Viele Unternehmen haben eine Firewall, einen Virenschutz und ein Backup. Was oft fehlt, ist der Rahmen, der das alles zusammenhält: Wer ist verantwortlich? Welche Risiken sind die wichtigsten? Welche Maßnahmen gibt es, und wirken sie? Wer prüft das, und was passiert, wenn sich etwas ändert? Genau diesen Rahmen bildet ein Informationssicherheitsmanagementsystem, kurz ISMS.
In diesem Beitrag erfahren Sie, was ein ISMS ist, woraus es besteht, welche Normen es gibt, für wen es sich lohnt und wie Sie es Schritt für Schritt einführen.
Was ist ein ISMS?
Ein ISMS ist die Gesamtheit aus Regeln, Verantwortlichkeiten, Prozessen und Maßnahmen, mit denen ein Unternehmen seine Informationssicherheit dauerhaft plant, steuert, kontrolliert und verbessert. Es ist kein Programm und kein Gerät, sondern ein Managementsystem, vergleichbar mit einem Qualitätsmanagement nach ISO 9001.
Ziel ist der Schutz von Informationen nach den drei klassischen Schutzzielen: Vertraulichkeit, Integrität und Verfügbarkeit. Dabei geht es nicht nur um IT. Auch Papierakten, Gespräche, Gebäude und das Wissen der Beschäftigten gehören dazu. Das unterscheidet Informationssicherheit von reiner IT-Sicherheit. Mehr zu den Begriffen im Beitrag Was ist IT Security?.
Der Kern eines ISMS ist ein Kreislauf: Risiken erkennen, Maßnahmen festlegen, umsetzen, prüfen, verbessern, und dann wieder von vorn. So bleibt die Sicherheit auch dann aktuell, wenn sich Bedrohungen, Technik und Organisation ändern.
Warum ein ISMS? Der Unterschied zur Einzelmaßnahme
| Ohne ISMS | Mit ISMS |
|---|---|
| Maßnahmen entstehen nach Bauchgefühl oder nach dem letzten Vorfall | Maßnahmen folgen einer Risikobewertung |
| Zuständigkeiten sind unklar | Rollen und Verantwortung sind festgelegt |
| Wissen steckt in einzelnen Köpfen | Regeln und Abläufe sind dokumentiert |
| Niemand weiß, ob Maßnahmen wirken | Wirksamkeit wird regelmäßig geprüft |
| Nachweise gegenüber Kunden und Behörden sind mühsam | Nachweise liegen strukturiert vor |
| Sicherheit endet mit dem Projekt | Sicherheit wird laufend verbessert |
Ein ISMS macht Informationssicherheit planbar und nachweisbar. Das wird immer wichtiger, weil Kunden, Versicherer, Behörden und Gesetze Nachweise verlangen.
Der PDCA-Zyklus: So funktioniert ein ISMS
Ein ISMS folgt dem bewährten Kreislauf aus vier Phasen:
| Phase | Was passiert | Beispiele |
|---|---|---|
| Plan (Planen) | Geltungsbereich, Ziele und Risiken festlegen, Maßnahmen planen | Leitlinie, Risikoanalyse, Maßnahmenplan |
| Do (Umsetzen) | Maßnahmen einführen und betreiben | Zugriffskonzept, Backup, Schulungen, Notfallplan |
| Check (Prüfen) | Wirksamkeit überwachen und bewerten | Kennzahlen, interne Audits, Vorfallauswertung |
| Act (Verbessern) | Abweichungen beheben, Ziele anpassen | Korrekturmaßnahmen, Managementbewertung |
Wichtig ist, dass der Zyklus tatsächlich läuft. Ein ISMS, das einmal dokumentiert und dann nie wieder angefasst wird, ist auf dem Papier vorhanden, schützt aber nicht.
