ISMS in 12 Monaten aufbauen: realistischer Fahrplan

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Voraussetzungen vor Projektstart

Bevor die 12-Monats-Uhr losläuft, müssen drei Dinge stehen:

1. Management-Entscheidung mit Budget: Geschäftsführung bekennt sich, Budget für interne Ressourcen + externe Beratung + Zertifizierung ist freigegeben
2. Scope-Hypothese: grobe Vorstellung, welcher Teil des Unternehmens zertifiziert werden soll (gesamtes Unternehmen / einzelner Standort / einzelne Geschäftseinheit / spezifische Services)
3. Verantwortlicher mit Mandat: ein interner Lead (oft ISB / CISO) mit klarer Berichtslinie an die Geschäftsführung und mindestens 50 % Zeit-Anteil für das Projekt

Fehlen diese drei Punkte, entstehen leicht Stillstandsphasen, und der Zeitplan verlängert sich.

Phase 1: Vorbereitung (Monate 1-3)

Monat 1: Setup und Scope-Definition

• Projekt-Charter mit Zielen, Budget, Verantwortlichkeiten erstellen
• ISMS-Scope (auch "Anwendungsbereich") definieren, welche Standorte, Prozesse, Services?
• Kontext der Organisation analysieren (ISO 27001 Klausel 4): interne und externe Stakeholder, ihre Erwartungen
• erste Stakeholder-Map mit deren Anforderungen an Informationssicherheit

Monat 2: Asset-Inventarisierung und Risikomethodik

• Asset-Inventar: alle informationsverarbeitenden Werte erfassen (Daten, Systeme, Personen, Prozesse, physische Geräte)
• pro Asset: Eigentümer, Klassifizierungsstufe, Bezug zu Geschäftsfunktionen
• Risiko-Methodik festlegen: qualitativ (3×3 / 5×5) oder semi-quantitativ
• Akzeptanzkriterien für Risiken definieren

Monat 3: Risiko-Analyse und Gap-Analyse

• Risiko-Analyse durchführen anhand der definierten Methodik: Bedrohungen × Schwachstellen × Auswirkungen pro Asset
• Top-Risiken identifizieren und priorisieren
• Gap-Analyse gegen Annex A: Welche der 93 Controls sind bereits umgesetzt, welche fehlen?
• Statement of Applicability als Entwurf aufsetzen

Meilenstein Phase 1: Scope, Risiko-Register, Annex-A-Gap-Analyse, SoA-Entwurf liegen vor.

Phase 2: Implementierung (Monate 4-9)

Monat 4: Grundlegende Dokumentation

• Informationssicherheits-Politik (Annex A.5.1), Top-Level-Dokument der Geschäftsführung
• Rollenkonzept: Informationssicherheitsbeauftragter (ISB), Datenschutzbeauftragter, IT-Leitung
• Klassifizierungs-Schema für Informationen (öffentlich / intern / vertraulich / streng vertraulich)
• Pflichten-Verteilung zu Annex-A-Controls, wer ist für welches Control zuständig?

Monate 5-6: Governance und People

• Awareness-Schulungs-Konzept (A.6.3): Schulung für alle Mitarbeitenden mit regelmäßiger Auffrischung, etwa jährlich
• Beschäftigungs-Verträge mit Sicherheits-Klauseln (A.6.2)
• Lieferanten-Sicherheits-Programm (A.5.19-A.5.22): Klassifizierung, Vertragsklauseln, Audits
• Incident-Response-Plan (A.5.24-A.5.27) mit Meldewegen und Rollen

Monate 6-7: Technische Controls

• Zugriffssteuerung vollständig umsetzen (A.5.15-A.5.18, A.8.2-A.8.5): rolle-basierte Berechtigungen, MFA für kritische Systeme, Privileged Access Management
• Logging und Monitoring (A.8.15-A.8.16): zentrales Log-Management, definierte Aufbewahrungs-Fristen, Alerting für sicherheitsrelevante Ereignisse
• Vulnerability Management (A.8.8): regelmäßiges Patching, Vulnerability-Scans
• Backup-Konzept (A.8.13): Schutz vor Datenverlust, dokumentierte RPO/RTO
• Verschlüsselung (A.8.24): Daten in Ruhe und in Transport

Monat 8: Business-Continuity

• Business-Impact-Analyse für kritische Prozesse
• Notfallpläne mit Wiederanlauf-Szenarien
• ICT-Readiness (A.5.30): Tests der Wiederherstellbarkeit
• mindestens eine Übung durchführen und dokumentieren

Monat 9: Internes Audit und Management-Review

• Internes Audit (ISO 19011): Stichproben durch unabhängige interne Auditoren
• Audit-Findings dokumentieren und Korrekturmaßnahmen einleiten
• Management-Review mit Vorstand/Geschäftsführung: Wirksamkeit des ISMS, Risiko-Status, Verbesserungsbedarf
• Statement of Applicability finalisieren

Meilenstein Phase 2: Alle anwendbaren Controls umgesetzt, Wirksamkeitsnachweise gesammelt, internes Audit durchgeführt und Korrekturmaßnahmen eingeleitet, Management-Review durchgeführt.

