ISMS-Projekt planen: Roadmap, Meilensteine und Ressourcen

Warum ISMS-Projekte scheitern, bevor sie richtig anfangen

Etwa die Hälfte aller ISMS-Projekte in mittelständischen Unternehmen dauert deutlich länger als geplant. Nicht weil die Normanforderungen so komplex wären, sondern weil das Projekt selbst schlecht geplant ist. Die typischen Symptome: Ein motivierter IT-Leiter bekommt den Auftrag, "mal ein ISMS aufzubauen". Er liest sich ein, erstellt eine Informationssicherheitsleitlinie, beginnt mit der Risikobewertung und stellt nach drei Monaten fest, dass er allein nicht weiterkommt. Die Fachabteilungen haben keine Zeit, die Geschäftsführung fragt nach dem Status, aber nicht nach den Hürden, und der ursprüngliche Enthusiasmus weicht der Ernüchterung.

Das Problem liegt fast nie an mangelndem Fachwissen. Es liegt an mangelnder Projektplanung. Ein ISMS aufzubauen ist kein technisches Vorhaben, das eine Person in der IT-Abteilung nebenbei erledigt. Es ist ein Organisationsprojekt, das Prozesse, Menschen, Technik und Kultur gleichzeitig verändert. Und wie jedes Organisationsprojekt braucht es einen strukturierten Plan, klare Meilensteine und realistisch zugewiesene Ressourcen.

Dieser Artikel gibt dir die Werkzeuge, um dein ISMS-Projekt von Anfang an auf solide Beine zu stellen. Nicht als abstraktes Framework, sondern als konkrete Roadmap, die du an dein Unternehmen anpassen kannst.

Bevor du planst: Die Voraussetzungen klären

Bevor du den ersten Meilenstein setzt, musst du drei Fragen beantworten. Wenn du auf eine dieser Fragen keine klare Antwort hast, ist das dein erster Arbeitspunkt, noch vor der eigentlichen Projektplanung.

Frage 1: Warum machen wir das?

Die Motivation bestimmt den Geltungsbereich, den Zeitdruck und die Bereitschaft der Organisation, Ressourcen freizugeben. Die häufigsten Treiber für ein ISMS-Projekt sind:

• Kundenanforderung: Ein wichtiger Kunde verlangt eine ISO-27001-Zertifizierung oder ein gleichwertiges Sicherheitsniveau. Das gibt dir einen externen Zeitdruck und ein konkretes Ziel.
• Regulatorische Pflicht: NIS2, DORA oder branchenspezifische Vorgaben machen ein ISMS zur Pflicht. Der Zeitdruck kommt vom Gesetzgeber.
• Strategische Entscheidung: Die Geschäftsführung erkennt, dass Informationssicherheit ein Wettbewerbsvorteil ist und proaktiv aufgebaut werden soll. Hier hast du mehr zeitlichen Spielraum, aber oft weniger Dringlichkeit in der Organisation.
• Reaktion auf einen Vorfall: Ein Sicherheitsvorfall hat gezeigt, dass die bestehenden Maßnahmen nicht ausreichen. Die Bereitschaft zum Handeln ist hoch, aber die Emotionalität auch.

Jeder dieser Treiber erfordert eine andere Kommunikationsstrategie und eine andere Priorisierung. Wenn ein Kunde die Zertifizierung bis Ende des Jahres erwartet, planst du anders als wenn du strategisch in drei Jahren ein reifes ISMS haben willst.

Frage 2: Wo stehen wir heute?

Eine ehrliche Bestandsaufnahme spart Monate. Viele Unternehmen haben bereits mehr Sicherheitsmaßnahmen implementiert, als sie glauben, nur eben nicht dokumentiert und nicht systematisch gesteuert. Gleichzeitig überschätzen manche Unternehmen ihre Reife, weil sie technische Maßnahmen (Firewall, Virenschutz) mit einem Managementsystem verwechseln.

