ISMS aufbauen: Der Weg zur ISO 27001

Cyberangriffe, Lieferkettenrisiken und verschärfte Regulierung wie die NIS2-Richtlinie setzen Unternehmen jeder Größe unter Druck. Die zentrale Frage lautet längst nicht mehr, ob in Informationssicherheit investiert werden muss, sondern wie sich Sicherheit dauerhaft und nachweisbar organisieren lässt. Punktuelle Einzelmaßnahmen — eine Firewall hier, eine Passwortrichtlinie dort — greifen dabei regelmäßig zu kurz. Was Unternehmen brauchen, ist ein systematischer Rahmen, der Sicherheit zur gelebten Routine macht. Genau das leistet ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001.

Was ist ein ISMS — und was ist es nicht?

Ein ISMS ist kein Produkt, das man kauft, und keine Software, die man installiert. Es ist ein Managementsystem: ein Geflecht aus Richtlinien, Prozessen, Rollen und technischen Maßnahmen, mit dem eine Organisation Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen systematisch steuert. Diese drei Schutzziele — im Fachjargon das CIA-Trias (Confidentiality, Integrity, Availability) — bilden den Kern jeder Überlegung.

Der entscheidende Unterschied zu einem reinen Technik-Projekt liegt im Wort „System". Ein ISMS verankert Informationssicherheit als kontinuierlichen Managementprozess, der von der Geschäftsführung getragen, regelmäßig überprüft und stetig verbessert wird. Es geht nicht darum, einen Zustand einmalig zu erreichen, sondern darum, Sicherheit dauerhaft handhabbar zu machen.

Informationssicherheit ist keine Frage der Technik allein, sondern eine Frage der Organisation. Die beste Verschlüsselung nützt wenig, wenn niemand definiert hat, wer Zugriff auf welche Daten haben darf und warum.

ISO/IEC 27001: Der internationale Standard

ISO/IEC 27001 ist die weltweit führende Norm für Informationssicherheits-Managementsysteme. Sie beschreibt die Anforderungen, die ein ISMS erfüllen muss, und ist die einzige Norm der 27000er-Familie, gegen die sich Organisationen zertifizieren lassen können. Die aktuelle Fassung — ISO/IEC 27001:2022 — wurde im Oktober 2022 veröffentlicht und brachte eine spürbare Modernisierung mit sich.

Die Norm gliedert sich in zwei Bereiche. Der erste umfasst die Managementsystem-Anforderungen in den Kapiteln 4 bis 10. Diese sind verpflichtend und beschreiben, wie das ISMS aufgebaut, betrieben und verbessert wird. Der zweite Bereich ist der Anhang A (Annex A), ein Katalog konkreter Sicherheitsmaßnahmen, aus dem Unternehmen risikobasiert die für sie relevanten Controls auswählen.

Mit der Revision 2022 wurde der Anhang A grundlegend neu strukturiert. Aus den vormals 114 Maßnahmen in 14 Bereichen wurden 93 Controls in vier übersichtlichen Themen:

• Organisatorische Maßnahmen (37 Controls) — Richtlinien, Rollen, Lieferantenbeziehungen, Vorfallmanagement
• Personenbezogene Maßnahmen (8 Controls) — Sensibilisierung, Schulung, Verantwortlichkeiten der Mitarbeitenden
• Physische Maßnahmen (14 Controls) — Zutrittskontrolle, Schutz von Geräten und Infrastruktur
• Technologische Maßnahmen (34 Controls) — Zugriffssteuerung, Kryptografie, Protokollierung, sichere Entwicklung

Neu hinzugekommen sind elf zeitgemäße Controls, darunter Threat Intelligence, Informationssicherheit für Cloud-Dienste, Data Leakage Prevention, Configuration Management und Secure Coding. Diese Ergänzungen spiegeln wider, wie sich die Bedrohungslandschaft in den letzten Jahren verändert hat.

