Dieser Leitfaden richtet sich an Unternehmen mit etwa 10 bis 50 Mitarbeitenden, an Praxen und kleine Dienstleister. Er beschreibt einen Weg in drei Abschnitten zu je 30 Tagen. Die 90 Tage sind eine Methode, kein Versprechen: Wie lange es bei Ihnen dauert, hängt von Ausgangslage, Umfang und verfügbarer Zeit ab.
Kleine Unternehmen brauchen dieselben Nachweise, nicht denselben Aufwand.
Was „Nachweis“ bedeutet
Ein Kunde oder Auditor will keine Ordner voller Dokumente sehen. Er will verstehen, dass Sie Informationssicherheit steuern. Dazu gehören sechs Bausteine:
- Leitlinie: ein kurzes Dokument, in dem die Geschäftsführung festlegt, was Sicherheit für Ihr Unternehmen bedeutet.
- Verantwortlichkeiten: wer zuständig ist, wer vertritt, wer entscheidet.
- Risikobewertung: was schiefgehen kann, wie wahrscheinlich es ist und was es kosten würde.
- Umgesetzte Maßnahmen: was Sie gegen diese Risiken tun.
- Nachweise: Belege, dass die Maßnahmen wirklich umgesetzt sind.
- Überprüfung: ein fester Termin, an dem Sie das Ganze ansehen und verbessern.
Fehlt einer dieser Bausteine, merkt das ein erfahrener Prüfer schnell.
Tage 1 bis 30: Grundlage schaffen
Geltungsbereich festlegen. Entscheiden Sie, was zum Projekt gehört: das ganze Unternehmen, ein Standort, ein Produkt oder eine Dienstleistung. Für den Anfang reicht oft der Bereich, nach dem Ihr Kunde fragt.
Verantwortliche Person benennen. Eine Person treibt das Projekt voran und berichtet an die Geschäftsführung. In kleinen Unternehmen ist das häufig die IT-Leitung oder die Geschäftsführung selbst.
Betroffenheit klären. Prüfen Sie, ob Gesetze wie NIS2 für Sie gelten oder ob vor allem Kunden Nachweise verlangen. Der kostenlose Betroffenheits-Check gibt in wenigen Minuten eine erste Einschätzung.
Ein Regelwerk wählen. Starten Sie mit genau einem Regelwerk, meist ISO/IEC 27001 oder dem, das Ihr Kunde verlangt. Weitere Regelwerke kommen später dazu; viele Maßnahmen zählen dann mehrfach.
Gap-Analyse. Gehen Sie die Anforderungen des Regelwerks durch und markieren Sie für jede: umgesetzt, teilweise, offen oder nicht zutreffend. Ehrlich, nicht wohlwollend. Das Ergebnis ist Ihr Ausgangspunkt.
Tage 31 bis 60: Maßnahmen planen und beginnen
Maßnahmenplan aufstellen. Machen Sie aus jeder Lücke eine Maßnahme mit Verantwortlichem und Termin. Ordnen Sie nach Risiko: MFA für Fernzugriff und ein getestetes Backup sind meist wichtiger als ein perfektes Dokumentenverzeichnis.
Vorlagen anpassen. Sie müssen Leitlinie, Zugangsregelung oder Notfallplan nicht neu erfinden. Nehmen Sie Vorlagen und passen Sie sie an Ihr Unternehmen an. Ein kurzes Dokument, das stimmt, ist besser als ein langes, das niemand liest.
Erste Risiken bewerten. Beginnen Sie mit zehn bis zwanzig Risiken, die Sie wirklich beschäftigen: Ausfall eines zentralen Systems, Ransomware, Verlust eines Laptops, ein ausfallender Dienstleister. Bewerten Sie Eintritt und Auswirkung und verknüpfen Sie jedes Risiko mit den Maßnahmen, die es senken.
Tage 61 bis 90: Nachweise und Überprüfung
Nachweise sammeln. Für jede umgesetzte Maßnahme brauchen Sie etwas, das Sie zeigen können: einen Screenshot der MFA-Einstellung, das Protokoll eines Wiederherstellungstests, eine Teilnehmerliste der Schulung. Legen Sie den Nachweis direkt bei der Maßnahme ab, mit Datum.
Management-Review. Die Geschäftsführung sieht sich Stand, offene Punkte und Risiken an und entscheidet über das weitere Vorgehen. Halten Sie Ergebnis und Entscheidungen schriftlich fest.
Interne Prüfung. Jemand, der die Maßnahmen nicht selbst umgesetzt hat, prüft stichprobenartig: Stimmt der Nachweis? Ist er aktuell? Das kann eine Kollegin aus einem anderen Bereich oder ein externer Berater sein.
Export für Kunde oder Auditor. Stellen Sie den Stand so zusammen, dass ein Dritter ihn ohne Ihre Erklärung versteht: Geltungsbereich, Leitlinie, Risikobewertung, Maßnahmen mit Status und Nachweisen.
Nachweise schlagen Dokumente: Jede Maßnahme braucht etwas, das Sie zeigen können.
