# ISMS im Mittelstand: Informationssicherheit aufbauen, ISO 27001 und TISAX vorbereiten > Ein Managementsystem für Informationssicherheit, das zur Unternehmensgröße passt: Geltungsbereich, Risiken, Richtlinien, Nachweise und der Weg zu einer Zertifizierung, wenn Kunden sie verlangen. URL: https://techport.ai/it-beratung/sicherheit-und-resilienz/isms-und-zertifizierung --- 1. [IT-Beratung](/it-beratung)/ 2. [Sicherheit und Resilienz](/it-beratung/sicherheit-und-resilienz)/ 3. Informationssicherheit aufbauen [Sicherheit und Resilienz](/it-beratung/sicherheit-und-resilienz) # Informationssicherheit aufbauen Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am 21\. August 2026 Ein Managementsystem für Informationssicherheit klingt nach Konzernstruktur mit eigenem Beauftragten und Aktenschränken voller Richtlinien. In der Praxis geht es um etwas Einfaches: zu wissen, welche Informationen und Systeme schützenswert sind, welche Risiken bestehen, welche Maßnahmen dagegen wirken und ob sie tatsächlich wirken. Der Anlass ist im Mittelstand selten die eigene Überzeugung. Meist sind es Kunden, die Nachweise verlangen, oder gesetzliche Pflichten. Beides führt zur selben Aufgabe, und die lohnt sich unabhängig vom Auslöser. ## Woran Sie es merken * Ein Kunde verlangt ein Zertifikat oder einen ausgefüllten Fragebogen, und die Antworten müssen erst erarbeitet werden. * Es gibt Sicherheitsmaßnahmen, aber keine Systematik, nach der entschieden wurde. * Richtlinien existieren, sind aber Jahre alt und im Alltag unbekannt. * Niemand prüft, ob die eingeführten Maßnahmen noch wirken. ## Warum das passiert Sicherheitsmaßnahmen entstehen im Mittelstand meist als Reaktion: auf einen Vorfall, auf eine Empfehlung des Dienstleisters, auf einen Bericht in der Presse. Jede einzelne ist sinnvoll, aber es fehlt der gemeinsame Rahmen, der zeigt, wo noch Lücken sind und wo bereits mehr getan wird als nötig. Ohne diesen Rahmen ist auch nicht feststellbar, ob das Sicherheitsniveau steigt oder ob nur die Zahl der Werkzeuge wächst. ## So gehen wir vor 1. **Geltungsbereich und Werte festlegen.** Wir bestimmen, welche Bereiche, Standorte und Prozesse einbezogen werden und welche Informationen und Systeme besonders schützenswert sind. Ein enger, gut umgesetzter Geltungsbereich ist mehr wert als ein weiter auf Papier. 2. **Risiken bewerten.** Wir erfassen Bedrohungen und Schwachstellen für diese Werte, bewerten sie nach Eintrittswahrscheinlichkeit und Auswirkung und entscheiden je Risiko, ob es reduziert, übertragen, vermieden oder bewusst getragen wird. Diese Entscheidung trifft die Leitung, nicht die IT. 3. **Maßnahmen und Richtlinien einführen.** Wir setzen die Maßnahmen um, die aus der Risikobewertung folgen, und schreiben nur die Richtlinien, die tatsächlich gebraucht werden, in einer Sprache, die im Betrieb verstanden wird. 4. **Wirksamkeit prüfen und verbessern.** Wir richten wiederkehrende Prüfungen ein, intern und wo nötig extern, und sorgen dafür, dass Vorfälle, Prüfergebnisse und Änderungen im Unternehmen zurück in die Risikobewertung fließen. ## Was Sie davon haben * Antworten auf Kundenfragebögen in Stunden statt in Wochen. * Sicherheitsmaßnahmen, die aus einer Bewertung folgen statt aus Einzelanlässen. * Eine Grundlage, auf der eine Zertifizierung möglich ist, wenn sie verlangt wird. ## Aus unseren Projekten Der häufigste Fehler ist ein zu weiter Geltungsbereich. Wer im ersten Anlauf das gesamte Unternehmen einbezieht, produziert Dokumente statt Sicherheit und verliert nach einigen Monaten die Unterstützung im Haus. Wir empfehlen, mit den Prozessen zu beginnen, die Kunden interessieren oder die gesetzlich betroffen sind, und danach zu erweitern. Der zweite regelmäßige Befund: Der Aufwand für die Erstzertifizierung wird überschätzt, der Aufwand für die Aufrechterhaltung unterschätzt. Ein Zertifikat ist drei Jahre gültig und wird jährlich überwacht, und diese jährliche Arbeit muss von Anfang an eingeplant sein. ## Gut zu wissen Für den Mittelstand gibt es mehrere Wege. Eine Zertifizierung nach ISO 27001 ist international anerkannt und wird von Kunden am häufigsten verlangt. Das BSI bietet die Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz an, die konkreter in den Anforderungen ist. Für den Einstieg gibt es abgestufte Vorgehensweisen wie die Basis-Absicherung des IT-Grundschutzes. In der Automobilbranche verlangen Hersteller regelmäßig TISAX, ein Prüf- und Austauschverfahren auf Basis der Anforderungen des Verbands der Automobilindustrie. Welcher Weg passt, entscheidet sich weniger nach Inhalt als danach, was Ihre Kunden anerkennen. ## Häufige Fragen Brauchen wir einen eigenen Informationssicherheitsbeauftragten? Eine benannte Rolle ja, eine eigene Stelle in den meisten mittelständischen Unternehmen nicht. Wichtig ist, dass die Person unabhängig genug ist, um Risiken auch dann zu benennen, wenn sie unbequem sind, und dass sie direkten Zugang zur Geschäftsleitung hat. In kleineren Häusern wird die Rolle häufig extern besetzt und im Haus durch eine Ansprechperson ergänzt. Was kostet eine Zertifizierung? Die Kosten der prüfenden Stelle sind meist der kleinere Teil. Der größere Teil ist die interne Arbeit für Aufbau, Dokumentation und Umsetzung der Maßnahmen, verteilt über sechs bis zwölf Monate. Belastbare Aussagen sind erst nach der Festlegung des Geltungsbereichs möglich, weil dieser den Aufwand stärker bestimmt als die Unternehmensgröße. ## Sprechen wir über Informationssicherheit aufbauen Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind. [Erstgespräch vereinbaren](/kontakt)[Unsere Beratung](/so-funktionierts) ## Weiterführend [Sicherheit und ResilienzNIS2 und CybersicherheitOb Ihr Unternehmen unter das neue BSI-Gesetz fällt, welche Pflichten daraus folgen, wie Risikomanagement, Meldewege und Lieferkette umgesetzt werden und was die Geschäftsleitung persönlich betrifft.](/it-beratung/sicherheit-und-resilienz/nis2-und-cybersicherheit)[IT-Governance und RechtIT-Pflichten im ÜberblickWelche IT-bezogenen Pflichten Ihr Unternehmen treffen, wer sie verantwortet, welche Nachweise nötig sind und wie Sie mit einer Pflichtenübersicht vorbereitet in jede Prüfung gehen.](/it-beratung/it-governance-und-recht/it-compliance)[Sicherheit und ResilienzBeschäftigte sensibilisierenWie Sensibilisierung wirkt statt zu nerven: reale Angriffsmuster zeigen, kurz und regelmäßig schulen, Meldekultur aufbauen, Führungskräfte einbeziehen und Wirkung messbar machen.](/it-beratung/sicherheit-und-resilienz/awareness-und-schulung)[WissenIT-Reifegrad-CheckIn zehn Minuten wissen, wo Ihre IT steht.](/it-beratung/reifegrad-check)[WissenIT-GlossarBegriffe aus IT, Software und Sicherheit, kurz erklärt.](/it-beratung/glossar) Zurück zum Feld [Sicherheit und Resilienz](/it-beratung/sicherheit-und-resilienz) ## Quellen * [ISO 27001-Zertifizierung auf Basis von IT-Grundschutz, BSI](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Zertifizierung-und-Anerkennung/Zertifizierung-von-Managementsystemen/ISO-27001-Basis-IT-Grundschutz/iso-27001-basis-it-grundschutz_node.html) * [IT-Grundschutz, BSI](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html) * [TISAX, ENX Association](https://www.enx.com/de-DE/TISAX/) Rt Geschrieben von [Redaktion techport.ai](/ueber-uns), IT-Beratung Mehr als 15 Jahre Erfahrung in IT-Projekten des Mittelstands, Auswahl und Einführung von Unternehmenssoftware, Aufbau von IT-Betrieb und Informationssicherheit in wachsenden Organisationen. Diese Seite gibt den Stand zum angegebenen Datum wieder und ersetzt keine Rechtsberatung. Bei konkreten Fragen arbeiten wir mit Ihren Rechtsberatern zusammen. [Mehr über uns](/ueber-uns) Weiter im Angebot [ Software Individuelle Prozesssoftware für den Mittelstand. ](/loesungen)[ HR-Beratung Personalarbeit, Prozesse und Systeme. ](/hr-beratung)[ IT-Reifegrad-Check In zehn Minuten zur Standortbestimmung. ](/it-beratung/reifegrad-check)[ HR-Reifegrad-Check 24 Aussagen, Ergebnis je Themenfeld. ](/hr-beratung/reifegrad-check)[ Förderung BAFA-Zuschuss und über 50 Programme für die Umsetzung. ](/foerderung)[ Prozesse in der Praxis Wie aus Abläufen belastbare Software wird. ](/sop-praxis)[ Daten und KI Auswertungen, Prognosen und Assistenzsysteme. ](/daten-ki)[ Über uns Wer hinter techport.ai steht. ](/ueber-uns)