Kein Informationssicherheits-Managementsystem gleicht dem anderen – und doch wiederholen sich die Bausteine. Aus Dutzenden ISMS-Projekten haben wir eine ISMS-Blaupause entwickelt, die wir aktuell bei meheren Unternehmen einsetzen. Parallel begleiten wir Mandaten als externer Informationssicherheitsbeauftragter (ISB). In diesem Beitrag erklären wir, was die Blaupause ausmacht, wann ein externer ISB sinnvoll ist, wann ein Coaching-Ansatz besser passt – und warum der Aufwand von Unternehmen zu Unternehmen so unterschiedlich ausfällt.
Wissensmanagement, Automatisierung und KI machen ein ISMS zum Alltagswerkzeug statt zum Aktenordner. | Bildquelle: von Shayful Islam GFX | Bild Nr.: 2060465619
Warum eine Blaupause – und warum keine Schablone
Die ISO 27001 verlangt, dass ein ISMS zur Organisation passt. Das spricht auf den ersten Blick gegen jede Standardisierung. Auf den zweiten Blick zeigt sich jedoch: Die Bausteine eines wirksamen ISMS sind in jedem Unternehmen dieselben – Wissen, Schulung, Dokumentation, Risikomanagement, Nachweise. Was sich unterscheidet, ist ihre Ausprägung. Unsere Blaupause standardisiert deshalb nicht das Ergebnis, sondern den Weg dorthin. Sie nimmt den Projekten die Unsicherheit, verkürzt die Zeit bis zur Wirksamkeit und sorgt dafür, dass Informationssicherheit im Unternehmen bleibt, wenn das Projekt vorbei ist.
Die sieben Bausteine der Blaupause
1. Wissensmanagement
Informationssicherheit scheitert selten an fehlenden Richtlinien, sondern daran, dass niemand weiß, wo sie stehen und was sie bedeuten. Wir bauen deshalb von Anfang an eine zentrale, durchsuchbare Wissensbasis auf, in der Richtlinien, Prozesse, Nachweise und Entscheidungen zusammenlaufen – für Mitarbeitende ebenso zugänglich wie für Auditoren.
2. Schulungen
Von der Geschäftsführungsschulung nach NIS-2 über rollenspezifische Trainings für IT und Fachbereiche bis zur Awareness für alle Mitarbeitenden – abgestuft, wiederholbar und dokumentiert. Schulung ist in der Blaupause kein einmaliges Ereignis, sondern ein Prozess mit festem Rhythmus.
3. Vorlagenpakete
Richtlinien, Verfahrensanweisungen, Verzeichnisse und Formulare, die die Norm vollständig abdecken und sich mit vertretbarem Aufwand auf die Organisation anpassen lassen. Mehrsprachig, damit internationale Standorte nicht außen vor bleiben – bei Zwilling Beauty ebenso wichtig wie bei Mandanten mit Werken außerhalb Deutschlands.
4. KI-Unterstützung zur Einbettung in die Unternehmens-DNA
Wir nutzen KI-gestützte Werkzeuge, um Richtlinien in verständliche Sprache zu übersetzen, Fragen der Mitarbeitenden direkt aus der Wissensbasis zu beantworten und Nachweise zu strukturieren. Ziel ist, dass Informationssicherheit im Alltag ankommt – nicht nur im Ordner. Datenschutz und Vertraulichkeit bleiben dabei gewahrt: Die Werkzeuge arbeiten auf den Dokumenten des Unternehmens, nicht auf öffentlichen Diensten.
5. Tool-Automatisierung
Wiederkehrende Aufgaben – Berechtigungsreviews, Nachweise sammeln, Maßnahmen nachverfolgen, Audits vorbereiten – werden so weit wie möglich automatisiert. Das senkt den laufenden Aufwand, erhöht die Verlässlichkeit und macht den Zustand des ISMS jederzeit sichtbar.
6. Risikomanagement, leicht verständlich
Ein Risikomanagement, das nur der Berater versteht, ist wertlos. Unsere Methode ist bewusst einfach gehalten, sodass Fachbereiche ihre Risiken selbst bewerten können und die Geschäftsführung die Ergebnisse ohne Übersetzung liest. Genau das erwartet die Norm: ein Risikomanagement, das Entscheidungen steuert, nicht eines, das Tabellen füllt.
