ISMS-Implementierung in 12 Monaten — realistischer Zeitplan für Mittelständler

Die Frage „Wie lange dauert ein ISMS-Aufbau?” wird in Erstgesprächen oft mit verzweifelter Hoffnung gestellt. Die hoffnungsvolle Antwort lautet sechs Monate. Die realistische Antwort lautet zwölf. Und die ehrliche Antwort lautet: Es hängt davon ab, ob die Geschäftsleitung das ISMS als Compliance-Projekt oder als Steuerungs-Instrument begreift.

Dieser Beitrag zeigt einen realistischen 12-Monats-Plan für österreichische Mittelständler, die vom Start ohne strukturiertes ISMS zur Stage-2-Audit-Reife nach ISO 27001:2022 wollen. Der Plan ist nicht der minimalistische Compliance-Sprint und auch nicht das Konzern-Programm mit 20 Mitarbeitenden in der Sicherheitsabteilung. Er ist der Weg, der für ein KMU mit 100 bis 300 Mitarbeitenden in der Praxis funktioniert — wenn die drei häufigsten Verzögerungs-Punkte aktiv vermieden werden.

Drei Quellen, ein Plan

Der ISMS-Aufbau speist sich aus drei normativen Ebenen, die zusammen den Compliance-Rahmen und die operative Methodik liefern:

• ISO/IEC 27001:2022 Clauses 4 bis 10 → das Pflichten-Gerüst. Sieben Hauptkapitel definieren, was ein ISMS strukturell enthalten muss: Kontext-Analyse (Clause 4), Top-Management-Commitment (5), Planung und Risikobewertung (6), Support-Strukturen (7), Operation (8), Performance-Bewertung (9), Verbesserung (10). Plus Annex A mit 93 Controls. Wer alle Clauses dokumentiert abdeckt, ist Zertifizierungs-reif.
• ISO/IEC 27002:2022 → die Implementation-Tiefe. Für jedes Control im Annex A liefert ISO 27002 die Implementation Guidance — typischerweise zwei bis drei Seiten konkrete Hinweise pro Control. Das verkürzt die Diskussion „Wie machen wir das eigentlich?” auf eine standardisierte Vorlage.
• ISO/IEC 27005:2022 → die Risiko-Methodik. Die Risikobewertung und das Treatment-Konzept sind das Herzstück jedes ISMS. ISO 27005 liefert den Prozess in vier Schritten: Kontext (Clause 6), Identifikation (7.2), Analyse und Bewertung (7.3 und 7.4), Treatment (Clause 8) mit den Optionen Modify, Retain, Avoid, Share.

Für österreichische Unternehmen kommt eine vierte Ebene dazu, die den Plan oft erst auslöst: § 32 NISG 2026 verlangt ab 1. Oktober 2026 von wesentlichen und wichtigen Einrichtungen die Umsetzung von Risikomanagement-Maßnahmen in zehn Mindestbereichen — die sich praktisch deckungsgleich auf die ISO-27001-Anforderungen abbilden lassen (siehe Drittparteienmanagement-Artikel für das konkrete Lieferketten-Mapping). Wer ISO 27001 implementiert, erfüllt damit den Großteil der NIS2-Pflichten gleich mit.

Die 12 Monate im Überblick

Der Plan teilt sich in fünf Phasen, die aufeinander aufbauen — keine kann übersprungen werden, ohne dass die spätere Audit-Reife wackelt.

Phase	Monate	Schwerpunkt	Output
1. Kontext + Commitment	1–2	Scope, Top-Management-Buy-in, Stakeholder-Analyse, Politik-Entwurf	ISMS-Scope-Statement, Informationssicherheits-Politik, Rollen-Zuweisung
2. Risiko-Bewertung + SoA	3–5	Asset-Inventar, Risiko-Identifikation, Bewertung, Statement of Applicability (SoA)	Risiko-Register, Risiko-Behandlungs-Plan, SoA für 93 Annex-A-Controls
3. Controls-Implementierung	6–9	Schrittweise Umsetzung der ausgewählten Controls, Prozess-Definition, Schulungen	Implementierte Controls, Verfahrens-Dokumentation, dokumentierte Schulungen
4. Internes Audit + Mgmt Review	10–11	Erstes vollständiges internes Audit, Mängel-Behebung, Management-Bewertung	Audit-Bericht, Korrekturmaßnahmen-Liste, dokumentiertes Management Review
5. Stage-1 Audit-Vorbereitung	12	Dokumentations-Review durch externen Zertifizierer, ggf. Mängel-Behebung	Stage-1-Audit-Bericht, Freigabe für Stage 2

