ISMS einführen: Aufwand, Dauer und typische Fehler
Wie ein ISMS aufgebaut wird, steht an vielen Stellen. Was fast nirgends steht: wie viel Arbeit tatsächlich anfällt, wie lange es bis zum ersten vorzeigbaren Zustand dauert und woran die Einführung scheitert. Die kurze Antwort: Ein ISMS ist fertig, wenn ein internes Audit und ein Management-Review einmal vollständig durchlaufen sind – bei einem überschaubaren Geltungsbereich sind das neun bis zwölf Monate, und der größte Posten ist interne Zeit, nicht Beratung. Der Rest dieser Seite erklärt, wo diese Zeit hingeht und in welcher Reihenfolge man sie am besten ausgibt.
Das Wichtigste in Kürze
- Fertig ist ein ISMS nach einem vollständigen Zyklus: Risikoanalyse, Maßnahmen, internes Audit, Management-Review. Vorher gibt es Dokumente, aber keinen Nachweis eines gelebten Systems.
- Die realistische Dauer liegt bei neun bis zwölf Monaten für einen Geltungsbereich mit bis zu 100 Personen, wenn eine Person mit etwa einem Tag pro Woche daran arbeitet.
- Der Dokumententeil ist der schnelle Teil. Richtlinien entstehen in Wochen, für die Klassifizierung in Minuten. Zeit kostet alles danach: Abstimmung, Freigabe, Schulung, Nachweis.
- Der Aufwand hängt fast vollständig am Geltungsbereich. Ihn zu Beginn eng zu schneiden, ist die wirksamste Einzelentscheidung des ganzen Projekts.
- Technische Maßnahmen sind kein ISMS-Kostenblock. Fehlt ein funktionierendes Backup, wäre es ohnehin nötig gewesen – das ISMS hat es nur sichtbar gemacht.
- Ein Zertifikat ist eine eigene Entscheidung mit eigenem Aufwand. Ein ISMS ohne Zertifizierung ist zulässig, sinnvoll und für viele Organisationen ausreichend.
- Häufigster Abbruchgrund ist nicht Überforderung, sondern eine zu große Risikoanalyse im ersten Durchgang. Wer mit 200 Risiken startet, kommt nicht zur Behandlung.
- Ohne benannte Leitungsrolle und ohne Termin für das Management-Review bleibt die Einführung ein Nebenprojekt und dauert doppelt so lange.
Woran der Aufwand hängt
Pauschale Angaben helfen nicht weiter, weil der Aufwand fast vollständig vom Geltungsbereich abhängt. Nützlicher ist es, die vier Blöcke zu kennen und für die eigene Organisation zu schätzen.
| Block | Was dahintersteckt | Was ihn treibt |
|---|---|---|
| Interne Zeit | Der größte Posten. Risikoanalyse, Richtlinien, Abstimmung, Schulung, internes Audit. | Größe des Geltungsbereichs, Reifegrad der vorhandenen Dokumentation, Zahl der beteiligten Abteilungen |
| Externe Unterstützung | Optional. Sinnvoll für Gap-Analyse, Risikomethodik und Auditvorbereitung. | Ob im Haus jemand die Norm wirklich kennt – oder sie sich neben dem Tagesgeschäft aneignet |
| Zertifizierungsaudit | Nur bei angestrebtem Zertifikat. Wird in Personentagen berechnet. | Zahl der Personen im Geltungsbereich und der Standorte; die Bemessung folgt festen Vorgaben der Akkreditierungsstellen |
| Technische Maßnahmen | Was die Risikoanalyse zutage fördert: Mehrfaktor-Anmeldung, Backup, Protokollierung, Netztrennung. | Der Abstand zwischen Ist und Soll – nicht die Norm |
Für die interne Zeit gibt es einen brauchbaren Anhaltspunkt: Bei einem Geltungsbereich bis 100 Personen liegt der Erstaufwand erfahrungsgemäß im Bereich von 40 bis 70 Personentagen, verteilt über ein Jahr. Davon entfallen grob ein Viertel auf die Risikoanalyse, ein Viertel auf Dokumente, der Rest auf Abstimmung, Schulung, Audit und Review. Die Zahl steigt nicht linear mit der Personenzahl, sondern mit der Zahl der Abteilungen, die mitreden.
