ISMS — Informationssicherheits-Managementsystem
Ein ISMS (Informationssicherheits-Managementsystem) ist der organisatorische Rahmen aus Leitlinie, Richtlinien, Rollen, Prozessen und Nachweisen, mit dem ein Unternehmen seine Informationssicherheit planbar steuert. Es legt fest, wie Risiken erkannt, Maßnahmen umgesetzt, ihre Wirksamkeit geprüft und Belege geführt werden. Ein ISMS ist kein Programm, sondern eine Arbeitsweise.
Aktualisiert am: 19.08.2026
Die Bausteine
- Leitlinie und Richtlinien
- Geltungsbereich, Rollen und Verantwortlichkeiten
- Asset-Register, Risikoanalyse und Risikobehandlungsplan
- Maßnahmen, Nachweise und die Anwendbarkeitserklärung
- Internes Audit und Management-Review
Ausführlich an anderer Stelle
Aufbau, Einführung, Rollen und Kosten habe ich in einem eigenen Beitrag beschrieben: Was ist ein ISMS? Definition, Aufbau und Umsetzung für KMU. Dieser Glossareintrag hält nur die Definition kurz und zitierfähig.
Wo das im Mandat vorkommt
Für den Aufbau gibt es zwei Wege: begleitet über die ISO-27001-Beratung oder in Eigenregie mit dem NIS2 Manager, der Anforderungen, Register und Dokumentvorlagen lokal auf dem eigenen Rechner mitbringt.
Häufige Frage
Verlangt NIS2 ein ISMS?
Das BSIG nennt den Begriff ISMS nicht. Es verlangt in § 30 Abs. 2 BSIG Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik sowie neun weitere Maßnahmengruppen samt Wirksamkeitsbewertung. In der Praxis erfüllt man diese Anforderungen am saubersten mit einem ISMS.