ISMS einführen: Vom Projektstart bis zur Zertifizierung in zwölf Monaten
ISMS einführen heißt: Scope definieren, Risiken bewerten, Controls auswählen, Nachweise aufbauen. Wer die Reihenfolge kennt, schafft die Zertifizierung in zwölf Monaten. Dieser Leitfaden zeigt den Pfad mit Vorlagen, Fristen und Berichtslinie.
Die ISO/IEC 27001:2022 listet 93 Controls in Anhang A und verpflichtet Organisationen, ein Informationssicherheits-Managementsystem nach den Klauseln 4 bis 10 zu betreiben. Wer ein ISMS einführen will, steht damit vor einer doppelten Aufgabe: Er muss ein Managementsystem aufsetzen und parallel technisch-organisatorische Maßnahmen umsetzen. Beides scheitert regelmäßig an der Reihenfolge, nicht am Know-how.
Dieser Leitfaden beschreibt einen zwölfmonatigen Pfad vom Scope-Beschluss bis zum Zertifikat. Sie erfahren, welche Dokumente in welcher Phase entstehen müssen, wo der Informationssicherheitsbeauftragte aufgehängt wird und welche Nachweise der externe Auditor in Stufe 1 und Stufe 2 sehen will. CIVAC ist die Compliance-Plattform und Officer-as-a-Service für deutsche Mittelständler, die diesen Weg ohne Reibungsverlust gehen wollen.
Auf einen Blick
- Ein ISMS nach ISO/IEC 27001:2022 lässt sich in zwölf Monaten zertifizieren, wenn Scope, Risikomethodik und Berichtslinie in den ersten acht Wochen stehen.
- Die 93 Controls aus Anhang A sind kein Pflichtkatalog, sondern eine Auswahlliste; Pflicht sind die Statement of Applicability und die Risikobewertung.
- Externer ISB oder lizenzierter Workspace verkürzen die Einführung gegenüber rein internen Projekten um etwa ein Drittel der Laufzeit.
Was ein ISMS nach ISO/IEC 27001:2022 wirklich verlangt
Ein Informationssicherheits-Managementsystem ist kein IT-Projekt, sondern ein Managementsystem mit eigener Politik, Zielen, Risikomethodik und Wirksamkeitsmessung. Die Norm ISO/IEC 27001:2022 unterscheidet zwischen den Hauptklauseln 4 bis 10 und dem Anhang A mit 93 Controls. Die Hauptklauseln sind verpflichtend, der Anhang A ist eine Auswahlliste.
Die Pflichtdokumente umfassen Geltungsbereich, Informationssicherheitsleitlinie, Risikomethodik, Risikobewertung, Risikobehandlungsplan, Statement of Applicability, Schulungsnachweise, interne Audits und das Managementreview. Wer eines dieser Dokumente nicht vorlegen kann, fällt in Stufe 1 durch. Die Reihenfolge dieser Artefakte ist nicht beliebig.
Anhang A gliedert sich in vier Themen: organisatorische Controls (37), Personen-Controls (8), physische Controls (14) und technologische Controls (34). Die Reduktion von 114 auf 93 Controls in der 2022er Version bedeutet nicht weniger Aufwand, sondern Konsolidierung. Elf neue Controls wie Threat Intelligence, Cloud-Sicherheit und Data Leakage Prevention sind hinzugekommen.
Die Wirksamkeit des ISMS misst sich an drei Größen: erkannte Vorfälle, Reaktionszeit und Restrisiko. Ein Informationssicherheitsbeauftragter übernimmt die operative Steuerung, die Leitung bleibt jedoch verantwortlich. Diese Trennung ist in Klausel 5.3 explizit geregelt und prüfungsrelevant.
Eine ISMS-Einführung ohne klare Zuordnung dieser Rollen scheitert spätestens beim Managementreview. Wer hier sauber aufsetzt, spart in den Folgejahren Aufwand für Re-Zertifizierung, Überwachungsaudits und interne Eskalationen, weil Berichtslinien und Dokumente bereits stehen.
Phase 1, Monate 1 bis 2: Scope, Kontext, Berichtslinie
Die erste Phase entscheidet über Aufwand und Dauer der gesamten Einführung. Hier wird der Geltungsbereich nach Klausel 4.3 festgelegt: Welche Standorte, welche Prozesse, welche Datenbestände, welche Tochtergesellschaften fallen unter das ISMS? Ein zu enger Scope wirkt im Audit unglaubwürdig, ein zu weiter Scope sprengt das Budget.
