Ein ISMS nach ISO 27001, das im Alltag funktioniert
Sie möchten Informationssicherheit systematisch steuern oder Ihr bestehendes ISMS weiterentwickeln? Ich unterstütze Sie dabei, aus Normanforderungen klare Zuständigkeiten, nachvollziehbare Risikobewertungen und praktikable Prozesse zu machen. Ziel ist ein Managementsystem, das Entscheidungen unterstützt – nicht nur Dokumente produziert.
Typische Ausgangslagen
- Sie starten mit dem Aufbau eines ISMS und brauchen eine sinnvolle Reihenfolge der Schritte.
- Einzelne Sicherheitsrichtlinien existieren, aber Rollen, Risikoentscheidungen und Nachweise sind noch nicht verbunden.
- Sie bereiten sich auf eine ISO-27001-Zertifizierung vor und möchten Aufgaben sowie Verantwortlichkeiten nachvollziehbar strukturieren.
- Ihr ISMS besteht bereits, ist im Tagesgeschäft jedoch schwer zu betreiben oder weiterzuentwickeln.
Wobei ich unterstütze
Geltungsbereich und Kontext klären
Was gehört zum ISMS, welche Prozesse und Informationen sind relevant, welche internen und externen Anforderungen müssen berücksichtigt werden? Ein klarer Scope verhindert spätere Unschärfen.
Verantwortlichkeiten und Steuerung festlegen
Wir ordnen Rollen, Entscheidungen und wiederkehrende Abläufe so zu, dass Informationssicherheit nicht zwischen Organisationseinheiten liegen bleibt.
Risiken bewerten und behandeln
Wir definieren eine geeignete Risikomethodik, analysieren relevante Risiken und dokumentieren, welche Behandlung sinnvoll ist. Die Auswahl und Begründung von Maßnahmen stehen im Mittelpunkt; die erforderlichen Nachweise werden passend dazu entwickelt.
Maßnahmen und Prozesse in den Betrieb bringen
Von der Dokumentenlenkung bis zur Wirksamkeitsprüfung: Prozesse sollten in vorhandene Abläufe integriert werden. Wo technische Maßnahmen berührt werden, berücksichtige ich die konkrete Umsetzbarkeit und die Schnittstelle zur IT.
Überprüfung und Verbesserung vorbereiten
Interne Audits, Managementbewertung, Abweichungsbehandlung und kontinuierliche Verbesserung gehören zu einem funktionierenden ISMS. Welche Unterstützung erforderlich ist, richtet sich nach dem vorhandenen Reifegrad und dem vereinbarten Mandat.
Was am Ende vorliegen kann
Die konkreten Ergebnisse werden gemeinsam vereinbart. Typische Arbeitsergebnisse sind:
- ein abgestimmter ISMS-Geltungsbereich mit relevanten Schnittstellen;
- dokumentierte Rollen, Zuständigkeiten und Steuerungsprozesse;
- eine geeignete Risikobewertung und Risikobehandlungsplanung;
- eine nachvollziehbar begründete Auswahl erforderlicher Maßnahmen und entsprechende Nachweise;
- ein Arbeitsplan für Betrieb, Prüfung und kontinuierliche Verbesserung.
Eine Zertifizierung wird nicht garantiert. Sie wird durch eine unabhängige Zertifizierungsstelle vorgenommen; deren Entscheidungen liegen außerhalb meiner Beratung.
Unser Vorgehen
01 – Ausgangslage bewerten. Bestehende Prozesse, Anforderungen und Ressourcen einordnen.
02 – ISMS strukturieren. Scope, Rollen, Risiken und Prioritäten definieren.
03 – In die Praxis überführen. Vereinbarte Prozesse, Kontrollen und Nachweise entwickeln und Verantwortliche begleiten.
04 – Wirksamkeit überprüfen. Offene Punkte, interne Prüfungen und Verbesserungen vorbereiten.
Häufige Fragen
Muss alles neu aufgebaut werden?
Nein. Bereits vorhandene Regelungen und gelebte Prozesse sind Ausgangspunkt der Bestandsaufnahme. Entscheidend ist, ob sie für den vereinbarten ISMS-Geltungsbereich geeignet und nachweisbar sind.
Wie viel Dokumentation ist erforderlich?
So viel wie für Steuerung, Nachvollziehbarkeit und die einschlägigen Normanforderungen nötig. Die Menge allein ist kein Qualitätsmerkmal.
Kann ich Beratung und internes Audit aus einer Hand erhalten?
Bei internen Audits muss die erforderliche Objektivität und Unparteilichkeit sichergestellt werden. Je nach eigenem Beratungsbeitrag kann eine andere prüfende Person erforderlich sein.
Wie lange dauert die Einführung?
Das hängt von Umfang, Reifegrad, verfügbaren Ressourcen und den gewünschten Zielen ab. Einen realistischen Rahmen besprechen wir nach einer ersten Einordnung.
Lassen Sie uns Ihr ISMS sinnvoll aufsetzen
Im kostenlosen, unverbindlichen Erstgespräch klären wir den Stand Ihres ISMS, Ihre Ziele und mögliche erste Arbeitsschritte.