5 Anzeichen, dass Ihr ISMS ein Papier-ISMS ist

Es gibt ISMS, die jedes Audit bestehen und trotzdem keine Sicherheit schaffen. Sie existieren auf Papier – als Ordnervoll Richtlinien, als saubere SharePoint-Struktur, als beeindruckende Dokumentenlandschaft. Im Alltag aber passiert: nichts. Niemand kennt die Richtlinien, niemand lebt die Prozesse, und das Zertifikat an der Wand ist mehr Dekoration als Schutz. Ein solches Papier-ISMS ist gefährlich, gerade weil es Sicherheit vortäuscht – es wiegt Geschäftsleitung und Mitarbeitende in einer trügerischen Ruhe.

Die gute Nachricht: Ein Papier-ISMS lässt sich erkennen, und es lässt sich heilen. In diesem Beitrag zeigen wir Ihnen fünf klare Warnsignale – jeweils mit „Woran erkennbar" und „So beheben". Wenn Sie sich bei zwei oder mehr Punkten ertappt fühlen, ist es Zeit zu handeln. Geschrieben aus der Praxis vieler ISMS-Projekte im Mittelstand, wo wir genau diese Symptome immer wieder antreffen.

Was ein Papier-ISMS überhaupt ist

Ein ISMS – Informationssicherheits-Managementsystem – ist per Definition ein Managementsystem: ein lebendiger Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern (Plan-Do-Check-Act). Ein Papier-ISMS hat das „Plan" perfektioniert und alles andere vergessen. Die Dokumente sind da, der Betrieb fehlt. Es ist die Hülle eines Managementsystems ohne dessen Substanz.

Die ISO/IEC 27001:2022 verlangt ausdrücklich nicht nur Dokumentation, sondern Wirksamkeit – nachweisbar durch Überwachung, internes Audit, Management-Review und kontinuierliche Verbesserung. Genau diese Wirksamkeit fehlt dem Papier-ISMS. Und genau deshalb fällt es früher oder später auf: spätestens im Überwachungsaudit, schlimmstenfalls im echten Sicherheitsvorfall.

Merksatz
Ein ISMS ist kein Dokument, sondern ein Verhalten. Wer Informationssicherheit am Umfang der Ordner misst statt an gelebter Praxis, baut ein Papier-ISMS.

Warum Papier-ISMS überhaupt entstehen

Kaum jemand setzt sich vor und baut absichtlich ein wirkungsloses ISMS. Papier-ISMS entstehen aus nachvollziehbaren Gründen – die zu kennen hilft, sie zu vermeiden:

• Zertifikat als alleiniges Ziel: Wenn der Antrieb „Wir brauchen das Zertifikat für die Ausschreibung" lautet und nicht „Wir wollen sicherer werden", optimiert das Projekt auf das Audit statt auf Wirkung.
• Überforderung im Tagesgeschäft: Der ISMS-Verantwortliche stemmt die Rolle nebenbei. Dokumente lassen sich einmal erstellen, gelebte Praxis braucht laufende Zeit, die fehlt.
• Berater-Abhängigkeit: Ein externer Dienstleister baut das ISMS auf, übergibt einen Aktenordner – und niemand im Haus hat verstanden, wie der Kreislauf am Laufen gehalten wird.
• Fehlende Leitungsverankerung: Wird Informationssicherheit als reines IT-Thema delegiert, fehlt die Energie von oben, die ein lebendiges ISMS braucht.

Die fünf folgenden Anzeichen sind die sichtbaren Symptome dieser Ursachen. Wichtig: Es geht nicht um Schuld, sondern um Diagnose. Erst wer das Problem klar benennt, kann es beheben.

Anzeichen 1: Die Dokumentation ist gepflegt, aber niemand lebt sie

Das klassische Symptom. Die Richtlinien sind sauber formuliert, versioniert und freigegeben – aber sie existieren in einer Parallelwelt, die mit dem Arbeitsalltag nichts zu tun hat.

Woran erkennbar:

• Fragen Sie eine zufällige Mitarbeiterin nach der Clean-Desk-Regel oder der Passwortrichtlinie – sie kennt sie nicht oder weiß nicht, wo sie steht.
• Die dokumentierten Prozesse beschreiben einen Ablauf, den in der Realität niemand so durchführt.
• Die letzte inhaltliche Änderung an Kerndokumenten liegt weit zurück, obwohl sich Systeme, Cloud-Dienste und Risiken längst verändert haben.

So beheben:

• Schließen Sie die Lücke zwischen Dokument und Realität – und zwar von beiden Seiten: Passen Sie unrealistische Vorgaben an die Praxis an und bringen Sie die Praxis dort auf Stand, wo das Risiko es verlangt.
• Reduzieren Sie auf das Wesentliche. Schlanke, verständliche Richtlinien werden eher gelebt als 40-seitige Vorlagen. Mehr dazu in unserem Leitfaden ISMS-Dokumentation: Was Sie wirklich brauchen.
• Machen Sie Richtlinien auffindbar und alltagstauglich – eine Kurzfassung auf einer Seite wirkt mehr als das vollständige Regelwerk.