Der PDCA-Zyklus als Herzstück

Wer den Aufbau eines ISMS verstehen will, muss den PDCA-Zyklus verstehen — Plan, Do, Check, Act. Dieser Regelkreis durchzieht die gesamte Norm und sorgt dafür, dass das Managementsystem nicht erstarrt, sondern sich kontinuierlich weiterentwickelt.

• Plan: Kontext analysieren, Geltungsbereich festlegen, Risiken bewerten und Maßnahmen planen.
• Do: Die geplanten Maßnahmen und Prozesse umsetzen und betreiben.
• Check: Die Wirksamkeit durch Überwachung, interne Audits und Management-Bewertungen prüfen.
• Act: Abweichungen korrigieren, Verbesserungen einleiten und den Zyklus erneut durchlaufen.

Ein ISMS ist nie „fertig". Es lebt vom kontinuierlichen Verbesserungsprozess. Die Zertifizierung ist nicht das Ziel, sondern ein Etappenpunkt auf einem dauerhaften Weg.

Schritt für Schritt: So bauen Sie ein ISMS auf

Der Weg zu einem funktionierenden ISMS folgt einer klaren Logik. Die folgenden Phasen orientieren sich an der Struktur der Norm und an der Praxis erfolgreicher Implementierungsprojekte.

1. Kontext der Organisation verstehen (Kapitel 4)

Am Anfang steht die Frage: In welchem Umfeld bewegt sich das Unternehmen? Hier werden interne und externe Themen identifiziert, die die Informationssicherheit beeinflussen — von der Marktsituation über regulatorische Anforderungen bis zur IT-Landschaft. Ebenso wichtig sind die interessierten Parteien (Stakeholder): Kunden, Aufsichtsbehörden, Mitarbeitende, Partner — und ihre jeweiligen Erwartungen an die Sicherheit.

Das zentrale Ergebnis dieser Phase ist die Festlegung des Geltungsbereichs (Scope). Welche Standorte, Prozesse, Systeme und Informationen soll das ISMS abdecken? Ein klug geschnittener Scope ist erfolgsentscheidend: Zu eng gefasst, verliert das ISMS an Glaubwürdigkeit; zu weit gefasst, wird das Projekt unbeherrschbar.

2. Führung und Verpflichtung sicherstellen (Kapitel 5)

Kein ISMS funktioniert ohne den sichtbaren Rückhalt der obersten Leitung. Die Norm fordert ausdrücklich, dass die Geschäftsführung Verantwortung übernimmt — nicht nur durch eine Unterschrift, sondern durch Ressourcen, eine verabschiedete Informationssicherheitsleitlinie und die klare Zuweisung von Rollen und Verantwortlichkeiten.

Tone at the Top
Erfahrungsgemäß scheitern ISMS-Projekte selten an der Technik, sondern am fehlenden Engagement der Führungsebene. Wenn die Geschäftsführung Informationssicherheit als lästige Pflicht behandelt, überträgt sich diese Haltung auf die gesamte Organisation. Sichtbares Commitment von oben ist die Grundvoraussetzung für eine gelebte Sicherheitskultur.

3. Risiken bewerten und behandeln (Kapitel 6)

Das Risikomanagement ist das methodische Rückgrat jedes ISMS. Statt blind möglichst viele Maßnahmen umzusetzen, werden Schutzmaßnahmen risikobasiert ausgewählt — dort, wo sie den größten Nutzen stiften.

Der Prozess gliedert sich in zwei Schritte. Bei der Risikobewertung (Risk Assessment) werden Risiken identifiziert, analysiert und nach ihrer Eintrittswahrscheinlichkeit und ihren möglichen Auswirkungen priorisiert. Bei der anschließenden Risikobehandlung (Risk Treatment) wird für jedes relevante Risiko eine Entscheidung getroffen: vermeiden, vermindern, übertragen (etwa per Versicherung) oder bewusst akzeptieren.

