Ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001:2022 gilt als zentraler Baustein moderner Unternehmensführung. Es schafft klare Strukturen, reduziert Risiken und macht Compliance zur gelebten Praxis. Doch zwischen Anspruch und Umsetzung liegt oft ein erheblicher Aufwand. Wie so oft stellt sich daher die Frage: Gibt es einen schnelleren Weg – oder widerspricht das der Logik wirksamer Informationssicherheit?
Eine fundierte Einordnung zeigt: Ein nachhaltiges ISMS nach ISO/IEC 27001:2022 entsteht nicht im Schnellverfahren, sondern erfordert Zeit, strukturiertes Vorgehen und organisatorische Verankerung.
Ein erfolgreich implementiertes ISMS nach ISO/IEC 27001:2022 basiert auf der richtigen Kombination aus organisatorischer Reife, gelebter Sicherheitskultur und effektivem Risikomanagement, um Risiken frühzeitig zu erkennen und nachhaltig zu steuern.
Unabhängig davon, wie «schlank», «digital» oder «vorgefertigt» ein ISMS beworben wird:
Eine ISO/IEC 27001-Zertifizierung folgt immer einem klar definierten, zweistufigen Auditverfahren durch eine akkreditierte Zertifizierungsstelle.
Diese beiden Schritte lassen sich weder zusammenlegen noch sinnvoll abkürzen:
In dieser Prüfung wird zunächst bewertet, ob die grundlegende Dokumentation des ISMS vorhanden ist und ob das Unternehmen die ausreichende Zertifizierungsreife für das Stage-2-Audit besitzt.
Geprüft werden dabei unter anderem:
Dabei ist entscheidend: Das Stage-1-Audit kann nicht bestehen, wenn das ISMS nur «auf dem Papier» existiert oder kurz zuvor erstellt wurde. Schon allein deshalb, weil die Umsetzung der Ergebnisse eines Stage-1-Audits typischerweise Zeit benötigt, um das System weiter zu etablieren und zu stabilisieren.
Ausserdem gut zu wissen: Zwischen Stage 1 und Stage 2 liegen üblicherweise bereits mehrere Wochen bis Monate. Nicht aus Willkür, sondern weil Massnahmen umgesetzt werden, Prozesse sich im Alltag bewähren und Verbesserungen nachweisbar sein müssen. Ein «ASAP-ISMS» mag Dokumente liefern. Ein zertifizierungsfähiges ISMS braucht jedoch Reife.
Erst im zweiten Schritt wird geprüft, ob das ISMS die Anforderungen der ISO/IEC 27001 tatsächlich wirksam erfüllt. Hierbei geht es nicht darum, perfekte Dokumente vorzuweisen, sondern nachvollziehbare Belege aus der Praxis. Dies erfolgt unter anderem durch Interviews mit Mitarbeitenden, Stichproben an Systemen sowie Prüfungen vorhandener Nachweise.
Bewertet werden insbesondere:
Üblicherweise zeigen sich im Stage-2-Audit die kritischsten und aufwendigsten Nicht-Konformitäten, die eine Zertifizierung verzögern oder verhindern können. Spätestens hier wird ein «ASAP-ISMS» oft als reines Papier-ISMS entlarvt – denn Wirksamkeit setzt Zeit voraus.
Setzen Sie auf nachhaltige Informationssicherheit statt auf Abkürzungen. Unsere Expert:innen führen Sie sicher zur ISO-Zertifizierung.
Ein ISMS ist kein blosser Dokumentensatz, sondern ein Managementsystem, das Menschen, Prozesse und Technologien verbindet. ISO/IEC 27001:2022 fordert nicht nur formal vorhandene Verfahren, sondern deren Wirksamkeit und gelebte Umsetzung, und genau das benötigt Zeit. Drei zentrale Aspekte entscheiden über Aufwand und Wirksamkeit:
Typische Stolperfallen in dieser Phase sind:
Vorlagen werden übernommen, ohne sie anzupassen
Zu viele Prozesse gleichzeitig statt schrittweise
Fehlendes Management-Commitment, was zu Ressourcenengpässen führt
Auditoren prüfen nicht nur die formale Einrichtung eines ISMS, sondern auch seine Wirksamkeit. Dafür muss das Managementsystem über einen gewissen Zeitraum aktiv betrieben worden sein, in der Regel mindestens drei Monate. Zentrale Nachweise hierfür sind:
Diese Nachweise erfordern Reife und Betriebserfahrung; ein neues ISMS ohne durchlaufenen Plan–Do–Check–Act-Zyklus reicht meist nicht aus.
