Cybersicherheit braucht Zeit – beginne jetzt!

Ein Informationssicherheitsmanagementsystem (ISMS) hilft Unternehmen, Risiken frühzeitig zu erkennen, geeignete Schutzmaßnahmen umzusetzen und ihre Wirksamkeit regelmäßig zu überprüfen. Dafür braucht es klare Verantwortlichkeiten, ausreichende Ressourcen und die Mitwirkung der Beschäftigten.

Wie lange Einführung und Zertifizierung dauern, hängt von der Ausgangslage, dem Geltungsbereich und der Komplexität des Unternehmens ab. Ein überschaubares Projekt kann innerhalb weniger Monate umgesetzt werden, während umfangreiche Vorhaben deutlich länger benötigen. Deshalb lohnt es sich, frühzeitig anzufangen.

In diesem Artikel:

Wer muss Informationssicherheit systematisch umsetzen?
Gründe für ein ISMS
Wie lässt sich die Einführung beschleunigen?
Typische Roadmap

Wer muss Informationssicherheit systematisch umsetzen?

Seit dem 6. Dezember 2025 gilt das deutsche NIS-2-Umsetzungsgesetz. Betroffene Unternehmen müssen angemessene, wirksame und dokumentierte Maßnahmen zum Management ihrer Cybersicherheitsrisiken umsetzen. Ob ein Unternehmen betroffen ist, hängt insbesondere von seiner Tätigkeit und seiner Größe ab. Für die reguläre Einordnung als wichtige Einrichtung sind grundsätzlich folgende Größenkriterien maßgeblich: Mindestens 50 Beschäftigte oder jeweils über 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme.

Zusätzlich muss das Unternehmen einer der gesetzlich erfassten Einrichtungsarten angehören. Für bestimmte Einrichtungen gelten Sonderregeln, sodass auch kleinere Unternehmen betroffen sein können. Auch verbundene Unternehmen können bei der Größenberechnung relevant sein. Die maßgeblichen Vorgaben finden sich in § 28 BSIG und § 30 BSIG. Für Betreiber kritischer Anlagen enthält § 31 BSIG zusätzliche Anforderungen (Gesetzentwurf zum BSI-Gesetz). Ein ISMS bietet einen geeigneten Rahmen, um diese Pflichten systematisch umzusetzen. Eine allgemeine Pflicht zur Zertifizierung nach ISO/IEC 27001 ergibt sich daraus jedoch nicht.

Gründe für ein ISMS

Auch unabhängig von gesetzlichen Anforderungen kann ein ISMS sinnvoll sein. Kunden und Auftraggeber verlangen häufig nachvollziehbare Sicherheitsmaßnahmen oder Nachweise wie eine ISO-27001-Zertifizierung beziehungsweise TISAX-Labels in der Automobilindustrie.

NIS-2 verpflichtet betroffene Einrichtungen außerdem, Sicherheitsrisiken bei ihren unmittelbaren Lieferanten und Dienstleistern zu berücksichtigen. Dadurch können auch Unternehmen zusätzliche Kundenanforderungen erhalten, die selbst nicht unmittelbar unter NIS-2 fallen.

Ein ISMS unterstützt zudem die Geschäftsleitung dabei, Sicherheitsrisiken nachvollziehbar zu steuern und Entscheidungen zu dokumentieren. Unzureichende Sicherheitsmaßnahmen können je nach Versicherungsvertrag und Schadensfall den Versicherungsschutz beeinträchtigen. Ob konkrete Anforderungen bestehen, sollte anhand der jeweiligen Versicherungsbedingungen geprüft werden.

Wie lässt sich die Einführung beschleunigen?

Zeit lässt sich vor allem durch klare Ziele, einen angemessenen Geltungsbereich und die Nutzung vorhandener Prozesse sparen. Bestehende Regelungen zu Berechtigungen, Datensicherung, Personal und Notfällen können häufig in das ISMS integriert werden.

Ein schrittweiser Einstieg ist möglich, beispielsweise über die Basis-Absicherung nach BSI-Standard 200-2. BSI-Standard 200-1 beschreibt die Anforderungen an ein ISMS, während BSI-Standard 200-3 das Risikomanagement unterstützt. Der Geltungsbereich sollte die ausgewählten Geschäftsprozesse und ihre relevanten Abhängigkeiten umfassen. Dazu können auch zentrale IT, Personalverwaltung und externe Dienstleister gehören. Gesetzliche Pflichten lassen sich durch einen eingeschränkten Zertifizierungsumfang nicht reduzieren.

Wenn eine spätere ISO-27001-Zertifizierung bereits geplant ist, sollten ihre Anforderungen von Anfang an berücksichtigt werden.

Typische Roadmap

• 6 bis 18 Monate Einführung

• 9 Monate erster normaler PDCA-Zyklus

• 12 bis 18 Monate Zertifizierung
  
  

Erste Schritte

Die Schritte können sich teilweise überschneiden. Der Zeitplan sollte sich an der tatsächlichen Ausgangslage und den verfügbaren Ressourcen orientieren.

Kontinuierlich verbessern

Ein ISMS ist eine dauerhafte Managementaufgabe. Es folgt dem Kreislauf aus Planen, Umsetzen, Überprüfen und Verbessern, dem sogenannten PDCA-Zyklus. Viele Überprüfungen werden jährlich geplant. Sicherheitsvorfälle, neue Systeme oder veränderte Risiken können jedoch eine frühere Anpassung erforderlich machen.

Zertifizierung

Für eine Erstzertifizierung muss das ISMS nachweislich umgesetzt und wirksam sein. Dazu gehören insbesondere interne Audits, eine Managementbewertung und der angemessene Umgang mit festgestellten Abweichungen. Ein vollständiges Betriebsjahr ist keine allgemeine Voraussetzung. Die Zertifizierung nach ISO/IEC 27001 erfolgt üblicherweise in zwei Auditstufen: Zunächst werden die Dokumentation und die Zertifizierungsbereitschaft geprüft, anschließend die praktische Umsetzung und Wirksamkeit. Das Zertifikat gilt üblicherweise drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt. Für die Fortführung ist anschließend eine Rezertifizierung erforderlich.

Kontakt

Markus Vatter ist Head of Compliance bei unserer Partnerfirma bbg bitbase group. Für fachliche Fragen rund um ISMS unterstützt er dich bei der Prüfung deiner Anforderungen sowie beim Aufbau und bei der Weiterentwicklung deines ISMS.

+49 7121 6808490
markus.vatter@bitbasegroup.com