So läuft es heute in den meisten Unternehmen
Der Einstieg ist fast überall derselbe. Jemand überträgt die Anforderungen in eine Tabelle – entweder die Controls aus Anhang A der ISO/IEC 27001 oder die Bausteine und Anforderungen des BSI IT-Grundschutzes. Am Ende steht eine Datei mit über 90 Zeilen, meist „ISMS_Kontrollen.xlsx" oder „Massnahmenplan_ISMS.xlsx", mit Spalten für Anforderung, Umsetzungsstand, Kommentar und – wenn es gut läuft – für eine verantwortliche Person.
Auf dem zweiten Tabellenblatt liegt der Maßnahmenplan. Dort steht, was noch zu tun ist: Passwortrichtlinie überarbeiten, Berechtigungen im ERP prüfen, Notfallkonzept aktualisieren, Dienstleister neu bewerten. Die Nachweise liegen wieder woanders – in einem Ordner auf dem Fileshare, sortiert nach Kapitelnummern: „05_Organisatorische_Massnahmen", „08_Technische_Massnahmen". Darin Screenshots, Konfigurationsauszüge, unterschriebene Richtlinien als PDF und gelegentlich eine ausgedruckte E-Mail als Beleg dafür, dass eine Freigabe tatsächlich erteilt wurde.
Das ist ein vernünftiger Anfang. Eine Tabelle ist sofort verfügbar, sie kostet nichts, jede und jeder kann sie bedienen, und für die erste Bestandsaufnahme ist sie das schnellste Werkzeug überhaupt. Auch die Aufteilung ist nachvollziehbar: Bewertung, Maßnahmen und Belege haben nun einmal unterschiedliche Formate. Die Schwierigkeiten entstehen deshalb nicht beim Aufbau – sie entstehen im Betrieb.
Denn ein Managementsystem ist kein Dokument, das einmal geschrieben wird. Es ist ein Zyklus: bewerten, Maßnahmen ableiten, umsetzen, nachweisen, erneut bewerten. Genau dieser Zyklus findet in der Tabelle nicht statt. Zwischen zwei Audits passiert dort in der Regel nichts, weil nichts und niemand daran erinnert. Ein Server wird ersetzt, eine Fachanwendung kommt hinzu, eine Abteilung wird ausgelagert, die Zwei-Faktor-Authentisierung wird endlich ausgerollt – die Zeile in Spalte C sagt weiterhin „teilweise erfüllt", weil niemand die Datei öffnet, wenn kein Termin ansteht.
Der Moment, in dem es auffällt
Sichtbar wird das in drei Situationen: wenn das interne Audit ansteht, wenn ein Zertifizierungsaudit oder ein Überwachungsaudit terminiert ist, oder wenn ein Kunde im Rahmen einer Lieferantenprüfung nach dem Stand des ISMS fragt. Dann beginnt eine Woche Zusammenkopieren. Die Tabelle wird durchgegangen, für jede Zeile wird der Ordner nach passenden Nachweisen durchsucht, die Anwendbarkeitserklärung wird aus einer dritten Datei aktualisiert, und der Maßnahmenplan wird von Terminen bereinigt, die längst verstrichen sind. Wer diese Woche schon einmal erlebt hat, kennt den Punkt, an dem niemand mehr sicher sagen kann, ob ein Beleg noch gilt oder nur noch alt ist.
Die Frage der prüfenden Person lautet aber nicht „Haben Sie eine Kontrollenliste?". Sie lautet: „Zeigen Sie mir zu A.8.16 den aktuellen Nachweis, die zugehörige Maßnahme, wer sie verantwortet und bis wann sie umgesetzt ist." Auf diese Frage hat eine Tabelle keine Antwort – nicht wegen mangelnder Sorgfalt, sondern weil sie über den Zusammenhang zwischen Anforderung, Nachweis, Maßnahme und Termin strukturell nichts weiß.
Die Analyse
Fünf Probleme, die jede Kontrollen-Tabelle erzeugt
Sie treten unabhängig davon auf, wie sorgfältig die Tabelle geführt wird – sie sind Eigenschaften des Werkzeugs, nicht der Person.
Maßnahmen und Regelwerke in preeco ansehenDer Umsetzungsstand altert zwischen zwei Audits
Eine Tabelle erinnert an nichts. Sie wird geöffnet, wenn ein Audit ansteht, und danach ein Jahr lang nicht mehr. Der dokumentierte Stand beschreibt deshalb regelmäßig das Unternehmen von vorgestern – und wird ausgerechnet in der Prüfung zum Befund.