Führe eine Gap-Analyse durch, bevor du den Projektplan erstellst. Das muss keine formale Prüfung sein. Geh die Anforderungen der ISO 27001 durch und bewerte für jeden Bereich: Ist etwas vorhanden? Ist es dokumentiert? Wird es gelebt? Gibt es Nachweise?

Die Ergebnisse dieser Analyse bestimmen, wie viel Aufwand in welchen Bereichen anfällt. Ein Unternehmen mit einem bereits gut strukturierten IT-Betrieb, dokumentierten Prozessen und einem etablierten Backup-Konzept hat andere Schwerpunkte als eines, das noch keine einzige Richtlinie verschriftlicht hat.

Frage 3: Wer trägt das Projekt?

Ein ISMS-Projekt braucht einen Projektverantwortlichen mit ausreichend Zeit, Kompetenz und organisatorischer Rückendeckung. Ob das der zukünftige ISB ist, ein interner Projektmanager oder ein externer Berater, hängt von der Unternehmensgröße und den verfügbaren Kompetenzen ab.

Entscheidend ist, dass diese Person nicht nur fachlich kompetent ist, sondern auch die Autorität hat, Termine mit Abteilungsleitern zu vereinbaren, Entscheidungen einzufordern und Eskalationen auszulösen, wenn Meilensteine gefährdet sind. Ohne diese Durchsetzungskraft wird das Projekt zum Bittsteller-Dasein.

Die drei Phasen der ISMS-Roadmap

Eine bewährte Struktur für ISMS-Projekte im Mittelstand gliedert sich in drei Phasen. Die Zeitangaben beziehen sich auf ein Unternehmen mit 100 bis 300 Mitarbeitern, das noch kein formales ISMS hat, aber über grundlegende IT-Sicherheitsmaßnahmen verfügt.

Phase 1: Grundlagen und Quick Wins (Monat 1 bis 3)

In den ersten drei Monaten legst du das Fundament. Diese Phase ist kritisch, weil sie den Ton für das gesamte Projekt setzt. Wenn du hier sichtbare Ergebnisse lieferst und gleichzeitig die organisatorischen Grundlagen schaffst, gewinnst du das Vertrauen der Geschäftsführung und die Akzeptanz der Fachabteilungen.

Meilenstein 1: Management-Commitment und Projektauftrag (Woche 1 bis 2)

Der Projektauftrag ist nicht nur eine Formalität. Er definiert den Scope, das Budget, die Zeitlinie und die Erwartungen der Geschäftsführung. Er gibt dem Projektverantwortlichen die Legitimation, Ressourcen einzufordern und Entscheidungen zu treffen. Ein guter Projektauftrag beantwortet: Was soll erreicht werden? Bis wann? Mit welchen Ressourcen? Wer entscheidet bei Konflikten?

Gleichzeitig verabschiedet die Geschäftsführung die Informationssicherheitsleitlinie. Dieses Dokument ist der formale Startschuss und zeigt der gesamten Organisation, dass Informationssicherheit Chefsache ist.

Meilenstein 2: ISMS-Scope und Kontext (Woche 2 bis 4)

Der Scope definiert, welche Teile des Unternehmens das ISMS abdeckt. Für die meisten mittelständischen Unternehmen empfiehlt sich der gesamte Betrieb als Scope, weil Teilscope-Definitionen zu Abgrenzungsproblemen führen. Gleichzeitig dokumentierst du den Kontext: interne und externe Faktoren, die auf die Informationssicherheit einwirken, sowie die Anforderungen interessierter Parteien (Kunden, Aufsichtsbehörden, Mitarbeiter).

Meilenstein 3: Rollen und Organisation (Woche 3 bis 6)

Benenne den ISB, definiere die Risikoeigner und Asset-Owner, und erstelle eine RACI-Matrix für alle ISMS-Prozesse. Das klingt bürokratisch, ist aber der Schlüssel dafür, dass Verantwortlichkeiten nicht im Nebel verschwinden. Jeder Risikoeigner muss wissen, was von ihm erwartet wird, und zwar bevor die Risikobewertung beginnt.