• Identifikation der schützenswerten Werte (Assets) und ihrer Risiken
• Bewertung nach Eintrittswahrscheinlichkeit und Schadensausmaß
• Festlegung von Risikoakzeptanzkriterien durch die Leitung
• Auswahl passender Maßnahmen aus dem Anhang A

4. Das Statement of Applicability erstellen

Aus der Risikobehandlung entsteht eines der wichtigsten Dokumente überhaupt: das Statement of Applicability (SoA), die Erklärung zur Anwendbarkeit. Darin dokumentiert das Unternehmen für jede der 93 Annex-A-Maßnahmen, ob sie angewendet wird oder nicht — und begründet diese Entscheidung. Das SoA ist verpflichtend und das zentrale Prüfdokument für jeden Auditor. Es macht transparent und nachvollziehbar, warum die getroffene Maßnahmenauswahl zum Risikoprofil der Organisation passt.

5. Maßnahmen umsetzen und betreiben (Kapitel 7 & 8)

Jetzt folgt die operative Umsetzung. Die ausgewählten Controls werden implementiert, die notwendige dokumentierte Information erstellt und die erforderlichen Ressourcen, Kompetenzen und Kommunikationswege bereitgestellt. Ein häufig unterschätzter Punkt ist dabei die Awareness: Mitarbeitende müssen verstehen, welche Rolle sie für die Informationssicherheit spielen. Schulungen und Sensibilisierungsmaßnahmen sind keine Kür, sondern eine ausdrückliche Normanforderung.

6. Wirksamkeit überprüfen (Kapitel 9)

Funktioniert das ISMS tatsächlich? Diese Frage beantwortet die Leistungsbewertung. Drei Instrumente greifen hier ineinander: die laufende Überwachung und Messung definierter Kennzahlen, das interne Audit, bei dem das ISMS unabhängig auf Konformität geprüft wird, und die Management-Bewertung (Management Review), in der die oberste Leitung das System regelmäßig beurteilt und über Anpassungen entscheidet.

7. Kontinuierlich verbessern (Kapitel 10)

Im letzten Schritt schließt sich der Kreis. Festgestellte Abweichungen (Nonconformities) werden mit Korrekturmaßnahmen behoben, deren Ursachen analysiert und das System fortlaufend optimiert. Damit beginnt der PDCA-Zyklus von Neuem — auf einem höheren Reifegrad.

Best Practices aus der Praxis

Die Norm beschreibt das Was, nicht das Wie. Aus zahlreichen Implementierungsprojekten haben sich einige Prinzipien herauskristallisiert, die den Unterschied zwischen einem gelebten ISMS und einem reinen Papiertiger ausmachen.

• Klein anfangen, sauber skalieren: Beginnen Sie mit einem klar umrissenen Geltungsbereich und erweitern Sie ihn schrittweise, statt von Tag eins an das ganze Unternehmen abdecken zu wollen.
• Risikobasiert statt vollständig: Setzen Sie nicht alle 93 Controls aus Prinzip um, sondern die, die Ihr tatsächliches Risikoprofil adressieren. Genau dafür existiert das SoA.
• Dokumentation mit Augenmaß: Erstellen Sie nur die Dokumente, die Sie wirklich brauchen und pflegen können. Überbordende Bürokratie ist der häufigste Grund, warum ISMS in der Schublade verschwinden.
• Bestehende Prozesse nutzen: Ein ISMS muss kein Parallelsystem sein. Integrieren Sie es in vorhandene Management- und Qualitätsprozesse, etwa ein bestehendes ISO-9001-System.
• Menschen mitnehmen: Sicherheit, die als reines Kontrollinstrument empfunden wird, erzeugt Widerstand. Kommunizieren Sie den Nutzen, nicht nur die Regeln.

Der häufigste Fehler
Viele Organisationen behandeln die Zertifizierung als Projekt mit einem Enddatum. Sobald das Zertifikat hängt, verfällt das System in einen Dornröschenschlaf — bis das nächste Überwachungsaudit naht. Ein ISMS entfaltet seinen Wert aber erst, wenn es als dauerhafter Bestandteil des Tagesgeschäfts verstanden wird.

