ISMS: Ein Informationssicherheits-Managementsystem (ISMS) ist der systematische Rahmen aus Richtlinien, Prozessen und technischen Maßnahmen, mit dem ein Unternehmen die Vertraulichkeit, Integrität und Verfügbarkeit seiner Informationswerte plant, umsetzt, überwacht und verbessert.
Ein ISMS beginnt mit der Festlegung des Anwendungsbereichs — welche Standorte, Systeme und Prozesse eingeschlossen sind. Darauf folgt eine Risikobewertung der Informationswerte, aus der passende Maßnahmen abgeleitet werden. Diese werden im Statement of Applicability dokumentiert, das begründet, welche der 93 Controls aus Anhang A der ISO 27001 angewendet werden und welche nicht.
Anders als ein reines IT-Sicherheitskonzept betrachtet ein ISMS nicht nur Technik, sondern auch Organisation, Personal und physische Sicherheit — von der Zutrittskontrolle über Passwortrichtlinien bis zur Lieferantensteuerung. Der risikobasierte Ansatz sorgt dafür, dass Ressourcen dort eingesetzt werden, wo der größte Schutzbedarf besteht.
| Baustein | Funktion |
|---|---|
| Anwendungsbereich | Was ist eingeschlossen? |
| Risikobewertung | Wo besteht Schutzbedarf? |
| Statement of Applicability | Welche Controls gelten? |
Der Aufbau eines ISMS folgt in der Praxis meist einer schrittweisen Vorgehensweise: zunächst Bestandsaufnahme der vorhandenen Informationswerte und bereits existierenden Sicherheitsmaßnahmen, danach eine strukturierte Risikobewertung, gefolgt von der Auswahl passender Controls aus Anhang A und deren tatsächlicher Umsetzung. Entscheidend für ein wirksames ISMS ist, dass es nicht als einmaliges Projekt, sondern als dauerhafter Managementprozess mit regelmäßiger interner Auditierung, Managementbewertung und Anpassung an neue Bedrohungslagen verstanden wird. Gerade bei kleineren IT-Dienstleistern lohnt sich ein pragmatischer, auf die tatsächliche Risikolage zugeschnittener Zuschnitt statt einer unreflektierten Übernahme aller 93 Controls.
Relevanz für die Zertifizierung
Ein zertifiziertes ISMS nach ISO 27001 ist für viele Unternehmen die effizienteste Art, gegenüber Kunden, Aufsichtsbehörden und im Rahmen von NIS2 nachzuweisen, dass Informationssicherheit systematisch gemanagt wird und nicht vom Zufall oder einzelnen engagierten Mitarbeitenden abhängt. Ein zu unternehmensfremd oder zu theoretisch aufgesetztes ISMS ohne echten Bezug zur betrieblichen Praxis fällt in Audits regelmäßig durch mangelnde Wirksamkeitsnachweise auf. Regelmäßige interne Audits helfen dabei, den Abstand zwischen dokumentierten Vorgaben und gelebter Praxis frühzeitig sichtbar zu machen.
Häufige Fragen zu ISMS
Nicht zwingend für jedes, aber besonders für Unternehmen mit sensiblen Kundendaten, IT-Dienstleistungen oder NIS2-Betroffenheit. Ab einer gewissen Abhängigkeit von IT-Systemen zahlt sich ein strukturiertes ISMS aus, weil es Risiken systematisch statt zufällig managt. Kleinstbetriebe ohne relevante Informationswerte benötigen häufig keine vollständige ISO-27001-Zertifizierung.
Die Kosten hängen stark von Unternehmensgröße, Anzahl der Standorte und vorhandener IT-Struktur ab. Eine ISO-27001-Zertifizierung bei KCERT kostet 1.950 Euro netto pro Jahr für Unternehmen bis 5 Mitarbeitende beziehungsweise 2.950 Euro bis 25 Mitarbeitende, jeweils bei dreijähriger Laufzeit inklusive Überwachungsaudits. Hinzu kommt interner Aufwand für Aufbau und Pflege.
Bei KCERT dauert der gesamte Prozess von Erstgespräch bis Zertifikat für ISO 27001 typischerweise 6 bis 8 Wochen, vorausgesetzt das ISMS ist zum Stufe-1-Audit bereits weitgehend aufgebaut. Der eigentliche interne Aufbau – Risikobewertung, Statement of Applicability, Maßnahmenumsetzung – nimmt davor oft mehrere Monate in Anspruch.