In kleinen Betrieben lässt sich der Zustand eines Informationssicherheits-Managementsystems meist am Änderungsdatum der Dateien ablesen. Die ersten neun Monate sind dicht dokumentiert: Leitlinie, Strukturanalyse, Schutzbedarfsfeststellung, Maßnahmenplan, alles frisch angelegt und von der Geschäftsführung freigegeben. Danach klafft eine Lücke. Der nächste Eintrag stammt oft aus der Woche vor dem ersten externen Termin.

Das ist kein Motivationsproblem, sondern ein Konstruktionsfehler. Der Aufbau eines ISMS ist ein Projekt mit Anfang, Ende und sichtbarem Ergebnis. Der Betrieb danach ist eine Menge kleiner, terminierter Pflichten ohne Applaus — und genau die entscheiden darüber, ob nach 24 Monaten ein Managementsystem existiert oder ein Ordner mit gut gemeinten Absichten.

Warum das erste Jahr die falsche Messgröße ist

Der Aufwand für die Einführung ist der Teil, den Angebote beziffern und Projektpläne abbilden. Er fällt einmal an, ist gut abgrenzbar und lässt sich durch externe Unterstützung deutlich verkürzen. Was danach kommt, taucht in derselben Kalkulation selten auf, weil es sich nicht als Projekt darstellen lässt: eine Managementbewertung pro Jahr, ein internes Auditprogramm über den vollen Geltungsbereich, eine Wiederholung der Risikobeurteilung, laufende Nachweise über Schulung und Sensibilisierung.

Die Größenordnung dieses laufenden Anteils wird regelmäßig unterschätzt, weil er verteilt anfällt. Zehn bis fünfzehn Vorgänge im Jahr, jeder für sich überschaubar, ergeben in Summe eine Aufgabe, die niemand nebenbei erledigt, wenn sie nicht terminiert und zugewiesen ist. Der BSI-Standard 200-2 formuliert das als eigene Prozessphase und nicht als Anhang: Aufrechterhaltung und kontinuierliche Verbesserung stehen dort als Kapitel 10 gleichrangig neben Konzeption und Umsetzung.

Die drei Vorgehensweisen des BSI-Standards 200-2

Die erste Weichenstellung im Aufbau ist die Wahl der Vorgehensweise. Sie bestimmt, wie breit der Geltungsbereich wird, welches Sicherheitsniveau erreichbar ist und ob am Ende überhaupt zertifiziert werden kann. Das BSI beschreibt die Entscheidung in Kapitel 3.3 des Standards und stellt die Alternativen mit ihren Vor- und Nachteilen einander gegenüber.

Die Basis-Absicherung zielt auf eine breite Erst-Absicherung aller relevanten Geschäftsprozesse und ist für Institutionen gedacht, deren angestrebtes Sicherheitsniveau normal ist und die kleinere Sicherheitsvorfälle tolerieren können. Die Kern-Absicherung konzentriert sich auf die „Kronjuwelen“ — wenige, klar abgrenzbare Prozesse und Assets, deren Verlust existenzbedrohend wäre. Die Standard-Absicherung entspricht der klassischen IT-Grundschutz-Vorgehensweise und ist die Variante, die das BSI langfristig für alle Bereiche als Ziel setzt.

Warum die Basis-Absicherung nicht zertifizierbar ist

Die Einschränkung ist im Standard unmissverständlich formuliert: Bei einer reinen Basis-Absicherung reichen die umgesetzten Sicherheitsmaßnahmen für eine Zertifizierung nicht aus, sie können aber als Einstieg für eine der beiden anderen Vorgehensweisen dienen. Der Grund liegt in der Methodik. Die Basis-Absicherung verzichtet auf die differenzierte Schutzbedarfsfeststellung und setzt Erstanforderungen pauschal um — sie kauft Geschwindigkeit mit Verzicht auf Angemessenheitsnachweis.