Nachweise liegen getrennt von der Anforderung
Die Kontrolle steht in Zeile 47, der Beleg dazu in einem Ordner auf dem Fileshare. Welcher Screenshot zu welcher Anforderung gehört, weiß nur die Person, die ihn abgelegt hat. Fällt sie aus, beginnt die Nachweissuche von vorn.
Die Anwendbarkeitserklärung lebt in einer dritten Datei
Anwendbarkeit, Einbeziehungsgrund und die Begründung von Ausschlüssen werden separat gepflegt. Ändert sich die Bewertung einer Anforderung, weicht die Erklärung zur Anwendbarkeit still von der Kontrollenliste ab – und beide Stände widersprechen sich im Audit.
Maßnahmen ohne Verantwortliche und ohne Termin
Auf dem zweiten Tabellenblatt steht, was zu tun ist, aber selten, wer es tut und bis wann. Ohne Zuständigkeit und Frist bleibt der Maßnahmenplan eine Absichtserklärung, die im nächsten Audit unverändert vorgelegt wird.
Risiken, Assets und Maßnahmen sind nicht verbunden
Die Risikoanalyse liegt als Word-Datei vor, die Systemliste als eigene Tabelle, die Maßnahmen als drittes Dokument. Damit lässt sich nicht belegen, dass eine Maßnahme ein konkretes Risiko an einem konkreten Asset reduziert – genau das aber ist der Kern eines Managementsystems.
Der Soll-Prozess in sechs Schritten
Ein tragfähiges ISMS unterscheidet sich von einer Kontrollen-Tabelle nicht durch mehr Inhalt, sondern durch einen Ablauf, der auch dann weiterläuft, wenn kein Audit ansteht. Diese sechs Schritte beschreiben ihn – unabhängig davon, mit welchem Werkzeug Sie arbeiten.
1. Den vorhandenen Stand übernehmen, nicht neu bewerten. Die bestehende Tabelle ist die Grundlage. Umsetzungsstand, Kommentare und Begründungen werden den strukturierten Feldern zugeordnet, statt ein zweites Mal erhoben zu werden. Was bereits dokumentiert ist, bleibt erhalten.
2. Einen Anforderungskatalog aktivieren statt Zeilen zu pflegen. Die Anforderungen kommen aus einem einsatzbereiten Katalog – für ISO/IEC 27001 oder, als kostenpflichtige Option, für BSI IT-Grundschutz, CISIS12 und VdA ISA. Damit entfällt das manuelle Abtippen des Normtexts, und die Struktur bleibt über Jahre vergleichbar.
3. Bewertung, Anwendbarkeit und Ausschluss an einer Stelle führen. Jede Anforderung erhält Umsetzungsstatus und Reifegrad. Anwendbarkeit, Einbeziehungsgrund und die Begründung eines Ausschlusses werden direkt an der Anforderung erfasst und gehen so in die Erklärung zur Anwendbarkeit (SoA) ein. Eine dritte Datei wird nicht mehr gebraucht.
4. Nachweise am Objekt ablegen. Der Beleg gehört an die Anforderung, nicht in einen Ordner. Nachweise werden direkt hochgeladen oder per Link von der Person angefordert, die sie liefern kann; auslaufende Nachweise werden automatisch geprüft. Ein Nachweis, der für mehrere Anforderungen gilt, wird einmal hinterlegt und mehrfach verknüpft.
5. Maßnahmen mit Verantwortlichen und Fristen versehen. Aus einer Abweichung entsteht unmittelbar eine Maßnahme mit zuständiger Person und Termin. Der Maßnahmenplan ist damit kein Tabellenblatt mehr, sondern eine Arbeitsliste – und jede Benutzergruppe sieht nur die Anforderungen, Aufgaben und Fristen, die ihr zugewiesen sind.
6. Wiederkehrend bewerten statt anlassbezogen aufholen. Wiedervorlagen terminieren die nächste Überprüfung, das Cockpit zeigt den Erfüllungsgrad als Heatmap, Liste oder Board, und regelmäßige Momentaufnahmen machen die Entwicklung über die Zeit sichtbar. Der Zyklus läuft, ohne dass jemand ihn im Kopf behält.