Wie lange es dauert
| Phase | Dauer | Ergebnis |
|---|---|---|
| Geltungsbereich und Rollen | 2–4 Wochen | Beschriebener Geltungsbereich, benannte Verantwortung, Beschluss der Leitung |
| Bestandsaufnahme | 3–6 Wochen | Verzeichnis der Informationswerte, vorhandene Regelungen gesichtet |
| Risikoanalyse und Behandlung | 6–10 Wochen | Bewertete Risiken, Behandlungsplan mit Terminen, Erklärung zur Anwendbarkeit |
| Richtlinien und Umsetzung | 8–16 Wochen | Freigegebene Dokumente, umgesetzte oder terminierte Maßnahmen |
| Schulung und Betrieb | 4–8 Wochen | Belegte Unterweisung, laufende Aufzeichnungen |
| Internes Audit | 2–4 Wochen | Auditbericht, Abweichungen mit Korrekturmaßnahmen |
| Management-Review | 1–2 Wochen | Protokoll mit Entscheidungen – ab hier ist der Zyklus vollständig |
Die Reihenfolge, die Arbeit spart
Zwei Reihenfolgen führen zum Ziel, und eine davon kostet deutlich weniger. Wer mit Richtlinien beginnt, schreibt Regelungen für Risiken, die er noch nicht kennt, und ändert sie später. Wer mit der Risikoanalyse beginnt, schreibt weniger Dokumente und kann jedes davon begründen.
- Geltungsbereich festlegen. Lieber ein Standort und zwei Prozesse als „das ganze Unternehmen“. Erweitern lässt sich später, verkleinern kaum.
- Informationswerte erfassen. Ohne diese Liste hat die Risikoanalyse keinen Gegenstand. Sie muss nicht vollständig sein, aber sie muss die wichtigen Systeme und Datenbestände enthalten.
- Schutzbedarf und Risiken bewerten. Der Generator für die Risikobewertung nimmt die Methodik ab; entscheidend ist, im ersten Durchgang bei 20 bis 30 Risiken zu bleiben.
- Maßnahmen auswählen und begründen. Ergebnis ist die Erklärung zur Anwendbarkeit – das Dokument, an dem sich im Audit fast alles aufhängt.
- Richtlinien schreiben. Jetzt, nicht früher. Die Richtlinien-Bibliothek deckt die üblichen Dokumente ab.
- Schulen und betreiben. Ab hier entstehen die Aufzeichnungen, die später den Nachweis tragen.
- Intern auditieren und Review halten. Beides ist Pflicht und beides ist der Punkt, an dem aus Dokumenten ein System wird.
Steht die Frage im Raum, ob überhaupt eine gesetzliche Pflicht besteht, gehört sie vor Schritt 1: Der Betroffenheits-Check nach § 28 BSIG klärt in wenigen Minuten, ob die Organisation unter NIS2 fällt. Das ändert weder den Ablauf noch die Reihenfolge, aber es ändert den Zeitdruck und die Argumentation gegenüber der Leitung.
Rollen, die besetzt sein müssen
Die Norm schreibt keine Stellenbezeichnungen vor, aber sie verlangt, dass bestimmte Entscheidungen von jemandem getroffen und verantwortet werden. In kleineren Organisationen fallen mehrere dieser Rollen in einer Person zusammen – mit einer Ausnahme.
| Rolle | Entscheidet über | Aufwand |
|---|---|---|
| Oberste Leitung | Geltungsbereich, Leitlinie, Ressourcen, Annahme von Restrisiken, Management-Review | 1 bis 2 Tage im Jahr, aber zu festen Terminen |
| Informationssicherheitsbeauftragte | Methodik, Dokumente, Auditvorbereitung, Berichterstattung | Der Hauptteil – etwa ein Tag pro Woche in der Einführung |
| Risikoeigner je Risiko | Ob ein Risiko behandelt oder akzeptiert wird | Wenige Stunden je Risiko, meist Bereichsleitungen |
| Verantwortliche für Informationswerte | Einstufung und Zugriffsrechte je Datenbestand oder System | Punktuell, dafür verteilt über viele Personen |
| Interne Auditoren | Feststellung von Abweichungen | 2 bis 5 Tage je Zyklus – darf nicht die Person sein, die das System aufgebaut hat |
Für die interne Auditrolle gibt es drei gangbare Wege: eine Person aus einem anderen Bereich, die dafür geschult wird, ein Tausch mit einer befreundeten Organisation, oder ein externer Auditor für ein bis zwei Tage. Der dritte Weg ist der schnellste und in kleineren Häusern meistens auch der günstigste, weil die Einarbeitung entfällt.
Sieben Fehler, die Zeit kosten
- Der Geltungsbereich umfasst alles. Damit wird jede Abteilung Beteiligter, jede Abstimmung dauert Wochen, und die Risikoanalyse wird unbeherrschbar.
- Die Risikoanalyse wird zu groß angelegt. 200 bewertete Risiken sind kein Zeichen von Gründlichkeit, sondern der sichere Weg, die Behandlung nie zu erreichen.
- Richtlinien vor Risiken. Erzeugt Dokumente, die niemand begründen kann, und doppelte Arbeit, sobald die Bewertung vorliegt.
- Vorlagen ungelesen übernommen. Ein Mustertext mit fremden Rollenbezeichnungen und nicht existierenden Systemen fällt im Audit sofort auf – und entwertet die übrigen Dokumente gleich mit.
- Kein Termin für das Management-Review. Ohne festen Termin verschiebt es sich, und ohne Review ist der Zyklus unvollständig, egal wie gut der Rest ist.