Parallel dazu erfolgt die Kontextanalyse nach Klausel 4.1 und 4.2: interessierte Parteien, regulatorisches Umfeld, Vertragsanforderungen aus Kundenverträgen, Branchenstandards wie TISAX im Automobilumfeld oder BAIT im Finanzsektor. Diese Liste wird im Audit verglichen mit Ihrem Risikoregister.
Die Berichtslinie des ISB wird in dieser Phase fixiert. Klausel 5.3 verlangt ausreichende Ressourcen und direkten Zugang zur Leitung. In CIVAC-Mandaten ist diese Linie in der Bestellurkunde definiert, unterschrieben, abgelegt, belegbar. Die Leitung benennt formell, der ISB akzeptiert formell.
Die Informationssicherheitsleitlinie nach Klausel 5.2 ist kein Marketingdokument, sondern eine zweiseitige Erklärung der Leitung mit messbaren Zielen. Sie wird unterzeichnet, datiert und intern kommuniziert. Eine undatierte oder ungezeichnete Leitlinie ist im Audit eine Nichtkonformität.
Am Ende der Phase 1 liegen vier Dokumente vor: Scope, Kontextanalyse, Bestellurkunde, Leitlinie. CIVAC stellt diese vier Vorlagen am ersten Mandatstag bereit. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle führen zum gleichen Dokumentenstand am Ende der achten Woche.
Phase 2, Monate 3 bis 5: Risikomethodik und Statement of Applicability
Die Risikobewertung nach Klausel 6.1.2 ist das Herzstück des ISMS. Ohne saubere Methodik wird jede spätere Maßnahme willkürlich. Die Methodik beschreibt, wie Assets, Bedrohungen, Schwachstellen, Eintrittswahrscheinlichkeiten und Auswirkungen ermittelt und bewertet werden. Eine fünfstufige Skala ist marktüblich, dreistufige Skalen werden im Audit kritisch hinterfragt.
Das Asset-Register listet alle schützenswerten Informationswerte: Datenbestände, Systeme, Räume, Mitarbeitende, Lieferantenverträge. Pro Asset werden Vertraulichkeit, Integrität und Verfügbarkeit bewertet. Aus der Bewertung ergibt sich der Schutzbedarf, aus dem Schutzbedarf das Risiko. CIVAC hinterlegt für 25 typische Geschäftsprozesse Asset-Templates im Workspace.
Die Risikobehandlung nach Klausel 6.1.3 wählt für jedes inakzeptable Risiko eine Behandlungsoption: vermeiden, vermindern, übertragen, akzeptieren. Die Akzeptanz von Risiken erfolgt schriftlich durch die Leitung, nicht durch den ISB. Diese Trennung ist eine häufige Fehlerquelle in selbstgebauten ISMS.
Das Statement of Applicability nach Klausel 6.1.3 d listet alle 93 Controls aus Anhang A und begründet je Control die Anwendbarkeit. Nicht-anwendbare Controls werden mit Begründung dokumentiert, nicht gestrichen. Ein leeres SoA-Feld ist eine Nichtkonformität. CIVAC liefert ein vorausgefülltes SoA mit Branchenbegründungen.
Am Ende der Phase 2 liegen Risikomethodik, Asset-Register, Risikoregister, Risikobehandlungsplan und SoA vor. Diese fünf Dokumente bilden die Beweisbasis für jede spätere Audit-Frage. Der Prüfer ruft an, der Nachweis liegt bereit, wenn die Dokumente versioniert, freigegeben und im Workspace verlinkt sind.
Phase 3, Monate 6 bis 8: Technische und organisatorische Maßnahmen
Erst nach der Risikobewertung beginnt die Umsetzung der Controls. Die häufigste Fehlanordnung in selbstgebauten ISMS ist die parallele oder vorgezogene Maßnahmenumsetzung. Maßnahmen ohne Risikobezug erzeugen Aufwand ohne Audit-Wert und führen zu Bewertungen, die im Statement of Applicability nicht begründbar sind.
Die organisatorischen Controls aus Abschnitt 5 von Anhang A umfassen Zugriffspolitik, Klassifizierung, Lieferantenmanagement, Vorfallmanagement und Geschäftskontinuität. Diese 37 Controls sind dokumentenlastig und lassen sich mit Vorlagen schnell umsetzen. CIVAC stellt 490 einsatzbereite Audit-Vorlagen für genau diesen Block bereit.
Die technologischen Controls aus Abschnitt 8 betreffen Backup, Logging, Kryptographie, Netzwerksegmentierung, Schwachstellenmanagement und Cloud-Konfiguration. Diese 34 Controls verlangen Abstimmung mit IT-Betrieb und externen Dienstleistern. Hier entstehen die meisten Verzögerungen, weil Verträge nachgesteuert werden müssen.
