Kurzantwort: Der Aufbau eines ISMS nach ISO 27001 läuft in vier klar abgrenzbaren Phasen ab: Scope und Risikoanalyse, Maßnahmen und Dokumentation, Umsetzung im laufenden Betrieb und schließlich das Zertifizierungsaudit. Wie lange jede Phase dauert, bestimmt der Ausgangszustand des Unternehmens – nicht die Unternehmensgröße allein.
Scope und Risikoanalyse – die Basis, die oft unterschätzt wird
Am Anfang steht die Entscheidung, was das ISMS überhaupt umfassen soll: das gesamte Unternehmen, ein Standort, eine einzelne Dienstleistung. Dieser Geltungsbereich (Scope) bestimmt alles Weitere – wird er zu eng gewählt, drohen spätere Nacharbeiten, wenn Kunden oder gesetzliche Vorgaben doch einen umfassenderen Scope verlangen. Darauf folgt die Risikoanalyse: Welche Informationen und Systeme sind besonders schützenswert, welche Bedrohungen sind realistisch, welches Risiko ist tragbar und welches nicht? Diese Phase wird in der Praxis am häufigsten zu knapp bemessen – dabei ist sie die Grundlage für jede spätere Priorisierung.
Maßnahmen festlegen und dokumentieren
Aus der Risikoanalyse ergibt sich, welche Controls aus Anhang A der ISO 27001 tatsächlich relevant sind. Das Ergebnis wird in der Statement of Applicability festgehalten – für jedes Control begründet, ob und wie es umgesetzt wird. Parallel entstehen die weiteren Pflichtdokumente: Richtlinien, Rollen und Verantwortlichkeiten, ein Verfahren für den Umgang mit Sicherheitsvorfällen. Der typische Fehler in dieser Phase: Dokumente werden erstellt, aber nicht mit den Menschen abgestimmt, die sie später anwenden sollen – das fällt beim internen Audit fast immer auf.
Umsetzung, Schulung und internes Audit
Jetzt zeigt sich, ob das ISMS auf dem Papier auch im Alltag funktioniert. Maßnahmen werden umgesetzt, Mitarbeitende geschult, und nach einer Phase des gelebten Betriebs prüft ein internes Audit, ob die Prozesse tatsächlich eingehalten werden. Diese Phase braucht Zeit – ein System, das erst wenige Wochen vor dem externen Audit „hochgefahren“ wird, wirkt bei der Prüfung entsprechend unausgereift. Abweichungen, die das interne Audit aufdeckt, sind dabei kein Rückschlag, sondern der eigentliche Zweck dieses Schritts: Sie werden korrigiert, bevor die externe Zertifizierungsstelle sie findet.
In dieselbe Phase gehört die Managementbewertung: Die Geschäftsführung bewertet das ISMS in geplanten Abständen und entscheidet über Anpassungen. Sie ist eine eigene Anforderung der Norm und muss vor dem Zertifizierungsaudit stattgefunden haben — die Zertifizierungsstelle prüft in Stufe 1 ausdrücklich, ob interne Audits und Managementbewertungen durchgeführt wurden. Fehlt sie, ist das eine der häufigsten Ursachen für Abweichungen im Erstaudit.
Das Zertifizierungsaudit: Stufe 1 und Stufe 2
Am Ende steht das externe Audit durch eine akkreditierte Zertifizierungsstelle – zweistufig: Stufe 1 ist eine Bereitschaftsprüfung — sie sieht sich die Dokumentation an und findet in der Regel bereits vor Ort statt —, Stufe 2 prüft die gelebte Praxis. Erst nach erfolgreichem Abschluss beider Stufen wird das Zertifikat ausgestellt, das dann drei Jahre gültig ist und durch jährliche Überwachungsaudits begleitet wird. Was diese Phasen an Kosten und Zeit tatsächlich bedeuten, zeigt ein eigener Artikel.
Häufige Fragen zum ISMS-Aufbau
Wer sollte das ISMS-Projekt intern leiten, wenn es keinen eigenen Sicherheitsverantwortlichen gibt?
Es braucht vor allem eine Ansprechperson, die Entscheidungen einholen und Verantwortlichkeiten im Unternehmen durchsetzen kann – meist aus der Geschäftsführung oder der IT-Leitung. Wie viel Zeit diese Person während des Aufbaus tatsächlich einplanen muss, hängt von der Projektgröße ab, liegt aber deutlich über einer reinen Nebenaufgabe: Regelmäßige Abstimmungstermine und Entscheidungen gehören während der Aufbauphase zum Alltag. Externe Unterstützung dafür bietet auch eine Beratung, die den Aufbau begleitet, ohne die interne Entscheidungshoheit zu ersetzen. Wer diese Rolle dauerhaft besetzt, ohne sie intern aufzubauen, findet sie beim externen Sicherheitsverantwortlichen.
Muss der Scope von Anfang an das ganze Unternehmen umfassen?
Nein, ein Start mit einem kleineren, klar abgegrenzten Bereich ist möglich und in der Praxis oft sinnvoll. Wichtig ist, diese Entscheidung bewusst zu treffen und zu dokumentieren, statt sie später unter Zeitdruck korrigieren zu müssen.
Was passiert, wenn beim internen Audit Abweichungen auffallen – muss man neu anfangen?
Nein. Abweichungen werden mit einer Korrekturmaßnahme und einer Frist versehen, dann erneut geprüft. Ein internes Audit ohne jede Abweichung ist eher unüblich – häufig sogar ein Hinweis darauf, dass zu oberflächlich geprüft wurde.
Wie lange dauert allein die Risikoanalyse?
Das lässt sich nicht pauschal sagen, aber sie braucht in der Regel mehrere Workshop-Termine über einige Wochen, nicht einen einzelnen Termin. Wird sie zu schnell abgehandelt, zeigt sich das meist erst später – wenn Maßnahmen fehlen, die eigentlich naheliegend gewesen wären.
Kann man einzelne Phasen parallelisieren, um Zeit zu sparen?
Teilweise. Die Dokumentation kann bereits beginnen, während die Risikoanalyse in Teilbereichen noch läuft. Der gelebte Betrieb mit internem Audit lässt sich dagegen nicht vorziehen – er setzt zwingend voraus, dass die Maßnahmen vorher tatsächlich umgesetzt wurden.
