Informationssicherheit-Managementsystem: Aufbau ohne Aktenfriedhof

Ein Informationssicherheits-Managementsystem (ISMS) ist seit der Revision der ISO/IEC 27001 vom 25. Oktober 2022 deutlich mehr als eine Dokumentensammlung in einem SharePoint-Ordner. Die Norm verlangt einen risikobasierten, regelmäßig überprüften und vom Top-Management aktiv verantworteten Steuerungsprozess für die Informationssicherheit der gesamten Organisation, einschließlich der Lieferkette. Der Anhang A wurde von 114 auf 93 Controls reduziert und gleichzeitig in vier thematische Cluster gegliedert, was die Anwendung in mittelständischen Unternehmen erleichtert, ohne die Prüftiefe abzusenken. Die Übergangsfrist von der Vorgängerversion 27001:2013 endet zum 31. Oktober 2026, sodass laufende Zertifikate spätestens mit dem nächsten Re-Audit auf die neue Fassung migriert werden müssen, sonst droht der Verlust des Zertifikats und ein vollständiger Neuaudit-Prozess.

Dieser Beitrag zeigt, wie ein ISMS pragmatisch aufgebaut, mit der Rolle des Informationssicherheitsbeauftragten sauber verzahnt und in den Alltag eingebettet wird, ohne den klassischen Aktenfriedhof zu erzeugen oder das interne Team mit Powerpoint-Pflege zu überlasten. CIVAC betreibt dafür eine Compliance-Plattform und Officer-as-a-Service: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle enden mit einem auditfesten Nachweis: Bestellurkunde, unterschrieben, abgelegt, belegbar gegenüber Aufsicht, Zertifizierer und Kunden.

Ein Informationssicherheits-Managementsystem beschreibt nach ISO/IEC 27001:2022 den dokumentierten, planmäßig gesteuerten Umgang einer Organisation mit Risiken für Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen. Die Norm verlangt einen Anwendungsbereich (Scope), eine Informationssicherheits-Leitlinie, eine Risikobeurteilung und -behandlung, ein Statement of Applicability (SoA) sowie ein internes Audit- und Managementreview-System. Diese sechs Elemente bilden das Skelett des ISMS und werden vom Zertifizierer in jedem Audit explizit geprüft, weil sie die Steuerungsfähigkeit der Organisation belegen.

Das ISMS ist weder eine reine IT-Aufgabe noch ein Projekt mit klarem Ende. Es ist ein wiederkehrender Steuerungsprozess, der typischerweise in einem Jahres-Rhythmus läuft: Risiken neu bewerten, Maßnahmen anpassen, Wirksamkeit prüfen, Lessons Learned ins Managementreview einbringen. Wer das ISMS als einmaliges Projekt aufsetzt, scheitert spätestens im Überwachungsaudit nach 12 Monaten, weil die Aktualisierungen ausbleiben und der Zertifizierer das Statement of Applicability nicht mehr mit der Realität in Einklang bringen kann. CIVAC bildet diesen Jahresrhythmus im Workspace ab und verknüpft jeden Control mit Owner, Frist, Nachweis und Wirksamkeitsbewertung. Wer eine externe Informationssicherheitsbeauftragten-Rolle sucht, findet in der Plattform bereits die passenden Dokumente, Audit-Vorlagen und die saubere Berichtslinie an die Geschäftsführung. Damit wird das ISMS zum Betriebsmittel, nicht zum Aktenordner. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. In der Praxis bewährt sich eine monatliche ISB-Statuslage mit der Geschäftsführung, in der offene Findings, Maßnahmenfortschritt und neu erkannte Risiken in 30 Minuten konsolidiert besprochen werden, ohne dass das Managementreview am Jahresende mit Überraschungen kämpft. Die Plattform dokumentiert jede Statuslage protokolliert mit Zeitstempel und Verantwortlichen, sodass die Aufsicht eine vollständige Historie nachvollziehen kann.

Die Revision der ISO/IEC 27001 vom 25. Oktober 2022 hat die Struktur des Anhangs A deutlich verändert. Aus 114 Controls in 14 Domänen wurden 93 Controls in vier Clustern: Organisationale Controls (37 Controls), Personalbezogene Controls (8 Controls), Physische Controls (14 Controls) und Technologische Controls (34 Controls). Zusätzlich wurden 11 neue Controls eingeführt, darunter Threat Intelligence (5.7), Information Security for Cloud Services (5.23), ICT Readiness for Business Continuity (5.30), Data Masking (8.11) und Web Filtering (8.23). Diese Ergänzungen tragen den Realitäten moderner IT-Architekturen Rechnung, ohne die Norm aufzublähen.