Meilenstein 4: Quick Wins umsetzen (Woche 4 bis 12)

Parallel zur organisatorischen Grundlagenarbeit setzt du sofort sichtbare Verbesserungen um. Das können technische Maßnahmen sein (MFA für alle Admin-Accounts, Härtung der E-Mail-Security mit SPF/DKIM/DMARC) oder organisatorische (Passwort-Richtlinie veröffentlichen, erste Awareness-Maßnahme durchführen). Quick Wins sind wichtig, weil sie zeigen, dass das Projekt nicht nur Papier produziert, sondern die Sicherheit tatsächlich verbessert.

Phase 2: Kernaufbau (Monat 4 bis 8)

In dieser Phase erledigst du die inhaltliche Schwerarbeit. Risikobewertung, Richtlinien, technische Maßnahmen und Schulungen stehen im Fokus. Das ist der Teil, der die meiste Zeit und die meisten Ressourcen beansprucht.

Meilenstein 5: Risikobewertung abgeschlossen (Monat 4 bis 5)

Die Risikobewertung ist das Herzstück des ISMS. Du identifizierst die Informationswerte (Assets), bewertest die Bedrohungen und Schwachstellen und leitest daraus den Behandlungsbedarf ab. Für ein Unternehmen mit 100 bis 300 Mitarbeitern rechne mit 20 bis 50 relevanten Assets und 40 bis 100 Risikoszenarien. Die Risikobewertung ist keine Einzelübung des ISB, sondern erfordert Workshops mit den Risikoeigentümern aus den Fachabteilungen.

Messbarer Meilenstein: Alle identifizierten Assets mit Schutzbedarf bewertet, Risikoeigner zugewiesen, Risikobehandlungsplan erstellt und von der Geschäftsführung freigegeben.

Meilenstein 6: Statement of Applicability (Monat 5 bis 6)

Die SoA (Erklärung zur Anwendbarkeit) dokumentiert, welche Maßnahmen aus Annex A der ISO 27001 du anwendest und warum, und welche du nicht anwendest und warum nicht. Dieses Dokument ist zentral für die Zertifizierung und zwingt dich, jede Maßnahme bewusst zu bewerten.

Meilenstein 7: Kernrichtlinien verabschiedet (Monat 5 bis 7)

Erstelle und verabschiede die wichtigsten Richtlinien: Zugangs- und Zugriffskontrolle, Mobile Device und Remote Work, Kryptografie, Backup, Incident Response, Lieferantensicherheit, Klassifizierung von Informationen. Jede Richtlinie muss nicht perfekt sein, aber sie muss die tatsächlichen Prozesse widerspiegeln und von den Verantwortlichen verstanden werden.

Meilenstein 8: Technische Maßnahmen implementiert (Monat 5 bis 8)

Parallel zu den Richtlinien setzt du die technischen Maßnahmen um, die aus der Risikobewertung hervorgegangen sind. Das können Netzwerksegmentierung, Schwachstellenscans, verbessertes Logging, Verschlüsselung von Datenträgern oder die Einführung eines Privileged Access Management sein. Priorisiere nach Risiko, nicht nach Komplexität.

Meilenstein 9: Schulungs- und Awareness-Programm läuft (Monat 6 bis 8)

Alle Mitarbeiter müssen grundlegend geschult werden. Das Awareness-Programm sollte keine einmalige Pflichtübung sein, sondern ein fortlaufendes Programm mit verschiedenen Formaten: E-Learning, kurze Präsenzsessions, Phishing-Simulationen, Informationen im Intranet.

Phase 3: Konsolidierung und Audit-Vorbereitung (Monat 9 bis 12)

In der dritten Phase geht es darum, das aufgebaute System zu testen, Nachweise zu sammeln und die Reife für ein Audit zu erreichen.

