.svg)
Ein Information Security Management System, kurz ISMS, ist ein dokumentiertes Rahmenwerk aus Richtlinien, Prozessen, Rollen und Kontrollmaßnahmen, mit dem ein Unternehmen den Schutz seiner Informationen steuert. Für Startups ist es selten ein reines Compliance-Thema: die Frage nach der Sicherheitsdokumentation gehört im B2B-Vertrieb inzwischen genauso zum Standard wie die Frage nach Preisen oder Implementierungszeitplänen.
Dieser Leitfaden erklärt, was ein ISMS ist, aus welchen fünf Bausteinen es besteht, welche Rolle die 93 Controls aus dem Anhang A der ISO/IEC 27001 spielen und wo der Unterschied zwischen einem laufenden ISMS und einer Zertifizierung liegt.
Das Wichtigste in Kürze
- Ein ISMS ist ein dokumentiertes Managementsystem, das drei Eigenschaften von Informationen schützt: Vertraulichkeit, Integrität und Verfügbarkeit. Es besteht aus fünf Bausteinen: Richtlinien, Risikobeurteilung, Controls, Incident Management und kontinuierliche Verbesserung.
- Die ISO/IEC 27001 beschreibt in den Kapiteln 4 bis 10, was ein ISMS leisten muss. Der Anhang A listet 93 Controls in vier Kategorien: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische.
- Sie müssen nicht alle 93 Controls umsetzen, aber jedes einzelne bewerten und den Ein- oder Ausschluss begründen. Diese Begründung steht im Statement of Applicability, einem der Pflichtdokumente im Zertifizierungsaudit.
- Aktuell gilt die ISO/IEC 27001:2022, Edition 3 vom Oktober 2022, ergänzt durch Amendment 1:2024 zum Thema Klimaschutz. Zertifikate nach der Fassung von 2013 sind seit dem 31. Oktober 2025 ungültig.
- ISMS und Zertifizierung sind nicht dasselbe: das ISMS ist das System, das Sie betreiben, die Zertifizierung ist der Nachweis durch eine akkreditierte Zertifizierungsstelle. Ein Zertifikat gilt drei Jahre, mit Überwachungsaudits in den Jahren eins und zwei.
Was ist ein ISMS?
Ein Information Security Management System ist ein dokumentiertes Rahmenwerk, das festlegt, wie Ihr Unternehmen Informationssicherheit steuert. Die ISO/IEC 27001 legt in den Kapiteln 4 bis 10 fest, welche Anforderungen ein solches System erfüllen muss, von der Bestimmung des Anwendungsbereichs über die Risikobeurteilung bis zur Managementbewertung.
Der Unterschied zu einer Sammlung einzelner Sicherheitsmaßnahmen liegt in der Struktur. Ein Haus, das nach einem Bauplan errichtet wurde, und ein Haus, an das immer dann ein Raum angebaut wurde, wenn jemand Lust dazu hatte, sind beide technisch gesehen Häuser. Nur eines hat ein Fundament, das trägt. Ein ISMS liefert diesen Bauplan: jede Richtlinie, jedes Control und jedes Verfahren ist einem konkreten Ziel zugeordnet und lässt sich darauf zurückführen.
Geschützt werden drei Eigenschaften von Informationen, häufig als CIA-Triade bezeichnet. Vertraulichkeit bedeutet, dass nur autorisierte Personen Zugriff haben. Integrität bedeutet, dass Informationen korrekt und unverändert bleiben. Verfügbarkeit bedeutet, dass autorisierte Personen zugreifen können, wenn sie es müssen. Jede Maßnahme in Ihrem ISMS dient am Ende einem oder mehreren dieser drei Ziele.
Ein häufiges Missverständnis: ein ISMS ist keine Software und kein Ordner mit Dokumenten. Software kann Nachweise sammeln und Fristen überwachen, und Dokumente sind Teil des Systems; das ISMS selbst ist aber die Art, wie Ihr Unternehmen Entscheidungen über Informationssicherheit trifft. Wer eine Vorlagensammlung kauft und sie unverändert ablegt, hat Dokumente, aber kein Managementsystem, und genau dieser Unterschied fällt im Audit auf.
