Viele Unternehmen starten die ISO 27001 Einführung nicht bei null, sondern mit einer gewachsenen Mischung aus Richtlinien, Excel Listen, Projektordnern, IT Dokumentationen, Datenschutzunterlagen und einzelnen Sicherheitsmaßnahmen. Das Problem ist selten fehlender Wille, sondern fehlende Struktur.

Im Audit reicht es nicht aus, dass einzelne Maßnahmen vorhanden sind. Entscheidend ist, ob der Zusammenhang zwischen Scope, Risiken, Maßnahmen, Verantwortlichkeiten und Nachweisen nachvollziehbar dokumentiert ist.

Der Weg zur auditfähigen Dokumentation beginnt deshalb mit einem klaren Ordnungsprinzip: Was gehört zum ISMS, wer ist verantwortlich, welche Risiken bestehen, welche Kontrollen sind anwendbar und welche Nachweise belegen die Wirksamkeit?

Nachvollziehbar statt nur vollständig

Eine auditfähige Dokumentation ist nicht automatisch die umfangreichste Dokumentation. Sie ist vor allem verständlich, konsistent, aktuell und prüfbar. Ein Auditor muss erkennen können, wie das Unternehmen Informationssicherheit steuert, welche Entscheidungen getroffen wurden und wie diese Entscheidungen im Alltag wirken.

Klare Verbindung zwischen Risiko und Maßnahme

Die ISO 27001 Einführung wird auditfähig, wenn Risiken nicht isoliert bewertet werden, sondern mit konkreten Maßnahmen, Verantwortlichen, Fristen und Nachweisen verbunden sind. So entsteht ein belastbarer roter Faden von der Risikoanalyse bis zur Erklärung der Anwendbarkeit.

Weniger Ordner, mehr System

Statt viele einzelne Dokumente unverbunden abzulegen, sollte das ISMS wie ein System aufgebaut werden: Scope, Leitlinie, Rollen, Assets, Risiken, SoA, Richtlinien, Prozesse, Nachweise, interne Audits und Managementbewertung greifen ineinander.

Schritt 1: Geltungsbereich sauber festlegen

Der Scope beschreibt, welche Standorte, Prozesse, Systeme, Anwendungen, Dienstleister und Informationswerte in das ISMS einbezogen werden. Ein unklarer Scope führt später zu unklaren Risiken, unklaren Zuständigkeiten und schwachen Auditnachweisen.

Schritt 2: Dokumente sichten und sortieren

Bestehende Richtlinien, Prozessbeschreibungen, IT Konzepte, Datenschutzunterlagen, Verträge und Nachweise werden gesammelt. Danach wird entschieden, welche Dokumente weiterverwendet, angepasst, zusammengeführt oder ersetzt werden.

Schritt 3: Asset Register aufbauen

Das Asset Register schafft Transparenz über relevante Informationswerte. Dazu gehören Anwendungen, Systeme, Datenarten, Prozesse, Dienstleister, Standorte und Verantwortliche. Ohne Asset Übersicht bleibt die Risikobewertung meist unvollständig.

Schritt 4: Risiken bewerten und priorisieren

Für relevante Assets und Prozesse werden Bedrohungen, Schwachstellen, Auswirkungen und Eintrittswahrscheinlichkeiten bewertet. Das Ergebnis ist eine priorisierte Risikoliste mit klaren Entscheidungen zur Risikobehandlung.

Schritt 5: Statement of Applicability erstellen

Die Erklärung der Anwendbarkeit verbindet die Anforderungen aus Anhang A mit den Risiken und den gewählten Maßnahmen. Sie dokumentiert, welche Controls anwendbar sind, welche nicht, wie Ausschlüsse begründet werden und wie die Umsetzung nachgewiesen wird.

Schritt 6: Richtlinien und Prozesse harmonisieren

Informationssicherheitsleitlinie, Zugriffskonzepte, Backup Vorgaben, Incident Management, Lieferantensteuerung, Klassifizierung, Mobile Arbeit und Awareness müssen zusammenpassen. Widersprüche zwischen Dokumenten sind ein typischer Auditkritikpunkt.

Schritt 7: Nachweise systematisch ablegen

Nachweise belegen, dass Vorgaben nicht nur beschrieben, sondern umgesetzt werden. Dazu gehören Schulungsnachweise, Protokolle, Freigaben, Prüfberichte, Backup Tests, Lieferantenbewertungen, Risikoentscheidungen und Maßnahmenverfolgungen.

Schritt 8: Internes Audit und Managementbewertung durchführen

Vor dem Zertifizierungsaudit muss geprüft werden, ob das ISMS wirksam ist. Interne Audits, Abweichungsmanagement und Managementbewertung zeigen, ob Risiken gesteuert, Maßnahmen umgesetzt und Verbesserungen eingeleitet werden.

• Der Geltungsbereich ist eindeutig beschrieben und begründet.
• Informationswerte sind vollständig und nachvollziehbar erfasst.
• Risiken sind bewertet, priorisiert und mit Maßnahmen verknüpft.
• Die Erklärung der Anwendbarkeit ist aktuell und konsistent.
• Richtlinien sind freigegeben, verständlich und widerspruchsfrei.
• Verantwortlichkeiten sind benannt und bekannt.
• Nachweise sind auffindbar, aktuell und den Anforderungen zugeordnet.
• Interne Audits und Managementbewertung wurden durchgeführt.
• Abweichungen und Verbesserungsmaßnahmen werden aktiv verfolgt.

Unklare Dokumentenverantwortung

Wenn niemand für Pflege, Freigabe und Aktualisierung verantwortlich ist, veraltet die Dokumentation schnell. Ein Dokument ohne Eigentümer ist im Audit ein Risiko.

Richtlinien ohne gelebte Nachweise

Eine Richtlinie beschreibt den Soll Zustand. Auditfähig wird sie erst, wenn Schulungen, Protokolle, Prüfungen oder technische Einstellungen belegen, dass sie in der Organisation angewendet wird.

SoA ohne Bezug zur Risikoanalyse

Die Erklärung der Anwendbarkeit darf keine isolierte Kontrollliste sein. Sie muss nachvollziehbar zeigen, warum eine Maßnahme relevant ist und wie sie mit Risiken, Anforderungen und Nachweisen verbunden ist.

Zu viel Bürokratie, zu wenig Steuerung

Ein ISMS soll Informationssicherheit steuern, nicht nur Dokumente produzieren. Schlanke, klare und gepflegte Dokumente sind meist wirksamer als umfangreiche Vorlagen ohne Bezug zum Unternehmensalltag.

Analyse und Ordnung

Wir sichten bestehende Dokumente, bewerten den Reifegrad und schaffen eine klare Struktur für Scope, Rollen, Risiken, Maßnahmen und Nachweise.

Umsetzung und Nachweisführung

Wir erstellen und harmonisieren Richtlinien, begleiten Risikobewertung und SoA, und sorgen dafür, dass Anforderungen mit konkreten Auditnachweisen verbunden werden.

Auditvorbereitung

Vor dem Zertifizierungsaudit prüfen wir die Dokumentation, bereiten interne Audits und Managementbewertung vor und schließen identifizierte Lücken gezielt.

• Strukturierter Aufbau eines ISMS
• Risikobewertung, SoA und Auditvorbereitung
• Praxisnahe Umsetzung für kleine und mittlere Unternehmen

• Vorbereitung auf Stage 1 und Stage 2
• Prüfung von Dokumentation und Nachweisen
• Schließen typischer Auditlücken

• Transparente Leistungen und Meilensteine
• Aufbau auditfähiger Dokumentation
• Begleitung bis zur Zertifizierungsreife