Die Bestandteile eines ISMS
| Bestandteil | Inhalt |
|---|---|
| Geltungsbereich | Welche Standorte, Prozesse und Systeme umfasst das ISMS? |
| Leitlinie zur Informationssicherheit | Ziele, Grundsätze und Bekenntnis der Geschäftsleitung |
| Rollen und Verantwortlichkeiten | Geschäftsleitung, Informationssicherheitsbeauftragter, Fachbereiche, IT |
| Inventar der Werte | Informationen, Systeme, Anwendungen, Räume, Dienstleister |
| Risikoanalyse und Risikobehandlung | Bedrohungen bewerten, Maßnahmen auswählen, Restrisiken akzeptieren |
| Maßnahmen | technische und organisatorische Sicherheitsmaßnahmen |
| Richtlinien | etwa zu Passwörtern, mobilen Geräten, Zugriffen, Lieferanten |
| Schulung und Sensibilisierung | regelmäßige Schulungen für alle Beschäftigten |
| Vorfallmanagement und Notfallplanung | Erkennen, Melden, Bewältigen, Wiederherstellen |
| Überwachung und Audits | Kennzahlen, interne Audits, Managementbewertung |
| Verbesserung | Umgang mit Abweichungen, Korrekturmaßnahmen |
Die Rolle des Informationssicherheitsbeauftragten
Ein ISMS braucht eine Person, die es koordiniert: den Informationssicherheitsbeauftragten, kurz ISB. Er berät die Geschäftsleitung, steuert die Risikoanalyse, begleitet die Umsetzung von Maßnahmen, organisiert Schulungen und berichtet regelmäßig über den Stand. Die Verantwortung für die Informationssicherheit bleibt aber bei der Geschäftsleitung. In kleineren Unternehmen wird die Rolle oft extern besetzt, weil eine eigene Vollzeitstelle nicht ausgelastet wäre.
Welche Normen und Standards gibt es?
ISO/IEC 27001
Die ISO/IEC 27001 ist die international bekannteste Norm für ein ISMS. Die aktuelle Fassung stammt aus dem Jahr 2022. Sie beschreibt in den Kapiteln 4 bis 10 die Anforderungen an das Managementsystem: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Im Anhang A listet sie 93 Maßnahmen in vier Themen: organisatorisch, personenbezogen, physisch und technologisch. Welche davon ein Unternehmen umsetzt, hält es in der Anwendbarkeitserklärung fest. Zertifikate nach der alten Fassung von 2013 sind seit Ende Oktober 2025 nicht mehr gültig. Die einzelnen Anforderungen erklären wir im Beitrag ISO 27001 Anforderungen.
BSI IT-Grundschutz
Das BSI bietet mit dem IT-Grundschutz einen deutschen Weg zum ISMS. Der BSI-Standard 200-1 legt die allgemeinen Anforderungen an ein ISMS fest und ist mit ISO/IEC 27001 kompatibel. Der Standard 200-2 beschreibt die Vorgehensweise, 200-3 die Risikoanalyse und 200-4 das Notfallmanagement. Das IT-Grundschutz-Kompendium liefert dazu konkrete Anforderungen für typische Systeme und Prozesse. Eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz erteilt das BSI selbst.
Einstiegsmodelle für kleinere Unternehmen
Für kleine Unternehmen ist ein vollständiges ISMS nach ISO 27001 oft ein großer Schritt. Einen leichteren Einstieg bieten der CyberRisikoCheck nach DIN SPEC 27076 und die Richtlinien VdS 10000 der Versicherer. Beide lassen sich später zu einem vollständigen ISMS ausbauen.
| Ansatz | Geeignet für | Zertifizierung |
|---|---|---|
| ISO/IEC 27001 | Unternehmen mit internationalen Kunden oder Nachweispflichten | ja, durch akkreditierte Stellen |
| ISO 27001 auf Basis von IT-Grundschutz | Behörden, KRITIS, Unternehmen mit Bezug zur öffentlichen Hand | ja, durch das BSI |
| VdS 10000 | kleine und mittlere Unternehmen | ja, durch VdS |
| CyberRisikoCheck nach DIN SPEC 27076 | Kleinst- und Kleinunternehmen als Einstieg | nein, Bericht mit Handlungsempfehlungen |
Für wen ist ein ISMS sinnvoll?
Grundsätzlich für jedes Unternehmen, das von seiner IT und seinen Daten abhängt. Besonders wichtig ist ein ISMS in diesen Fällen:
- NIS2-pflichtige Unternehmen: § 30 BSIG verlangt ein Risikomanagement mit zehn Mindestbereichen, Dokumentation und regelmäßiger Wirksamkeitsprüfung. Ein ISMS ist der naheliegende Rahmen dafür, auch wenn das Gesetz keine Zertifizierung vorschreibt. Mehr dazu in unserer NIS2-Checkliste.
- KRITIS-Betreiber: Sie müssen dem BSI regelmäßig Nachweise erbringen.
- Finanzunternehmen: DORA verlangt einen umfassenden Rahmen für das Management von IKT-Risiken.
- Zulieferer und Dienstleister: Großkunden, etwa in der Automobilindustrie, verlangen oft ein Zertifikat oder ein vergleichbares Prüfergebnis.
