ISMS-Dokumentation: Was Sie wirklich brauchen

Kaum ein Thema treibt frischgebackene ISMS-Verantwortliche so zuverlässig in die Irre wie die Frage nach der ISMS-Dokumentation. Die Angst vor dem Audit verleitet dazu, alles zu dokumentieren, was sich dokumentieren lässt – und am Ende steht ein Aktenordner-Friedhof aus dreißig Richtlinien, die niemand liest, die niemand pflegt und die im Audit eher zur Last als zur Hilfe werden. Die ISO/IEC 27001:2022 verlangt erstaunlich wenig zwingende Dokumentation. Den Rest verlangen Sie sich selbst auf – meist aus Unsicherheit.

Dieser Leitfaden räumt damit auf. Wir zeigen Ihnen, welche Dokumente die Norm tatsächlich fordert, welche Nachweise (Records) Sie führen müssen, was Sie freiwillig ergänzen sollten – und was Sie sich getrost sparen können. Geschrieben aus der Praxis von ISMS-Projekten im Mittelstand, wo jede überflüssige Richtlinie echten Aufwand bedeutet.

Dokumentierte Information: Was die Norm überhaupt meint

Die ISO/IEC 27001:2022 spricht nicht von „Dokumenten" und „Aufzeichnungen", sondern verwendet seit der Revision 2013 den Sammelbegriff „dokumentierte Information" (documented information). Dahinter verbergen sich zwei unterschiedliche Dinge, die Sie auseinanderhalten sollten:

• Dokumente beschreiben, wie etwas getan werden soll – Richtlinien, Verfahren, Prozessbeschreibungen. Sie zeigen die Absicht und Steuerung.
• Nachweise/Records belegen, dass etwas tatsächlich getan wurde – Protokolle, Logs, Auditberichte, Schulungsnachweise. Sie zeigen die Wirksamkeit.

Diese Unterscheidung ist nicht akademisch. Im Audit prüft der Auditor zuerst, ob ein Dokument existiert – und dann, ob es gelebt wird. Ein perfekt formuliertes Verfahren ohne jeden Nachweis seiner Anwendung ist im Zertifizierungsaudit wertlos. Genau hier scheitern viele „schöne" ISMS: viel Dokument, kein Nachweis.

Merksatz
Dokumente beschreiben die Absicht, Nachweise belegen die Realität. Ein Auditor glaubt nicht, was Sie aufschreiben – er glaubt, was Sie nachweisen.

Die Pflicht-Dokumente: Das verlangt ISO 27001:2022 zwingend

Wenn Sie die Norm Satz für Satz nach den Worten „dokumentierte Information" durchsuchen, bleibt eine überschaubare Liste übrig. Diese Dokumente müssen Sie führen – an ihnen führt kein Weg vorbei:

1. Anwendungsbereich des ISMS (Scope, Kap. 4.3)

Der Scope definiert die Grenzen Ihres Managementsystems: Welche Standorte, Geschäftsbereiche, Prozesse, Systeme und Informationswerte sind eingeschlossen? Ein präziser Scope ist das wichtigste Dokument überhaupt – er entscheidet darüber, was geprüft wird. Ein zu großer Scope macht das Projekt unbeherrschbar, ein künstlich verkleinerter wird vom Auditor zerpflückt, wenn er offensichtliche Risiken ausklammert.

2. Informationssicherheitsleitlinie (Policy, Kap. 5.2)

Die oberste Leitlinie ist das Bekenntnis der Geschäftsleitung zur Informationssicherheit. Sie muss von der Leitung verabschiedet, kommuniziert und für relevante Parteien verfügbar sein. Wichtig: Das ist eine übergeordnete Leitlinie – nicht zu verwechseln mit den themenspezifischen Richtlinien (Topic-specific Policies), die aus den Controls erwachsen.

3. Informationssicherheitsziele (Kap. 6.2)

Messbare Ziele, die zur Leitlinie passen – etwa „Reduktion der Phishing-Klickrate auf unter 5 %" oder „100 % rezertifizierte Berechtigungen pro Jahr". Ziele ohne Messgröße sind keine Ziele, sondern Absichtserklärungen.

4. Methodik der Risikobeurteilung und -behandlung (Kap. 6.1.2 / 6.1.3)

Sie müssen dokumentieren, wie Sie Risiken identifizieren, bewerten und behandeln – also Ihre Methode, nicht nur das Ergebnis. Welche Skala, welche Kriterien für Eintrittswahrscheinlichkeit und Auswirkung, welche Akzeptanzschwelle? Diese Methodik muss konsistent und wiederholbar sein.