Die Übergangsfrist endet am 31. Oktober 2026. Organisationen mit gültigem Zertifikat nach 27001:2013 müssen spätestens im letzten Überwachungsaudit vor diesem Stichtag oder im Re-Audit auf die neue Fassung migriert sein. In der Praxis bedeutet das eine Gap-Analyse zwischen den Controls beider Fassungen, eine Aktualisierung des Statement of Applicability und einen sorgfältigen Abgleich der bestehenden Risikoanalyse mit den neuen Controls. CIVAC hat die 93 Controls bereits im Workspace strukturiert hinterlegt und verknüpft sie mit den 490 einsatzbereiten Audit-Vorlagen. Mehr zur Migration findet sich in der CIVAC-Übersicht zum ISO 27001:2022-Übergang. Audit-fest, dokumentiert, ISO-fest entsteht aus der konsequenten Anwendung dieser Struktur und nicht aus der punktuellen Aktualisierung einzelner Word-Dokumente, die niemand mehr versioniert nachhält. Die Migration auf 27001:2022 ist keine reine Dokumentenübung, sondern eine fachliche Neubewertung, weil neue Controls wie Threat Intelligence und ICT Readiness for Business Continuity inhaltlich neue Prozesse erfordern und nicht nur einen Eintrag im Statement of Applicability. CIVAC liefert die Gap-Liste der 11 neuen Controls in einer eigenen Vorlage und verknüpft sie mit den vorhandenen Maßnahmen.

Der Aufbau eines ISMS beginnt mit der Definition des Anwendungsbereichs. Der Scope legt fest, welche Standorte, Geschäftsprozesse, Informationsobjekte und Lieferanten in das ISMS einbezogen werden. Ein zu enger Scope führt zu Glaubwürdigkeitsproblemen beim Zertifizierer, ein zu weiter Scope erzeugt Aufwand ohne Mehrwert. Die Informationssicherheits-Leitlinie wird vom Top-Management unterzeichnet und beschreibt die strategischen Sicherheitsziele, die Verantwortlichkeiten und das Bekenntnis zur kontinuierlichen Verbesserung. Sie ist das politische Dokument, an dem die Zertifizierer in jedem Audit zuerst die Geschäftsführung messen.

Die Risikoanalyse ist der eigentliche operative Kern. Sie identifiziert Bedrohungen, bewertet Eintrittswahrscheinlichkeit und Schadenshöhe, definiert eine Risikoakzeptanzschwelle und ordnet jedem über der Schwelle liegenden Risiko eine Behandlungsoption zu: Vermeidung, Reduktion, Transfer oder Akzeptanz. Das Statement of Applicability (SoA) dokumentiert anschließend, welche der 93 Controls im konkreten Fall anwendbar sind und welche aus nachvollziehbaren Gründen ausgeschlossen werden. CIVAC stellt für die Risikoanalyse eine standardisierte Vorlage bereit, die mit den Controls verknüpft ist, sodass die Maßnahmen nicht in einer separaten Excel-Liste verloren gehen, sondern direkt im Workspace dem Statement of Applicability zugeordnet werden. Frist läuft ab Entscheidung. Die Wirksamkeit der Maßnahmen wird in den Folgeperioden kontinuierlich gemessen und im Managementreview einmal jährlich konsolidiert ausgewertet. Ein gut gepflegtes Risikoregister ist damit das eigentliche Steuerungsinstrument des ISMS und nicht das Statement of Applicability allein, das ohne lebendiges Risikoregister schnell zu einem reinen Compliance-Theater verkommt, das im Audit keine Substanz mehr trägt. CIVAC verbindet das Risikoregister mit den Owner-Strukturen und nutzt eine konsistente Bewertungsskala über alle Bereiche hinweg, sodass die Vergleichbarkeit der Risiken zwischen Standorten und Geschäftsbereichen erhalten bleibt und das Managementreview belastbar ausfällt.