Meilenstein 10: Business Continuity und Notfallmanagement (Monat 9 bis 10)

Business Continuity ist oft der Bereich, der am längsten dauert, weil er eine Business Impact Analyse erfordert und die Abstimmung mit vielen Stakeholdern notwendig ist. Erstelle Wiederanlaufpläne für die kritischsten Prozesse und teste sie in einer Tabletop-Übung.

Meilenstein 11: Internes Audit durchgeführt (Monat 10 bis 11)

Das interne Audit ist der Lackmustest für dein ISMS. Es zeigt dir, wo Lücken sind, bevor ein externer Auditor sie findet. Plane genug Zeit ein, um die Feststellungen aus dem internen Audit zu bearbeiten, bevor das Zertifizierungsaudit stattfindet.

Meilenstein 12: Management Review durchgeführt (Monat 11 bis 12)

Die Geschäftsführung prüft den Status des ISMS, die Ergebnisse der Risikobewertung, die Audit-Feststellungen und die Wirksamkeit der Maßnahmen. Das Management Review ist eine Pflichtanforderung der ISO 27001 und muss dokumentiert werden.

Meilenstein 13: Audit-Readiness (Monat 12)

Alle Nachweise sind gesammelt, die Dokumentation ist vollständig und aktuell, offene Maßnahmen aus dem internen Audit sind abgearbeitet, und das Unternehmen ist bereit für das externe Zertifizierungsaudit.

Ressourcenplanung: Wer wird wann gebraucht?

Die größte Fehleinschätzung bei ISMS-Projekten betrifft den Ressourcenbedarf. Viele Unternehmen planen nur den ISB ein und unterschätzen, wie viel Zeit andere Rollen investieren müssen.

Der ISB als Projektmotor

Der Informationssicherheitsbeauftragte ist die zentrale Figur. In der Aufbauphase solltest du mit 60 bis 100 Prozent einer Vollzeitstelle rechnen. Der ISB koordiniert alle Aktivitäten, erstellt Richtlinien, moderiert Workshops, bereitet Entscheidungsvorlagen vor und pflegt die Dokumentation.

Wenn du den ISB nur mit 20 Prozent seiner Arbeitszeit einplanst, wird das Projekt mindestens doppelt so lange dauern. Das liegt nicht daran, dass die Arbeit selbst so aufwändig ist, sondern daran, dass ein ISB mit wenig Zeit keine Termine koordinieren, keine Workshops vorbereiten und keine Eskalationen betreiben kann. Das Projekt verliert an Dynamik.

Fachabteilungen und IT

Die Fachabteilungen werden vor allem in zwei Phasen stark eingebunden: bei der Risikobewertung (Phase 2) und bei der Erstellung von Richtlinien (Phase 2). Rechne pro Risikoeigner mit insgesamt 15 bis 25 Stunden über das gesamte Projekt verteilt. Bei fünf bis acht Risikoeigentümern sind das 75 bis 200 Personenstunden aus den Fachabteilungen.

Die IT-Abteilung trägt die Hauptlast bei der Umsetzung technischer Maßnahmen. Der Aufwand variiert stark und hängt davon ab, wie viel bereits vorhanden ist. Plane mindestens 100 bis 300 Stunden IT-Kapazität für die Implementierung technischer Maßnahmen ein.

Geschäftsführung

Die Geschäftsführung wird in drei Momenten direkt eingebunden: beim Projektauftrag und der Informationssicherheitsleitlinie (Phase 1), bei der Freigabe des Risikobehandlungsplans (Phase 2) und beim Management Review (Phase 3). Der direkte Zeitaufwand liegt bei 10 bis 20 Stunden über das gesamte Projekt, aber die indirekte Unterstützung (Ressourcen freigeben, Prioritäten setzen, in der Organisation kommunizieren) ist unbezahlbar.

Externe Unterstützung

Viele mittelständische Unternehmen holen sich externe Berater für bestimmte Phasen. Das ist sinnvoll, wenn intern die Erfahrung fehlt, darf aber nicht dazu führen, dass der Berater das ISMS baut und das Unternehmen es nur abnimmt. Ein ISMS, das ein Externer gebaut hat und das die internen Mitarbeiter nicht verstehen, überlebt das erste Überwachungsaudit nicht.

