ISMS-Aufbau nach ISO 27001: ein pragmatischer Leitfaden

Warum ein ISMS mehr ist als ein Zertifikat

Viele Unternehmen starten ein ISMS-Projekt, weil ein Kunde es verlangt oder ein Audit ansteht. Das ist ein legitimer Anlass – aber ein ISMS, das nur für diesen einen Termin gebaut wird, verfehlt seinen eigentlichen Zweck. Ein Informationssicherheits-Managementsystem soll Risiken laufend sichtbar machen, nicht einmalig dokumentieren.

Die ersten 100 Tage: was wirklich zählt

Aus eigener Erfahrung beim Aufbau eines ISMS nach ISO 27001 hat sich eine Reihenfolge bewährt, die Frustration vermeidet:

1. Scope festlegen – welche Bereiche, Standorte und Systeme sind tatsächlich im Geltungsbereich?
2. Bestehendes sichtbar machen – die meisten Organisationen haben mehr Kontrollen, als ihnen bewusst ist, nur nicht dokumentiert.
3. Gap-Analyse gegen ISO 27001 – ehrlich, mit klarer Priorisierung statt Vollständigkeitsanspruch am ersten Tag.
4. Rollen benennen – wer ist Informationssicherheitsbeauftragte:r, wer eskaliert im Vorfall?

Risikomanagement ohne Excel-Friedhof

Ein Risikoregister scheitert fast nie an der Methodik, sondern an der Pflege. Die pragmatische Lösung: ein überschaubares Set an Risiken mit klarem Owner und einem festen Reviewtermin, statt einer 300-Zeilen-Tabelle, die nach dem Kickoff nie wieder geöffnet wird.

Ein Risikoregister, das niemand pflegt, ist ein Bild von der Vergangenheit – kein Steuerungsinstrument für die Gegenwart.

TISAX: Besonderheiten gegenüber ISO 27001

TISAX orientiert sich am VDA-ISA-Prüfkatalog und richtet sich speziell an die Automobilbranche und ihre Zulieferer. Wer bereits ein ISMS nach ISO 27001 betreibt, hat die wesentliche Grundlage geschaffen – TISAX verlangt aber zusätzlich einen klaren Fokus auf den Schutz von Prototypen, sensiblen Entwicklungsdaten und die Nachweisführung gegenüber Geschäftspartnern über die ENX-Plattform.

Vom Projekt in den Regelbetrieb

Der Moment, in dem ein ISMS-Projekt endet und der Regelbetrieb beginnt, wird häufig unterschätzt. Ohne feste Reviewzyklen, ein internes Audit-Programm und klare Verantwortlichkeit verliert das System innerhalb weniger Monate an Aktualität. Genau diese Übergabe – inklusive Dokumentation, die auch ohne externe Unterstützung gepflegt werden kann – gehört für mich zum Auftrag dazu, nicht als optionales Extra.