Das Statement of Applicability ist das zentrale Dokument im ISMS-Audit. Es listet jeden der 93 Controls auf, vermerkt ob er anwendbar ist, beschreibt die Umsetzung und verweist auf die zugehörigen Nachweise. Ein gutes SoA ist nicht länger als 20 bis 30 Seiten, aber präzise: Jeder Eintrag verweist auf eine Verfahrensanweisung, ein Protokoll oder ein technisches Konfigurationsdokument. Der Zertifizierer prüft im Audit Stichproben aus dem SoA und erwartet, dass die Verweise tragen. Wer hier mit Phrasen arbeitet, fällt in die Nachaudit-Schleife und verzögert die Zertifizierung um Monate.

Der Maßnahmenplan übersetzt die Risikobehandlung in konkrete Aufgaben mit Owner, Frist und Wirksamkeitsindikator. Typische Maßnahmen reichen von der Einführung eines Identity- und Access-Management-Systems (Control 5.15, 5.16) über die Verschlüsselung mobiler Endgeräte (Control 8.24) bis zur Härtung der Backup-Strategie (Control 8.13). CIVAC verknüpft jede Maßnahme im Workspace mit den 490 einsatzbereiten Audit-Vorlagen und dokumentiert den Fortschritt revisionssicher. Wer im Maßnahmenplan auf 80 PDF-Seiten ohne Verantwortliche endet, hat das ISMS nicht aufgebaut, sondern lediglich beschrieben. Bestellurkunde, unterschrieben, abgelegt, belegbar bleibt die Maxime, an der jeder Maßnahmenplan im Ernstfall gemessen wird, weil sie die Brücke zwischen Aktenlage und tatsächlicher Verantwortung bildet. Der Maßnahmenplan wird in regelmäßigen Status-Runden, idealerweise im Vierwochentakt, mit der Geschäftsführung und mit den Linienverantwortlichen besprochen, sodass Verzögerungen nicht erst im Audit auffallen, sondern unterjährig erkannt und nachgesteuert werden können. Die Plattform protokolliert jeden Statusübergang revisionssicher, sodass der Zertifizierer im Audit den vollständigen Lebenszyklus jeder Maßnahme nachvollziehen kann, ohne weitere Belege beizubringen. Die Plattform liefert zudem ein Dashboard, das den Maßnahmenfortschritt nach Risiko-Cluster sortiert und der Geschäftsführung auf einen Blick zeigt, wo nachgesteuert werden muss.

Die ISO/IEC 27001:2022 verlangt keine namentliche Bestellung eines ISB, wohl aber die Zuweisung klarer Verantwortlichkeiten für die Informationssicherheit. In der deutschen Praxis hat sich die Rolle des Informationssicherheitsbeauftragten durchgesetzt, weil sie die Schnittstelle zwischen IT, Geschäftsführung und Fachbereichen sauber abbildet. NIS-2 (umgesetzt im NIS2UmsuCG zum 1. Oktober 2026) und der KRITIS-Dachgesetzentwurf verlangen ohnehin eine personifizierte Verantwortung, sodass die Bestellung eines ISB faktisch zur Pflicht wird, sobald ein Unternehmen unter NIS-2 fällt oder mit KRITIS-Lieferanten arbeitet. Die Bestellung in schriftlicher Form mit Aufgabenbeschreibung und Vertretungsregelung ist heute der Marktstandard.

Der ISB ist nicht der CISO, auch wenn beide Rollen in kleineren Organisationen in einer Person vereint sein können. Der ISB ist eine fachliche Stabsrolle ohne Weisungsbefugnis in der Linie, mit Berichtspflicht an die Geschäftsführung und mit der Aufgabe, das ISMS zu pflegen, zu auditieren und im Managementreview zu verteidigen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. CIVAC bietet beide Modelle parallel und stellt sicher, dass die Bestellurkunde, die Berichtslinie, die Vertretungsregelung und der Schulungsplan im Workspace abgelegt sind, sodass ein externer Zertifizierer in der Stichprobe sofort die Beweislage prüfen kann, ohne lange auf Belegrecherche zu warten. In Konzernstrukturen ist die Berichtslinie besonders sorgfältig zu definieren, weil sich die Verantwortlichkeiten zwischen Konzernsicherheit, Tochtergesellschaft und Geschäftsbereich sonst überschneiden und die Aufsicht im Ernstfall keine klare Adresse für den Vorfall identifizieren kann. CIVAC begleitet die Klärung der Berichtslinie mit einer eigenen Workshop-Vorlage und dokumentiert die Entscheidung als Anlage zur Bestellurkunde, sodass die Linie ab dem ersten Tag transparent ist.