Sinnvolle Einsatzpunkte für externe Unterstützung sind die Gap-Analyse zu Beginn, die Moderation der Risikobewertung, die Durchführung des internen Audits und die Vorbereitung auf das Zertifizierungsaudit. Der Kostenrahmen für eine begleitende Beratung liegt bei 15.000 bis 40.000 Euro, je nach Intensität und Dauer.

Budgetplanung: Was kostet ein ISMS-Projekt?

Die Kosten für ein ISMS-Projekt setzen sich aus vier Kategorien zusammen. Die Zahlen beziehen sich auf ein Unternehmen mit 100 bis 300 Mitarbeitern.

Personalkosten (intern)

Der größte Kostenblock. Der ISB investiert 800 bis 1.600 Stunden im ersten Jahr. Rechne mit internen Personalkosten von 30.000 bis 80.000 Euro, je nach Gehaltsstruktur und Stellenanteil. Dazu kommen die Kapazitäten aus IT und Fachabteilungen, die sich schwerer beziffern lassen, aber nicht vergessen werden dürfen.

Externe Beratung

Wie oben beschrieben: 15.000 bis 40.000 Euro für eine begleitende Beratung. Wenn du den ISB komplett extern besetzt, steigen die Kosten auf 40.000 bis 80.000 Euro pro Jahr.

Tooling

Ein ISMS braucht ein Tool für die Dokumentation, Risikobewertung und Maßnahmenverfolgung. Die Bandbreite reicht von Excel (kostenlos, aber schmerzhaft) über spezialisierte ISMS-Tools (500 bis 15.000 Euro pro Jahr) bis zu Enterprise-GRC-Plattformen (30.000 Euro aufwärts). ISMS Lite beispielsweise liegt bei ab 500 Euro pro Jahr oder als Einmalkauf für 2.500 Euro und deckt Risikobewertung, Maßnahmentracking und Audit-Dokumentation ab. Für den Mittelstand ist ein spezialisiertes ISMS-Tool der beste Kompromiss aus Funktionalität und Aufwand.

Zertifizierungskosten

Wenn du eine ISO-27001-Zertifizierung anstrebst, kommen die Kosten für den Zertifizierungsauditor hinzu. Für ein Unternehmen mit 100 bis 300 Mitarbeitern rechne mit 8.000 bis 20.000 Euro für das Erst-Zertifizierungsaudit (Stage 1 und Stage 2). Tools wie ISMS Lite helfen dir, den Projektfortschritt über alle Phasen hinweg zu tracken und den Überblick über Meilensteine, Maßnahmen und Verantwortlichkeiten zu behalten.

Gesamtbudget

Insgesamt bewegst du dich im ersten Jahr in einem Rahmen von 40.000 bis 120.000 Euro, wobei die internen Personalkosten den größten Anteil ausmachen. Ab dem zweiten Jahr sinken die Kosten deutlich, weil der Aufbauaufwand wegfällt und nur noch die laufende Pflege, Überwachungsaudits und Weiterentwicklung anfallen.

Typische Planungsfehler und wie du sie vermeidest

Zu viel auf einmal wollen

Der häufigste Fehler: Du versuchst, in Phase 1 bereits alles perfekt zu machen. Die Informationssicherheitsleitlinie wird wochenlang im Kreis geschickt, weil jeder Absatz dreimal überarbeitet wird. Die Risikobewertungsmethodik wird zum akademischen Grundsatzprojekt. Die Richtlinien sollen jeden Sonderfall abdecken.

Die Lösung: Arbeite iterativ. Die erste Version muss nicht perfekt sein, sie muss gut genug sein. Ein ISMS lebt von der kontinuierlichen Verbesserung, und das bedeutet, dass du auch nach der Zertifizierung weiter an der Reife arbeitest. Starte mit dem Wesentlichen und verfeinere später.

