Security Roadmap für 3 Jahre: Strategisch statt reaktiv

Warum ein Jahresplan nicht reicht

Informationssicherheit im Mittelstand folgt einem bekannten Muster: Im Januar wird ein Budget verabschiedet, meist nach zähen Diskussionen. Im Laufe des Jahres werden die geplanten Maßnahmen umgesetzt, einige davon, denn zwischendurch passieren ungeplante Dinge. Ein Sicherheitsvorfall hier, ein dringender Audit-Befund dort, ein neuer Kunde, der plötzlich einen Penetrationstest verlangt. Am Jahresende stellt man fest, dass die Hälfte der geplanten Maßnahmen verschoben wurde und das Budget trotzdem aufgebraucht ist. Und dann beginnt das Spiel von vorn.

Dieses Muster hat einen strukturellen Fehler: Es gibt keine Perspektive über das laufende Jahr hinaus. Maßnahmen werden nicht danach priorisiert, wo sie in einer Gesamtstrategie stehen, sondern danach, was gerade am lautesten brennt. Investitionen, die sich erst über zwei bis drei Jahre amortisieren, fallen durch das Raster, weil sie im aktuellen Jahresbudget keinen sichtbaren Nutzen bringen.

Eine Security Roadmap über drei Jahre löst dieses Problem. Sie gibt dir eine strategische Klammer, in der die jährlichen Maßnahmen eingebettet sind. Sie macht der Geschäftsführung transparent, wohin die Reise geht und warum bestimmte Investitionen jetzt getätigt werden müssen, obwohl der Nutzen erst in zwei Jahren sichtbar wird. Und sie hilft dir, den Fokus zu halten, wenn das Tagesgeschäft dich in eine andere Richtung zieht.

Die vier Dimensionen einer Security Roadmap

Eine Security Roadmap, die nur aus einer Liste technischer Maßnahmen besteht, greift zu kurz. Informationssicherheit hat vier Dimensionen, und die Roadmap muss alle vier abdecken.

Organisation und Governance

Diese Dimension umfasst die Struktur, in der Informationssicherheit gesteuert wird: Rollen und Verantwortlichkeiten, Berichtslinien, Entscheidungsprozesse, Richtlinien und deren Lifecycle, Management Reviews und die Integration von Sicherheit in Unternehmensprozesse.

Im ersten Jahr baust du die Grundstruktur auf. Im zweiten Jahr verfeinerst du die Governance und stellst sicher, dass die Prozesse nicht nur existieren, sondern funktionieren. Im dritten Jahr integrierst du Informationssicherheit so tief in die Unternehmenssteuerung, dass sie kein separates Thema mehr ist, sondern Teil jeder Geschäftsentscheidung.

Technik und Infrastruktur

Die technische Dimension umfasst alle Sicherheitsmaßnahmen auf System-, Netzwerk- und Anwendungsebene: Zugangskontrolle, Netzwerksegmentierung, Verschlüsselung, Monitoring, Schwachstellenmanagement, Endpoint-Schutz, Backup und Disaster Recovery.

Technische Maßnahmen sind oft die teuersten und zeitaufwändigsten. Deshalb ist eine strategische Priorisierung besonders wichtig. Nicht alles muss im ersten Jahr passieren. Die Reihenfolge ergibt sich aus der Risikobewertung und der Frage, welche Maßnahmen den größten Effekt auf die Reduzierung der wichtigsten Risiken haben.

Menschen und Kultur

Technik und Prozesse nutzen nichts, wenn die Menschen sie nicht verstehen und nicht mittragen. Die menschliche Dimension umfasst Awareness-Programme, Schulungen, Phishing-Simulationen, Onboarding-Prozesse und die allgemeine Sicherheitskultur im Unternehmen.