- Unternehmen mit sensiblen Daten: etwa im Gesundheitswesen, in der Rechts- und Steuerberatung oder im Personalwesen.
Ein ISMS in acht Schritten einführen
- Auftrag der Geschäftsleitung: Ziele, Budget und Verantwortung festlegen.
- Geltungsbereich bestimmen: Ganzes Unternehmen oder zunächst ein Standort, ein Prozess, ein Produkt?
- Rollen besetzen: Informationssicherheitsbeauftragten benennen, Ansprechpersonen in Fachbereichen festlegen.
- Bestandsaufnahme: Informationen, Prozesse, Systeme und Dienstleister erfassen.
- Risikoanalyse: Bedrohungen bewerten, Risiken priorisieren.
- Maßnahmen planen und umsetzen: Richtlinien schreiben, technische Maßnahmen einführen, Beschäftigte schulen.
- Prüfen: Kennzahlen erheben, interne Audits durchführen, Managementbewertung.
- Verbessern und gegebenenfalls zertifizieren: Abweichungen beheben, bei Bedarf Zertifizierungsaudit beauftragen.
Für ein mittelständisches Unternehmen dauert der Aufbau bis zur Zertifizierungsreife erfahrungsgemäß mehrere Monate bis etwa ein Jahr, abhängig vom Ausgangsstand und vom Geltungsbereich.
So läuft eine ISO-27001-Zertifizierung ab
Eine Zertifizierung ist kein Muss, aber oft der überzeugendste Nachweis gegenüber Kunden. Der Ablauf ist bei allen akkreditierten Zertifizierungsstellen ähnlich:
| Schritt | Inhalt |
|---|---|
| Stufe-1-Audit | Prüfung der Dokumentation und der Zertifizierungsreife, Hinweise auf Lücken |
| Stufe-2-Audit | Prüfung vor Ort, ob das ISMS wie beschrieben gelebt wird, Gespräche mit Beschäftigten, Stichproben |
| Zertifikat | Ausstellung nach Behebung etwaiger Abweichungen, gültig für drei Jahre |
| Überwachungsaudits | jährliche Prüfung ausgewählter Bereiche |
| Rezertifizierung | vollständige Prüfung nach drei Jahren |
Vor dem Stufe-1-Audit sollten ein internes Audit und eine Managementbewertung stattgefunden haben. Viele Unternehmen lassen sich zudem vorab durch ein sogenanntes Voraudit einschätzen.
Wie lässt sich der Erfolg eines ISMS messen?
Ein ISMS muss zeigen, dass es wirkt. Dafür eignen sich wenige, aussagekräftige Kennzahlen, die regelmäßig an die Geschäftsleitung berichtet werden:
| Kennzahl | Was sie zeigt |
|---|---|
| Anteil der umgesetzten Maßnahmen aus dem Risikobehandlungsplan | Fortschritt der Umsetzung |
| Anzahl und Schwere von Sicherheitsvorfällen | Wirksamkeit von Schutz und Erkennung |
| Zeit bis zur Behebung von Audit-Befunden | Reaktionsfähigkeit der Organisation |
| Schulungsquote | Erreichung der Beschäftigten |
| Ergebnis von Wiederherstellungstests | Zuverlässigkeit der Notfallvorsorge |
| Anzahl offener hoher Risiken | Restrisiko des Unternehmens |
Wichtig ist der Trend über die Zeit, nicht der einzelne Wert. Steigende Meldungen von Beschäftigten können sogar ein gutes Zeichen sein: Sie zeigen, dass Schulungen wirken.
ISMS und Datenschutz
Informationssicherheit und Datenschutz überschneiden sich stark. Die DSGVO verlangt in Art. 32 angemessene technische und organisatorische Maßnahmen und ein Verfahren zur regelmäßigen Überprüfung ihrer Wirksamkeit. Genau das leistet ein ISMS. Umgekehrt deckt ein ISMS nicht alle Datenschutzpflichten ab, etwa Rechtsgrundlagen, Informationspflichten oder Betroffenenrechte. Sinnvoll ist deshalb eine enge Zusammenarbeit von Informationssicherheitsbeauftragtem und Datenschutzbeauftragtem, mit gemeinsamer Risikobetrachtung und abgestimmten Richtlinien.
Welche Dokumente gehören zu einem ISMS?