Das Modell setzt voraus, dass zumindest eine 0,5-Vollzeitäquivalent-Ressource intern dauerhaft auf das Projekt zugewiesen ist und dass externe Beratung im Umfang von 30 bis 60 Beratertagen über den 12-Monats-Zeitraum verteilt verfügbar ist. Wer weniger interne Bandbreite hat, dehnt die Phasen auf 15 bis 18 Monate; wer die Beratung weglässt, schafft die 12 Monate in der Praxis fast nie.

Monat 1 bis 2 — Kontext, Scope, Top-Management-Commitment

ISO 27001 Clause 4 (Context of the Organization) und Clause 5 (Leadership) sind nicht zufällig die ersten Kapitel der Norm. Sie sind die Voraussetzung dafür, dass das ISMS überhaupt eine Chance hat, in der Organisation verankert zu werden. Drei konkrete Outputs sind in diesen ersten zwei Monaten Pflicht:

Scope-Statement. Welche Bereiche, Standorte, Geschäftsprozesse, Informations-Assets sind im Geltungsbereich des ISMS? Welche werden bewusst ausgeschlossen, mit dokumentierter Begründung? Das Scope-Statement entscheidet über den späteren Audit-Aufwand. Wer den Scope zu groß zieht, zahlt mehr Auditor-Tage und braucht mehr Controls; wer ihn zu eng zieht, riskiert Lücken in der NIS2-Compliance.

Stakeholder- und Anforderungs-Analyse (Clause 4.2). Welche internen und externen Parteien stellen Sicherheits-Anforderungen? Kunden, Lieferanten, Aufsichtsbehörden, der Gesetzgeber. Für österreichische Unternehmen gehören dazu konkret das NISG 2026 (sofern betroffen), die DSGVO, gegebenenfalls TISAX-Anforderungen aus Automotive-Lieferketten, branchenspezifische Frameworks. Diese Sammlung wird zur Grundlage für die SoA-Begründung in Phase 2.

Top-Management-Commitment (Clause 5.1) plus Politik (5.2) plus Rollen-Zuweisung (5.3). Die Geschäftsleitung muss aktiv sichtbar werden — durch eine unterschriebene Informationssicherheits-Politik, durch die explizite Zuweisung der ISMS-Verantwortung (typischerweise an einen externen CISO oder einen internen Sicherheits-Verantwortlichen) und durch das Bereitstellen der Ressourcen. ISO 27001 macht das nicht zur Empfehlung. Es ist eine Anforderung, deren Verletzung im Audit als Nichtkonformität geflaggt wird.

Häufiger Fehler in dieser Phase: die Politik wird zu generisch geschrieben und dann nie wieder angefasst. Eine wirksame Politik ist zwei bis vier Seiten, nimmt Bezug auf die identifizierten Anforderungen und Risiken, und definiert messbare Ziele für das nächste Jahr.

Monat 3 bis 5 — Risikobewertung und Statement of Applicability

ISO 27001 Clause 6 ist methodisch der anspruchsvollste Teil und kostet in der Praxis am meisten Zeit. Vier Schritte stehen an:

Risikokriterien definieren (Clause 6.1.2.a). Welche Schwellen gelten als „akzeptabel” und welche nicht? Üblich sind dreistufige Skalen für Wahrscheinlichkeit und Schadenshöhe, multipliziert zu einer Risiko-Bewertung mit definierten Akzeptanz-Grenzen. Diese Kriterien sollten unternehmensweit einheitlich sein, sonst widersprechen sich spätere Treatment-Entscheidungen.