Kulturveränderung braucht Zeit. Im ersten Jahr säst du. Im zweiten Jahr erntest du die ersten Früchte. Im dritten Jahr ist Sicherheitsbewusstsein kein Thema mehr, über das du reden musst, weil es Teil des Arbeitsalltags geworden ist. Das ist das Idealziel, und es braucht drei Jahre konsequente Arbeit, um dort hinzukommen.

Compliance und Regulierung

Die regulatorische Dimension umfasst die Erfüllung gesetzlicher und vertraglicher Anforderungen: NIS2, DSGVO, branchenspezifische Vorgaben (TISAX, KRITIS, DORA), Kundenanforderungen und Zertifizierungen.

Regulatorische Anforderungen ändern sich. Was heute ausreicht, kann morgen nicht mehr genügen. Die Roadmap muss regulatorische Entwicklungen antizipieren und Puffer für neue Anforderungen einplanen. Wenn du weißt, dass der Cyber Resilience Act 2027 für dein Unternehmen relevant wird, gehört die Vorbereitung darauf in die Roadmap für Jahr 3.

Das Drei-Jahres-Modell im Detail

Jahr 1: Das Fundament legen

Das erste Jahr steht unter dem Motto: Verstehen, schützen, dokumentieren. Du baust die Grundstruktur des ISMS auf, identifizierst und behandelst die größten Risiken und schaffst die organisatorischen Voraussetzungen für die nachfolgenden Jahre.

Quartal 1: Grundlagen und Governance

• Management-Commitment einholen und Informationssicherheitsleitlinie verabschieden
• ISB benennen und ISMS-Scope definieren
• Rollen und Verantwortlichkeiten festlegen (Risikoeigner, Asset-Owner)
• Gap-Analyse gegen ISO 27001 oder NIS2-Anforderungen durchführen
• ISMS-Tool einführen und Dokumentationsstruktur aufsetzen

Quartal 2: Risiken und Kernmaßnahmen

• Asset-Inventar erstellen und Schutzbedarf feststellen
• Risikobewertung durchführen und Risikobehandlungsplan verabschieden
• Statement of Applicability erstellen
• Quick Wins umsetzen: MFA, E-Mail-Security, Passwort-Richtlinie
• Incident-Response-Prozess definieren und Meldewege einrichten

Quartal 3: Richtlinien und Awareness

• Kernrichtlinien erstellen und verabschieden (Zugang, Kryptografie, Mobile Device, Backup)
• Awareness-Programm starten: erste Schulung für alle Mitarbeiter
• Erste Phishing-Simulation durchführen
• Lieferantenbewertung für kritische Dienstleister starten
• Schwachstellenscans einführen (monatlich für externe Angriffsfläche)

Quartal 4: Audit und Konsolidierung

• Business Continuity: BIA durchführen und Wiederanlaufpläne für Top-5-Prozesse erstellen
• Internes Audit durchführen und Feststellungen bearbeiten
• Erstes Management Review durchführen
• Optional: Zertifizierungsaudit Stage 1 und Stage 2
• Lessons Learned aus dem ersten Jahr dokumentieren und Roadmap für Jahr 2 finalisieren

Zielreifegrad Ende Jahr 1: Definiert und dokumentiert. Die Prozesse existieren, sind dokumentiert und werden grundsätzlich gelebt. Nachweise werden gesammelt, aber die Konsistenz ist noch nicht überall gegeben.

Jahr 2: Operative Exzellenz

Im zweiten Jahr geht es nicht mehr darum, Prozesse aufzubauen, sondern sie zum Laufen zu bringen und ihre Wirksamkeit zu verbessern. Der Fokus verschiebt sich von "Haben wir das?" zu "Funktioniert das?".