5. Anwendbarkeitserklärung (Statement of Applicability, SoA, Kap. 6.1.3 d)

Die SoA ist das Herzstück und das meistgeprüfte Dokument im Audit. Sie listet alle 93 Controls aus Anhang A der ISO/IEC 27001:2022 auf und hält für jedes fest: Ist es anwendbar? Ist es umgesetzt? Und – entscheidend – warum bzw. warum nicht? Ein ausgeschlossenes Control muss begründet werden. Die SoA verbindet Ihre Risikobeurteilung mit den konkreten Maßnahmen und ist damit der rote Faden des gesamten ISMS.

6. Risikobehandlungsplan (Kap. 6.1.3 e)

Der Plan, wie Sie die in der Risikobeurteilung identifizierten Risiken konkret behandeln: welche Maßnahme, wer verantwortlich, bis wann, mit welchen Ressourcen. Er übersetzt die SoA in einen umsetzbaren Fahrplan und muss von den Risikoeignern getragen werden.

Praxis-Tipp
Die SoA ist kein einmaliges Excel, das Sie für das Audit erstellen und dann vergessen. Sie ist ein lebendes Dokument. Jede Änderung an Ihrer Risikolage – neue Cloud-Dienste, neue Standorte, neue Bedrohungen – muss sich darin niederschlagen. Auditoren erkennen eine „tote" SoA auf den ersten Blick am unveränderten Erstellungsdatum.

Diese sechs Dokumente bilden den unverzichtbaren Kern. Bemerkenswert ist, wie kurz diese Liste ist: Die Norm verlangt nicht dutzende Richtlinien, sondern ein durchdachtes, in sich konsistentes Gerüst. Wer hier sauber arbeitet, hat den größten Teil der Dokumentationspflicht erfüllt. Alles, was darüber hinausgeht, sollte einer ehrlichen Nutzenprüfung standhalten – dazu später mehr.

Ein häufiges Missverständnis: Viele glauben, jedes der 93 Controls aus Anhang A erfordere ein eigenes Dokument. Das ist falsch. Die SoA dokumentiert alle Controls in einem einzigen Dokument; eigene Richtlinien braucht es nur dort, wo ein Control ausdrücklich eine „topic-specific policy" oder ein dokumentiertes Verfahren verlangt – etwa bei Zugriffssteuerung, Kryptografie oder Incident Management. Aus diesem Missverständnis entsteht ein großer Teil des typischen Papierballasts.

Die Pflicht-Nachweise: Diese Records müssen Sie führen

Neben den Dokumenten verlangt die Norm an mehreren Stellen explizit Nachweise. Ohne sie können Sie die Wirksamkeit Ihres ISMS nicht belegen – und genau diese Wirksamkeit ist es, die ein Auditor sehen will:

• Ergebnisse der Risikobeurteilung und der Risikobehandlung (Kap. 8.2 / 8.3) – das konkrete Risikoregister, nicht nur die Methodik.
• Nachweise zu Kompetenz (Kap. 7.2) – Qualifikationen und Schulungen der Personen mit Sicherheitsverantwortung.
• Nachweise zu Awareness und Schulungen (Kap. 7.3) – wer wurde wann sensibilisiert.
• Überwachungs- und Messergebnisse (Kap. 9.1) – die Daten zu Ihren Sicherheitskennzahlen.
• Internes Auditprogramm und Auditberichte (Kap. 9.2) – Nachweis, dass Sie Ihr eigenes ISMS prüfen.
• Ergebnisse der Managementbewertung (Management Review, Kap. 9.3) – das Protokoll der Leitungsbewertung.
• Nachweise zu Nichtkonformitäten und Korrekturmaßnahmen (Kap. 10.2) – was lief schief und wie haben Sie reagiert.

Diese Nachweise entstehen im laufenden Betrieb. Wer sie erst kurz vor dem Audit „nacherfindet", fliegt damit fast immer auf – Auditoren prüfen Zeitstempel, Konsistenz und ob die Nachweise über das Jahr verteilt entstanden sind.

Was Sie sinnvollerweise ergänzen – ohne Pflicht

Über die Pflichtliste hinaus gibt es Dokumente, die die Norm nicht zwingend fordert, die aber in der Praxis das Leben erleichtern und aus den Controls heraus oft faktisch nötig werden. Hier gilt: ergänzen, wo es Nutzen stiftet, nicht, wo es nur Seiten füllt.