Risiken identifizieren (Clause 6.1.2.c). Asset-bezogen (welche Informations-Assets gibt es, welche Schwachstellen, welche Bedrohungen?) oder Event-bezogen (welche Szenarien sind realistisch?). ISO 27005 erlaubt beide Ansätze; in der Praxis ist die Event-bezogene Methode für Mittelständler oft greifbarer (z. B. Ransomware-Angriff, Lieferanten-Kompromittierung, Insider-Threat, Cloud-Provider-Ausfall).

Analysieren und bewerten (Clause 6.1.2.d und 6.1.2.e). Wahrscheinlichkeit und Auswirkung pro identifiziertem Risiko, dann Abgleich gegen die Akzeptanz-Kriterien aus Schritt 1. Das Ergebnis ist die Priorisierung für die Behandlung.

Risiko-Treatment-Plan (Clause 6.1.3) plus Statement of Applicability (SoA). Für jedes nicht-akzeptable Risiko wird eine Behandlung gewählt: Modify (Controls anwenden), Retain (mit Begründung akzeptieren), Avoid (Aktivität einstellen), Share (versichern oder ausgliedern). Das SoA dokumentiert, welche der 93 Annex-A-Controls anwendbar sind, ob sie umgesetzt sind, und warum nicht-anwendbare ausgelassen werden. Das SoA ist das wichtigste Audit-Dokument — Auditoren prüfen, ob die Begründungen tragfähig sind.

Die ehrliche Phase: dieser Block dauert in der Praxis drei volle Monate, nicht weil die Methodik kompliziert ist, sondern weil die Asset-Inventarisierung in den meisten Mittelständlern unvollständig ist und Stunden um Stunden braucht. Ein strukturierter Cyber Reality Check am Anfang dieser Phase verkürzt das spürbar, indem er das Asset-Inventar in zwei Wochen pragmatisch erstellt.

Monat 6 bis 9 — Controls implementieren und Prozesse operationalisieren

Mit dem SoA in der Hand beginnt die operative Umsetzungsphase. Die im SoA als anwendbar gekennzeichneten Controls aus dem Annex A werden schrittweise implementiert, wobei ISO 27002 für jedes Control die Implementation Guidance liefert. Vier typische Schwerpunkte ziehen am meisten Aufwand:

Lieferanten-Beziehungen (A.5.19 bis A.5.23). Die im Drittparteienmanagement-Artikel detailliert beschriebenen Controls. Verträge mit Tier-A-Anbietern müssen die NIS2- und ISO-Anforderungen aufnehmen; ein Drittparteien-Konzept dokumentiert die Tier-Einteilung und das Monitoring.

Asset-Management und Zugriffskontrolle (A.5.9 bis A.5.18, A.8.2 bis A.8.5). Vollständige Asset-Listen, Zugriffsrechte nach Need-to-Know, Multi-Faktor-Authentifizierung für privilegierte Konten, Konten-Lifecycle-Prozesse. Wer das nicht ordentlich hat, hat es im Audit am sichtbarsten.

Incident-Management (A.5.24 bis A.5.30). Schriftlicher Incident-Response-Plan, definierte Eskalations-Pfade, Beweissicherungs-Prozess, regelmäßige Übungen. Verzahnt sich eng mit der NIS2-Meldepflicht — siehe den Vorfallsmeldungs-Artikel.

Schulungen (Clause 7.3 und A.6.3). Awareness-Programm für alle Mitarbeitenden mit IT-Zugriff, plus spezifische Schulungen für die Leitungsorgane (auch durch § 31 NISG 2026 verpflichtend). Die Schulungs-Dokumentation muss prüfbar sein: Teilnehmerlisten, Schulungsinhalte, Nachweis-Tests.

Parallel zur Control-Umsetzung läuft die Dokumentation gemäß Clause 7.5 — Verfahrensanweisungen, Aufzeichnungen, Versionskontrolle. Diese Dokumentation ist nicht Selbstzweck. Sie ist das, was im Audit vorgelegt wird, wenn der Auditor fragt „Wie machen Sie das?”

Monat 10 bis 11 — Internes Audit und Management Review

ISO 27001 Clause 9.2 verlangt, dass die Organisation mindestens ein vollständiges internes Audit durchführt, bevor die externe Zertifizierung möglich ist. Das interne Audit ist die letzte Gelegenheit, Mängel zu erkennen, bevor sie im externen Audit teuer werden.

Die interne Auditierung muss durch eine objektive und unparteiische Person erfolgen (Clause 9.2.2.b). In der Praxis heißt das: Wer für die ISMS-Implementierung verantwortlich war, kann nicht das interne Audit machen. Drei Wege sind üblich:

• Interner Auditor aus einem anderen Bereich der Organisation, der nicht an der ISMS-Implementierung beteiligt war (z. B. Compliance oder Interne Revision).
• Externer Auditor, der nicht später Stage-1- oder Stage-2-Audit macht. Vorteil: Erfahrung mit ISO-27001-Audit-Logik. Nachteil: zusätzliche Kosten.
• Buddy-Audit mit einem anderen Unternehmen, das parallel ISO 27001 aufbaut — funktional ähnlich wie der externe Auditor, oft kostengünstiger, aber abhängig von der Reife des Buddy-Unternehmens.

Nach dem internen Audit folgt das Management Review nach Clause 9.3. Die Geschäftsleitung bewertet das ISMS dokumentiert — Performance, Risiko-Status, Audit-Befunde, Verbesserungsvorschläge. Dieser Schritt ist nicht optional. Das Management Review ist der Audit-relevante Beweis, dass die Top-Führung das ISMS aktiv steuert.

Monat 12 — Stage-1-Audit und Übergang zum externen Zertifizierer

Wenn alles plangemäß läuft, beginnt im Monat 12 der externe Zertifizierungsprozess. Stage-1 ist die Dokumenten-Prüfung: Die Zertifizierungsstelle prüft die ISMS-Politik, das SoA, das Risiko-Register, den Treatment-Plan, die Politik-Dokumentation und das Management-Review-Protokoll. Stage-1 dauert typischerweise ein bis zwei Tage und endet mit einem Bericht: entweder „bereit für Stage-2” oder „diese Mängel müssen vor Stage-2 behoben werden”.

Stage-2 (die Vor-Ort-Prüfung) liegt nicht mehr im 12-Monats-Plan. Sie folgt typischerweise ein bis drei Monate nach erfolgreichem Stage-1. Wer auf den 12-Monats-Plan einen Stage-2-Termin direkt aufschlägt, hat keinen Puffer für Nachbesserungen und kämpft im schlimmsten Fall mit Major Nonconformities am Stage-2.

Welche Zertifizierungsstellen in Österreich akkreditiert sind und wie die Kosten zu kalkulieren sind, ist Gegenstand des eigenen ISO-27001-Zertifizierungs-Artikels. Wichtig hier: Die Auswahl des Zertifizierers gehört in Monat 3 oder 4, nicht in Monat 11.

Drei Verzögerungs-Punkte, die jeden Plan kosten

In der Beratungspraxis fallen drei Mängel-Muster immer wieder auf — wer sie aktiv vermeidet, schafft die 12 Monate; wer sie überraschend trifft, braucht 15 bis 18.

Asset-Inventar wird unterschätzt. Die Liste der Informations-Assets in einem Mittelständler mit 200 Mitarbeitenden umfasst typischerweise 80 bis 150 Einträge — von ERP-Systemen über Cloud-Dienste, Datenbank-Instanzen, Geräte-Kategorien bis zu Papier-Dokumenten und Wissensträgern. Die initiale Erstellung dauert nicht zwei, sondern sechs Wochen, weil viele Assets nirgendwo systematisch geführt waren. Wer in Monat 3 mit der Risiko-Bewertung anfängt, ohne dass das Asset-Inventar fertig ist, muss zurückspringen.

Top-Management-Commitment bleibt formal. Die Politik ist unterschrieben, aber die Geschäftsführung kommt nicht zu den Steuerungs-Meetings, das Budget für Schulungen kommt mit Verzögerung, das Management Review wird in 30 Minuten abgehakt. Im Audit wird das sichtbar — die ISO-27001-Anforderung an Clause 5 ist substanziell, nicht formal. Der häufigste Fix: ein monatlicher 30-Minuten-Termin mit der Geschäftsführung als ISMS-Steuerungs-Routine, ab Monat 1 etabliert.