Quartal 1: Vertiefung der Risikobewertung

• Risikobewertung aktualisieren und um neue Bedrohungsszenarien erweitern
• Risikoindikatoren (KRIs) definieren und Monitoring einrichten
• Lieferanten-Risikobewertung auf alle relevanten Dienstleister ausweiten
• Ergebnisse des ersten Überwachungsaudits einarbeiten (falls zertifiziert)

Quartal 2: Technische Vertiefung

• Netzwerksegmentierung implementieren oder verfeinern
• Logging und Monitoring ausbauen (zentrale Log-Aggregation, Alarmierung)
• Schwachstellenmanagement von externer auf interne Angriffsfläche ausweiten
• Verschlüsselung: Data at Rest für sensible Datenspeicher implementieren
• Privileged Access Management einführen

Quartal 3: Prozessoptimierung

• Incident-Response-Prozess testen (Tabletop-Übung, ggf. technische Simulation)
• Change-Management-Prozess für IT-Änderungen etablieren
• Berechtigungskonzept überarbeiten und Rezertifizierung der Zugriffsrechte einführen
• Awareness-Programm weiterentwickeln: fortgeschrittene Schulungen, rollenspezifische Inhalte
• Richtlinien-Review: alle Dokumente auf Aktualität prüfen und bei Bedarf aktualisieren

Quartal 4: Messung und Verbesserung

• ISMS-Kennzahlen definieren und erstmals messen
• Zweites internes Audit durchführen (mit Fokus auf Wirksamkeit, nicht nur Existenz)
• Management Review mit KPI-basiertem Reporting
• Roadmap für Jahr 3 auf Basis der Erkenntnisse anpassen
• Business Continuity: Wiederanlaufpläne testen und Ergebnisse dokumentieren

Zielreifegrad Ende Jahr 2: Gemanagt und nachvollziehbar. Die Prozesse funktionieren konsistent, werden gemessen und bei Abweichungen korrigiert. Nachweise sind systematisch und vollständig.

Jahr 3: Optimierung und Kulturverankerung

Im dritten Jahr hebst du die Informationssicherheit auf ein Niveau, auf dem sie kein separates Programm mehr ist, sondern integraler Bestandteil der Unternehmensführung. Gleichzeitig optimierst du Prozesse auf Basis der gesammelten Daten und Erfahrungen.

Quartal 1: Strategische Integration

• Informationssicherheit in den Strategieprozess des Unternehmens integrieren
• Security-by-Design in Entwicklungsprozesse und Beschaffung einbetten
• Automatisierung von Routineprüfungen (Compliance-Checks, Konfigurationsprüfungen)
• Threat Intelligence: Branchenspezifische Bedrohungsinformationen systematisch auswerten

Quartal 2: Advanced Security

• Penetrationstest durch externen Dienstleister durchführen
• Red-Team-Übung oder erweiterte Tabletop-Simulation
• Zero-Trust-Elemente evaluieren und priorisieren
• Datenverlustprävention (DLP) für die kritischsten Datenflüsse einführen
• Cloud-Security-Posture prüfen und optimieren

Quartal 3: Reife und Kultur

• Awareness-Programm: Sicherheitskultur messen (Umfrage, Verhaltensbeobachtung)
• Champions-Programm: Sicherheitsbotschafter in jeder Abteilung etablieren
• Richtlinien konsolidieren: redundante oder überholte Dokumente entfernen
• Dritter Awareness-Durchlauf mit fortgeschrittenen Inhalten und Gamification-Elementen

Quartal 4: Rückblick und neue Roadmap

• Dreijahres-Review: Wo standen wir, wo stehen wir, was hat funktioniert, was nicht?
• Benchmark gegen Branchenstandards oder Peer-Unternehmen
• Rezertifizierungsaudit (falls ISO 27001 zertifiziert)
• Neue Dreijahres-Roadmap erstellen: Die Sicherheitslandschaft von 2029 bis 2031 antizipieren

Zielreifegrad Ende Jahr 3: Optimiert und proaktiv. Sicherheit ist in der Unternehmenskultur verankert, Prozesse werden kontinuierlich optimiert, und das Unternehmen reagiert nicht mehr auf Bedrohungen, sondern antizipiert sie.

