ISMS Aufbau & Beratung: von der GAP-Analyse bis zur Zertifizierungsreife
Ein Informationssicherheits-Managementsystem schafft den organisatorischen Rahmen, um Informationsrisiken systematisch zu erkennen, zu bewerten und zu behandeln. Wir begleiten Sie von der Standortbestimmung über Risikomanagement und Maßnahmenumsetzung bis zur Auditreife. Dabei richten wir Ihr ISMS so aus, dass es mehrere Anforderungen möglichst effizient unterstützt.
Der passende Einstieg für Ihre Ausgangslage
Sie starten bei null
Wir prüfen vorhandene Sicherheitsmaßnahmen, identifizieren Lücken und entwickeln einen realistischen Fahrplan für den Aufbau Ihres ISMS.
Ihr ISMS wird nicht gelebt
Wir bewerten die tatsächliche Wirksamkeit, aktualisieren Risiken und Prozesse, reduzieren unnötige Dokumentation und verankern das ISMS wieder im Tagesgeschäft.
Sie müssen mehrere Anforderungen erfüllen
ISO/IEC 27001, NIS2, DORA, TISAX oder weitere Vorgaben müssen nicht zwangsläufig zu getrennten Systemen führen. Unser integrierter Ansatz bündelt gemeinsame Anforderungen und vermeidet Doppelarbeit.
Unser Vorgehen in sechs Schritten
- Standortbestimmung und GAP-Analyse: Abgleich des Ist-Zustands mit den relevanten Anforderungen und Erstellung eines priorisierten Maßnahmenplans.
- Kontext, Geltungsbereich und Organisation: Festlegung der einbezogenen Standorte, Prozesse und Systeme sowie der Rollen und Verantwortlichkeiten.
- Risikomanagement: Aufbau eines nachvollziehbaren Prozesses zur Identifikation, Bewertung und Behandlung von Risiken.
- Maßnahmen und Erklärung zur Anwendbarkeit: Auswahl und Dokumentation der erforderlichen Controls und ihrer Umsetzung.
- Dokumentation und Umsetzung: Erstellung schlanker Richtlinien und Konzepte sowie Begleitung der technischen und organisatorischen Maßnahmen.
- Wirksamkeitsprüfung und Auditreife: Internes Audit und Readiness-Check zur Vorbereitung auf das Zertifizierungsaudit.
Abbildung: Sechs Schritte von der Standortbestimmung bis zur Zertifizierungsreife – nach jedem Schritt liegt ein verwertbares Ergebnis vor.
Auch nach einer Zertifizierung muss das ISMS gepflegt, betrieben und regelmäßig überprüft werden.
Ein System, mehrere Nachweise
Viele Unternehmen müssen gleichzeitig normative, gesetzliche und kundenspezifische Anforderungen erfüllen. Getrennte Projekte führen häufig zu mehrfachen Risikoregistern, Maßnahmenkatalogen und Dokumentationsstrukturen.
Wir identifizieren die Schnittmengen und entwickeln ein gemeinsames Kontrollsystem. Dadurch können Maßnahmen, Nachweise und Prozesse mehrfach genutzt werden, während spezifische Anforderungen weiterhin gezielt ergänzt werden.
| Ausgangslage | Typische Kombination | Vorteil |
|---|---|---|
| Kritische Infrastruktur | ISO/IEC 27001, NIS2/NISG 2026, RKEG | Gemeinsames Risiko- und Maßnahmenmanagement |
| Finanzdienstleister | ISO/IEC 27001, DORA | DORA als gezielte Erweiterung des ISMS |
| Automotive-Zulieferer | ISO/IEC 27001, TISAX | Gemeinsame Strukturen für mehrere Nachweise |
| Cloud- und IT-Dienstleister | ISO/IEC 27001, BSI C5, ISAE 3402/SOC | Gebündelte Kontrollen und Nachweise |
Toolgestützte Umsetzung
GRC-Tools können Risiken, Maßnahmen, Nachweise, Verantwortlichkeiten und Fälligkeiten an einer Stelle zusammenführen. Wir unterstützen bei Toolauswahl, Einführung, Datenmigration und Schulung. Dabei prüfen wir auch, ob der Einsatz eines Tools zur Größe und zum Reifegrad Ihrer Organisation passt.
Weitere Standards und Rahmenwerke
ISO/IEC 27001 bildet häufig das Fundament. Je nach Branche oder Kundenanforderung integrieren wir weitere Rahmenwerke:
- BSI IT-Grundschutz: Unterstützung bei Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und Grundschutz-Check.
- BSI C5: Vorbereitung von Cloud-Anbietern auf die Prüfung sowie Bewertung vorhandener Testate.
- ISAE 3402 und SOC: Aufbau und Dokumentation interner Kontrollen sowie Prüfungsvorbereitung.
- TISAX: GAP-Analyse nach VDA ISA, Aufbau der erforderlichen Strukturen und Vorbereitung auf das Assessment.
Weitere gesetzliche Anforderungen wie NIS2, DORA, RKEG und KI-Regulierung finden Sie auf unserer Regulatorik-Seite.
Was Sie erhalten
- GAP-Analyse mit priorisiertem Maßnahmenplan
- Definierten Geltungsbereich und klare Verantwortlichkeiten
- Etablierten Risikomanagementprozess und Risikoregister
- Erklärung zur Anwendbarkeit
- Passende Richtlinien, Konzepte und Dokumentationsstrukturen
- Kennzahlen und Berichtswege für die Managementbewertung
- Internes Audit und Readiness-Check vor der Zertifizierung
- Wissenstransfer für die praktische Anwendung im Unternehmen
Wie lange dauert der ISMS-Aufbau?
Die Dauer hängt von Geltungsbereich, Reifegrad und verfügbaren internen Ressourcen ab. Eine GAP-Analyse schafft früh Klarheit über Aufwand, Prioritäten und einen realistischen Fahrplan. Genannte Zeiträume sind daher stets Erfahrungswerte und keine verbindlichen Zusagen.
Häufige Fragen
Brauchen wir zwingend eine Zertifizierung?
Nein. Ein ISMS kann auch ohne Zertifizierung dazu dienen, Risiken zu steuern oder gesetzliche Anforderungen zu erfüllen. Wir bauen es so auf, dass eine spätere Zertifizierung möglich bleibt.
Können wir mit einem Teilbereich starten?
Ja. Ein klar abgegrenzter Geltungsbereich, etwa ein Standort oder Geschäftsbereich, kann den Einstieg erleichtern und später erweitert werden.
Was unterscheidet GAP-Analyse und internes Audit?
Die GAP-Analyse zeigt zu Beginn den Abstand zwischen Ist-Zustand und Anforderungen. Das interne Audit prüft ein bestehendes ISMS formal auf Konformität und Wirksamkeit.
Begleiten Sie auch das Zertifizierungsaudit?
Wir bereiten Ihr Unternehmen darauf vor und begleiten den Prozess. Das Zertifizierungsaudit selbst wird durch eine akkreditierte Zertifizierungsstelle durchgeführt. Beratung und Zertifizierung bleiben voneinander getrennt.
Sprechen wir über Ihr ISMS
Ob Erstaufbau, Wiederbelebung oder Erweiterung um zusätzliche Anforderungen: In einem unverbindlichen Erstgespräch klären wir Ihre Ausgangslage und entwickeln einen realistischen nächsten Schritt.
Zertifikate prüfen
Ich suche eine Lösung, kenne aber deren Bezeichnung nicht 