Das interne Audit ist die strenge Selbstprüfung eines ISMS. Es findet typischerweise einmal jährlich statt, deckt alle Bereiche des Anwendungsbereichs ab und dokumentiert Findings, Verbesserungspotenziale und Nichtkonformitäten. Die Auditoren müssen unabhängig vom geprüften Bereich sein, was in kleinen Organisationen häufig nur durch externe Auditoren oder durch Job-Rotation darstellbar ist. Das interne Audit liefert die Vorbereitung auf das externe Zertifizierungsaudit und identifiziert die Schwachstellen, an denen der Zertifizierer mit hoher Wahrscheinlichkeit ansetzen wird.

Das Managementreview ist die jährliche Sitzung, in der das Top-Management die Leistung des ISMS bewertet. Pflichtthemen sind nach Kapitel 9.3 der Norm unter anderem der Stand der Risikobehandlung, das Ergebnis der internen Audits, das Feedback der Beteiligten, die Wirksamkeit der Maßnahmen und der Veränderungsbedarf für die Folgeperiode. Ein Managementreview ohne dokumentierte Beschlüsse ist kein Managementreview, sondern ein Termin im Kalender. CIVAC stellt eine Vorlage für das Managementreview-Protokoll bereit und verknüpft die Beschlüsse direkt mit den ableitbaren Maßnahmen im Maßnahmenplan, sodass die kontinuierliche Verbesserung nicht im nächsten Audit ungeklärt erscheint. Der Prüfer ruft an, der Nachweis liegt bereit, und der Nachweis enthält Beschlüsse, Owner und Fristen, nicht nur Folien aus einem PowerPoint-Termin. Der jährliche Rhythmus ist nicht handwerkliches Ritual, sondern formale Pflicht aus Kapitel 9.3 der Norm und damit prüfbar; das Protokoll des Managementreviews wird im Audit als Erstes vorgelegt und bestimmt häufig den Tonfall der gesamten Prüfung. CIVAC liefert die Audit-Checkliste, das Auditbericht-Template und die Managementreview-Tagesordnung als Teil der 490 einsatzbereiten Audit-Vorlagen und reduziert damit die Vorbereitungszeit erheblich.

NIS-2 verlangt für etwa 29.500 betroffene Unternehmen in Deutschland ein Mindestmaß an Informationssicherheits-Management, einschließlich Risikoanalyse, Meldewesen für erhebliche Sicherheitsvorfälle und Schulungspflichten. Wer bereits ein ISMS nach ISO/IEC 27001:2022 betreibt, deckt etwa 70 bis 80 % der NIS-2-Anforderungen ab und braucht für die Compliance vor allem eine saubere Verzahnung der beiden Welten. Die 24-Stunden-Frühwarnung und die 72-Stunden-Folgemeldung nach Art. 23 NIS-2 müssen in den ISMS-Incident-Response-Prozess eingebettet werden, sodass die Meldung nicht als separate Pflicht neben dem ISMS hängt.

CIVAC hinterlegt den NIS-2-Meldepfad im Workspace und verknüpft ihn mit den entsprechenden Controls der ISO 27001:2022, insbesondere mit Control 5.24 (Information Security Incident Management Planning and Preparation), Control 5.25 (Assessment and Decision on Information Security Events) und Control 5.26 (Response to Information Security Incidents). Damit entsteht ein konsolidierter Eskalationspfad, der beide Regelwerke gleichzeitig bedient. Bußgelder nach NIS-2 reichen bei wesentlichen Einrichtungen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis 7 Mio. Euro oder 1,4 % des Umsatzes. Ein ISMS ohne NIS-2-Verzahnung ist 2026 unvollständig, ein NIS-2-Konzept ohne ISMS-Fundament ist nicht prüfbar und liefert dem Aufsichtsamt im Zweifel zu viele Angriffspunkte für Nachfragen. CIVAC dokumentiert jede Schnittstelle zwischen ISMS und NIS-2 explizit, sodass der Zertifizierer auf der einen und die Aufsichtsbehörde auf der anderen Seite dieselbe Datenbasis prüfen, ohne dass die Organisation zwei parallele Aktenstapel pflegen muss. Die Verzahnung mit dem Datenschutzbeauftragten ist im Workspace ebenfalls hinterlegt, sodass Datenpannen nach Art. 33 DSGVO und Sicherheitsvorfälle nach NIS-2 in einem konsolidierten Eskalationspfad behandelt werden.