Anzeichen 2: Die Risikoanalyse war eine Einmal-Übung

Die Risikobeurteilung ist das Herz des ISMS – sie steuert, welche Maßnahmen überhaupt sinnvoll sind. Im Papier-ISMS wurde sie einmal erstellt, fürs Audit abgehakt und seither nie wieder angefasst.

Woran erkennbar:

• Das Risikoregister trägt ein Erstellungsdatum, aber keine Aktualisierungen.
• Neue Risiken – ein neuer Cloud-Dienst, ein neuer Standort, eine neue Bedrohungslage – tauchen darin nicht auf.
• Die Risikobewertungen wirken generisch, wie aus einer Vorlage übernommen, ohne Bezug zu Ihrem tatsächlichen Geschäft.
• Risikoeigner können mit „ihren" Risiken nichts anfangen oder wissen gar nicht, dass sie welche tragen.

So beheben:

• Etablieren Sie die Risikobeurteilung als wiederkehrenden Prozess, nicht als Projekt. Mindestens jährlich und anlassbezogen bei wesentlichen Änderungen.
• Verankern Sie konkrete Risikoeigner mit echter Verantwortung – Risiken ohne Eigner verwaisen.
• Verknüpfen Sie das Risikoregister mit realen Vorfällen und Kennzahlen, damit es lebt und nicht zur Karteileiche wird.

Praxis-Tipp
Ein einfacher Test: Steht in Ihrem Risikoregister mindestens ein Risiko, das in den letzten zwölf Monaten neu hinzugekommen oder neu bewertet wurde? Wenn nicht, ist Ihre Risikoanalyse eingefroren – ein sicheres Zeichen für ein Papier-ISMS.

Anzeichen 3: Es gibt keine gelebte Security Awareness

Technik und Prozesse schützen nur, wenn die Menschen mitziehen. Im Papier-ISMS existiert eine „Awareness-Richtlinie" – aber keine Awareness.

Woran erkennbar:

• Es gibt ein Dokument zu Security Awareness, aber keine durchgeführten Schulungen mit Nachweisen.
• Die letzte Sensibilisierung war ein einmaliges E-Learning vor langer Zeit, ohne Wiederholung.
• Phishing ist ein abstraktes Thema – es gab nie eine Phishing-Simulation, niemand kennt die eigene Klickrate.
• Mitarbeitende wissen nicht, wie und wo sie einen Sicherheitsvorfall melden.

So beheben:

• Machen Sie Awareness zu einem kontinuierlichen Programm mit regelmäßigen, kurzen Einheiten statt zur Einmalpflicht.
• Setzen Sie auf realistische Phishing-Simulationen und messen Sie die Wirkung über die Zeit. Wie das geht, zeigt unsere Seite Security Awareness & Phishing-Simulation.
• Definieren Sie einen einfachen, bekannten Meldeweg für Vorfälle – und üben Sie ihn.
• Belegen Sie Awareness mit Nachweisen (Teilnahmen, Klickraten, Meldungen) – das ist zugleich ein Pflichtnachweis für die ISO 27001.

Anzeichen 4: Vor jedem Audit bricht Panik aus

Ein wirksames ISMS produziert seine Nachweise im laufenden Betrieb. Im Papier-ISMS hingegen beginnt vor jedem Audit dieselbe hektische Materialschlacht.

Woran erkennbar:

• Wochen vor dem Audit werden Nachweise „nachproduziert", Protokolle rückdatiert, Dokumente in letzter Minute aktualisiert.
• Das Team ist im Audit-Stress, weil über das Jahr nichts entstanden ist, was man einfach vorlegen könnte.
• Nach dem Audit fällt das ISMS in einen Dornröschenschlaf – bis kurz vor dem nächsten Termin.
• Niemand kann auf Anhieb sagen, wo welcher Nachweis liegt.

So beheben:

• Verteilen Sie ISMS-Aktivitäten über das ganze Jahr in einem festen Jahresplan: Risikoreview, internes Audit, Management-Review, Awareness, Kennzahlen-Erhebung – jeweils mit Termin.
• Lassen Sie Nachweise dort entstehen, wo die Arbeit passiert, statt sie vor dem Audit zu rekonstruieren.
• Führen Sie eine einfache Nachweis-Übersicht: Welcher Nachweis, wo abgelegt, wann zuletzt aktualisiert. Wer sauber durch die Audit-Readiness geht, kennt diese Disziplin – vertieft in Audit-Readiness: 90 Tage bis zur ISO-27001-Prüfung.

Praxis-Tipp
Auditoren erkennen ein Papier-ISMS an den Zeitstempeln. Wenn fünf Pflichtnachweise alle aus derselben Woche kurz vor dem Audit stammen, ist die Botschaft eindeutig: hier wurde nichts gelebt, nur nachgeholt. Verteilte, organisch entstandene Nachweise sind das Gegenteil – und Ihr bester Schutz.