Der zweite prägende Unterschied ist die Risikobasis. Anstatt Maßnahmen nach Gefühl umzusetzen oder erst nach einem Vorfall zu reagieren, verlangt ein ISMS, dass Sie Ihre eigenen Risiken benennen, deren Eintrittswahrscheinlichkeit und Auswirkung bewerten und Controls im Verhältnis dazu auswählen. Begrenzte Ressourcen landen damit dort, wo sie wirken. Wie aus einem laufenden ISMS ein Zertifikat wird, welche Auditphasen dabei durchlaufen werden und was das Zertifikat konkret aussagt, behandeln wir im Leitfaden zur ISO 27001 Zertifizierung.
Warum Startups ein ISMS brauchen
Für Startups entscheidet ein ISMS häufig darüber, ob ein Deal zustande kommt. Enterprise-Einkauf, Investoren und Partner fragen früh nach nachweisbaren Sicherheitspraktiken, und die Frage kommt selten am Ende des Prozesses.
Der Fehler, den viele Gründerinnen und Gründer machen: sie behandeln Informationssicherheit als Thema für Unternehmen ab 200 Mitarbeitenden. Über die Sensibilität entscheidet aber nicht die Personalstärke. Ein Team von zwölf Personen kann Zahlungsdaten verarbeiten, personenbezogene Daten nach DSGVO speichern und Zugangsdaten zu Kundensystemen halten. Die Angreifbarkeit hängt an dem, was Sie verwalten.
Nehmen Sie ein SaaS-Unternehmen mit 45 Mitarbeitenden, das ein Angebot bei einem Konzernkunden abgibt. Der Einkauf schickt einen Sicherheitsfragebogen mit rund 120 Fragen, die Rechtsabteilung verlangt einen Auftragsverarbeitungsvertrag samt Anlage zu den technischen und organisatorischen Maßnahmen, und die IT-Sicherheit fragt nach dem Statement of Applicability. Ohne ISMS beantwortet das Gründungsteam diese Fragen aus dem Gedächtnis, über zwei bis drei Wochen verteilt, und jede Antwort ist eine Behauptung. Mit ISMS sind es Auszüge aus Dokumenten, die es schon gibt.
Der zweite Effekt zeigt sich beim Wachstum. In der Frühphase funktioniert Sicherheit über informelle Praktiken und implizites Wissen, und dieser Ansatz bricht in dem Moment, in dem Sie schneller einstellen als Sie erklären können. Dokumentierte Zugriffskontrollrichtlinien, definierte Provisioning-Prozesse und nachvollziehbare Schulungsnachweise sind der Unterschied zwischen "jemand hat es der neuen Kollegin erklärt" und "der Prozess ist durchlaufen und der Nachweis liegt vor".
Ein drittes Argument wird oft übersehen: Sicherheitsentscheidungen fallen früher. Wenn Informationssicherheit Teil des ISMS ist, wird ein neues Tool, eine neue Integration oder ein neuer Dienstleister vor der Einführung bewertet und nicht nachträglich repariert. Das ist billiger, und es verhindert, dass sich unsaubere Prozesse über Jahre verfestigen.
Die fünf Bestandteile eines ISMS
Ein funktionierendes ISMS besteht aus fünf Bausteinen, die aufeinander aufbauen. Wer sie einzeln als Checkbox abarbeitet, bekommt Dokumente. Wer die Reihenfolge einhält, bekommt ein System.
Richtlinien
Die Richtlinien bilden das Fundament. Sie legen fest, welche Regeln im Unternehmen gelten, und sie sind der Teil des ISMS, der am häufigsten unverändert aus dem Internet übernommen wird. Typisch für ein Startup ist eine übergeordnete Informationssicherheitspolitik plus spezifische Richtlinien zu Acceptable Use, Zugriffskontrolle, Datenklassifizierung, Incident Response und Lieferantenmanagement.
