ISMS einfach erklärt
Einzelne Schutzmaßnahmen wie eine Firewall oder eine Datensicherung beantworten die Frage, wie etwas geschützt wird. Ein ISMS klärt die Fragen davor und danach: was überhaupt schutzbedürftig ist, wer sich darum kümmert und woran sich zeigt, dass die Maßnahmen ihren Zweck erfüllen.
Technik allein lässt solche Punkte offen, etwa diese: Welche Informationen sind für das Geschäft unverzichtbar? Welche Risiken nimmt die Leitung bewusst in Kauf? Und wer bemerkt, wenn eine Regel im Alltag nicht mehr eingehalten wird?
Gemeint sind alle Informationen, von denen der Betrieb abhängt. Dazu zählen auch die Kalkulation in einer Tabelle, das Kennwort auf dem Zettel am Bildschirm oder das Wissen einer einzelnen Kollegin, ohne das ein Ablauf stockt. Den Rahmen setzt die Geschäftsleitung; die tägliche Koordination kann sie einer benannten Person übertragen.
Weil sich Risiken, Systeme und Personal ändern, ist ein ISMS kein einmaliges Projekt. Es läuft als wiederkehrender Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern.
Woraus ein ISMS besteht
Ein ISMS muss nicht aus dicken Handbüchern bestehen. Für einen kleinen Betrieb reichen anfangs wenige, aber verbindliche Bausteine:
| Baustein | Leitfrage | Beispiel aus einem kleinen Betrieb |
|---|---|---|
| Geltungsbereich | Welche Abläufe, Standorte und Systeme gehören dazu? | zunächst nur Auftragsabwicklung und Kundendaten |
| Leitlinie | Welche Ziele setzt die Geschäftsleitung? | eine Seite mit Zielen, Zuständigkeiten und Grundregeln |
| Risikobewertung | Was kann passieren, wie wahrscheinlich ist das, wie schwer wiegt es? | Serverausfall, verlorenes Notebook, gefälschte Zahlungsanweisung (CEO-Fraud) |
| Maßnahmenplan | Wer setzt was bis wann um? | zweiter Faktor für alle Fernzugänge bis zum Quartalsende |
| Rollen | Wer koordiniert, wer entscheidet? | Koordination durch eine benannte Person, Entscheidungen über Risiken bei der Leitung |
| Überprüfung | Wirken die Maßnahmen? | interne Kontrollen, ausgewertete Vorfälle, jährliche Bewertung durch die Leitung |
Aus der Überprüfung entstehen neue Aufgaben, die in den nächsten Maßnahmenplan einfließen. So schließt sich der Kreis.
Standards: ISO/IEC 27001 und IT-Grundschutz
Für den Aufbau gibt es anerkannte Vorlagen. International beschreibt die Norm ISO/IEC 27001 die Anforderungen an ein ISMS. Ein Unternehmen kann sich danach von einer unabhängigen Stelle zertifizieren lassen; Pflicht ist das nicht, die Norm lässt sich auch ohne Zertifikat als Leitfaden nutzen.
In Deutschland bietet das BSI als Cybersicherheitsbehörde des Bundes den IT-Grundschutz an. Der BSI-Standard 200-1 beschreibt allgemeine Anforderungen an ein Managementsystem für Informationssicherheit und ist laut BSI mit ISO/IEC 27001 kompatibel. Die Standards 200-2 und 200-3 ergänzen Vorgehensweise und Risikomanagement. Für kleinere Unternehmen hat das BSI einen Leitfaden zur Basis-Absicherung veröffentlicht, der einen überschaubaren Einstieg ermöglicht. Derzeit baut das BSI den IT-Grundschutz zu einem digitalen, maschinenlesbaren Regelwerk um; der bisherige Grundschutz bleibt während einer Übergangszeit von mehreren Jahren anwendbar (Stand: Oktober 2026).
Wie sich ein ISMS von verwandten Begriffen unterscheidet
Technische und organisatorische Maßnahmen (TOM): Die DSGVO verlangt in Art. 32 angemessene Maßnahmen zum Schutz personenbezogener Daten. Dazu kann ein Verfahren gehören, ihre Wirksamkeit regelmäßig zu überprüfen. Ein ISMS kann diese Anforderungen mit abdecken, reicht aber weiter, weil es auch Rezepturen, Kalkulationen oder die Verfügbarkeit von Systemen umfasst.
NIS2: Unternehmen, die unter das neue BSI-Gesetz fallen, müssen ihre Risiken analysieren, die Wirksamkeit ihrer Maßnahmen bewerten und das dokumentieren (§ 30 BSIG, Stand: Oktober 2026). Ein ISMS ist ein naheliegender Weg, diese Aufgaben zu ordnen und Nachweise zu führen.
IT-Dokumentation: Sie beschreibt, wie Systeme eingerichtet sind. Das ISMS entscheidet, was geschützt werden muss, und kontrolliert, ob die Einrichtung dazu passt. Beides ergänzt sich.
Ein Wachdienst fängt klein an
Angenommen, ein Wach- und Sicherheitsdienst mit 60 Beschäftigten plant seine Schichten über eine Einsatzsoftware und verwahrt für seine Kunden Objektpläne und Alarmcodes. Ein Kunde fragt, wie diese Unterlagen geschützt sind, und die Leitung will das Thema geordnet angehen.
Statt alles auf einmal zu erfassen, legt sie den Geltungsbereich eng fest: Einsatzplanung und Kundenunterlagen. In einem halbtägigen Termin bewerten Einsatzleitung, Verwaltung und IT-Betreuung die Risiken. Zwei Punkte stechen heraus: Die Alarmcodes liegen in einer Tabelle, die jeder Büroarbeitsplatz öffnen kann, und niemand weiß, wie die Schichten verteilt werden, wenn die Einsatzsoftware ausfällt.
Der Maßnahmenplan beschränkt den Zugriff auf die Kundenunterlagen auf die Einsatzleitung und legt sie verschlüsselt ab, dazu kommt ein ausgedruckter Notfallplan für die Schichtverteilung. Eine Verwaltungskraft übernimmt die Koordination. Nach sechs Monaten prüft die Leitung, was umgesetzt ist, und nimmt als Nächstes die Lohnabrechnung in den Geltungsbereich auf.
Warum ein ISMS für kleinere Unternehmen sinnvoll sein kann
Ohne festen Rahmen hängt Informationssicherheit leicht an einzelnen Personen und an dem, was zuletzt aufgefallen ist. Mit einem ISMS lässt sich dagegen sagen, welche Lücken bekannt sind, wer welche davon bis wann schließt und welche Risiken die Leitung bewusst trägt. Solche Antworten brauchen Sie, wenn Auftraggeber Nachweise verlangen oder der Fragebogen zur Cyberversicherung ausgefüllt werden muss.
Welche technischen Bausteine in einem Maßnahmenplan auftauchen können, etwa Endpoint-Schutz, Virenschutz oder abgesicherte Fernzugänge, beschreibt der Bereich IT-Sicherheit für Unternehmen. Diese Erklärung gibt einen allgemeinen Überblick und ersetzt keine Beratung zu Normen oder gesetzlichen Pflichten.