Anzeichen 5: Das Management-Review findet nicht statt

Die Managementbewertung (Kap. 9.3) ist der Moment, in dem die Leitung Verantwortung für die Informationssicherheit übernimmt. Im Papier-ISMS ist sie eine leere Formalität – oder existiert gar nicht.

Woran erkennbar:

• Es gibt kein Protokoll eines Management-Reviews, oder es ist eine inhaltsleere Pflichtübung von zehn Minuten.
• Die Geschäftsleitung kennt die zentralen Sicherheitsrisiken und -kennzahlen nicht und trifft keine Entscheidungen dazu.
• Informationssicherheit gilt als „IT-Thema", das die Leitung delegiert und nicht steuert.
• Aus dem Review entstehen keine Beschlüsse zu Ressourcen, Verbesserungen oder Prioritäten.

So beheben:

• Etablieren Sie ein echtes, mindestens jährliches Management-Review mit den normativ geforderten Eingaben: Auditergebnisse, Kennzahlen, Zielerreichung, Risikoveränderungen, offene Maßnahmen.
• Sorgen Sie dafür, dass die Leitung Entscheidungen trifft – zu Budget, Ressourcen und Prioritäten – und dass diese protokolliert werden.
• Machen Sie Informationssicherheit zur Leitungssache. Unter NIS2, die seit Dezember 2025 in Deutschland in Kraft ist, ist die Cybersicherheits-Verantwortung der Leitung ohnehin nicht mehr delegierbar.
• Holen Sie sich für das Review eine fundierte, verständliche Aufbereitung der Sicherheitslage – damit die Leitung in kurzer Zeit qualifiziert entscheiden kann.

Der Schnelltest: Lebt Ihr ISMS?

Wenn Sie unsicher sind, wo Ihr Unternehmen steht, beantworten Sie ehrlich diese fünf Fragen – je eine pro Warnsignal:

1. Kennen zufällig befragte Mitarbeitende die wichtigsten Sicherheitsregeln und wissen, wo sie sie finden?
2. Wurde Ihr Risikoregister in den letzten zwölf Monaten nachweislich aktualisiert?
3. Gab es im letzten Jahr echte Awareness-Maßnahmen mit Nachweisen – inklusive mindestens einer Phishing-Simulation?
4. Entstehen Ihre Audit-Nachweise über das Jahr verteilt, ohne Last-Minute-Hektik vor dem Termin?
5. Hat die Geschäftsleitung im letzten Jahr ein echtes Management-Review mit dokumentierten Entscheidungen durchgeführt?

Jedes „Nein" ist ein Stück Papier-ISMS. Bei drei oder mehr „Nein" sollten Sie nicht auf das nächste Audit warten, sondern jetzt gegensteuern – bevor ein Sicherheitsvorfall die Lücke zwischen Anspruch und Realität schmerzhaft offenlegt.

Wie welabs Sie vom Papier-ISMS zum gelebten ISMS bringt

Ein Papier-ISMS entsteht selten aus bösem Willen, sondern aus Überforderung: zu wenig Zeit, zu wenig Erfahrung, zu viel Fokus auf das Audit statt auf die Wirkung. Genau hier setzt welabs an – wir bringen die Erfahrung mit, ein ISMS nicht nur audit-fest, sondern wirksam und lebbar zu machen.

Wir unterstützen Sie konkret bei:

• Ehrlicher Standortbestimmung – wir sagen Ihnen, wo Ihr ISMS lebt und wo es nur auf Papier existiert. Mehr dazu auf unserer Seite Compliance & ISMS.
• Reaktivierung des ISMS – aus eingefrorener Risikoanalyse, toten Richtlinien und vergessenen Reviews wird wieder ein funktionierender Kreislauf.
• Gelebter Awareness – kontinuierliche Programme und Phishing-Simulationen statt Einmal-E-Learnings.
• Strategic Security Advisor (SSA) – kontinuierliche Begleitung, die dafür sorgt, dass Ihr ISMS gelebt wird und beim Überwachungsaudit nicht durchfällt.

Sie haben bei zwei oder mehr der fünf Anzeichen genickt? Vereinbaren Sie ein kostenloses Erstgespräch – wir zeigen Ihnen den Weg vom Aktenordner zur echten Sicherheit.

Fazit

Ein Papier-ISMS ist gefährlicher als gar kein ISMS, weil es Sicherheit vortäuscht, wo keine ist. Die fünf Warnsignale – ungelebte Dokumentation, eingefrorene Risikoanalyse, fehlende Awareness, Audit-Panik und ausbleibendes Management-Review – haben eines gemeinsam: Sie zeigen, dass das „Management" aus dem Managementsystem verschwunden ist. Übrig bleibt eine Hülle.

Die Heilung beginnt mit Ehrlichkeit. Wer die Anzeichen erkennt und gezielt gegensteuert – schlankere Dokumente, lebende Risikoanalyse, kontinuierliche Awareness, über das Jahr verteilte Nachweise und ein ernst gemeintes Management-Review –, verwandelt ein Papier-ISMS in ein wirksames. Dann schützt Ihr ISMS nicht nur im Audit, sondern dort, wo es wirklich darauf ankommt: im Ernstfall.