Die Personen-Controls aus Abschnitt 6 betreffen Onboarding, Schulungen, Sanktionen und Offboarding. Schulungsnachweise sind audit-pflichtig, eine Stichprobe der Anwesenheitslisten wird im Audit gezogen. Die physischen Controls aus Abschnitt 7 betreffen Zutritt, Verkabelung, Entsorgung und Arbeitsplatzgestaltung.
Am Ende der Phase 3 sind alle anwendbaren Controls implementiert oder mit Restrisiko dokumentiert. CIVAC-Mandate liefern für jeden Control-Block einen Status mit Verantwortlichem, Fristdatum und Nachweis-Link. Diese Übersicht ersetzt Excel-Tabellen und macht den Reifegrad des ISMS auf einen Blick sichtbar.
Phase 4, Monate 9 bis 10: Interne Audits und Managementreview
Die Klauseln 9.2 und 9.3 verlangen interne Audits und ein Managementreview vor der externen Zertifizierung. Beide sind Pflichtnachweise und werden vom externen Auditor immer geprüft. Wer hier improvisiert, erhält eine Hauptabweichung und muss nachbessern, bevor das Zertifikat ausgestellt wird.
Das interne Audit nach Klausel 9.2 prüft die Wirksamkeit des ISMS gegen die Norm und gegen interne Vorgaben. Es muss von einer unabhängigen Person durchgeführt werden, die nicht für den auditierten Bereich verantwortlich ist. In kleinen Organisationen ist diese Unabhängigkeit oft nur durch externe Auditoren herstellbar.
Der Audit-Plan listet Geltungsbereich, Termine, Auditoren und Auditkriterien. Der Audit-Bericht dokumentiert Feststellungen, Abweichungen und Verbesserungspotenziale. Maßnahmen zur Behebung von Abweichungen werden mit Frist und Verantwortlichem im Maßnahmenplan eingetragen. CIVAC nutzt für interne Audits standardisierte Checklisten mit 93 Kontrollpunkten.
Das Managementreview nach Klausel 9.3 ist die formale Bewertung des ISMS durch die Leitung. Es erfolgt mindestens einmal jährlich und behandelt zehn Pflichtthemen, darunter Audit-Ergebnisse, Vorfälle, Risikoveränderungen, Wirksamkeit der Maßnahmen und Verbesserungsmöglichkeiten. Ein protokolliertes Managementreview mit Beschlüssen ist Audit-Pflicht.
Am Ende der Phase 4 liegen Audit-Plan, Audit-Bericht, Maßnahmenplan und Managementreview-Protokoll vor. Diese vier Dokumente sind die letzte Vorbereitung auf das externe Zertifizierungsaudit und sollten mindestens vier Wochen vor Stufe 1 abgeschlossen sein.
Phase 5, Monate 11 bis 12: Stufe 1 und Stufe 2 der Zertifizierung
Die externe Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle in zwei Stufen. Stufe 1 ist eine Dokumentenprüfung und Bereitschaftsbewertung, meist remote oder zweitägig vor Ort. Stufe 2 ist das Wirksamkeitsaudit und dauert je nach Organisationsgröße drei bis acht Tage vor Ort.
In Stufe 1 prüft der Auditor, ob alle Pflichtdokumente vorliegen und das ISMS reif genug für Stufe 2 ist. Hauptergebnis ist ein Bericht mit Empfehlungen und gegebenenfalls Vorbedingungen für Stufe 2. Typische Stufe-1-Befunde sind unvollständige SoA, fehlende Audit-Berichte oder ein Managementreview ohne Beschluss.
Zwischen Stufe 1 und Stufe 2 liegen vier bis acht Wochen für Nachsteuerungen. Diese Zeit ist knapp bemessen und sollte für letzte Schulungen, Stichproben der Wirksamkeit und Kommunikation an betroffene Bereiche genutzt werden. CIVAC begleitet Mandanten mit einer Pre-Audit-Stichprobe in dieser Phase.
In Stufe 2 prüft der Auditor die Wirksamkeit anhand von Stichproben, Interviews und Vor-Ort-Begehungen. Nichtkonformitäten werden in Haupt- und Nebenabweichungen eingeteilt. Hauptabweichungen müssen innerhalb von 90 Tagen behoben werden, bevor das Zertifikat ausgestellt wird. Nebenabweichungen erlauben eine Zertifizierung mit Auflagen.