Für einen Betrieb ohne Kundenanforderung an ein Zertifikat ist das ein sinnvoller Einstieg. Problematisch wird es, wenn die Basis-Absicherung als Endzustand geplant und erst zwei Jahre später erkannt wird, dass ein Ausschreibungskriterium ein Zertifikat verlangt. Das BSI setzt deshalb als Ziel, mittelfristig ein vollständiges Sicherheitskonzept gemäß Standard-Absicherung zu erstellen, auch wenn zunächst anders eingestiegen wurde.

ISO/IEC 27001:2022 und die 93 Controls

Wer zertifizierungsfähig aufbauen will, arbeitet parallel gegen die ISO/IEC 27001 in der Fassung von 2022. Deren Anhang A wurde mit dieser Ausgabe von 114 auf 93 Maßnahmen gestrafft und neu geordnet: statt vierzehn Abschnitten nun vier Themenbereiche mit 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen Controls. Die deutsche Fassung liegt seit Januar 2024 als DIN EN ISO/IEC 27001 vor.

Eine inhaltliche Änderung gab es seither: Das Amendment ISO/IEC 27001:2022/Amd 1:2024 ergänzt die Berücksichtigung des Klimawandels im Kontext der Organisation. Die Änderung betrifft die Abschnitte 4.1 und 4.2, nicht den Anhang A — die Zahl der Controls bleibt bei 93. Für den Anhang A selbst ist damit seit 2022 kein neuer Stand erschienen; wer eine Quelle liest, die von 114 Controls spricht, liest eine veraltete Quelle.

Die wiederkehrenden Pflichten und ihr Turnus

Der eigentliche Prüfstein des zweiten Jahres lässt sich als Liste schreiben. Die Norm nennt für die meisten dieser Pflichten keinen Kalendertag, sondern „geplante Abstände“ — die Festlegung dieser Abstände ist selbst eine dokumentierte Entscheidung. In der Zertifizierungspraxis hat sich daraus ein Jahresrhythmus verfestigt, weil der Auditzyklus ihn erzwingt.

Zertifizierung oder Konformität

Ein ISMS zu betreiben und es zertifizieren zu lassen sind zwei getrennte Entscheidungen mit sehr unterschiedlichen Kostenprofilen. Der Betrieb ist die Pflicht, das Zertifikat ein Nachweisinstrument für Dritte. Es lohnt sich, wo es abgefragt wird: in Ausschreibungen, in Lieferantenbewertungen großer Auftraggeber, in Branchen mit Aufsicht. Wo es niemand verlangt, erzeugt es Aufwand ohne Adressaten.

Belastbare Preisangaben Dritter für eine Zertifizierung existieren nicht in Form einer Liste, weil die Auditzeit nach akkreditierungsrechtlichen Vorgaben aus der Zahl der im Geltungsbereich tätigen Personen und der Komplexität abgeleitet wird. Seit der Revision ISO/IEC 27006-1:2024 stellen Zertifizierungsstellen die Berechnung auf die Personenzahl im ISMS-Geltungsbereich um; die Deutsche Akkreditierungsstelle nennt als Frist für die Umstellung aller akkreditierten Stellen den 31. März 2026. Jede pauschale Kostenangabe ohne Angabe von Geltungsbereich, Personenzahl und Reifegrad ist deshalb wertlos.

Der Auditzyklus als externer Taktgeber

Wer zertifiziert ist, bekommt die Frage nach der Disziplin von außen beantwortet. Ein Zertifikat gilt grundsätzlich drei Jahre. Innerhalb dieser Gültigkeit finden jährliche Überwachungsaudits statt, die Voraussetzung für die Aufrechterhaltung sind; nach dem zweiten Überwachungsaudit folgt im Jahr darauf das Rezertifizierungsaudit. Das erste Überwachungsaudit ist spätestens zwölf Monate nach der Zertifizierungsentscheidung durchzuführen.

