ISMS nach ISO/IEC 27001 einführen: Ablauf und Aufwand für KMU

Der Ablauf in sechs Schritten

1. Kontext und Geltungsbereich – welche Standorte, Prozesse und Systeme das ISMS umfasst und welche Anforderungen von Kunden, Gesetzen und Verträgen gelten (Kapitel 4 der Norm).
2. Führung und Rollen – Leitlinie zur Informationssicherheit, Verantwortlichkeiten und die Rolle der Geschäftsleitung (Kapitel 5).
3. Risiken beurteilen und behandeln – Risiken bewerten, Maßnahmen festlegen und in der Erklärung zur Anwendbarkeit begründen, welche der 93 Maßnahmen aus Anhang A gelten (Kapitel 6 und 8).
4. Umsetzen – technische und organisatorische Maßnahmen, Schulung und Sensibilisierung, gelenkte Dokumentation (Kapitel 7 und 8).
5. Wirksamkeit prüfen – Kennzahlen, interne Audits und Managementbewertung (Kapitel 9).
6. Zertifizierung – Audit durch eine akkreditierte Zertifizierungsstelle; danach fortlaufende Verbesserung (Kapitel 10).

Was den Aufwand treibt

Pauschale Preise oder Zeiträume wären unseriös, denn der Aufwand hängt von wenigen, gut bestimmbaren Faktoren ab:

• Geltungsbereich: ein Standort mit klaren Prozessen oder mehrere Standorte, Rechenzentren und Dienstleister.
• Ausgangszustand: Sind Datensicherung, Berechtigungen, Updates und Dokumentation schon geregelt, verkürzt sich die Einführung deutlich.
• Zeit im eigenen Team: Ein ISMS lebt von Menschen im Unternehmen; wir übernehmen viel, aber nicht die Entscheidungen.
• Werkzeug: Mit Tabellen und Ordnern wächst der Pflegeaufwand mit jedem Audit; eine ISMS-Software hält Risiken, Maßnahmen und Nachweise zusammen.

Nach unserer Erfahrung sollten kleine und mittlere Unternehmen mit überschaubarem Geltungsbereich bis zur Zertifizierungsreife mit mehreren Monaten rechnen. Nach einem Erstgespräch erhalten Sie von uns eine konkrete Einschätzung für Ihren Fall.

Zertifizierung und danach

Das Zertifizierungsaudit führt eine akkreditierte Zertifizierungsstelle durch, üblicherweise in zwei Stufen: zuerst die Prüfung der Dokumentation und der Bereitschaft, dann die Prüfung der Umsetzung vor Ort. Das Zertifikat gilt in der Regel drei Jahre, mit jährlichen Überwachungsaudits. Wir bereiten Sie darauf vor und begleiten Sie auf Wunsch im Audit.

Warum ISO 27001 auch bei NIS2 hilft

Besonders wichtige und wichtige Einrichtungen müssen nach § 30 BSIG Risikomanagementmaßnahmen ergreifen und dokumentieren. Diese Maßnahmen sollen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen. Ein ISMS nach ISO/IEC 27001 ist dafür ein bewährter Rahmen. Ob Ihr Unternehmen unter NIS2 fällt, regelt § 28 BSIG.

Kostenloser Selbstcheck: Fällt Ihr Unternehmen selbst unter NIS2? Ergebnis sofort, ohne Anmeldung. Zum NIS2-Selbstcheck →

Erfahrung, die wir einbringen

Wir betreuen die IT von Unternehmen seit 1983 und kennen die technische Seite eines ISMS aus dem eigenen Betrieb. Dr. Stefan Spörrer ist Autor des Fachbuchs „Business Continuity Management: ISO 22301 und weitere Normen im Rahmen der Informationstechnologie“ (Springer Gabler) und lehrt Informationssicherheit an Hochschulen. In der eigenen Unternehmensgruppe haben wir ein ISMS nach ISO/IEC 27001 eingeführt und das Zertifizierungsaudit bestanden. Für die Dokumentation setzen wir auf Wunsch MGMSYS ein, unsere eigene Plattform, die alle 93 Maßnahmen aus Anhang A der ISO/IEC 27001:2022 abbildet.

Häufige Fragen