Auditoren erkennen schnell, wenn ein ISMS nur formal existiert. In Zertifizierungsaudits führen solche Lücken oft zu Nonconformities, die den Erfolg einer ISO/IEC 27001:2022-Zertifizierung gefährden.
Typische Audit-Fälle:
Unvollständige Risikoanalyse
Beispiel: Ein Unternehmen legte eine Risikoübersicht vor, die nur generische Risiken enthielt. Kritische SaaS-Dienste und veraltete Betriebssysteme fehlten.
Die Folge: Major Nonconformity, da die Analyse die tatsächliche Lage nicht abbildet.
Normbezug: ISO/IEC 27001:2022, 6.1.2 und 6.1.3
Unklare Rollen im Incident Management
Beispiel: Eskalationsstufen wurden zwar dokumentiert, jedoch keine Verantwortlichkeiten. Verschiedene Abteilungen hatten widersprüchliche Vorstellungen davon, wer die Verantwortung trägt und Entscheidungen trifft.
Die Folge: Minor Nonconformity aufgrund fehlender Prozessklarheit. Normbezug: ISO/IEC 27001:2022, 5.3: «Rollen, Verantwortlichkeiten und Befugnisse in der Organisation»
Fehlende Umsetzung interner Audits
Beispiel: Interne Audits sollten jährlich stattfinden, tatsächlich lag das letzte Audit über 18 Monate zurück. Berichte waren unvollständig, offene Punkte nicht nachverfolgt.
Die Folge: Major Nonconformity aufgrund nicht eingehaltenem Auditzyklus. Normbezug: ISO/IEC 27001:2022, 9.2
Abweichungen zwischen Richtlinien und Praxis
Beispiel: Eine Richtlinie forderte die Verschlüsselung aller mobilen Endgeräte. Stichproben ergaben jedoch unverschlüsselte Laptops und fehlende technische Kontrollen.
Die Folge: Minor Nonconformity, da Richtlinien nicht wirksam umgesetzt wurden. Normbezug: Annex A.5.1 «Richtlinien für Informationssicherheit»
Geringe Mitarbeitersensibilisierung
Beispiel: Awareness-Kampagne geplant, aber nie durchgeführt. Mitarbeitende kannten grundlegende Sicherheitsanforderungen nicht.
Die Folge: Minor Nonconformity wegen unzureichender Schulung. Normbezug: Annex A.6.3: «Sensibilisierung, Schulung und Training»
Unternehmen, die ihr ISMS schnell implementieren oder zügig zertifizieren lassen wollen, zahlen oft einen hohen Preis: Verzögerungen, erhöhter Aufwand zur Behebung von Nonconformities, zusätzliche Auditkosten und Belastung interner Ressourcen.
Das vermeintlich schnelle Managementsystem verursacht so meist mehr Zeit- und Kostenaufwand als eine sorgfältige ISO 27001-Implementierung und Zertifizierung nach ISO/IEC 27001:2022-konformes ISMS.
Mit dem Erhalt des ISO-Zertifikats ist ein ISMS nicht abgeschlossen – es tritt in den kontinuierlichen Verbesserungsprozess ein. Informationssicherheit muss laufend überprüft, angepasst und weiterentwickelt werden.
Dazu gehören insbesondere:
Ein ISMS ist kein Projekt mit Enddatum, sondern ein dauerhaftes Managementsystem.
Der Wunsch nach einer schnellen Zertifizierung ist verständlich – nachhaltige Informationssicherheit lässt sich jedoch nicht beschleunigen.
Informationssicherheit braucht Reife statt Geschwindigkeit. Der Aufbau eines Managementsystems nach ISO/IEC 27001:2022 ist ein strategisches Projekt, das Zeit, Ressourcen und Managementunterstützung erfordert. Abkürzungen wie ein «ASAP-ISMS» führen oft zu Verzögerungen, Mehrkosten und Risiken im Zertifizierungsprozess.
Unsere Empfehlungen für Unternehmen:
Planen Sie realistische Projektlaufzeiten von 6–12 Monaten, abhängig von Grösse und Komplexität
Ein «ASAP-ISMS» mag verlockend klingen, doch nachhaltige Informationssicherheit lässt sich nicht abkürzen.
Bildlegende: mit KI generiertes Bild