Fachabteilungen zu spät einbinden

Wenn du die Risikoeigentümer erst in Monat 5 zum ersten Mal kontaktierst und ihnen sagst, dass sie jetzt bitte ihre Risiken bewerten sollen, erntest du Unverständnis und Widerstand. Binde die Fachabteilungen von Anfang an ein. Informiere sie in Phase 1 über das Projekt, erkläre, was auf sie zukommt, und plane die Workshops frühzeitig in ihre Kalender ein.

Dokumentation als Selbstzweck betreiben

Ein ISMS braucht Dokumentation, aber Dokumentation allein ist kein ISMS. Wenn du 50 Richtlinien produzierst, die niemand liest und die keine Verbindung zur Praxis haben, hast du ein Papiertiger-ISMS, das beim ersten Audit auffliegt. Jedes Dokument muss einen klaren Zweck haben, und die Mitarbeiter, die es betrifft, müssen es kennen und verstehen.

Keine Puffer einplanen

ISMS-Projekte werden immer von unvorhergesehenen Ereignissen unterbrochen. Ein Sicherheitsvorfall, der alle Aufmerksamkeit bindet. Ein wichtiger Stakeholder, der drei Wochen in Urlaub ist. Eine technische Maßnahme, die komplizierter ist als gedacht. Plane in jeder Phase 20 bis 30 Prozent Puffer ein. Wenn du den Puffer nicht brauchst, bist du früher fertig. Wenn du ihn brauchst, bist du trotzdem im Plan.

Den ISB allein lassen

Der ISB kann das Projekt nicht allein stemmen, egal wie kompetent er ist. Er braucht regelmäßigen Zugang zur Geschäftsführung, die Unterstützung der IT-Abteilung und die Kooperation der Fachabteilungen. Wenn er das Gefühl hat, gegen Windmühlen zu kämpfen, wird er entweder ausbrennen oder das Projekt wird einschlafen. Stelle sicher, dass der ISB einen regelmäßigen Reporting-Kanal zur Geschäftsführung hat und dass es einen Eskalationspfad gibt, wenn Stakeholder nicht kooperieren.

Projektsteuerung: Status sichtbar machen

Ein ISMS-Projekt, dessen Status niemand kennt, ist ein Projekt, das niemanden interessiert. Mach den Fortschritt sichtbar, und zwar nicht nur für die Geschäftsführung, sondern für alle Beteiligten.

Monatliches Status-Reporting

Erstelle monatlich einen kurzen Statusbericht (maximal eine Seite), der folgende Punkte abdeckt: Welche Meilensteine wurden erreicht? Welche stehen an? Wo gibt es Verzögerungen und warum? Welche Entscheidungen stehen an? Der Bericht geht an die Geschäftsführung und die Risikoeigentümer.

Meilenstein-Reviews

Nach jeder Phase führst du ein Meilenstein-Review durch. Das ist ein kurzes Meeting (60 bis 90 Minuten), in dem du die Ergebnisse der Phase vorstellst, offene Punkte besprichst und die nächste Phase freigeben lässt. Meilenstein-Reviews geben dem Projekt Struktur und verhindern, dass sich Probleme über Monate aufstauen.

Ampelsystem für Maßnahmen

Jede geplante Maßnahme bekommt einen Status: Grün (im Plan), Gelb (gefährdet), Rot (verzögert). Diese Übersicht ermöglicht es der Geschäftsführung, auf einen Blick zu erkennen, wo das Projekt steht, und gezielt nachzufragen, wo es hakt.

Die Roadmap als lebendes Dokument

Eine Roadmap, die du in Monat 1 erstellst und dann nie wieder anfasst, ist wertlos. Die Realität wird von deinem Plan abweichen, und das ist normal. Was zählt, ist, dass du die Abweichungen erkennst, die Roadmap anpasst und die Beteiligten informierst.