Priorisierung: Die Roadmap mit Substanz füllen

Die größte Herausforderung bei einer Dreijahres-Roadmap ist die Priorisierung. Du kannst nicht alles gleichzeitig machen, und du sollst es auch nicht. Die Frage ist: Was kommt zuerst?

Risiko als Kompass

Die Risikobewertung ist dein wichtigstes Priorisierungsinstrument. Maßnahmen, die die größten identifizierten Risiken adressieren, kommen zuerst. Das klingt offensichtlich, wird aber in der Praxis oft von anderen Faktoren überlagert: Was der Auditor bemängelt hat, was der neue Kunde fordert, was gerade in der Presse steht.

Bleib bei der risikobasierten Priorisierung. Wenn ein Risiko hoch bewertet ist, muss die Maßnahme in die Roadmap, auch wenn sie unbequem ist. Wenn ein Risiko niedrig bewertet ist, kann die Maßnahme warten, auch wenn sie technisch elegant wäre.

Kosten-Nutzen-Relation berücksichtigen

Bei gleichem Risikoeffekt solltest du Maßnahmen bevorzugen, die günstiger und schneller umzusetzen sind. MFA für alle Benutzer einführen kostet wenig und schließt eines der größten Risiken. Ein vollständiges SIEM mit 24/7-Monitoring kostet viel und adressiert ein anderes Risikoprofil. Beides kann sinnvoll sein, aber die Reihenfolge ergibt sich aus der Relation.

Abhängigkeiten beachten

Manche Maßnahmen setzen andere voraus. Du kannst kein Schwachstellenmanagement aufbauen, wenn du kein Asset-Inventar hast. Du kannst keine Zugriffsrezertifizierung durchführen, wenn du kein Berechtigungskonzept hast. Zeichne die Abhängigkeiten auf und stelle sicher, dass die Reihenfolge in der Roadmap logisch ist.

KPIs: Fortschritt messbar machen

Eine Roadmap ohne Kennzahlen ist ein Wunschzettel. Du brauchst Indikatoren, die zeigen, ob du auf dem richtigen Weg bist, und die der Geschäftsführung Entscheidungsgrundlagen liefern.

Reifegradmessung

Miss den Reifegrad deines ISMS jährlich anhand eines definierten Modells. Das kann das CMMI-Reifegradmodell sein, das Modell aus dem VDA ISA oder ein eigenes Modell mit fünf Stufen. Wichtig ist, dass du denselben Maßstab über die drei Jahre hinweg verwendest, damit der Fortschritt sichtbar wird.

Operative Kennzahlen

Definiere operative KPIs, die du quartalsweise erhebst. In ISMS Lite (ab 500 Euro pro Jahr oder als Einmalkauf für 2.500 Euro) lassen sich diese Kennzahlen zentral erfassen und in automatisierten Management-Reports zusammenstellen, was die laufenden Tool-Kosten über den gesamten Drei-Jahres-Zeitraum planbar und niedrig hält. Beispiele:

• Anzahl offener Risiken nach Risikoklasse
• Durchschnittliche Zeit bis zum Patchen kritischer Schwachstellen
• Prozentsatz der Mitarbeiter mit abgeschlossener Awareness-Schulung
• Anzahl der Sicherheitsvorfälle und deren durchschnittliche Bearbeitungszeit
• Prozentsatz der Assets mit aktuellem Schutzbedarf
• Ergebnisse der Phishing-Simulationen (Klickrate, Melderate)

Management-Reporting

Erstelle quartalsweise einen Management-Report, der den Roadmap-Fortschritt zusammenfasst. Nutze ein Ampelsystem für die einzelnen Arbeitspakete und zeige den Reifegradfortschritt über die Zeit. Die Geschäftsführung muss auf einen Blick erkennen können, ob das Programm im Plan ist und wo Handlungsbedarf besteht.

Die Roadmap an die Unternehmensstrategie koppeln

Eine Security Roadmap existiert nicht im luftleeren Raum. Sie muss an die Unternehmensstrategie gekoppelt sein, sonst wird sie bei der nächsten strategischen Prioritätsverschiebung über Bord geworfen.