Entscheidend ist die Deckung mit der Realität. Wenn Ihre Acceptable-Use-Richtlinie etwas verbietet, das Ihr Team täglich tut, ist sie nicht streng, sondern wirkungslos, und ein Auditor findet die Lücke im ersten Interview. Wirksame Richtlinien beschreiben in verständlicher Sprache, was Menschen tatsächlich tun sollen, und benennen die Folgen bei Nichteinhaltung.
Risikobeurteilung und Risikobehandlung
Hier wird das ISMS auf Ihr Unternehmen zugeschnitten. Sie erstellen ein Inventar der Informationswerte, also Kundendaten, Quellcode, Finanz- und Personaldaten, geistiges Eigentum und die Systeme, die das alles verarbeiten. Für jedes wesentliche Asset benennen Sie realistische Bedrohungsszenarien, bewerten Eintrittswahrscheinlichkeit und Auswirkung und entscheiden, wie Sie mit dem Risiko umgehen.
Vier Optionen stehen zur Verfügung: das Risiko durch Controls reduzieren, es über Versicherungen oder Verträge übertragen, es durch eine geänderte Praxis vermeiden oder es bewusst akzeptieren, sofern es innerhalb Ihrer definierten Risikotoleranz liegt. Die ISO 27001 verlangt eine dokumentierte Methodik, schreibt aber nicht vor, welche. Das Ergebnis lebt im Risikoregister weiter, das über die gesamte Laufzeit des ISMS fortgeschrieben wird.
Controls
Controls sind die konkreten Mechanismen, mit denen Risiken reduziert werden: technisch wie Verschlüsselung und Multi-Faktor-Authentifizierung, physisch wie Zutrittsbeschränkungen und Gerätesicherung, organisatorisch wie Richtlinien, Schulungen und definierte Prozesse. Der Anhang A der ISO/IEC 27001:2022 gruppiert sie in vier Kategorien.
Sie müssen nicht alle 93 umsetzen, aber jedes einzelne bewerten und den Ausschluss begründen. Diese Begründungen bilden das Statement of Applicability, das Auditoren zeigt, dass Ihre Auswahl risikobasiert und nachvollziehbar ist. Welches Control welche Anforderung abdeckt und welche elf Controls 2022 neu hinzugekommen sind, steht in unserer Übersicht zu allen 93 Annex-A-Controls.
Incident Management
Auch gute Sicherheitsprogramme erleben Vorfälle. Der Unterschied liegt in der Reaktion. Ihr ISMS sollte festlegen, wie Sicherheitsereignisse erkannt werden, wie bewertet wird, ob ein Vorfall vorliegt, wie eingedämmt, beseitigt und wiederhergestellt wird und wie aus dem Vorfall gelernt wird.
Für ein Startup heißt das nicht, ein Security Operations Center rund um die Uhr zu betreiben. Es heißt: ein schriftliches Playbook, benannte Rollen, getestete Kommunikationswege und eine Frist, innerhalb derer eine Meldung an Aufsichtsbehörden oder Kunden geprüft wird. Beim ersten größeren Vorfall entscheidet dieses Playbook darüber, ob koordiniert reagiert oder improvisiert wird.
Kontinuierliche Verbesserung
Ein ISMS ist kein Projekt mit Enddatum. Die Bedrohungslage verändert sich, Ihr Unternehmen verändert sich, und das System muss beides nachvollziehen. Dazu gehören interne Audits, die prüfen, ob Controls wie beschrieben funktionieren, Managementbewertungen, die den Gesamtzustand beurteilen, und ein Prozess für Korrekturmaßnahmen. Die ISO 27001 verlangt diesen Zyklus ausdrücklich in Kapitel 10.
ISMS und ISO 27001: wo der Unterschied liegt
Das ISMS ist das System, das Sie aufbauen und betreiben. Die ISO/IEC 27001 ist die internationale Norm, die definiert, wie ein glaubwürdiges ISMS aussieht, und die Zertifizierung ist der Nachweis durch eine unabhängige Stelle, dass Ihres den Anforderungen entspricht. Sie können ein ISMS ohne Zertifikat betreiben; ohne Zertifikat fehlt Ihnen aber der Beleg, den Einkaufsabteilungen sehen wollen.