Dieser Takt ist der wirksamste Mechanismus gegen das Auslaufen im zweiten Jahr — und zugleich der Grund, warum ein Zertifikat teurer ist als seine Auditrechnung. Wer nicht zertifiziert, muss den Takt selbst setzen. Ein interner Jahresplan mit denselben Terminen leistet dasselbe, hat aber keine Instanz hinter sich, die bei Nichteinhaltung Konsequenzen zieht. Genau an dieser Stelle unterscheiden sich Betriebe, deren ISMS nach drei Jahren noch lebt, von denen, bei denen es das nicht tut.

Wer die Arbeit im Betrieb tatsächlich macht

Der BSI-Standard 200-2 weist die Rolle klar zu: Der Informationssicherheitsbeauftragte sammelt die Informationen, bereitet sie kurz und übersichtlich für die Leitungsebene auf, erarbeitet das Sicherheitskonzept und sorgt für dessen regelmäßige Aktualisierung. Die Freigabe bleibt bei der Leitung. In einem Betrieb mit sechzig Beschäftigten ist diese Rolle selten eine eigene Stelle; sie liegt bei der IT-Leitung, im Qualitätsmanagement oder bei der Geschäftsführung — jeweils zusätzlich zum Tagesgeschäft.

Daraus folgt eine unbequeme Konsequenz für den Zuschnitt. Was nur funktioniert, solange eine bestimmte Person es persönlich nachhält, ist keine Prozessgestaltung, sondern eine Personalabhängigkeit — und die endet mit dem nächsten Wechsel. Belastbar wird die Sache erst, wenn Fristen, Zuständigkeiten und Nachweise im System stehen statt im Kalender eines Einzelnen. Plattformen, mit denen sich ein ISMS nach BSI-Vorgehen aufbauen lässt, setzen für KMU deshalb üblicherweise auf ein Asset-Register, die Schutzbedarfsanalyse nach BSI 200-2 und ein automatisch fortgeschriebenes Statement of Applicability; der Hamburger Anbieter frag.hugo koppelt das Register zusätzlich an das Verarbeitungsverzeichnis aus dem Datenschutz. Den Zertifizierungsteil deckt Software nicht ab — das Zertifikat vergibt eine bei der DAkkS akkreditierte Stelle.

Was ein ISMS nicht leistet

Ein ISMS ist ein Steuerungssystem, kein Schutzmechanismus. Es sorgt dafür, dass Risiken erfasst, bewertet, behandelt und überprüft werden — es verhindert keinen Vorfall. Ein Betrieb mit lückenlos gepflegtem Managementsystem kann von Ransomware getroffen werden; der Unterschied liegt darin, ob die Wiederherstellung geübt, die Meldewege festgelegt und die Zuständigkeiten geklärt sind.

Ebenso wenig ersetzt es rechtliche Prüfung. Die Registrierungs-, Melde- und Risikomanagementpflichten aus dem NIS-2-Umsetzungsgesetz treffen Einrichtungen unabhängig davon, ob sie ein ISMS betreiben; die Betroffenheitsprüfung müssen Unternehmen nach Angaben des BSI selbständig vornehmen. Ein ISMS erleichtert den Nachweis der Risikomanagementmaßnahmen erheblich — es beantwortet aber nicht die Frage, ob eine Pflicht überhaupt besteht.

Der Zuschnitt, der im zweiten Jahr noch trägt

Aus den wiederkehrenden Pflichten lässt sich rückwärts ableiten, wie groß ein ISMS sein darf. Ein Geltungsbereich ist dann richtig gewählt, wenn die jährliche Pflichtrunde mit den vorhandenen Personen tatsächlich zu schaffen ist. Das BSI hält dazu fest, dass der Auditaufwand von Komplexität und Größe des Informationsverbunds abhängt und die Anforderungen deshalb „auch für kleine Institutionen sehr gut umzusetzen“ sind — vorausgesetzt, der Verbund bleibt klein.