Warum Datenschutz und Informationssicherheit zusammengehören
preeco | datenschutz und preeco | informationssicherheit teilen sich eine Plattform. Wer beide Produkte lizenziert, arbeitet auf einem gemeinsamen Datenbestand und wechselt per Schalter zwischen beiden Ansichten. Das ist kein Verkaufsargument, sondern ein Pflegeargument: Assets und Datenverarbeitungssysteme, technische und organisatorische Maßnahmen und die Schulungen der Mitarbeitenden werden einmal gepflegt und nicht in zwei Ablagen doppelt geführt.
In der Tabellenwelt ist genau das die zweite große Fehlerquelle. Die Systemliste des Datenschutzes und die Asset-Liste der Informationssicherheit beschreiben dieselben Server, dieselben Cloud-Dienste und dieselben Dienstleister – nur mit unterschiedlichem Stand. Spätestens wenn ein Anbieter gewechselt wird, muss jemand daran denken, beide Dateien zu ändern. Meistens denkt niemand daran.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: Kontrollen-Tabelle | Nachher: strukturiertes ISMS |
|---|---|---|
| Pflegeaufwand | Eine Person pflegt über 90 Zeilen für alle Bereiche | Zuständige bewerten die ihnen zugewiesenen Anforderungen selbst |
| Aktualität | Wird nur vor einem Audit angefasst | Wiedervorlagen und wiederkehrende Bewertung mit festem Turnus |
| Nachweise | Ordner auf dem Fileshare, getrennt von der Anforderung | Direkt an der Anforderung, mehrfach verknüpfbar, mit Ablaufprüfung |
| Anwendbarkeit (SoA) | Eigene Datei, die vom Kontrollenstand abweicht | Bewertung, Einbeziehungsgrund und Ausschlussbegründung an der Anforderung |
| Maßnahmen | Zweites Tabellenblatt ohne Zuständigkeit und Termin | Maßnahme mit verantwortlicher Person, Frist und Statusverfolgung |
| Zusammenhänge | Risikoanalyse, Assets und Maßnahmen als getrennte Dokumente | Assets, Risikoanalysen, TOMs und Audits dauerhaft verknüpft |
| Auditvorbereitung | Eine Woche Zusammenkopieren vor jedem Termin | Bericht als PDF oder DOCX aus dem laufenden Stand |
| Ausfallrisiko | Ablagelogik und Begründungen liegen bei einer Person | Prozess, Historie und Aktivitätenprotokoll liegen im System |
In der Praxis
So sieht das in preeco | informationssicherheit aus
Die drei Bausteine, die den beschriebenen Prozess tragen.
Maßnahmen und Regelwerke
Richtlinien, Leitlinien und technische sowie organisatorische Maßnahmen zentral erstellen, versionieren und freigeben. Jede Maßnahme hat eine klare Verantwortlichkeit und ist mit Risiken, Assets und Audits verknüpft.
Audits und Audit-Kataloge
Einsatzbereite Anforderungskataloge für ISO/IEC 27001 und SiKoSH sowie Audit-Kataloge für BSI IT-Grundschutz, CISIS12 und VdA ISA (optional, kostenpflichtig). Erfüllungsgrade, Nachweise und Maßnahmen werden je Anforderung dokumentiert und als Bericht exportiert.
Risikoanalysen
Schutzbedarfs-, Ressourcen-, Schwellwert- und Gefährdungsanalysen mit frei definierbaren Ereignissen und Risikostufen. Risiken werden direkt mit Maßnahmen verknüpft, freigegebene Analysen automatisch revisioniert.
Was der Umstieg praktisch bedeutet
Der häufigste Einwand lautet, das ISMS müsse dann von vorn bewertet werden. Das ist nicht der Fall. Die vorhandene Bewertung wird übernommen, den strukturierten Feldern zugeordnet und dort ergänzt, wo die Tabelle ohnehin nichts hergab: bei der Zuständigkeit, beim Termin und beim Nachweis. Genau diese Lücken sind der eigentliche Gewinn – sie werden sichtbar, bevor eine Auditorin oder ein Auditor sie sichtbar macht.
Der Aufwand liegt selten in der Technik. Er liegt in der inhaltlichen Klärung: Wer verantwortet welche Anforderung, welches Asset steckt tatsächlich dahinter, und welcher Nachweis ist noch gültig. Diese Arbeit fällt ohnehin an – im Tabellenmodell nur gebündelt in der Woche vor dem Audit statt verteilt über das Jahr.
