Informationssicherheit und ISMS
Ich begleite Unternehmen, Organisationen und Behörden beim Aufbau und bei der Weiterentwicklung ihres ISMS nach ISO 27001 oder BSI IT-Grundschutz. Von Bestandsaufnahme und Gap-Analyse über Risikobehandlung bis zur Prüfungsvorbereitung: Aufgaben, Schutzbedarf und vorhandene Strukturen bestimmen das Vorgehen.
Marc PölckowPersönliche Beratung · Hannover und bundesweitZusammenarbeit
Wir klären Ziele, Geltungsbereich und Anforderungen und nutzen geeignete Abläufe und Unterlagen weiter. Aufgaben und Dokumentation müssen zu Ihrer Organisation und ihren Kapazitäten passen.
ISMS-Aufbau
Wenn Sie Informationssicherheit erstmals systematisch organisieren oder verteilte Einzelmaßnahmen zusammenführen möchten. Geeignete Dokumente und Abläufe werden weiterverwendet.
ISMS-Weiterentwicklung
Bei vorhandener Dokumentation, offenen Auditfeststellungen oder veränderten Anforderungen: Ich unterstütze dabei, Lücken einzuordnen, Maßnahmen nachzuverfolgen und die nächste Prüfung vorzubereiten.
Was Sie in der Hand haben
Die Arbeitsergebnisse unterscheiden sich je nach gewähltem Ansatz. Die Beispiele zu ISO 27001 und IT-Grundschutz sind getrennt ausgewiesen; Umfang und Tiefe richten sich nach dem vereinbarten Auftrag und Ihrem Ist-Stand.
Meine Arbeitsweise kennenlernenDer gemeinsame Weg
Bei einer Vorgehensweise nach BSI IT-Grundschutz gehören dazu Strukturanalyse, Schutzbedarfsfeststellung, die Auswahl passender Bausteine und der IT-Grundschutz-Check. Wo erforderlich, ergänzen wir eine Risikoanalyse und leiten priorisierte Maßnahmen ab.
Wir besprechen Anlass, Ziel, Verantwortlichkeiten und verfügbare Ressourcen. Ein möglicher Zertifizierungsumfang wird frühzeitig abgegrenzt.
Ich prüfe vorhandene Strukturen und Nachweise mit Ihnen. Lücken und Informationssicherheitsrisiken werden anhand vereinbarter Kriterien bewertet.
Wir priorisieren die Risikobehandlung, begründen die Kontrollauswahl und ordnen Umsetzung, Zuständigkeiten und Nachweise in einer gemeinsamen Planung.
Offene Punkte, interne Audits und Managementbewertung werden vorbereitet. Die Ergebnisse fließen in Verbesserungen und gegebenenfalls die Zertifizierungsvorbereitung ein.
Für ein erstes Gespräch
Ein kurzer Überblick reicht zunächst aus. Vorhandene Unterlagen sichten wir anschließend im vereinbarten Rahmen.
Häufige Fragen
Die wichtigsten Fragen zu Umfang, Zusammenarbeit und Verantwortung.
ISO/IEC 27001 legt Anforderungen an ein risikobasiertes Managementsystem für Informationssicherheit fest. Notwendige Kontrollen werden aus Risiken und Anforderungen abgeleitet und mit Annex A abgeglichen. BSI IT-Grundschutz beschreibt mit den BSI-Standards und dem IT-Grundschutz-Kompendium ein Vorgehen über Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und IT-Grundschutz-Check; Risikoanalysen ergänzen es, wo erforderlich. Für ein ISMS nach ISO 27001 ist IT-Grundschutz keine Voraussetzung. Beide Ansätze können bei Bedarf kombiniert werden, etwa bei einer ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz.
Nein. Die erforderlichen Kontrollen werden aus Risiken und Anforderungen abgeleitet und mit Annex A der ISO/IEC 27001:2022 abgeglichen. Die SoA begründet ihre Einbeziehung, den Umsetzungsstand und etwaige Ausschlüsse. Eine pauschale Übernahme aller Kontrollen ersetzt diese Bewertung nicht.
Ja. Bestehende Richtlinien, Risikoanalysen, Maßnahmen und Auditnachweise sind eine sinnvolle Ausgangsbasis. Zuerst prüfen wir, was zum tatsächlichen Geltungsbereich passt, aktuell ist und im Betrieb angewendet wird. Fehlende Bausteine werden gezielt ergänzt.
Gemeinsame Maßnahmen und Nachweise können im ISMS koordiniert werden, etwa zu Risiken, Zugriffen und Vorfällen. Die jeweiligen Anwendungsbereiche und gesetzlichen Pflichten bleiben eigenständig. Eine ISO-27001-Zertifizierung belegt daher nicht automatisch die vollständige Erfüllung von NIS-2 oder DSGVO.
Die Leitung trägt Verantwortung für Ausrichtung, Ressourcen und Wirksamkeit des ISMS. Entscheidungen über Risiken werden ihr nachvollziehbar vorgelegt. Risikobehandlungsplan und verbleibende Risiken müssen durch die zuständigen Risikoeigentümer genehmigt beziehungsweise akzeptiert werden; Zuständigkeiten und Entscheidungswege werden ausdrücklich festgelegt.
Ein ISMS muss die Anforderungen im gewählten Geltungsbereich erfüllen. Seine Abläufe und Dokumentation können schlank gestaltet werden, wenn sie die Risiken angemessen abdecken und im Betrieb funktionieren. Wir nutzen vorhandene Strukturen, klären Zuständigkeiten und vermeiden unnötige Doppelpflege. Größe allein entscheidet nicht über den Schutzbedarf.
Aus der Praxis erklärt
Ob erster Überblick, konkrete Lücken, ISMS-Aufbau oder Weiterentwicklung: Beschreiben Sie Ihr Ziel und mögliche Prüfungstermine. Gemeinsam vereinbaren wir einen passenden Umfang.