Aktualisiere die Roadmap mindestens monatlich. Wenn sich der Scope ändert (weil etwa ein neuer Standort dazukommt oder ein Geschäftsbereich herausfällt), passe den Projektplan entsprechend an. Wenn eine Phase länger dauert als geplant, verschiebe die nachfolgenden Meilensteine und kommuniziere das offen.

Die beste Roadmap ist die, die das Team als Orientierung nutzt und die gleichzeitig flexibel genug ist, um auf Veränderungen zu reagieren. Sie ist kein starres Korsett, sondern ein Kompass, der die Richtung vorgibt.

Spezialfall: ISMS-Projekt mit Zertifizierungsziel

Wenn du eine ISO-27001-Zertifizierung anstrebst, kommen zusätzliche Anforderungen hinzu, die du in der Planung berücksichtigen musst.

Das Zertifizierungsaudit besteht aus zwei Stufen. Im Stage-1-Audit prüft der Auditor deine Dokumentation: Ist die Informationssicherheitsleitlinie vorhanden? Ist der Scope definiert? Gibt es eine Risikobewertung und ein Statement of Applicability? Das Stage-1-Audit findet typischerweise zwei bis drei Monate vor dem Stage-2-Audit statt und identifiziert Lücken, die du noch schließen kannst.

Im Stage-2-Audit prüft der Auditor vor Ort, ob das dokumentierte ISMS auch gelebt wird. Er spricht mit Mitarbeitern, prüft Nachweise und bewertet die Wirksamkeit der Maßnahmen. Dafür braucht er Nachweise, die zeigen, dass das ISMS über einen ausreichenden Zeitraum (typischerweise drei bis sechs Monate) aktiv betrieben wurde.

Das bedeutet für deine Planung: Zwischen dem Zeitpunkt, an dem das ISMS operativ läuft, und dem Stage-2-Audit müssen mindestens drei Monate liegen, in denen du Nachweise sammelst. Wenn du die Zertifizierung in zwölf Monaten erreichen willst, muss das ISMS spätestens in Monat 9 operativ sein.

Plane den Zertifizierungsauditor frühzeitig ein. Gute Auditoren sind gefragt und haben Vorlaufzeiten von zwei bis vier Monaten. Kläre die Terminierung des Audits spätestens in Phase 2.

Vom Projekt zum Betrieb: Der Übergang

Das ISMS-Projekt endet nicht mit der Zertifizierung oder dem Abschluss der Roadmap. Es geht in den regulären Betrieb über. Dieser Übergang muss geplant werden, sonst fällt das ISMS nach dem Projekt in ein Loch.

Definiere vor dem Ende des Projekts, wie der laufende Betrieb aussieht: Wer pflegt die Dokumentation? Wer führt die jährliche Risikobewertung durch? Wer organisiert die internen Audits? Wie werden neue Mitarbeiter geschult? Wie werden Änderungen im Unternehmen (neue Systeme, neue Standorte, Reorganisationen) im ISMS abgebildet?

Der ISB bleibt die zentrale Figur, aber sein Aufwand reduziert sich von 60 bis 100 Prozent auf 20 bis 40 Prozent einer Vollzeitstelle. Die Fachabteilungen tragen mehr Eigenverantwortung, weil die Prozesse etabliert sind und die Rollen klar definiert wurden.

Der wichtigste Erfolgsfaktor für den Übergang: Das ISMS darf nicht als "Projekt, das jetzt vorbei ist" wahrgenommen werden. Es muss als dauerhafter Bestandteil der Unternehmensführung verstanden werden, vergleichbar mit dem Qualitätsmanagement oder dem Datenschutz.

Weiterführende Artikel

• ISMS aufbauen: Der komplette Leitfaden für Unternehmen mit 50 bis 500 Mitarbeitern
• Security Roadmap für 3 Jahre: Strategisch statt reaktiv
• Was kostet ein ISMS? Budgetplanung und ROI-Betrachtung
• ISMS nach der Zertifizierung: Wie du den Betrieb am Laufen hältst
• ISMS-Rollen und Verantwortlichkeiten: Wer macht was?