Drei Fehler, die den Umstieg unnötig schwer machen
Mit dem vollständigen Katalog starten wollen. Beginnen Sie mit den Anforderungen, die im letzten Audit auffällig waren, und mit denen, für die bereits Nachweise vorliegen. Der Rest folgt im Turnus, nicht in einer Kraftanstrengung.
Nachweise weiter im Ordner lassen. Wer die Bewertung in ein System überträgt, die Belege aber auf dem Fileshare belässt, hat die Tabellenlogik nur umgezogen. Der Nachweis an der Anforderung ist der Punkt, an dem die Auditvorbereitung tatsächlich kürzer wird.
Die Fachbereiche außen vor lassen. Ein ISMS, das ausschließlich die Informationssicherheitsbeauftragte oder der Informationssicherheitsbeauftragte pflegt, bleibt so fragil wie zuvor – nur in einer anderen Oberfläche. Erst verteilte Zuständigkeit macht den Zyklus unabhängig von einzelnen Personen.
Woran Sie erkennen, dass es Zeit ist
Eine Kontrollen-Tabelle ist kein Fehler. Sie wird erst dann zum Risiko, wenn mindestens einer dieser Punkte zutrifft:
- Der Umsetzungsstand wurde seit dem letzten Audit nicht mehr angefasst.
- Sie können zu einer beliebigen Anforderung den zugehörigen Nachweis nicht in einer Minute zeigen.
- Die Erklärung zur Anwendbarkeit weicht von der Kontrollenliste ab.
- Im Maßnahmenplan stehen Termine, die verstrichen sind, ohne dass jemand nachgehalten hat.
- Eine Zertifizierung, ein Überwachungsaudit oder eine Kundenprüfung steht an.
Trifft davon nichts zu, ist die Tabelle in Ordnung. Trifft davon zwei oder mehr zu, arbeitet sie bereits gegen Sie.
FAQ
Häufige Fragen zum ISMS-Aufbau
Weder die ISO/IEC 27001 noch der BSI IT-Grundschutz schreiben ein bestimmtes Werkzeug vor. Für die erste Bestandsaufnahme ist eine Tabelle völlig ausreichend. Kritisch wird sie im laufenden Betrieb: Ein Managementsystem verlangt eine wiederkehrende Bewertung, nachvollziehbare Nachweise und Maßnahmen mit Verantwortlichen und Fristen. Genau diese drei Punkte bildet eine Tabelle nicht ab.
Nein. Der vorhandene Umsetzungsstand wird übernommen und den strukturierten Feldern zugeordnet. Ergänzt wird nur, was in der Tabelle gefehlt hat – typischerweise die verantwortliche Person, die Frist und der Verweis auf den passenden Nachweis. Eine vollständige Neubewertung ist weder nötig noch sinnvoll.
Einen gesetzlich fixierten Turnus gibt es nicht. In der Praxis hat sich eine jährliche Überprüfung des gesamten Katalogs bewährt, ergänzt um anlassbezogene Bewertungen bei neuen Systemen, veränderten Dienstleistern, sicherheitsrelevanten Vorfällen oder organisatorischen Umbauten. Entscheidend ist, dass die Überprüfung terminiert ist und nicht vom nächsten Audit ausgelöst wird.
An die Anforderung selbst. Sobald Anwendbarkeit, Einbeziehungsgrund und die Begründung eines Ausschlusses direkt bei der jeweiligen Anforderung dokumentiert sind, kann die Erklärung zur Anwendbarkeit nicht mehr vom bewerteten Stand abweichen. In preeco | informationssicherheit wird sie über den Anforderungskatalog dokumentiert, gemeinsam mit Umsetzungsstatus, Reifegrad und begründeten Ausnahmen.
Nein, und das sollte auch niemand versprechen. Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle nach einem Audit aus. Eine Software liefert die Grundlage dafür: bewertete Anforderungen, Nachweise am Objekt, Maßnahmen mit Verantwortlichen und Fristen sowie eine nachvollziehbare Historie über Revisionen und Aktivitätenprotokoll. Die inhaltliche Arbeit und die Entscheidung der Zertifizierungsstelle nimmt sie niemandem ab.
Ihre Kontrollen-Tabelle gemeinsam durchgehen
Bringen Sie Ihre bestehende Liste mit. In 30 Minuten zeigen wir, wie die Übernahme läuft und an welchen Stellen die Nachweise fehlen.