• Themenspezifische Richtlinien zu Zugriffssteuerung, Kryptografie, akzeptabler Nutzung, Clear Desk, Lieferantenmanagement – soweit die relevanten Controls es erfordern. Bündeln Sie diese, wo es geht: Eine kompakte „Richtlinie zur akzeptablen Nutzung" ist besser als fünf Einzeldokumente mit Überschneidungen.
• Rollen- und Verantwortlichkeitsmatrix (z. B. als RACI) – schafft Klarheit, wer was im ISMS verantwortet.
• Verfahren zum Informationssicherheits-Incident-Management – im Ernstfall Gold wert, auch wenn nicht jedes Detail Pflicht ist.
• Inventar der Informationswerte – Grundlage jeder belastbaren Risikobeurteilung.
• Verfahren zur Lenkung dokumentierter Information – wie Dokumente erstellt, freigegeben, versioniert und gelenkt werden.

Praxis-Tipp
Eine gute Faustregel: Erstellen Sie ein Dokument nur, wenn es entweder die Norm verlangt, ein Control es erfordert oder ein echtes Risiko mindert. Wird ein Dokument aus keinem dieser drei Gründe gebraucht, ist es Papierballast.

Was Sie sich sparen können: Der Anti-Papier-Friedhof

Genauso wichtig wie die Frage „Was brauche ich?" ist die Frage „Was kann weg?". Die häufigsten Überflüssigkeiten, die wir in mittelständischen ISMS-Projekten antreffen:

• Vom Berater geerbte Mammut-Richtlinien: 40-seitige Vorlagen aus dem Konzernkontext, die für 50 Mitarbeitende völlig überdimensioniert sind. Niemand liest sie, niemand pflegt sie – und genau das fällt dem Auditor auf.
• Doppelte und sich widersprechende Dokumente: Drei Richtlinien, die alle das Thema Passwörter streifen, mit unterschiedlichen Vorgaben. Widersprüche sind im Audit ein gefundenes Fressen.
• Tote Verfahren ohne Realitätsbezug: Ein dokumentierter Prozess, den keiner so durchführt. Hier ist es ehrlicher und sicherer, das Verfahren an die gelebte Realität anzupassen, statt eine Fiktion zu pflegen.
• Übergenaue Vorgaben, die Sie selbst nicht einhalten: Wer sich „quartalsweise Rezertifizierung" vorschreibt, sie aber nur jährlich schafft, produziert selbst eine Nichtkonformität. Dokumentieren Sie nur, was Sie auch leisten.
• Aufgeblähte Formularlandschaften: Zehn verschiedene Vorlagen, wo eine reichen würde.

Der Kern: Jedes Dokument, das Sie erstellen, müssen Sie auch lenken, versionieren, pflegen und im Audit verteidigen. Dokumentation ist eine Verbindlichkeit, kein Vermögenswert. Wer das verinnerlicht, dokumentiert automatisch schlanker.

Besonders tückisch ist der Effekt aufgeblähter Dokumentation auf die Glaubwürdigkeit im Audit. Wenn ein Auditor 40 Richtlinien vorfindet, von denen die Mitarbeitenden im Interview keine fünf kennen, entsteht ein vernichtender Eindruck: Hier wird Sicherheit simuliert, nicht gelebt. Ein schlankes, gelebtes Set aus zehn Dokumenten, die jeder im Haus kennt und anwendet, ist auditstrategisch um Längen überlegen. Weniger Dokumentation kann also paradoxerweise zu einem besseren Auditergebnis führen.

Praxis-Tipp
Machen Sie regelmäßig einen „Lösch-Durchgang": Gehen Sie Ihre Dokumentenliste durch und fragen Sie bei jedem Eintrag, ob Sie ihn neu erstellen würden, wenn er nicht existierte. Bei allem, wo die Antwort „nein" lautet, prüfen Sie Zusammenlegung oder Streichung. Ein ISMS wächst von allein – schrumpfen muss man es bewusst.

Mehr zu den Symptomen eines aufgeblähten, aber wirkungslosen ISMS lesen Sie in unserem Beitrag 5 Anzeichen, dass Ihr ISMS ein Papier-ISMS ist. Und wer gerade erst startet, findet die Reihenfolge der Schritte im Leitfaden ISMS aufbauen: Schritt für Schritt.

