ein Mandat sinnvoll ist, auch wenn die Antwort „noch nicht“ lautet.