1. Geltungsbereich eng schneiden. Lieber die Kern-Absicherung eines klar abgegrenzten Verbunds als eine Standard-Absicherung, die im zweiten Jahr nicht auditierbar ist.
2. Turnus vorab festlegen. Die geplanten Abstände für Managementbewertung, internes Audit und Risikobeurteilung gehören als Termine in den Jahresplan, bevor das erste Dokument entsteht.
3. Rollentrennung sichern. Prüfungen dürfen nach BSI-Standard 200-2 nicht von denen durchgeführt werden, die die geprüften Vorgaben entwickelt haben.
4. Nachweise am Entstehungsort ablegen. Wer Belege erst zum Audit zusammensucht, produziert den Aufwand doppelt.

Die Erweiterung bleibt jederzeit möglich und ist im Standard ausdrücklich vorgesehen: von der Basis- auf die Standard-Absicherung, vom eingegrenzten Bereich auf den größeren Informationsverbund. Ein zu klein begonnenes ISMS lässt sich wachsen lassen. Ein zu groß begonnenes lässt sich meist nur aufgeben.

Häufige Fragen

Was unterscheidet Basis-, Kern- und Standard-Absicherung?

Die Basis-Absicherung sichert alle relevanten Geschäftsprozesse breit, aber auf niedrigem Niveau ab und dient als Einstieg. Die Kern-Absicherung konzentriert sich auf wenige existenzkritische Prozesse und Assets, die sogenannten Kronjuwelen. Die Standard-Absicherung entspricht der klassischen IT-Grundschutz-Vorgehensweise, erfasst die gesamte Institution und ist die vom BSI präferierte Variante. Der Aufwand steigt in dieser Reihenfolge, das erreichbare Sicherheitsniveau ebenfalls.

Wie oft muss eine Managementbewertung stattfinden?

Die ISO/IEC 27001:2022 verlangt in Abschnitt 9.3 eine Bewertung des Managementsystems durch die oberste Leitung „in geplanten Abständen“, ohne eine Frist zu nennen. In der Zertifizierungspraxis hat sich ein jährlicher Rhythmus etabliert, weil die Überwachungsaudits jährlich stattfinden. Der BSI-Standard 200-2 ergänzt, dass bei Bedarf — etwa bei einer Häufung von Sicherheitsvorfällen oder gravierenden Änderungen der Rahmenbedingungen — auch zwischen den Routineterminen zu tagen ist.

Braucht ein kleines Unternehmen eine ISO-27001-Zertifizierung?

Nur, wenn der Nachweis nach außen verlangt wird — typischerweise durch Auftraggeber, Ausschreibungen oder Lieferantenbewertungen. Die Pflicht zu Risikomanagementmaßnahmen etwa aus dem NIS-2-Umsetzungsgesetz besteht unabhängig von einem Zertifikat und lässt sich auch ohne Zertifizierung erfüllen. Das Zertifikat belegt die Konformität gegenüber Dritten, es erzeugt sie nicht.

Wie lange ist ein ISO-27001-Zertifikat gültig?

Grundsätzlich drei Jahre. In den beiden Jahren dazwischen führt die Zertifizierungsstelle Überwachungsaudits durch, die Voraussetzung für die Aufrechterhaltung der Zertifizierung sind. Das erste Überwachungsaudit nach der Erstzertifizierung ist spätestens zwölf Monate nach dem Datum der Zertifizierungsentscheidung durchzuführen, alle folgenden mindestens einmal je Kalenderjahr. Im dritten Jahr folgt das Rezertifizierungsaudit.

Darf das interne Audit von der Person durchgeführt werden, die das ISMS aufgebaut hat?

Nein. Der BSI-Standard 200-2 hält ausdrücklich fest, dass Prüfungen und Audits nicht von denjenigen durchgeführt werden sollen, die die jeweiligen Sicherheitsvorgaben entwickelt haben, und dass Vollständigkeits- und Plausibilitätskontrollen nicht durch die Ersteller der Konzepte erfolgen. In kleinen Betrieben löst man den Rollenkonflikt üblicherweise durch eine zweite interne Person aus einem anderen Bereich oder durch externe Prüfer.