Wenn das Unternehmen in den nächsten drei Jahren eine Cloud-Migration plant, muss die Security Roadmap Cloud-Sicherheitsmaßnahmen enthalten, und zwar zeitlich so getaktet, dass die Sicherheitsarchitektur vor der Migration steht. Wenn das Unternehmen international expandiert, müssen regulatorische Anforderungen der Zielländer berücksichtigt werden. Wenn eine Übernahme geplant ist, muss die Due-Diligence-Fähigkeit des ISMS Teil der Roadmap sein.

Sprich mit der Geschäftsführung über die Unternehmensstrategie und leite daraus ab, welche Sicherheitsanforderungen sich ergeben. Das macht die Security Roadmap relevant für das Business und nicht nur für die IT-Abteilung. Und es gibt dir bessere Argumente für Budgetgespräche, weil du zeigen kannst, wie Sicherheitsinvestitionen die Geschäftsziele unterstützen.

Typische Fehler bei der Dreijahres-Planung

Die Roadmap im Schrank vergessen

Die beste Roadmap nützt nichts, wenn sie nach der Erstellung in einer Schublade verschwindet. Halte sie lebendig, indem du sie in die regelmäßigen Management Reviews einbaust, quartalsweise den Fortschritt reportest und sie mindestens jährlich umfassend aktualisierst.

Zu detailliert planen

Jahr 1 kannst du detailliert planen, auf Quartalsebene mit konkreten Maßnahmen und Verantwortlichen. Jahr 2 planst du auf Halbjahresebene mit Themenschwerpunkten und groben Meilensteinen. Jahr 3 planst du auf Jahresebene mit strategischen Zielen. Alles andere ist Scheingenauigkeit, weil sich in drei Jahren zu viel ändert.

Nur Technik planen

Eine Roadmap, die nur aus technischen Maßnahmen besteht, vergisst die halbe Arbeit. Organisation, Menschen und Compliance brauchen genauso viel Aufmerksamkeit. Im Zweifel ist eine gut geschulte Belegschaft mehr wert als die neueste Security-Appliance.

Keine Flexibilität einplanen

Halte in jedem Jahr 15 bis 20 Prozent des Budgets und der Kapazität als Reserve für Unvorhergesehenes frei. Neue Bedrohungen, regulatorische Änderungen oder Sicherheitsvorfälle werden passieren, und du brauchst die Flexibilität, darauf zu reagieren, ohne die gesamte Roadmap über den Haufen zu werfen.

Von der Roadmap zum gelebten Programm

Eine Security Roadmap ist kein Projekt, das irgendwann endet. Sie ist der Ausdruck einer kontinuierlichen Verpflichtung zur Verbesserung der Informationssicherheit. Wenn die ersten drei Jahre abgeschlossen sind, erstellst du die nächste Roadmap, aufbauend auf dem Erreichten und ausgerichtet an den neuen Herausforderungen.

Das Ziel ist, dass Informationssicherheit irgendwann kein Sonderthema mehr ist, das der ISB gegen die Organisation durchsetzen muss, sondern ein selbstverständlicher Bestandteil der Unternehmensführung, vergleichbar mit Qualitätsmanagement oder Arbeitssicherheit. Die Dreijahres-Roadmap ist der Weg dorthin: Sie zeigt die Richtung, gibt den Takt vor und macht den Fortschritt sichtbar.

Weiterführende Artikel

• ISMS-Projekt planen: Roadmap, Meilensteine und Ressourcen
• ISMS nach der Zertifizierung: Wie du den Betrieb am Laufen hältst
• Risikobewertung im ISMS: Methodik, Vorgehensweise und Praxistipps
• Internes ISMS-Audit: So prüfst du dein eigenes Managementsystem
• PDCA-Zyklus im ISMS: Kontinuierliche Verbesserung verstehen und umsetzen