Checkliste: ISMS nach ISO 27001 einführen
Für: Geschäftsleitung, IT- und Sicherheitsverantwortliche
Aktualisiert: 2026-11
Die Einführung eines ISMS nach ISO 27001 folgt festen Schritten: Geltungsbereich festlegen, Rollen benennen, Werte inventarisieren, Risiken analysieren, Massnahmen in der Erklärung zur Anwendbarkeit auswählen, Richtlinien einführen, Mitarbeitende schulen, intern auditieren und die Leitung bewerten lassen.
Ein ISMS ist kein Projekt mit Enddatum, sondern ein Kreislauf. Die erste Runde legt aber die Grundlage für alles Weitere und entscheidet darüber, ob das System gelebt oder abgelegt wird.
Die Checkliste folgt der Struktur der Norm und hält jeden Schritt so schlank wie möglich.
Die Checkliste
- 01
Geltungsbereich festlegen
Bestimmen, welche Standorte, Leistungen und Systeme das ISMS umfasst, ausgerichtet an den Anforderungen der Kunden.
Erledigt, wenn: Der Geltungsbereich ist schriftlich festgelegt und von der Leitung bestätigt.
- 02
Rollen benennen
Eine verantwortliche Person für das ISMS bestimmen und Zuständigkeiten für Risiken und Massnahmen festlegen.
Erledigt, wenn: Rollen und Verantwortlichkeiten sind dokumentiert und bekannt.
- 03
Werte inventarisieren
Informationen, Systeme, Dienstleister und Standorte im Geltungsbereich erfassen.
Erledigt, wenn: Ein Inventar mit Verantwortlichen liegt vor.
- 04
Risiken analysieren
Bedrohungen und Schwachstellen bewerten und Risiken nach Eintrittswahrscheinlichkeit und Auswirkung einstufen.
Erledigt, wenn: Ein Risikoregister mit Bewertung und Behandlungsentscheid existiert.
- 05
Massnahmen auswählen
Massnahmen aus Anhang A auswählen und in der Erklärung zur Anwendbarkeit begründen, auch die ausgeschlossenen.
Erledigt, wenn: Die Erklärung zur Anwendbarkeit ist vollständig und begründet.
- 06
Richtlinien und Schulung
Schlanke Richtlinien einführen und alle Mitarbeitenden zu ihren Pflichten schulen.
Erledigt, wenn: Richtlinien sind veröffentlicht, Schulungsnachweise liegen vor.
- 07
Audit und Bewertung
Ein internes Audit durchführen und die Ergebnisse in der Managementbewertung behandeln.
Erledigt, wenn: Auditbericht und Protokoll der Managementbewertung sind vorhanden.
Häufige Fehler
- —Der Geltungsbereich wird zu gross gewählt und das Projekt verliert sich.
- —Richtlinien werden aus Vorlagen kopiert, die nicht zur Organisation passen.
- —Die Risikoanalyse bleibt abstrakt und führt nicht zu konkreten Massnahmen.
Was diese Checkliste nicht abdeckt
- —Die Checkliste ersetzt nicht die Norm selbst und keine Prüfung durch eine Zertifizierungsstelle.
- —Branchenstandards wie TISAX enthalten zusätzliche Anforderungen.
Übergeordnete Leistung: Cyber-Readiness & IT-Sicherheit
Häufige Fragen
Wer sollte das ISMS verantworten?
Eine Person mit Zeit, Rückhalt der Geschäftsleitung und Zugang zu allen Bereichen. In kleinen Firmen ist das oft die IT-Leitung oder ein Mitglied der Geschäftsleitung.
Brauchen wir ein spezielles Werkzeug?
Für den Anfang nicht zwingend. Viele KMU starten mit gut strukturierten Dokumenten und Tabellen und wechseln später bei Bedarf.
Weitere Checklisten
Checkliste: auf Lieferanten- und Sicherheitsfragebögen vorbereitet sein
Wer Sicherheitsfragebögen von Kunden erhält, sollte vorbereitet sein: eine verantwortliche Person, aktuelle Grundunterlagen zu Sicherheit und Datenschutz, eine Liste der eigenen Dienstleister, Nachweise für Backups und Zugriffsschutz, eine Antwortbibliothek und eine klare Regel, wie mit Lücken umgegangen wird.
Checkliste: Cyberversicherung abschliessen, ohne die Deckung zu gefährden
Eine Cyberversicherung wird in sieben Schritten sauber abgeschlossen: Bedarf und Risiken klären, die Grundmassnahmen umsetzen, die der Versicherer verlangt, den Fragebogen ehrlich und von der IT geprüft beantworten, Deckung und Summen vergleichen, Ausschlüsse verstehen, die Notfallregeln in den Incident-Response-Plan übernehmen und die Nachweise aktuell halten.
Checkliste: MCP-Server und KI-Agenten absichern
Ein MCP-Server wird in sieben Schritten abgesichert: den Anwendungsfall eng begrenzen, minimale Rechte pro Werkzeug vergeben, eigene Zugangsdaten statt geteilter Konten nutzen, folgenreiche Aktionen an menschliche Freigaben binden, Inhalte aus fremden Quellen als Daten behandeln, alle Aufrufe protokollieren und neue Server über einen Freigabeprozess einführen.