Die Norm verlangt eine Reihe dokumentierter Informationen. Diese Liste ist der pragmatischste Einstieg in die Frage, was ein ISMS auf dem Papier eigentlich ist.
Aktuell gilt die ISO/IEC 27001:2022, Edition 3 vom Oktober 2022, ergänzt durch Amendment 1:2024, das die Kapitel 4.2 und 6.1.2 um den Aspekt Klimaschutz erweitert und den Anhang A unberührt lässt. Die Umstellungsfrist von der Fassung 2013 endete am 31. Oktober 2025; Zertifikate auf der alten Normgrundlage sind seitdem ungültig. Den aktuellen Stand der Norm finden Sie in der offiziellen Übersicht der ISO.
Ein Zertifikat gilt drei Jahre. In den Jahren eins und zwei folgen Überwachungsaudits, im dritten Jahr die Rezertifizierung. Wie lange der Weg dorthin dauert und wovon die Dauer abhängt, haben wir gesondert aufgeschrieben: wie lange eine ISO 27001 Zertifizierung dauert.
Die Budgetfrage wird auf derselben Ebene beantwortet, aufgeschlüsselt nach Unternehmensgröße und mit den Positionen, die Anbieter üblicherweise nicht ausweisen: Kosten einer ISO 27001 Zertifizierung.
Ein sauber gebautes ISMS ist außerdem die Grundlage für weitere Anforderungen. Die DSGVO verlangt in Artikel 32 angemessene technische und organisatorische Maßnahmen, dazu Rechenschaftspflicht und dokumentierte Prozesse, also genau die Artefakte, die Ihr ISMS ohnehin erzeugt. Für NIS2 gilt Ähnliches, wobei die Überschneidung nicht vollständig ist: welche Anforderungen Sie mit ISO 27001 bereits abdecken und welche Lücken bleiben, zeigt unsere Gegenüberstellung, wo sich NIS2 und ISO 27001 überschneiden.
Drei Fehler beim ISMS-Aufbau
Vorlagen ungeprüft übernehmen
Vorlagen sparen Zeit beim Formulieren, nicht beim Denken. Eine übernommene Richtlinie, die Ihren tatsächlichen Betrieb nicht beschreibt, erzeugt genau die Abweichung, die im internen Audit auffällt, und zwar bevor der externe Auditor kommt. Nehmen Sie die Vorlage als Gliederung und schreiben Sie die Inhalte gegen Ihre Realität.
Den Anwendungsbereich zu groß ziehen
Ein enger, klar begründeter Anwendungsbereich ist kein Zeichen von Schwäche. Er ist der wirksamste Hebel, um ein erstes Zertifizierungsaudit realistisch zu halten, weil sich die Auditzeit aus der Zahl der Personen im Anwendungsbereich ableitet. Bei den meisten Startups deckt der Anwendungsbereich das Kernprodukt und die tragende Infrastruktur ab, nicht jeden Unternehmensteil.
Das ISMS als Projekt behandeln, das mit dem Zertifikat endet
Nach dem Zertifikat kommen die Überwachungsaudits in den Jahren eins und zwei. Wenn zwischen Zertifizierung und erstem Überwachungsaudit nichts passiert, kein internes Audit, keine Managementbewertung, keine aktualisierte Risikobeurteilung, dann ist das die häufigste Ursache für Abweichungen im Folgejahr. Bauen Sie die Zyklen in Ihre normalen Abläufe ein, statt sie vor dem Audittermin nachzuholen.
Wie Kertos den ISMS-Aufbau unterstützt
Kertos ist eine europäische Compliance-Plattform, die den ISMS-Aufbau in einem System zusammenführt: Risikoregister und Risikobehandlung, die Zuordnung der Annex-A-Controls samt Statement of Applicability, Richtlinien mit Freigabe- und Versionsstand, Mitarbeitertrainings und die automatisierte Sammlung von Nachweisen aus Ihren bestehenden Systemen. Was sonst über Tabellen, ein Wiki und mehrere Tools verteilt liegt, hängt damit an einem Datenstand.
