ISO 27001-Implementierungszeitplan: Ein Leitfaden

Einführung

Die ISO 27001-Implementierung dauert je nach Größe, Reifegrad und Ressourcen typischerweise 6–18 Monate. Dieser Leitfaden zeigt einen realistischen phasenweisen Zeitplan.

Phase 1: Scoping & Gap-Analyse (Woche 1–4)

Der erste Schritt ist die Definition des ISMS-Umfangs und die Durchführung einer Gap-Analyse gegen die ISO 27001-Anforderungen. Dies identifiziert, was bereits vorhanden ist und was implementiert werden muss.

Lieferergebnisse: ISMS-Umfangsdokument, Gap-Analyse-Bericht, vorläufiger Projektplan und Ressourcenbedarf.

Phase 2: Risikobewertung & -behandlung (Woche 4–10)

Die Risikobewertung ist das Herzstück von ISO 27001. Sie umfasst die Identifizierung von Informationsassets, die Bewertung von Bedrohungen und Schwachstellen und die Bestimmung von Risikoniveaus.

Erstellen Sie einen Risikobehandlungsplan, der festlegt, wie jedes Risiko behandelt wird: mindern, übertragen, akzeptieren oder vermeiden.

Phase 3: Richtlinien & Dokumentation (Woche 8–16)

ISO 27001 erfordert umfangreiche Dokumentation, darunter die Informationssicherheitsrichtlinie, Erklärung zur Anwendbarkeit, Risikobewertungsmethodik und verschiedene operative Verfahren.

Fokussieren Sie auf die obligatorischen Dokumente zuerst und bauen Sie dann unterstützende Leitfäden und Arbeitsanweisungen auf.

Phase 4: Kontrollimplementierung (Woche 12–24)

Implementieren Sie die technischen und organisatorischen Kontrollen, die in Ihrem Risikobehandlungsplan identifiziert wurden. Dies umfasst die Konfiguration von Zugangskontrollen, die Bereitstellung von Sicherheitstools und die Schulung von Mitarbeitern.

Dies ist typischerweise die längste Phase und erfordert die Koordination über mehrere Teams hinweg.

Phase 5: Internes Audit & Management-Review (Woche 20–28)

Führen Sie ein internes ISMS-Audit durch, um die Konformität und Wirksamkeit zu bewerten. Die Ergebnisse fließen in das Management-Review ein, bei dem die Geschäftsleitung die ISMS-Leistung bewertet.

Beheben Sie alle gefundenen Nichtkonformitäten vor dem Zertifizierungsaudit.

Phase 6: Zertifizierungsaudit (Woche 24–32)

Das Zertifizierungsaudit besteht aus Stage 1 (Dokumentenprüfung, typischerweise remote oder kurzer Vor-Ort-Besuch) und Stage 2 (umfassende Vor-Ort-Bewertung, 3–10 Tage je nach Größe).

Nach erfolgreichem Bestehen wird das Zertifikat ausgestellt.

Wichtige Erkenntnisse

Die typische Implementierungsdauer liegt bei 6–12 Monaten für kleine/mittlere Organisationen und 12–18 Monaten für große. Der Schlüssel zum Erfolg liegt in früher Managementunterstützung, realistischer Planung und der Nicht-Unterschätzung des Dokumentationsaufwands.