7. Viele Anforderungen, ein System
ISO 27001, NIS-2, TISAX, DSGVO, Kundenanforderungen, Branchenstandards – die Blaupause bildet unterschiedliche Regelwerke in einem gemeinsamen Managementsystem ab, statt für jedes ein eigenes zu bauen. Neue Anforderungen werden auf die bestehenden Maßnahmen gemappt, nicht daneben gestellt.
Zwei Wege: externer ISB oder Coaching
Die Blaupause lässt sich auf zwei Arten einsetzen – und viele Mandanten kombinieren beide.
Beim Coaching-Ansatz befähigen wir das Unternehmen, das ISMS selbst zu betreiben. Wir liefern Struktur, Vorlagen und Methodik, schulen die internen Verantwortlichen und ziehen uns schrittweise zurück. Das ist der richtige Weg für Organisationen, die eigene Kapazitäten aufbauen wollen und können – und die Informationssicherheit dauerhaft als eigene Kompetenz verstehen.
Als externer ISB übernehmen wir die Rolle dauerhaft: Wir steuern das Managementsystem, führen interne Audits durch, bereiten Managementbewertungen vor, begleiten Überwachungsaudits und sind Ansprechpartner für Kunden, Auditoren und Behörden. Bei Hufnagel und Zwilling Küche nehmen wir diese Rolle wahr – eingebunden in die Organisation, aber mit dem Blick von außen, der für ein wirksames ISMS so wichtig ist.
In der Praxis beginnen viele Mandanten mit dem externen ISB, um das System aufzubauen und die Zertifizierung zu erreichen, und wechseln danach schrittweise in den Coaching-Modus, in dem interne Mitarbeitende immer mehr Aufgaben übernehmen.
Warum der Aufwand so unterschiedlich ist
Die häufigste Frage in Erstgesprächen lautet: Was kostet ein ISMS? Die ehrliche Antwort: Das hängt von drei Faktoren ab.
- Größe und Scope. Ein Standort mit 50 Mitarbeitenden ist etwas anderes als eine Unternehmensgruppe mit Auslandsgesellschaften und mehreren Werken.
- Branche. Ein IT-Dienstleister, ein Hersteller mit Produktion und ein Konsumgüterunternehmen wie Zwilling Beauty haben unterschiedliche Risikoprofile, Kundenanforderungen und Regelwerke.
- Interne Aufgabenübernahme. Je mehr das Unternehmen selbst leistet, desto geringer der externe Aufwand – aber desto höher der interne. Diese Entscheidung sollte bewusst getroffen werden.
Die Blaupause macht diesen Aufwand kalkulierbar, weil die Bausteine bekannt sind und wir aus Erfahrung wissen, welche davon in welcher Konstellation wie viel Arbeit bedeuten. Das Ergebnis ist ein Angebot, das zur Organisation passt – und keine Überraschung im dritten Projektmonat.
Was die Blaupause nicht ist
Die Blaupause ist keine Abkürzung und kein Zertifikat aus der Schublade. Jede Richtlinie muss zur Organisation passen, jedes Risiko muss echt bewertet werden, jeder Nachweis muss stimmen. Was die Blaupause leistet, ist etwas anderes: Sie macht den Weg planbar und das Ergebnis dauerhaft. Genau das erleben wir gerade bei der ITES GmbH und bei Zwilling Beauty – und genau das ist unser Anspruch als externer ISB bei Hufnagel und Zwilling Küche.
Sie überlegen, ob ein externer Informationssicherheitsbeauftragter oder ein Coaching-Ansatz für Ihr Unternehmen der richtige Weg ist? Unsere Coaches von itsecuritycoach beraten Sie gern – ehrlich, auch wenn die Antwort lautet, dass Sie weniger brauchen, als Sie denken. Nehmen Sie Kontakt auf und vereinbaren Sie ein unverbindliches Beratungsgespräch.
Externer ISB: Sicherheit organisieren statt Papier produzieren
ISO 27001, NIS-2, TISAX – ohne eigene Vollzeitstelle, planbar und auditfest. In 15 Minuten klären wir, welches ISB-Modell zu Ihrem Unternehmen passt.