Das Zertifikat hat eine Laufzeit von drei Jahren mit jährlichen Überwachungsaudits. Re-Zertifizierungen sind aufwandsärmer als die Erstzertifizierung, wenn das ISMS in den drei Jahren gelebt wurde. Wer das ISMS nur für das Audit aufsetzt, fällt in der Re-Zertifizierung durch.
Kostenstruktur und realistische Aufwandsplanung
Die Kosten einer ISMS-Einführung verteilen sich auf vier Blöcke: interne Personalbindung, externe Beratung, Tools und Auditkosten. Die Auditkosten sind am leichtesten zu schätzen und liegen bei kleinen Organisationen bei etwa 8.000 bis 15.000 Euro für Stufe 1 plus Stufe 2, bei mittleren Organisationen bei 20.000 bis 40.000 Euro.
Die externe Beratung variiert stark. Klassische Beratungshäuser kalkulieren mit 80.000 bis 150.000 Euro Beratungshonorar für eine Erstzertifizierung im Mittelstand. Hinzu kommen interne Personalkosten von etwa 0,5 bis 1,0 Vollzeitäquivalenten über zwölf Monate. Die Gesamtkosten erreichen damit schnell 200.000 Euro.
CIVAC verschiebt diese Kostenstruktur. Der Workspace ersetzt zu großen Teilen die externe Beratung mit standardisierten Vorlagen, vordefinierter Risikomethodik und vorausgefülltem SoA. Officer-as-a-Service ersetzt die interne Vollzeitstelle durch einen externen ISB mit Branchenexpertise und Berichtslinie zur Leitung.
Die SLA-Zeiten sind ein eigener Kostenfaktor. Klassische externe Beratung liefert Dokumentenüberarbeitungen mit zwei bis sechs Wochen Vorlauf. Der CIVAC-SLA liegt bei zwei Werktagen. Diese Differenz verkürzt die Gesamtprojektdauer um etwa ein Drittel und reduziert die interne Bindung entsprechend.
Eine ehrliche Aufwandsplanung kalkuliert pro Phase eine Reservezeit von 20 Prozent für Klärungen, Abstimmungen und Vorstandsthemen. Ohne diese Reserve werden Zertifizierungstermine regelmäßig verschoben, was zu Folgekosten bei der Zertifizierungsstelle und zu Reputationsschäden gegenüber Kunden mit ISO-Anforderung führt.
Häufige Fehler in der ISMS-Einführung und wie Sie sie vermeiden
Der häufigste Fehler ist die Verwechslung von ISMS und IT-Sicherheit. Ein ISMS ist ein Managementsystem, IT-Sicherheit ist ein Bestandteil. Organisationen, die das ISMS in der IT-Abteilung ansiedeln und HR, Recht und Einkauf ausklammern, scheitern an den Anhang-A-Controls für Lieferanten, Personal und Verträge.
Der zweite häufige Fehler ist eine unklare Berichtslinie. Wenn der ISB unter dem IT-Leiter berichtet, ist die Unabhängigkeit nach Klausel 5.3 nicht gegeben. Der Auditor bemängelt dies regelmäßig. Korrekt ist eine Berichtslinie direkt an die Geschäftsführung mit dokumentiertem Eskalationsweg.
Der dritte Fehler ist die Verwendung von Excel als Dokumentationsplattform. Excel-Listen sind nicht versioniert, nicht verlinkt und nicht audit-fest. Wer die SoA in Excel führt und die Maßnahmenliste in einem zweiten Excel-Sheet, verliert die Konsistenz spätestens nach sechs Monaten. Ein dedizierter Workspace verhindert diesen Drift.
Der vierte Fehler ist die Auslagerung an einen einzelnen Berater ohne Vertretung. Wenn der Berater krank wird oder den Auftrag verliert, steht das Projekt. CIVAC arbeitet im Team-Modell mit Backup-Beauftragten, was Ausfallrisiken senkt und die Wissenskontinuität sichert. Diese Struktur entspricht auch der Vorgabe von Vertraulichkeit und Integrität in den Controls.
Der fünfte Fehler ist die unzureichende Schulung. Anhang A 6.3 verlangt regelmäßige Schulungen für alle Mitarbeitenden mit Zugang zu Informationswerten. Eine einmalige Schulung beim Onboarding reicht nicht. Audit-fest, dokumentiert, § 5.3-fest sind nur wiederkehrende Schulungen mit Anwesenheitsnachweis und Verständnistests.
