ISMS · Einführung
ISMS einführen: In 8 Phasen zum wirksamen Managementsystem
Lesezeit etwa 7 Minuten · Stand Juli 2026
Ein ISMS einführen heißt, Informationssicherheit von losen Einzelmaßnahmen auf ein gesteuertes Managementsystem umzustellen. Der Weg dorthin folgt 8 nachvollziehbaren Phasen, vom Auftrag der Geschäftsleitung über Geltungsbereich, Risikoanalyse und Maßnahmen bis zum internen Audit. Wer strukturiert vorgeht, hat die organisatorische Grundstruktur nach rund 20 Arbeitstagen stehen.
Ein ISMS führen Sie nicht an einem Tag ein.
Aber der erste Reifegrad ist schon nach 4 Wochen sichtbar.
Was heißt es, ein ISMS einzuführen?
Ein ISMS einzuführen bedeutet, die Informationssicherheit als wiederkehrenden Managementprozess aufzubauen statt als einmaliges Projekt. Grundlage ist die internationale Norm ISO/IEC 27001, die in ihren Kapiteln 4 bis 10 beschreibt, welche Bausteine ein solches System braucht. Die Einführung bringt diese Bausteine in eine sinnvolle Reihenfolge. Eine ausführliche Grundlage liefert unser Ratgeber Was ist ein ISMS.
In der Praxis hat sich ein Ablauf in 8 Phasen bewährt. Er führt von der Entscheidung der Leitung bis zum ersten Managementbewertung und schließt damit den Regelkreis, der das System danach am Leben hält.
| Phase | Was dabei entsteht |
|---|---|
| 1. Auftrag und Commitment | Leitlinie und Einführungsauftrag der Geschäftsleitung |
| 2. Geltungsbereich | dokumentierter Scope aus Standorten, Prozessen und Systemen |
| 3. Gap-Analyse | Ist-Aufnahme mit priorisierter Lückenliste |
| 4. Risikoanalyse | Risikoregister mit bewerteten Risiken |
| 5. Risikobehandlung und SoA | Statement of Applicability und Maßnahmenplan |
| 6. Umsetzung | wirksame technische und organisatorische Maßnahmen |
| 7. Internes Audit | Auditbericht mit dokumentierten Findings |
| 8. Managementbewertung | Beschlüsse der Leitung und Start des nächsten Zyklus |
Wie starten Sie mit Auftrag, Geltungsbereich und Gap-Analyse?
Die ersten 3 Phasen legen das Fundament. Ohne einen klaren Auftrag der Geschäftsleitung bleibt jedes ISMS ein Papiertiger. Die Leitung verabschiedet die Informationssicherheitsleitlinie, stellt Ressourcen bereit und benennt einen Verantwortlichen. Diese Verantwortung lässt sich nicht vollständig delegieren, das gilt auch als Pflicht unter Regelwerken wie NIS2.
In Phase 2 grenzen Sie den Geltungsbereich ab. Klausel 4.3 der Norm verlangt, dass Sie festlegen, welche Standorte, Prozesse und Systeme das ISMS umfasst. Der häufigste Fehler an dieser Stelle ist ein Scope, der entweder das ganze Unternehmen auf einmal erschlagen will oder so eng gezogen ist, dass er im Audit unglaubwürdig wirkt.
Phase 3 ist die Gap-Analyse. Sie vergleichen den Ist-Zustand mit den Anforderungen der Norm und ihres Annex A. Das Ergebnis ist keine Note, sondern eine priorisierte Liste offener Punkte. Genau diese Liste macht das Projekt planbar, weil sie zeigt, wo Sie schon gut aufgestellt sind und wo echte Arbeit wartet.
Wo steht Ihre Informationssicherheit heute?
Bevor Sie mit der Einführung starten, lohnt sich ein ehrlicher Blick auf den Ist-Zustand. Der Reifegrad-Check von VANTARIS zeigt in wenigen Minuten, wo Sie stehen und welche Phasen für Sie am dringendsten sind.
Wie bewerten Sie Risiken und leiten daraus Maßnahmen ab?
Die Phasen 4 bis 6 sind das inhaltliche Herzstück. In der Risikoanalyse nach Klausel 6.1 erfassen Sie Ihre Informationswerte, ordnen ihnen Bedrohungen und Schwachstellen zu und bewerten das Risiko nach Eintrittswahrscheinlichkeit und Schadenshöhe. Das Ergebnis landet in einem Risikoregister, das Sie fortan pflegen.
In Phase 5 entscheiden Sie, wie Sie mit jedem Risiko umgehen, ob Sie es reduzieren, vermeiden, übertragen oder bewusst akzeptieren. Aus dieser Entscheidung leiten Sie die passenden Controls aus dem Annex A ab und dokumentieren Ihre Auswahl im Statement of Applicability. Diese Anwendbarkeitserklärung ist im späteren Audit das meistgelesene Dokument.
Phase 6 setzt die Maßnahmen um. Technische Maßnahmen wie Zugriffskonzepte oder Protokollierung greifen ineinander mit organisatorischen wie Richtlinien und Schulungen. Wer die Nachweise dabei zentral führt, spart doppelte Arbeit. Mit VANTARIS erfassen Sie eine Maßnahme einmal und nutzen sie über alle Normen hinweg.
Wie sichern internes Audit und Managementbewertung den Betrieb?
Die letzten beiden Phasen machen aus einem aufgebauten System ein gelebtes. Das interne Audit nach Klausel 9.2 prüft unabhängig, ob die Maßnahmen wirken. Wichtig ist die Trennung der Rollen: Niemand auditiert den eigenen Bereich, sonst fehlt die Distanz. Die Findings sind kein Tadel, sondern das Material für Verbesserungen.
In der Managementbewertung nach Klausel 9.3 setzt sich die Leitung mindestens einmal jährlich mit den Ergebnissen auseinander. Kennzahlen, offene Risiken, Auditergebnisse und Vorfälle kommen auf den Tisch, daraus entstehen dokumentierte Beschlüsse. Mit diesem Schritt beginnt der nächste Durchlauf des PDCA-Zyklus, und das ISMS bleibt in Bewegung statt einzurosten.
Wie lange dauert die Einführung eines ISMS?
Die ehrliche Antwort hängt von Größe und technischer Reife ab, deshalb steht hier keine Garantie. Als Orientierung: Die organisatorische Grundstruktur steht bei fokussierter Arbeit in rund 20 Arbeitstagen, ein solides und gelebtes ISMS nach 2 bis 3 Monaten. Die Reife für eine Zertifizierung erreichen die meisten Mittelständler in 6 bis 9 Monaten.
| Meilenstein | Typischer Zeitrahmen |
|---|---|
| Organisatorische Grundstruktur | rund 20 Arbeitstage |
| Solides, gelebtes ISMS | 2 bis 3 Monate |
| Zertifizierungsreife nach ISO 27001 | 6 bis 9 Monate je nach technischer Reife |
Wer den Weg bis zum Zertifikat gehen will, findet die Details im Ratgeber ISO 27001 Zertifizierung: Ablauf und Dauer. Feste Zusagen ohne Blick in Ihre Organisation sind unseriös, denn die technische Ausgangslage entscheidet über das Tempo.
Welche Fehler sollten Sie bei der Einführung vermeiden?
Die meisten gescheiterten Projekte scheitern nicht an der Technik, sondern an vermeidbaren Mustern. 5 Stolpersteine tauchen besonders oft auf.
- Zu großer Scope. Wer alles auf einmal absichern will, verliert sich. Starten Sie mit einem klar abgegrenzten Bereich.
- Risikoanalyse als Formsache. Eine Tabelle, die niemand nutzt, schützt nichts. Die Analyse muss Entscheidungen tragen.
- Dokumente ohne gelebte Praxis. Richtlinien, die keiner kennt, fallen im Audit sofort auf.
- Fehlendes Commitment der Leitung. Ohne sichtbare Rückendeckung versickert das Projekt im Tagesgeschäft.
- Awareness vergessen. Der beste Prozess nützt wenig, wenn die Belegschaft ihn nicht mitträgt.
Lieber mit Begleitung starten?
Ob interner Aufbau oder externe Unterstützung: Im Strategiegespräch klären wir, welcher Weg zu Ihrer Organisation passt. Ehrlich, ohne Verkaufsdruck und ohne Fantasiezahlen.
Häufige Fragen zur ISMS-Einführung
Was ist der erste Schritt bei der ISMS-Einführung?
Der erste Schritt ist der Auftrag der Geschäftsleitung. Sie verabschiedet die Informationssicherheitsleitlinie, stellt Ressourcen bereit und benennt einen Verantwortlichen. Ohne dieses sichtbare Commitment fehlt dem Projekt die Grundlage und es versickert erfahrungsgemäß im Tagesgeschäft.
Braucht man für die Einführung eine externe Beratung?
Zwingend nicht. Ein motiviertes internes Team kann ein ISMS selbst aufbauen. Externe Unterstützung hilft dort, wo Erfahrung oder Kapazität fehlen, etwa bei der Risikomethodik oder der Audit-Vorbereitung. Sinnvoll ist oft eine Mischung aus interner Verantwortung und punktueller Begleitung.
Muss ein eingeführtes ISMS zertifiziert werden?
Nein. Ein ISMS ist auch ohne Zertifikat wirksam und erfüllt etwa NIS2-Anforderungen. Eine Zertifizierung nach ISO 27001 oder ein TISAX-Label wird dann sinnvoll, wenn Kunden, Ausschreibungen oder die Lieferkette einen anerkannten Nachweis nach außen verlangen.
Wie viele Dokumente braucht ein ISMS mindestens?
Weniger als viele denken. Pflicht sind der dokumentierte Geltungsbereich, die Leitlinie, die Risikomethodik, das Risikoregister und das Statement of Applicability. Dazu kommen einige Kernrichtlinien für Themen wie Zugriff, Passwörter oder Backup. Umfang schlägt hier nicht Wirksamkeit.
Wer ist im Unternehmen für die Einführung verantwortlich?
Die Gesamtverantwortung trägt die Geschäftsleitung, sie kann sie nicht abgeben. Die operative Koordination übernimmt der Informationssicherheitsbeauftragte, der unabhängig arbeitet und direkt an die Leitung berichtet. Getragen wird die Umsetzung von der gesamten Organisation.
Kann man ein ISMS neben dem Tagesgeschäft einführen?
Ja, mit klaren Verantwortlichkeiten und Werkzeugunterstützung. Wichtig sind feste Zeitfenster und eine realistische Priorisierung über die 8 Phasen. Ein Reifegrad ab Tag eins hält die Motivation hoch, weil Fortschritt sichtbar wird statt erst am Projektende.
Fakten und Quellen zur ISMS-Einführung auf einen Blick
| Aspekt | Kurzfakt |
|---|---|
| Normgrundlage | ISO/IEC 27001:2022, Kapitel 4 bis 10 |
| Zentrale Klauseln | 4.3 Geltungsbereich, 6.1 Risiko, 9.2 internes Audit, 9.3 Managementbewertung |
| Maßnahmenkatalog | Annex A mit 93 Controls in 4 Themengruppen |
| Grundstruktur | rund 20 Arbeitstage |
| Solides ISMS | 2 bis 3 Monate |
Quellen: ISO/IEC 27001 (iso.org), BSI-Standards zur Informationssicherheit (bsi.bund.de).
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.