ISO 27001 einführen: der Weg zum ISMS in 7 Schritten

Ein ISMS nach ISO/IEC 27001 wirkt zunächst umfangreich – lässt sich aber in nachvollziehbare Etappen gliedern. Dieser Fahrplan zeigt, worauf es in der Praxis ankommt, damit das System wirksam ist und einer Zertifizierung standhält.

1. Geltungsbereich und Leitlinie

Legen Sie fest, welche Standorte, Prozesse und Werte das ISMS umfasst, und verabschieden Sie eine Informationssicherheits-Leitlinie mit klarem Bekenntnis der Leitung.

2. Werte erfassen und einstufen

Erstellen Sie ein Inventar Ihrer Informationswerte und bestimmen Sie den Schutzbedarf hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit (CIA).

3. Risiken analysieren und behandeln

Bewerten Sie Risiken nachvollziehbar (z. B. brutto und netto) und entscheiden Sie über die Behandlung: vermeiden, vermindern, übertragen oder akzeptieren. Das Ergebnis ist ein Risikobehandlungsplan.

4. Controls und Statement of Applicability

Wählen Sie die passenden Maßnahmen aus Annex A aus und begründen Sie im Statement of Applicability, welche Controls anwendbar sind – und welche nicht.

5. Umsetzen und dokumentieren

Setzen Sie die Maßnahmen um und halten Sie Richtlinien, Nachweise und Verantwortlichkeiten zentral fest. Ein ISMS-Werkzeug reduziert den Pflegeaufwand erheblich.

6. Interne Audits und Management-Bewertung

Prüfen Sie die Wirksamkeit selbst, bevor es ein Zertifizierer tut, und lassen Sie die Leitung das System bewerten. So erkennen Sie Lücken frühzeitig.

7. Zertifizierungsaudit

Im zweistufigen Audit prüft eine akkreditierte Stelle Dokumentation und Umsetzung. Mit guter Vorbereitung ist das Zertifikat der planbare Abschluss – und der Startpunkt für kontinuierliche Verbesserung.