- Leitlinie zur Informationssicherheit
- Beschreibung des Geltungsbereichs
- Methode und Ergebnisse der Risikoanalyse
- Plan zur Risikobehandlung
- Anwendbarkeitserklärung (bei ISO 27001)
- Richtlinien zu den wichtigsten Themen
- Notfall- und Vorfallpläne
- Schulungsnachweise
- Berichte über interne Audits und Managementbewertungen
- Nachweise über Korrekturmaßnahmen
Weniger ist oft mehr: Kurze, verständliche Dokumente, die tatsächlich gelesen werden, sind wertvoller als umfangreiche Handbücher im Schrank.
Was kostet ein ISMS?
Die Kosten hängen vor allem von Größe, Geltungsbereich und Ausgangsstand ab. Typische Kostenblöcke sind:
| Kostenblock | Hinweise |
|---|---|
| Interner Aufwand | Zeit von Geschäftsleitung, ISB, IT und Fachbereichen, oft der größte Posten |
| Externe Beratung | Unterstützung bei Aufbau, Risikoanalyse und Dokumentation |
| Externer ISB | laufende Betreuung, wenn die Rolle nicht intern besetzt wird |
| Software | Werkzeuge für Risiken, Maßnahmen, Dokumente und Audits |
| Zertifizierung | Erstzertifizierung, jährliche Überwachungsaudits, Rezertifizierung nach drei Jahren |
| Technische Maßnahmen | Investitionen, die sich aus der Risikoanalyse ergeben |
Typische Fehler bei der Einführung
- ISMS als IT-Projekt: Ohne Geschäftsleitung und Fachbereiche bleibt es ein Papiertiger.
- Zu großer Geltungsbereich am Anfang: Besser mit dem wichtigsten Bereich starten und dann erweitern.
- Dokumente kopieren: Vorlagen ohne Anpassung an das eigene Unternehmen helfen nicht.
- Risikoanalyse als Pflichtübung: Sie soll Prioritäten liefern, nicht nur ein Formular füllen.
- Nach der Zertifizierung einschlafen: Spätestens das Überwachungsaudit zeigt, ob das ISMS lebt.
Praxisbeispiel: Ein Automobilzulieferer mit 250 Beschäftigten
Ein Zulieferer wird von einem großen Kunden aufgefordert, innerhalb eines Jahres ein ISMS nachzuweisen. Es gibt eine IT-Abteilung mit drei Personen, aber kaum Dokumentation, keine Risikoanalyse und keine festgelegten Zuständigkeiten.
Die Geschäftsleitung benennt einen externen Informationssicherheitsbeauftragten und legt den Geltungsbereich auf den Hauptstandort mit Entwicklung und Produktion fest. In den ersten drei Monaten entstehen Leitlinie, Inventar und Risikoanalyse. Danach werden die wichtigsten Maßnahmen umgesetzt: Multi-Faktor-Authentifizierung, ein getestetes Backup, ein Berechtigungskonzept, ein Notfallplan und Schulungen für alle Beschäftigten. Nach neun Monaten folgen internes Audit und Managementbewertung, nach elf Monaten besteht das Unternehmen die Prüfung. Das Ergebnis ist mehr als ein Zertifikat: Zum ersten Mal weiß die Geschäftsleitung, wo die größten Risiken liegen.
ISMS mit der Deutschen Cyberkom
Wir begleiten Sie beim Aufbau eines ISMS, von der ersten Bestandsaufnahme über Risikoanalyse und Dokumentation bis zur Zertifizierungsreife. Auf Wunsch übernehmen wir die Rolle des externen Informationssicherheitsbeauftragten. Für die Verwaltung von Risiken, Maßnahmen, Richtlinien und Nachweisen setzen wir als Partner auf die GRC-Plattform von Commugen, die viele Aufgaben im ISMS automatisiert. Mehr dazu im Beitrag Commugen GRC: Compliance automatisieren und auf unserer Seite zum IT-Security Consulting.
Fazit: Ein ISMS macht Sicherheit steuerbar
Ein ISMS ist der Rahmen, der aus vielen einzelnen Sicherheitsmaßnahmen ein gesteuertes Ganzes macht. Es legt fest, wer verantwortlich ist, welche Risiken zählen, welche Maßnahmen gelten und wie geprüft wird, ob sie wirken. Ob nach ISO 27001, IT-Grundschutz oder einem Einstiegsmodell: Entscheidend ist, dass der Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern tatsächlich läuft. Dann wird Informationssicherheit nachweisbar, auch gegenüber Kunden, Versicherern und Aufsichtsbehörden.
Sie möchten ein ISMS aufbauen oder Ihr bestehendes verbessern? Wir zeigen Ihnen den passenden Weg für Ihr Unternehmen. Jetzt kostenlose Erstberatung buchen.