Was ein kleines Unternehmen am Anfang weglassen kann
Weglassen oder verschieben können Sie:
- ein zweites oder drittes Regelwerk
- ausführliche Prozessbeschreibungen für Abläufe, die zwei Personen betreffen
- eine eigene Software für jede Teilaufgabe
- ein Kennzahlensystem mit Dutzenden Werten
Nicht weglassen sollten Sie:
- MFA für Fernzugriff, E-Mail und Administration
- ein Backup, dessen Wiederherstellung Sie getestet haben
- geregelte Zugänge, auch beim Austritt von Mitarbeitenden
- einen einfachen Ablauf für Sicherheitsvorfälle: wer meldet, wer entscheidet, wen Sie anrufen
- eine kurze jährliche Schulung für alle
Excel oder Software: ein ehrlicher Vergleich
Eine Tabelle reicht, solange eine Person alles pflegt, ein Regelwerk gilt und niemand nach dem Stand von vor sechs Monaten fragt.
Sie stößt an Grenzen, wenn:
- mehrere Personen Maßnahmen umsetzen und gleichzeitig in derselben Datei arbeiten,
- Nachweise Versionen haben und Sie zeigen müssen, welcher Stand wann galt,
- Audits sich wiederholen und Sie jedes Jahr dieselben Unterlagen neu zusammensuchen,
- ein zweites Regelwerk dazukommt und Sie Maßnahmen doppelt pflegen,
- ein Kunde oder Auditor Zugriff auf ausgewählte Nachweise braucht, aber nicht auf alles.
Was ein Projekt mit eigenem Personal, mit Beratung oder mit Software ungefähr kostet, können Sie mit dem kostenlosen Compliance-Kostenrechner für Ihre Lage durchrechnen.
So unterstützt Complass
- Schritt-für-Schritt-Anleitung je Regelwerk: mit Erklärungen, Checklisten und Dokumentvorlagen, die Sie anpassen.
- Gap-Analyse und Maßnahmenplan: Lücken erkennen, Maßnahmen mit Verantwortlichen und Terminen steuern.
- Risikoregister: Risiken bewerten und mit Maßnahmen verknüpfen.
- Nachweise bei der Maßnahme: Belege dort ablegen, wo ein Prüfer sie sucht.
- Audit-Export: ein verschlüsseltes Paket mit Prüfsummen für Kunde oder Auditor.
- Zeitlich begrenzter Auditorenzugang: Ihr Auditor sieht nur die Projekte, die Sie festlegen, und nur bis zum Ablaufdatum. Was er geöffnet hat, sehen Sie im Protokoll.
- MFA für jede Person und Hosting in Deutschland.
Das Paket Start enthält ein Regelwerk und passt zum Einstieg. Für Arzt- und Zahnarztpraxen gibt es das Paket Praxis. Sie können Complass 14 Tage testen, ohne Zahlungsdaten.
Ihr 90-Tage-Plan
| Zeitraum | Aufgabe | Ergebnis |
|---|---|---|
| Tage 1–30 | Geltungsbereich, verantwortliche Person, Betroffenheit, ein Regelwerk | Projektauftrag der Geschäftsführung |
| Tage 1–30 | Gap-Analyse gegen das Regelwerk | Liste: umgesetzt, teilweise, offen |
| Tage 31–60 | Maßnahmenplan nach Risiko | Maßnahmen mit Verantwortlichen und Terminen |
| Tage 31–60 | Vorlagen anpassen, Leitlinie verabschieden | Leitlinie und Kernregelungen |
| Tage 31–60 | Erste Risiken bewerten | Risikoregister mit 10 bis 20 Einträgen |
| Tage 61–90 | Nachweise je Maßnahme | Belege mit Datum |
| Tage 61–90 | Management-Review, interne Prüfung | Protokoll mit Entscheidungen |
| Tage 61–90 | Export für Kunde oder Auditor | Prüfbares Paket |
Checkliste
- Geltungsbereich ist festgelegt und schriftlich festgehalten.
- Eine verantwortliche Person ist benannt.
- Ein Regelwerk ist gewählt, die Gap-Analyse ist abgeschlossen.
- Jede Lücke hat eine Maßnahme mit Verantwortlichem und Termin.
- Die Geschäftsführung hat die Leitlinie verabschiedet.
- Die wichtigsten Risiken sind bewertet und mit Maßnahmen verknüpft.
- MFA, getestetes Backup, Zugangsregelung und Vorfallablauf sind umgesetzt.
- Jede umgesetzte Maßnahme hat einen Nachweis mit Datum.
- Management-Review und interne Prüfung sind dokumentiert.
- Der nächste Review-Termin steht im Kalender.
Weiterlesen
- Whitepaper „ISO 27001: Der Weg zur Zertifizierung – für Unternehmen jeder Branche“
- Compliance-Kostenrechner: Was kostet Ihr Projekt mit eigenem Personal, Beratung oder Software?
- Betroffenheits-Check: Welche Gesetze gelten für Ihr Unternehmen?
Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall.