ISMS nach der Zertifizierung: Wie du den Betrieb am Laufen hältst

Das Post-Zertifizierungs-Loch

Du hast es geschafft. Monatelange Vorbereitung, Dutzende von Richtlinien, eine komplette Risikobewertung, Schulungen für alle Mitarbeiter, ein internes Audit, ein Management Review und schließlich das Zertifizierungsaudit mit einem positiven Ergebnis. Das ISO-27001-Zertifikat hängt an der Wand, der Vertrieb nutzt es in der Kundenkommunikation, und die Geschäftsführung ist zufrieden.

Und dann passiert etwas Gefährliches: Alle atmen durch. Der ISB kümmert sich um die Dinge, die während des ISMS-Projekts liegengeblieben sind. Die Fachabteilungen sind froh, dass die Workshops vorbei sind. Die Geschäftsführung hat das Thema abgehakt. Das ISMS existiert formal, aber niemand arbeitet mehr aktiv daran.

Dieses Post-Zertifizierungs-Loch ist so verbreitet, dass erfahrene Auditoren es als erstes suchen, wenn sie zum Überwachungsaudit kommen. Sie schauen auf die Zeitstempel: Wann wurde die Risikobewertung zuletzt aktualisiert? Wann fand das letzte Management Review statt? Wann war die letzte Richtlinienänderung? Wenn alle Datumsstempel aus dem Zertifizierungsjahr stammen und danach nichts mehr passiert ist, ist das ein klares Signal, dass das ISMS auf dem Papier lebt, aber nicht in der Praxis.

Der Zertifizierungszyklus: Was wann passiert

Um den Betrieb zu planen, musst du den Rhythmus des Zertifizierungszyklus verstehen.

Das Erst-Zertifizierungsaudit

Das Erst-Zertifizierungsaudit besteht aus Stage 1 (Dokumentenprüfung) und Stage 2 (Vor-Ort-Audit). Nach erfolgreichem Stage 2 erhältst du das Zertifikat. Es ist drei Jahre gültig.

Überwachungsaudit Jahr 1 (ca. 12 Monate nach Zertifizierung)

Das erste Überwachungsaudit prüft einen Teil der Normanforderungen und der Annex-A-Controls. Der Umfang ist geringer als beim Erst-Zertifizierungsaudit, aber der Auditor erwartet, dass das ISMS seit der Zertifizierung aktiv betrieben wurde. Er wird gezielt nach Veränderungen fragen: Was hat sich im Unternehmen geändert? Welche neuen Risiken gibt es? Welche Maßnahmen wurden umgesetzt? Welche Vorfälle gab es?

Überwachungsaudit Jahr 2 (ca. 24 Monate nach Zertifizierung)

Das zweite Überwachungsaudit prüft weitere Bereiche. Zusammen mit dem ersten Überwachungsaudit soll die Gesamtheit der Normanforderungen abgedeckt sein. Der Auditor wird tiefer graben als im ersten Überwachungsaudit und mehr operative Nachweise sehen wollen.

Rezertifizierungsaudit (ca. 36 Monate nach Zertifizierung)

Vor Ablauf des dreijährigen Zertifizierungszyklus findet das Rezertifizierungsaudit statt. Es ist umfassender als die Überwachungsaudits und ähnelt in Umfang und Tiefe dem Erst-Zertifizierungsaudit. Nach erfolgreichem Abschluss wird das Zertifikat für weitere drei Jahre verlängert.

Die fünf Säulen des laufenden ISMS-Betriebs

Der laufende Betrieb eines ISMS lässt sich in fünf Kernaktivitäten gliedern, die in einem regelmäßigen Rhythmus stattfinden müssen.

Säule 1: Risikobewertung aktuell halten

Die Risikobewertung ist kein einmaliges Dokument, sondern ein fortlaufender Prozess. Du musst sie aktualisieren, wenn sich im Unternehmen oder in der Bedrohungslandschaft etwas ändert.

Anlassbezogene Aktualisierung. Immer wenn ein signifikantes Ereignis eintritt, prüfst du, ob die Risikobewertung betroffen ist. Solche Ereignisse sind: Einführung neuer IT-Systeme, Änderung der Unternehmensstruktur (Fusion, Ausgliederung, neuer Standort), neue Kundenanforderungen, Sicherheitsvorfälle im eigenen Unternehmen oder in der Branche, neue regulatorische Anforderungen oder Änderungen an der Lieferkette.

Regelmäßige Aktualisierung. Mindestens einmal pro Jahr führst du eine vollständige Überprüfung der Risikobewertung durch. Dabei prüfst du für jedes Risiko: Ist es noch relevant? Hat sich die Eintrittswahrscheinlichkeit geändert? Hat sich die Auswirkung geändert? Sind die Maßnahmen noch wirksam? Gibt es neue Risiken, die bisher nicht erfasst waren?

Praktischer Tipp: Setze quartalsweise einen kurzen Risiko-Check an. Das ist kein vollständiger Durchlauf, sondern ein fokussiertes Review: Sind neue Assets dazugekommen? Gab es Vorfälle, die auf bisher unerkannte Risiken hindeuten? Hat sich die Bedrohungslandschaft verändert? Dieser quartalsweise Check verhindert, dass die jährliche Überprüfung zum Mammutprojekt wird, weil sich ein ganzes Jahr lang Änderungen angestaut haben.

Säule 2: Maßnahmen verfolgen und abschließen

Aus der Risikobewertung, den Audits und dem Tagesgeschäft ergeben sich Maßnahmen, die umgesetzt werden müssen. Ein funktionierendes Maßnahmenmanagement ist der Motor des ISMS.

Jede Maßnahme braucht einen Verantwortlichen und ein Fälligkeitsdatum. Das klingt selbstverständlich, wird aber oft vernachlässigt. Eine Maßnahme wie "Netzwerksegmentierung verbessern" ohne verantwortliche Person und ohne Termin wird nie umgesetzt.

Regelmäßiges Tracking. Der ISB prüft monatlich den Status aller offenen Maßnahmen. In einem ISMS-Tool wie ISMS Lite (ab 500 Euro pro Jahr oder als Einmalkauf für 2.500 Euro) lassen sich Fälligkeiten automatisch überwachen und Erinnerungen an die Verantwortlichen versenden. Überfällige Maßnahmen werden eskaliert. Maßnahmen, die wiederholt verschoben werden, deuten auf ein strukturelles Problem hin (fehlende Ressourcen, unklare Verantwortung, mangelnde Priorisierung) und müssen mit der Geschäftsführung besprochen werden.

Wirksamkeitsprüfung. Eine umgesetzte Maßnahme ist nicht automatisch eine wirksame Maßnahme. Du musst prüfen, ob die Maßnahme das adressierte Risiko tatsächlich reduziert hat. Das kann eine technische Prüfung sein (Schwachstellenscan nach der Härtung), eine Prozessprüfung (Stichprobe, ob der neue Prozess gelebt wird) oder eine Kennzahlenanalyse (hat sich die Klickrate bei Phishing-Simulationen verringert?).

Säule 3: Richtlinien pflegen und reviewen

Richtlinien sind lebende Dokumente. Sie müssen regelmäßig überprüft und bei Bedarf aktualisiert werden.

Review-Rhythmus. Plane für jede Richtlinie einen jährlichen Review ein. In der Praxis empfiehlt es sich, die Reviews über das Jahr zu verteilen, statt alle Richtlinien gleichzeitig zu überprüfen. Wenn du 15 Richtlinien hast, reviewst du monatlich eine bis zwei davon.

Änderungsanlässe. Unabhängig vom regulären Review müssen Richtlinien aktualisiert werden, wenn sich die zugrundeliegenden Prozesse oder Technologien ändern, wenn neue regulatorische Anforderungen dazukommen, wenn ein Audit eine Schwachstelle in der Richtlinie identifiziert hat oder wenn sich organisatorische Strukturen ändern.

Kommunikation von Änderungen. Eine aktualisierte Richtlinie, die niemand kennt, ist wertlos. Stelle sicher, dass Richtlinienänderungen aktiv kommuniziert werden, an die betroffenen Mitarbeiter und bei wesentlichen Änderungen an die gesamte Organisation.

Säule 4: Awareness aufrechterhalten

Security Awareness ist kein Einmalevent, sondern ein fortlaufendes Programm. Die Schulung aus dem Zertifizierungsjahr reicht nicht für die nächsten drei Jahre.

Jährliche Pflichtschulung. Alle Mitarbeiter absolvieren einmal pro Jahr eine Awareness-Schulung. Der Inhalt sollte sich von Jahr zu Jahr weiterentwickeln, neue Bedrohungen aufgreifen und auf aktuelle Vorfälle (intern oder aus der Branche) eingehen.

Onboarding neuer Mitarbeiter. Jeder neue Mitarbeiter wird im Rahmen des Onboardings über die Informationssicherheitsrichtlinien informiert und geschult. Das muss systematisch passieren, nicht als "Lies mal diese zehn Dokumente durch".

Regelmäßige Impulse. Zwischen den jährlichen Schulungen hältst du das Thema durch kurze Impulse präsent: monatliche Newsletter, Poster, kurze Video-Clips, Phishing-Simulationen oder themenbezogene Aktionen (zum Beispiel eine "Clean-Desk-Woche").

Phishing-Simulationen. Führe mindestens quartalsweise Phishing-Simulationen durch. Sie sind gleichzeitig Trainingsmaßnahme und Kennzahl für die Wirksamkeit des Awareness-Programms.

Säule 5: Audits und Management Reviews durchführen

Interne Audits und Management Reviews sind die formalen Prüf- und Steuerungsmechanismen des ISMS. Beide sind Pflichtanforderungen der ISO 27001.

Internes Audit. Führe mindestens ein internes Audit pro Jahr durch. Das Audit prüft, ob die Prozesse des ISMS wie beschrieben funktionieren und ob die Normanforderungen erfüllt sind. Das interne Audit sollte von einer Person durchgeführt werden, die nicht direkt für die geprüften Prozesse verantwortlich ist. Wenn der ISB die einzige Person mit ISMS-Kompetenz im Unternehmen ist, beauftrage einen externen Auditor für das interne Audit.

Management Review. Das Management Review findet mindestens einmal pro Jahr statt und wird von der Geschäftsführung geleitet. Es behandelt: den Status des ISMS, die Ergebnisse der Risikobewertung, die Ergebnisse der internen und externen Audits, den Status der Maßnahmen, relevante Vorfälle, Veränderungen im Kontext des Unternehmens und Möglichkeiten zur Verbesserung.

Das Management Review ist der Moment, in dem die Geschäftsführung ihre fortlaufende Verantwortung für die Informationssicherheit wahrnimmt. Es darf keine Pflichtübung sein, bei der der ISB einen Bericht vorliest und alle nicken. Es muss ein substanzielles Gespräch sein, das zu Entscheidungen führt.

Der ISMS-Jahreskalender

Ein konkreter Jahreskalender hilft dir, die verschiedenen Aktivitäten zu planen und im Blick zu behalten. Hier ein Beispiel für ein Unternehmen nach der Erstzertifizierung.

Dieser Kalender ist ein Gerüst, das du an deinen spezifischen Zertifizierungszyklus und deine Unternehmensrhythmen anpassen musst. Das Überwachungsaudit kann in jedem Monat liegen, und dein internes Audit sollte mindestens zwei Monate vor dem externen Audit abgeschlossen sein.

Typische Probleme im laufenden Betrieb und Gegenmaßnahmen

Problem: Der ISB ist allein

Nach der Zertifizierung reduzieren viele Unternehmen die Ressourcen für das ISMS auf den ISB. Der ISB soll alles allein machen: Risiken bewerten, Maßnahmen verfolgen, Richtlinien reviewen, Schulungen organisieren, das Audit vorbereiten und nebenbei noch seine ursprünglichen Aufgaben erledigen. Das funktioniert nicht.

Gegenmaßnahme: Stelle sicher, dass die Rollen (Risikoeigner, Asset-Owner) auch nach der Zertifizierung aktiv wahrgenommen werden. Der ISB koordiniert, aber die Verantwortung für die inhaltliche Arbeit liegt bei den Fachabteilungen. Wenn Risikoeigner ihre Pflichten vernachlässigen, muss die Geschäftsführung das ansprechen.

Problem: Die Geschäftsführung verliert das Interesse

Das Zertifikat hängt an der Wand, die Kunden sind zufrieden, und die Geschäftsführung hat andere Prioritäten. Das ISMS wird zum lästigen Pflichtprogramm.

Gegenmaßnahme: Halte die Geschäftsführung durch regelmäßiges, kurzes und relevantes Reporting im Boot. Berichte nicht über den PDCA-Zyklus, sondern über Risiken, die das Geschäft betreffen, über Kennzahlen, die die Wirksamkeit zeigen, und über Trends, die Handlungsbedarf signalisieren. Nutze das Management Review als Gelegenheit, strategische Themen zu besprechen, nicht als Dokumenten-Review.

Problem: Maßnahmen werden endlos verschoben

Maßnahmen aus der Risikobewertung oder dem Audit werden priorisiert, terminiert und dann verschoben, weil das Tagesgeschäft Vorrang hat. Nach zwei Verschiebungen geraten sie in Vergessenheit.

Gegenmaßnahme: Definiere klare Eskalationsregeln. Maßnahmen, die einmal verschoben werden, werden beim nächsten monatlichen Review besprochen. Maßnahmen, die zweimal verschoben werden, werden an die Geschäftsführung eskaliert. Das klingt bürokratisch, schafft aber die nötige Verbindlichkeit.

Problem: Veränderungen werden nicht eingepflegt

Das Unternehmen führt ein neues CRM ein, bezieht einen neuen Cloud-Dienst oder eröffnet ein Büro in einer anderen Stadt. Niemand denkt daran, das ISMS zu aktualisieren: Asset-Register, Risikobewertung, Scope-Dokumentation, Lieferantenbewertung.

Gegenmaßnahme: Integriere einen ISMS-Check in den Change-Management-Prozess. Bei jeder signifikanten Änderung (neues System, neuer Dienstleister, organisatorische Umstrukturierung) prüft der ISB, ob das ISMS aktualisiert werden muss. Das kostet fünf Minuten pro Änderung und verhindert, dass sich ein Rückstau aufbaut.