Vom Plan zur Umsetzung mit CIVAC
Eine ISMS-Einführung ist planbar, wenn die Reihenfolge stimmt, die Dokumente versioniert geführt werden und die Berichtslinie sauber aufgehängt ist. CIVAC stellt für jede der fünf Phasen Vorlagen, Audit-Checklisten und einen Workspace bereit, in dem Nachweise verknüpft und versioniert abgelegt werden. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.
Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im ersten Modell behalten Sie die operative Steuerung im Haus und nutzen die Plattform mit 490 Vorlagen, 93 Control-Templates und Berichtslinien-Management. Im zweiten Modell übernimmt ein externer Informationssicherheitsbeauftragter die Bestellung, Berichtslinie und Audit-Begleitung.
Beide Modelle laufen auf EU-Datenresidenz, sind nach ISO/IEC 27001:2022 ISMS aufgesetzt und liefern den NIS-2 24/72-Meldepfad als Bestandteil. Die typische Mandatslaufzeit für die Erstzertifizierung beträgt zwölf Monate, danach Re-Zertifizierungen alle drei Jahre mit jährlichen Überwachungsaudits.
Wenn Sie konkret in die Planung gehen wollen, ist der erste Schritt ein 30-minütiges Gespräch zur Klärung von Scope, Branche und Zertifizierungsziel. Wir senden im Anschluss eine schriftliche Empfehlung mit Aufwandsschätzung und Meilensteinplan, die Sie intern weitergeben können, ohne dass eine Beauftragung vorausgesetzt wird.
Aus dem Lesen einen Auftrag machen: Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de/faq. Ein Mandatsstart in der Folgewoche ist möglich, wenn der Scope auf einer Seite definierbar ist und die Leitung den ISB benennen kann.
FAQ
Wie lange dauert die Einführung eines ISMS nach ISO/IEC 27001:2022 realistisch?
Eine strukturierte Erstzertifizierung benötigt zwölf Monate vom Scope-Beschluss bis zum Zertifikat. Verkürzungen auf neun Monate sind möglich, wenn die Risikomethodik aus einer bestehenden Branche übernommen werden kann. Verzögerungen entstehen meist durch unklare Berichtslinie oder fehlende Leitungsbeschlüsse.
Muss ich alle 93 Controls aus Anhang A umsetzen?
Nein, Anhang A ist eine Auswahlliste. Sie begründen im Statement of Applicability je Control, ob es anwendbar ist. Nicht-anwendbare Controls werden dokumentiert, nicht gestrichen. Die Auswahl folgt der Risikobewertung, nicht dem Wunsch nach Aufwandsminimierung.
Können wir das ISMS ohne externen Berater einführen?
Theoretisch ja, praktisch scheitern interne Projekte häufig an der Unabhängigkeit der internen Audits und an der Reihenfolge der Dokumente. Ein externer Informationssicherheitsbeauftragter oder ein lizenzierter Workspace mit Vorlagen verkürzt die Projektdauer um etwa ein Drittel.
Was kostet eine ISMS-Zertifizierung im Mittelstand?
Audit-Kosten liegen bei 20.000 bis 40.000 Euro für Stufe 1 plus Stufe 2 im Mittelstand. Klassische Beratungshonorare addieren 80.000 bis 150.000 Euro. CIVAC-Mandate ersetzen Teile der Beratung durch Workspace und Officer-as-a-Service, was die Gesamtkosten reduziert.
Welche Pflichtdokumente verlangt der externe Auditor?
Pflicht sind Scope, Leitlinie, Risikomethodik, Risikoregister, Risikobehandlungsplan, Statement of Applicability, Schulungsnachweise, Audit-Bericht und Managementreview-Protokoll. Fehlt eines dieser Dokumente, fällt das ISMS bereits in Stufe 1 durch. CIVAC liefert alle Vorlagen am ersten Mandatstag.
Wie unterscheidet sich die 2022er Version der ISO 27001 von der 2013er Version?
Anhang A wurde von 114 auf 93 Controls konsolidiert und neu strukturiert in vier Themen. Elf neue Controls wie Threat Intelligence, Cloud-Sicherheit und Data Leakage Prevention sind hinzugekommen. Die Hauptklauseln 4 bis 10 bleiben weitgehend unverändert. Die Übergangsfrist endete im Oktober 2026.
Klingt nach viel Arbeit?
Beauftragten-Pflichten, Fristen, Nachweise — genau das nehmen wir dir ab. Sag kurz Hallo, wir zeigen dir wie.
Aus dem Beitrag ein Mandat machen.
Wir übernehmen die operative Last: externer Beauftragter, Vorlagen und Dokumentation in einem Workspace. Unverbindlich.