Die fünf häufigsten Dokumentationsfehler im Mittelstand

Aus der Projektpraxis kristallisieren sich immer wieder dieselben Fallstricke heraus. Wer sie kennt, umgeht sie:

1. Vorlagen ungefiltert übernehmen. Eine gekaufte Richtlinien-Sammlung mag normkonform aussehen, passt aber selten zur eigenen Realität. Jede übernommene Vorlage muss an Scope, Größe und tatsächliche Prozesse angepasst werden – sonst dokumentieren Sie das Unternehmen eines anderen.
2. Dokumente ohne Nachweise. Das größte Risiko überhaupt: Ein perfektes Verfahren, das nie zur Anwendung kommt und keine Records erzeugt. Im Audit ist es wertlos – oder sogar schädlich, weil es eine nicht eingehaltene Selbstverpflichtung dokumentiert.
3. Zu detaillierte Selbstverpflichtungen. Wer „monatliche Überprüfung" festschreibt, sie aber nur quartalsweise schafft, produziert selbst eine Nichtkonformität. Formulieren Sie Intervalle und Pflichten realistisch.
4. Versionschaos. Drei Fassungen desselben Dokuments auf verschiedenen Laufwerken, keine klare Aktuell-Kennzeichnung. Im Audit kostet das Glaubwürdigkeit und Zeit.
5. Keine Verbindung zur Risikobeurteilung. Dokumente, die isoliert nebeneinanderstehen, statt aus Risiken und SoA abgeleitet zu sein. Eine gute Dokumentation erzählt eine durchgängige Geschichte: vom Risiko über die SoA zur Maßnahme zum Nachweis.

Wer diese fünf Fehler vermeidet, hat den entscheidenden Unterschied zwischen einer Dokumentation, die das Audit besteht, und einer, die es nur überleben soll, bereits gemacht.

Die richtige Form: Schlank, gelenkt, gelebt

Die ISO 27001 macht bewusst keine Vorgaben zum Format Ihrer Dokumentation. Ein Wiki, ein SharePoint, ein ISMS-Tool oder Word-Dateien in einer geordneten Ablage sind alle zulässig – solange die dokumentierte Information gelenkt wird. Das bedeutet konkret (Kap. 7.5):

• Identifikation: Titel, Datum, Autor, Version.
• Format und Freigabe: angemessen aufbereitet, vor Veröffentlichung geprüft und freigegeben.
• Verfügbarkeit: dort, wo sie gebraucht wird, für die, die sie brauchen.
• Schutz: vor unbeabsichtigter Änderung, Verlust oder unbefugtem Zugriff.

Praktisch heißt das: weniger Dokumente, dafür sauber versioniert und auffindbar. Ein zentrales, durchsuchbares ISMS-Repository schlägt zehn verteilte Ordner auf verschiedenen Laufwerken. Und es gilt: Lieber ein kurzes, aktuelles Dokument als ein langes, veraltetes.

Wie welabs Sie bei der ISMS-Dokumentation unterstützt

Die Kunst der ISMS-Dokumentation liegt nicht im Schreiben, sondern im Weglassen. Wer aus dem Konzern kommt, kennt beides: die schwergewichtige Dokumentenwelt großer Organisationen – und die Notwendigkeit, sie für den Mittelstand auf das Wesentliche einzudampfen. Genau diese Übersetzung leistet welabs.

Wir unterstützen Sie konkret bei:

• Schlankem Dokumentengerüst – wir erstellen genau die Pflicht-Dokumente (Scope, Leitlinie, Risikomethodik, SoA, Risikobehandlungsplan) plus die wirklich nötigen Ergänzungen – nicht mehr. Mehr dazu auf unserer Seite Compliance & ISMS.
• Aufräumen bestehender Dokumentation – wir entrümpeln geerbte Richtlinien-Friedhöfe und reduzieren auf das, was Audit-fest und lebbar ist.
• Audit-festen Nachweisen – wir etablieren die Records-Praxis, die im Betrieb wirklich entsteht statt vor dem Audit nacherfunden wird.
• Strategic Security Advisor (SSA) – kontinuierliche Begleitung, damit Ihre Dokumentation aktuell, schlank und gelebt bleibt.

Sie ertrinken in Dokumenten oder wissen nicht, wo Sie anfangen sollen? Vereinbaren Sie ein kostenloses Erstgespräch – wir sagen Ihnen ehrlich, was Sie brauchen und was weg kann.

Fazit

Gute ISMS-Dokumentation ist nicht die umfangreichste, sondern die schlankste, die das Audit besteht und im Alltag gelebt wird. Die ISO/IEC 27001:2022 verlangt zwingend nur eine Handvoll Dokumente – Scope, Leitlinie, Sicherheitsziele, Risikomethodik, SoA und Risikobehandlungsplan – sowie eine Reihe von Nachweisen, die im laufenden Betrieb entstehen. Alles Weitere ist eine Frage des Nutzens, nicht der Pflicht.

Behandeln Sie jedes Dokument als Verbindlichkeit, die Sie pflegen müssen, nicht als Trophäe. Dokumentieren Sie nur, was die Norm fordert, ein Control verlangt oder ein Risiko mindert. Dann wird aus dem gefürchteten Papier-Friedhof ein schlankes, lebendiges Managementsystem – und das Audit zur Bestätigung statt zur Zitterpartie.