Phase 3: Externes Audit (Monate 10-12)

Monat 10: Zertifizierungsstelle auswählen und Stage-1-Audit

• Zertifizierungsstelle auswählen (akkreditiert durch DAkkS oder vergleichbare nationale Akkreditierungsstelle)
• Angebot einholen, Vertrag schließen, Audit-Plan abstimmen
• Stage-1-Audit (oft remote): Auditor prüft vor allem Dokumentation, Scope und Bereitschaft für das Stage-2-Audit
• Stage-1-Findings beheben

Monat 11: Stage-2-Audit (Vor-Ort-Audit)

• Stage-2-Audit vor Ort (oder hybrid): Auditor prüft die Wirksamkeit der Controls in der Praxis
• Stichproben in allen Annex-A-Bereichen
• Interviews mit Mitarbeitenden aus verschiedenen Bereichen
• Auditdauer: bestimmt die Zertifizierungsstelle nach ISO/IEC 27006-1 aus Beschäftigtenzahl und Komplexität; sie steht im Angebot

Monat 12: Korrekturmaßnahmen und Zertifikatserteilung

• Audit-Findings systematisch beheben
• Major Non-Conformities müssen vor Zertifikatserteilung behoben sein, Minor Non-Conformities im Korrektur-Plan adressiert werden
• Akkreditierte Zertifizierungsstelle stellt das ISO-27001-Zertifikat aus, gültig in der Regel drei Jahre mit jährlichen Überwachungs-Audits

Personal-Aufwand realistisch

Planungsbeispiel für ein KMU mit 50-250 Mitarbeitenden. Die Werte sind Annahmen zur Orientierung, keine Norm- oder Marktangaben:

Der externe Berater ist nicht zwingend, bei vorhandener interner Expertise lässt sich ein ISMS auch ohne externe Begleitung aufbauen. Externe Begleitung kann Vorlagen, Methodik und Audit-Vorbereitung beisteuern.

Typische Stolpersteine

Zu großer Scope am Anfang: Wer das gesamte Unternehmen sofort zertifizieren will, scheitert oft an der Komplexität. Sinnvoll: Erst-Zertifizierung mit reduziertem Scope (z. B. ein Geschäftsbereich), spätere Scope-Erweiterung.

Dokumentations-Marathon ohne Wirksamkeit: Viele ISMS bestehen aus 200+ Seiten Politiken und Verfahren, die niemand liest. Auditoren prüfen Wirksamkeit, nicht Volumen, schlanke, gelebte Dokumentation schlägt umfangreiche Schubladen-Ordner.

Fehlende Risiko-Methodik: Risiko-Analysen ohne dokumentierte Methodik sind häufige Audit-Findings. Die Methodik muss vor der Risiko-Analyse stehen und reproduzierbar sein.

Internes Audit vergessen: ISO 27001 verlangt interne Audits in geplanten Abständen (Kapitel 9.2). Ohne durchgeführtes internes Audit und Management-Review fehlen Nachweise, die Zertifizierungsstellen vor dem Stage-2-Audit sehen wollen, und das Risiko von Major Non-Conformities steigt.

FAQ

Geht ISMS-Aufbau auch schneller als 12 Monate?

Das ist möglich, aber nur realistisch, wenn ein Großteil der Annex-A-Controls bereits informell umgesetzt ist und nur dokumentiert werden muss. Für Greenfield-Aufbau gilt 12 Monate als realistisch, 18 Monate als komfortabel.

Brauche ich einen externen Berater?

Nicht zwingend, aber meist wirtschaftlich. Externe Berater bringen Vorlagen, Methodik und Audit-Erfahrung mit. Ob sich die Beratungskosten rechnen, hängt von Tagessatz, Umfang und der eigenen Erfahrung ab; beides steht im Angebot. Wichtiger als die Beratung: ein interner Lead mit Mandat und Zeit.

Was kostet ein ISO-27001-Zertifizierungs-Audit?

Öffentliche Preislisten gibt es nicht. Die Kosten ergeben sich aus Audittagen × Tagessatz plus Reisekosten, beides steht im Angebot der Zertifizierungsstelle. Zum Dreijahreszyklus gehören neben dem Erstaudit (Stage 1 + Stage 2) zwei Überwachungsaudits und die Rezertifizierung, die jeweils kürzer sind als das Erstaudit. Den Rechenweg zeigt der Artikel ISO-27001-Zertifizierung: was kostet das wirklich?

Wann ist der beste Zeitpunkt für das interne Audit?

In Monat 9, also etwa 1-2 Monate vor Stage-1-Audit. So bleibt genug Zeit, identifizierte Mängel zu beheben, bevor der externe Auditor kommt. Internes Audit zu früh (Monat 6) führt zu Audit-Findings, die Sie noch nicht beheben konnten, internes Audit zu spät (Monat 11) lässt keine Zeit für Korrekturmaßnahmen.

Was, wenn ich das Audit nicht bestehe?

"Nicht bestehen" gibt es bei ISO 27001 in zwei Stufen: Major Non-Conformities müssen vor Zertifikatserteilung behoben sein. Minor Non-Conformities stehen der Zertifikatserteilung in der Regel nicht entgegen, wenn die Zertifizierungsstelle einen Korrektur-Plan akzeptiert. Bis die Majors behoben und nachgewiesen sind, verschiebt sich die Zertifikatserteilung.