- Das interne Audit wird von der Person durchgeführt, die alles aufgebaut hat. Die Norm verlangt Unparteilichkeit; der Ausweg ist eine Person aus einem anderen Bereich oder ein externer Auditor für einen Tag.
- Zertifizierungstermin zu früh gebucht. Das Audit prüft einen gelebten Zyklus. Ein Termin drei Monate nach Projektstart erzeugt Druck, aber keine Nachweise.
Aus der Praxis: der Rückweg aus der Risikoanalyse
Die Stelle, an der Einführungen am häufigsten stecken bleiben, ist nicht der Anfang und nicht das Audit. Es ist der Übergang von der Bewertung zur Behandlung. Eine Liste mit vielen bewerteten Risiken sieht nach Fortschritt aus, und genau deshalb wird sie weiter verlängert, statt in Maßnahmen überführt zu werden.
Was ich davon halte: Der verbreitete Rat, im ersten Durchgang „vollständig“ zu sein, richtet mehr Schaden an als jede Lücke. Ein ISMS mit 25 sauber behandelten Risiken und einem dokumentierten Vorgehen, wie weitere gefunden werden, ist belastbarer als eines mit 200 bewerteten und 12 behandelten. Im Audit wird nicht die Zahl der Einträge geprüft, sondern ob Bewertung, Entscheidung und Nachweis zusammenpassen. Die Vollständigkeit entsteht über die Wiederholung im nächsten Zyklus – das ist der Sinn eines Managementsystems.
Zur Frage des Zertifikats: Es anzustreben kann auch schädlich sein. Wer zertifiziert, bindet Aufwand an einen Termin und an eine Form, und für einige Organisationen bringt das nichts, was der Kunde nicht auch ohne Zertifikat akzeptieren würde. Die Abwägung dazu steht unter ISO 27001 Zertifikat.
Häufige Fragen
Reicht eine Person für die Einführung?
Für die Durchführung ja, für die Entscheidungen nein. Eine Person kann Analyse, Dokumente und Audit vorbereiten, sofern etwa ein Tag pro Woche dafür freigehalten ist. Was zusätzlich gebraucht wird, sind eine Leitungsrolle, die Risiken annimmt oder ablehnt, und je Fachbereich eine Ansprechperson. Ohne diese beiden bleibt die Einführung im Entwurfsstadium.
Können wir mit ISO 27001 anfangen, ohne zu zertifizieren?
Ja, und für viele Organisationen ist das der sinnvolle Weg. Die Norm beschreibt ein Managementsystem; ob eine akkreditierte Stelle es bestätigt, ist eine getrennte Entscheidung. Der Aufbau ist identisch, es fallen nur die Auditkosten und die Fristen weg. Umsteigen lässt sich später jederzeit, sofern die Aufzeichnungen von Anfang an geführt wurden.
Was ist der Unterschied zu einem Qualitätsmanagementsystem?
Die Struktur ist dieselbe, der Gegenstand nicht: ISO 9001 zielt auf die Erfüllung von Kundenanforderungen, ISO 27001 auf den Schutz von Informationen über Risiken. Wer ISO 9001 bereits betreibt, kann Dokumentenlenkung, internes Audit und Management-Review weiterverwenden – die Einzelheiten stehen unter ISO 27001 und ISO 9001 im Vergleich.
Wie viele Dokumente braucht ein ISMS?
Weniger als erwartet. Zwingend sind Geltungsbereich, Informationssicherheitsleitlinie, Risikomethodik, Risikobehandlungsplan und die Erklärung zur Anwendbarkeit, dazu die Aufzeichnungen aus Audit und Review. Alles Weitere ergibt sich aus den ausgewählten Maßnahmen. In der Praxis landen kleinere Organisationen bei zwölf bis zwanzig Dokumenten.
Lohnt sich externe Unterstützung?
An zwei Stellen: bei der Risikomethodik, weil dort die meiste Zeit verloren geht, und beim internen Audit, weil dafür Unparteilichkeit verlangt ist. Für Richtlinien und Dokumente ist Unterstützung selten das Geld wert – Vorlagen decken das ab, und der Anpassungsaufwand bleibt in jedem Fall im Haus.
Weiterführende Seiten
- Die 11 Schritte zum ISMS – der Ablauf im Überblick
- Risikobewertung – Methodik und Bewertung ohne eigene Vorarbeit
- Erklärung zur Anwendbarkeit – das Dokument mit dem größten Auditgewicht
- Richtlinien-Bibliothek – Mustertexte für Schritt 5
- BSI-Grundschutz und Alternativen – wenn ISO 27001 nicht der passende Rahmen ist
Stand: August 2026. Die Angaben zu Dauer und Personentagen sind Erfahrungswerte und keine Normvorgabe; maßgeblich ist die ISO/IEC 27001 in der Fassung von 2022. Diese Seite ersetzt keine Rechtsberatung.