Der Aufbau eines ISMS dauert in mittelständischen Unternehmen typischerweise 12 bis 18 Monate von der Kick-off-Sitzung bis zum erfolgreichen Zertifizierungsaudit. In den ersten drei Monaten werden Scope, Leitlinie, Risikoanalyse und Statement of Applicability erstellt. In den Monaten 4 bis 9 werden die Maßnahmen aus dem Maßnahmenplan umgesetzt, technische Controls implementiert und Schulungen ausgerollt. In den Monaten 10 bis 12 finden das interne Audit, die Reifegrad-Bewertung und das erste Managementreview statt. Das Zertifizierungsaudit selbst wird in zwei Stufen durchgeführt: Stufe 1 (Dokumenten-Review) und Stufe 2 (Vor-Ort-Audit).

Die Kosten für den Aufbau eines ISMS schwanken erheblich nach Unternehmensgröße. Realistische Größenordnungen 2026: für ein Unternehmen mit 50 bis 200 Beschäftigten zwischen 35.000 und 90.000 Euro für die Implementierung, plus 8.000 bis 18.000 Euro für das Zertifizierungsaudit selbst. Hinzu kommen die laufenden Kosten für die ISB-Rolle, für Schulungen und für Überwachungsaudits in den Folgejahren. CIVAC reduziert den Implementierungsaufwand spürbar durch die 490 einsatzbereiten Audit-Vorlagen, durch die strukturierten 93 Controls im Workspace und durch eine externe ISB-Bestellung innerhalb von 2 Werktagen, statt der klassischen 2 bis 6 Wochen Wartezeit am Markt. Damit verschiebt sich der Aufbau weg von Powerpoint-Beratung hin zu produktiv nutzbaren Vorlagen ab Tag 1 und einer dauerhaft tragenden Plattform-Struktur. Wer schon zu Beginn klar trennt, welche Aufgaben intern und welche extern abgedeckt werden, vermeidet die typischen Kostenüberraschungen im neunten Projektmonat und kann die Budget-Diskussion mit der Geschäftsführung früh auf konkrete Zahlen statt auf gefühlte Schätzungen stützen. CIVAC bietet zudem ein vereinbartes Service-Level für die Bestellung des ISB, sodass die formale Voraussetzung für das ISMS innerhalb von 2 Werktagen erfüllt ist und die fachliche Implementierung parallel starten kann.

Ein ISMS ist erst dann erfolgreich, wenn es im Tagesgeschäft funktioniert und nicht als Parallelwelt neben dem operativen Betrieb existiert. Das gelingt durch drei Hebel: erstens eine Plattform, die jede Maßnahme mit Owner, Frist und Nachweis verknüpft. Zweitens eine klare ISB-Rolle mit Bestellurkunde, Berichtslinie an die Geschäftsführung und ausreichender Fortbildung. Drittens ein jährlicher Rhythmus aus Risikoanalyse, Maßnahmenanpassung, internem Audit und Managementreview, der unabhängig vom Tagesgeschäft eingehalten wird und nicht nach den ersten 18 Monaten wieder einschläft, sobald das Zertifikat erteilt ist.

CIVAC betreibt diese Drei-Hebel-Logik als Compliance-Plattform und Officer-as-a-Service. Wenn Sie Ihr ISMS jetzt produktiv schalten oder den Übergang auf ISO/IEC 27001:2022 vor dem Stichtag 31. Oktober 2026 belastbar abschließen wollen, schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Aus dem Lesen einen Auftrag machen. Die Erstgespräche dauern typischerweise 30 Minuten, die Bestellung eines ISB erfolgt innerhalb von 2 Werktagen und das Onboarding endet mit einem Workspace, in dem die 93 Controls strukturiert hinterlegt sind, das Statement of Applicability als Vorlage steht und der NIS-2-Meldepfad ab Tag 1 live ist. Damit wird das ISMS zur Routine, nicht zum Aktenfriedhof. EU-Datenresidenz ist für CIVAC durchgängig sichergestellt. Mit dem Workspace verschiebt sich die Diskussion mit der Geschäftsführung vom abstrakten Compliance-Risiko hin zur konkreten Maßnahmenliste, die jederzeit zeigt, wer welche Aufgabe bis wann erledigt und welcher Nachweis dafür bereits abgelegt ist. Ein produktives ISMS ist damit kein Privileg großer Konzerne mit ausgebauter Compliance-Abteilung, sondern eine erreichbare Routine für mittelständische Organisationen, die mit klarem Scope und passender Plattform starten und ohne Schreibtischtäter-Kultur arbeiten wollen.