Problem: Awareness schläft ein

Die erste Awareness-Schulung war noch gut besucht und interessant. Die zweite war eine Wiederholung der ersten. Die dritte wurde zur Pflichtübung, bei der alle auf ihr Handy schauten.

Gegenmaßnahme: Variiere die Formate und Inhalte. Nutze aktuelle Vorfälle aus der Presse als Aufhänger. Integriere interaktive Elemente. Bringe Gastredner (externen Penetrationstester, Forensiker, Datenschutzbeauftragten). Mach es kurz: 30 Minuten fokussierter Input schlagen zwei Stunden Frontalvortrag. Und feiere Erfolge: Wenn die Phishing-Klickrate von 25 Prozent auf 8 Prozent gesunken ist, kommuniziere das.

Was der Auditor beim Überwachungsaudit sehen will

Beim Überwachungsaudit hat der Auditor weniger Zeit als beim Erst-Zertifizierungsaudit. Er wird sich auf bestimmte Bereiche konzentrieren und dort tiefgehen. Was er in jedem Fall sehen will:

Nachweise für kontinuierliche Aktivität. Protokolle von Management Reviews, Berichte interner Audits, Maßnahmen-Tracking mit Statusaktualisierungen, aktualisierte Risikobewertungen, Schulungsnachweise. Alles, was zeigt, dass das ISMS lebt.

Umgang mit Veränderungen. Was hat sich seit dem letzten Audit geändert? Wie wurde das ISMS angepasst? Der Auditor wird gezielt fragen, ob neue Systeme, Dienstleister oder Geschäftsprozesse in die Risikobewertung aufgenommen wurden.

Bearbeitung früherer Feststellungen. Wenn das Erst-Zertifizierungsaudit oder das vorherige Überwachungsaudit Feststellungen ergeben hat (Nebenabweichungen, Verbesserungspotenziale), prüft der Auditor, ob diese bearbeitet wurden. Eine offene Feststellung, die beim nächsten Audit immer noch offen ist, signalisiert mangelndes Engagement.

Operative Nachweise. Der Auditor wird nicht nur Dokumente lesen, sondern auch operative Nachweise sehen wollen: Logfiles, die zeigen, dass Monitoring stattfindet, Ergebnisse von Schwachstellenscans, Protokolle von Incident-Response-Aktivitäten, Ergebnisse von Backup-Restore-Tests.

Der Aufwand: Realistisch planen

Der laufende Betrieb eines ISMS erfordert kontinuierlichen Aufwand. Die gute Nachricht: Er ist deutlich geringer als der Aufbauaufwand. Die schlechte Nachricht: Er ist nicht null.

Für ein Unternehmen mit 100 bis 300 Mitarbeitern rechne mit folgenden Zeitbudgets pro Jahr:

In Summe liegt der ISB-Aufwand bei 240 bis 375 Stunden pro Jahr, also 15 bis 25 Prozent einer Vollzeitstelle. Das ist der Mindestaufwand für ein gepflegtes ISMS. Wenn der ISB zusätzlich operative Sicherheitsaufgaben übernimmt (Schwachstellenmanagement, Incident Response, Lieferantenbewertung), steigt der Aufwand entsprechend.

Vom Pflichtprogramm zur Unternehmenskultur

Das ultimative Ziel ist, dass Informationssicherheit kein Programm mehr ist, das der ISB gegen den Widerstand der Organisation durchsetzt, sondern ein selbstverständlicher Teil der Arbeitsweise. Das passiert nicht automatisch und nicht schnell. Es braucht Jahre konsequenter Arbeit, sichtbare Unterstützung der Geschäftsführung und die Erfahrung, dass Informationssicherheit nicht nur lästig ist, sondern Probleme verhindert und Vertrauen schafft.

Wenn ein Mitarbeiter bei einer verdächtigen E-Mail nicht erst die Richtlinie sucht, sondern instinktiv den IT-Support informiert, wenn ein Projektleiter bei einem neuen System fragt, ob der ISB eingebunden werden muss, wenn die Geschäftsführung bei einer Investitionsentscheidung die Sicherheitsimplikationen mitdenkt, dann hat das ISMS seinen eigentlichen Zweck erfüllt, unabhängig davon, was auf dem Zertifikat steht.

Weiterführende Artikel

• Internes ISMS-Audit: So prüfst du dein eigenes Managementsystem
• Management Review nach ISO 27001: Inhalt, Ablauf und Dokumentation
• Audit-Feststellungen und Korrekturmaßnahmen richtig managen
• PDCA-Zyklus im ISMS: Kontinuierliche Verbesserung verstehen und umsetzen
• Security Roadmap für 3 Jahre: Strategisch statt reaktiv