Schulungen werden auf Monat 11 geschoben. Awareness-Programme und Leitungsorgan-Schulungen brauchen Vorlauf — Inhalte, Dienstleister, Termine. Wer das auf den letzten Monat schiebt, hat keine Nachweis-Dokumentation für das interne Audit. Schulungen gehören in den 12-Monats-Plan ab Monat 7 verteilt, nicht en bloc am Ende.

Wann das 12-Monats-Modell scheitert und was dann hilft

Drei Konstellationen sprechen gegen die 12-Monats-Logik und für einen längeren Plan:

Multi-Standort-Komplexität. Wer mehr als drei Standorte mit eigenen IT-Strukturen hat, multipliziert Asset-Inventar, Risiko-Bewertung und Schulungen — 15 bis 18 Monate sind realistisch. Alternative: Scope-Reduktion auf einen Pilot-Standort, dann nachrücken nach Zertifizierung.

Stark heterogene IT-Landschaft. Wer eine Mischung aus Legacy-Systemen ohne Hersteller-Support, mehreren ERP-Generationen und wild gewachsenen Cloud-Implementierungen hat, kann viele Annex-A-Controls nicht in 4 Monaten ausrollen. Hier verschiebt sich die Phase 3 (Controls-Implementierung) auf 6 bis 9 Monate, der Gesamtplan auf 15 bis 18.

Knappe interne Kapazität. Wer die 0,5-Vollzeitäquivalent-Ressource intern nicht stellen kann, muss sie extern beschaffen — durch externe CISO-Begleitung — oder den Plan dehnen. Ohne dedizierten internen Eigentümer scheitert das ISMS in der Operationalisierungs-Phase.

In keinem dieser Fälle ist eine Verlängerung ein Misserfolg. Sie ist die ehrliche Anerkennung der Ausgangslage. Schlechter ist der Versuch, einen 18-Monats-Aufwand in 12 Monaten zu drücken, weil dann die Dokumentations-Substanz unter dem Auditor-Mikroskop nicht hält.

Fazit — drei konkrete Schritte vor dem Start

Bevor der 12-Monats-Plan losgeht, sollte die Geschäftsführung drei Vorentscheidungen treffen:

1. Scope ehrlich definieren — was ist im ISMS-Geltungsbereich, was nicht, und warum? Diese Entscheidung kostet in Monat 1 zwei bis drei Stunden Vorbereitung mit der Geschäftsleitung. Sie spart sechs Monate später viel Audit-Diskussion. Als Grundlage hilft das ISO-27001-Cheat-Sheet: Es ordnet 16 Kontrollbereiche in vier Reifegrade ein und zeigt, welche davon schon auf Implementation stehen und in Monat 3 bis 5 nur noch Nachweise brauchen.

2. ISMS-Eigentümer benennen — ein interner Sicherheits-Verantwortlicher oder ein externer CISO mit klarem Mandat. Diese Person braucht die explizite Top-Management-Rückendeckung. Ohne benannten Eigentümer scheitert das Projekt in der Implementierungsphase.

3. Beratungs-Mandat strukturieren — 30 bis 60 Beratertage über 12 Monate verteilt, mit klaren Phasen-Abschlüssen und definierten Übergabe-Punkten. Ein Cyber Governance Setup bietet diesen Rahmen typischerweise; alternativ kann das Mandat phasen-weise vergeben werden.

Wer diese drei Vorentscheidungen sauber trifft, hat zum Start des Monats 1 die wichtigsten Stellschrauben gestellt. Was danach kommt, ist diszipliniertes Ausführen — keine Heldentat, aber auch keine Trivialität. Zwölf Monate Aufbau zahlen sich in zehn bis fünfzehn Jahren Audit-Reife aus, in denen die ISO-27001-Zertifizierung den Lieferanten-Status absichert und die NIS2-Compliance gleich mit erfüllt.