Der zweite Teil ist die fachliche Begleitung. Kertos-Kunden arbeiten mit zertifizierten Expertinnen und Experten, die den Anwendungsbereich mitdefinieren, die Risikobeurteilung prüfen und vor dem Audit gegenlesen. Das ist der Punkt, an dem sich der Aufbau eines ISMS von einem Software-Rollout unterscheidet: die Entscheidungen bleiben Ihre, aber sie werden nicht allein getroffen. Wie das im Produkt aussieht, zeigt das ISMS-Modul der Kertos Plattform.
In Bewertungen nennen Kunden besonders häufig, wie weit der Aufbau des Managementsystems selbst mitgeführt wird:
"Kertos makes building an Information Security Management System incredibly smooth and intuitive."
Konrad E., Bewertung auf G2
Wenn Sie wissen wollen, wo Ihr Unternehmen heute steht, ist eine Gap-Analyse der schnellste Einstieg. Sie zeigt, welche Anforderungen bereits erfüllt sind, welche offen sind und in welcher Reihenfolge sie sinnvoll abgearbeitet werden. Termin für eine Gap-Analyse vereinbaren.
Häufig gestellte Fragen
Was ist ein ISMS in einfachen Worten?
Ein ISMS ist die Art, wie ein Unternehmen Informationssicherheit steuert: die Richtlinien, die gelten, die Prozesse, die durchlaufen werden, die Controls, die umgesetzt sind, die Personen, die verantwortlich sind, und die Mechanismen, mit denen das Ganze überwacht und verbessert wird. Statt Sicherheitsprobleme zu behandeln, wenn sie auftreten, wird vorher entschieden, was geschützt wird und wie.
Ist ein ISMS gesetzlich vorgeschrieben?
Die ISO/IEC 27001 selbst ist eine freiwillige Norm, und kein Gesetz verlangt namentlich ein ISMS. Verpflichtend sind die Ergebnisse: die DSGVO fordert in Artikel 32 angemessene technische und organisatorische Maßnahmen, und NIS2 verpflichtet betroffene Unternehmen in Artikel 21 zu Risikomanagementmaßnahmen. Ein ISMS ist der etablierte Weg, diese Pflichten nachweisbar zu erfüllen, aber nicht der einzig zulässige.
Was ist der Unterschied zwischen einem ISMS und der ISO 27001?
Das ISMS ist Ihr eigenes Managementsystem, die ISO 27001 ist die Norm, an der es gemessen wird. Sie können ein ISMS betreiben, ohne zertifiziert zu sein. Ohne Zertifizierung fehlt Ihnen jedoch die Bestätigung einer unabhängigen dritten Stelle, dass Ihre Praxis international anerkannten Anforderungen entspricht, und genau die verlangen Enterprise-Einkaufsprozesse.
Kann ein Startup mit 15 Mitarbeitenden ein ISMS betreiben?
Ja. Die ISO 27001 skaliert mit der Größe des Anwendungsbereichs, nicht mit einer Mindestgröße des Unternehmens. Ein Team von 15 Personen hat in der Regel eine überschaubare Systemlandschaft, weniger Prozesse und kürzere Entscheidungswege als ein Unternehmen mit 500 Mitarbeitenden; die Umsetzung ist damit weniger komplex, nicht weniger machbar. Was sich ändert, ist der Umfang der Dokumentation, nicht die Anforderung.
Muss ein ISMS alle 93 Controls aus Anhang A umsetzen?
Nein. Sie müssen alle 93 Controls berücksichtigen, aber nur die umsetzen, die zu Ihren Risiken passen. Für jedes eingeschlossene und jedes ausgeschlossene Control halten Sie die Begründung im Statement of Applicability fest. In der Praxis wählen die meisten Unternehmen 60 bis 80 der 93 Controls aus; die Auswahl muss zur Risikobeurteilung passen und im Audit erklärbar sein.