Der Weg zur Zertifizierung

Die Zertifizierung selbst läuft in mehreren Stufen ab und wird von einer akkreditierten Zertifizierungsstelle durchgeführt. Im Stufe-1-Audit prüfen die Auditoren zunächst die Dokumentation und die grundsätzliche Reife des ISMS. Im anschließenden Stufe-2-Audit wird vor Ort bewertet, ob das System in der Praxis wirksam umgesetzt ist. Bei erfolgreichem Abschluss wird das Zertifikat ausgestellt — gültig für drei Jahre, mit jährlichen Überwachungsaudits und einem Rezertifizierungsaudit am Ende des Zyklus.

Realistisch sollten Unternehmen je nach Größe und Ausgangslage mit einem Vorlauf von sechs bis zwölf Monaten bis zur Zertifizierungsreife rechnen. Entscheidend ist nicht die Geschwindigkeit, sondern dass das ISMS vor dem Audit nachweislich gelebt wird — Auditoren erwarten Aufzeichnungen, die zeigen, dass die Prozesse über einen gewissen Zeitraum tatsächlich funktioniert haben.

Wie Welabs Sie beim ISMS-Aufbau unterstützt

Der Aufbau eines ISMS ist anspruchsvoll — gerade für mittelständische Unternehmen, die nicht über eine eigene Sicherheitsabteilung verfügen. Welabs begleitet Sie auf dem gesamten Weg, von der ersten Standortbestimmung bis zur erfolgreichen Zertifizierung.

• Gap-Analyse: Wir ermitteln, wo Ihre Organisation im Vergleich zu den Normanforderungen heute steht und welche Lücken zu schließen sind.
• Scope und Strategie: Gemeinsam definieren wir einen sinnvollen Geltungsbereich und einen realistischen Fahrplan, der zu Ihren Ressourcen passt.
• Risikomanagement: Wir etablieren eine praxistaugliche Methodik zur Risikobewertung und -behandlung und erstellen mit Ihnen das Statement of Applicability.
• Umsetzung und Dokumentation: Wir unterstützen bei der Implementierung der Maßnahmen und entwickeln eine schlanke, auditfähige Dokumentation.
• Audit-Vorbereitung: Durch interne Audits und ein Pre-Audit sorgen wir dafür, dass Sie der Zertifizierung gelassen entgegensehen können.

Unser Versprechen
Wir bauen kein ISMS, das nur auf dem Papier existiert. Unser Ziel ist ein Managementsystem, das Ihre Organisation tatsächlich sicherer macht und sich nahtlos in Ihren Arbeitsalltag einfügt — pragmatisch, risikoorientiert und ohne unnötige Bürokratie.

Fazit: Sicherheit als System, nicht als Zufall

Ein ISMS nach ISO/IEC 27001 verwandelt Informationssicherheit von einer Sammlung isolierter Maßnahmen in einen strukturierten, nachvollziehbaren und kontinuierlich verbesserten Managementprozess. Der Aufwand lohnt sich gleich mehrfach: Sie reduzieren reale Risiken, erfüllen wachsende regulatorische Anforderungen wie NIS2 und schaffen mit einem anerkannten Zertifikat Vertrauen bei Kunden und Partnern.

Der Schlüssel zum Erfolg liegt nicht in maximaler Vollständigkeit, sondern in einem risikobasierten, gelebten Ansatz. Ein ISMS, das von der Führung getragen, von den Mitarbeitenden verstanden und über den PDCA-Zyklus stetig verbessert wird, ist weit mehr als ein Zertifikat an der Wand — es ist ein echter Wettbewerbsvorteil.

Sie möchten wissen, wie ein ISMS in Ihrem Unternehmen konkret aussehen könnte? Sprechen Sie uns an — wir entwickeln gemeinsam einen Fahrplan, der zu Ihrer Organisation passt.