Leitfaden
Kann ein ISO 27001-ISMS Ihre vorhandenen Werkzeuge nutzen?
Kann ein ISO 27001-ISMS vorhandene Werkzeuge nutzen? Ja – wie Wiki, Dokumentenmanagement, Ticket- und Projektsysteme große Teile tragen können.
Zusammenfassung
Ja. ISO/IEC 27001 schreibt kein Werkzeug vor. Richtlinien können in Ihrem Wiki oder Dokumentenmanagement liegen, Aufgaben in Ihrem Ticket- oder Projektsystem, Nachweise in vorhandenen Ablagen. Spezielle ISMS-Software lohnt sich dort, wo sie Aufwand reduziert – etwa beim Risikoregister oder der Erklärung zur Anwendbarkeit –, ist aber keine Voraussetzung.
Eine verbreitete Annahme lautet: Ein ISMS nach ISO/IEC 27001 braucht eine eigene Compliance-Plattform. Das stimmt nicht. Die Norm beschreibt, was vorhanden sein muss – nicht, wo es liegt.
Wo ISMS-Bausteine leben können
| ISMS-Baustein | Oft bereits möglich in … |
|---|---|
| Richtlinien und Verfahren | Wiki / Wissensdatenbank, Dokumentenmanagement |
| Dokumentenlenkung (Versionen, Freigaben) | Dokumentenmanagement, Wiki mit Versionshistorie und Freigabe |
| Aufgaben, Maßnahmen, Korrekturmaßnahmen | Ticket- oder Projektmanagementsystem |
| Wiederkehrende Aktivitäten (Reviews, Audits) | Projektwerkzeug, Kalender, Ticket-Automatisierung |
| Nachweise | Vorhandene Ablagen, Ticket-Anhänge, System-Exporte |
| Asset-Inventar | CMDB, IT-Asset-Management, Inventarlisten |
| Berechtigungsreviews | Berichte aus dem Identitätsmanagement |
| Awareness | Vorhandene Lernplattform oder Intranet |
Warum Integration besser ist als Duplizierung
- Weniger Doppelarbeit – Informationen werden einmal gepflegt, dort, wo ohnehin gearbeitet wird.
- Bessere Akzeptanz – ISMS-Aufgaben erscheinen neben den Alltagsaufgaben statt in einer eigenen Welt.
- Aktuellere Dokumentation – je näher Dokumente an der echten Arbeit sind, desto weniger driften sie ab.
- Geringere Kosten – keine zusätzlichen Lizenzen, wo vorhandene Werkzeuge genügen.
Wo spezielle Werkzeuge helfen
Manche Bausteine profitieren von Struktur, die generische Werkzeuge nicht bieten: ein Risikoregister mit einheitlicher Bewertung, eine Erklärung zur Anwendbarkeit, die mit Maßnahmen und Nachweisen verknüpft ist, oder ein Dashboard für die Geschäftsführung. Hier kann ein spezielles Werkzeug Aufwand sparen – solange es an Ihre übrige Umgebung anknüpft, statt ein weiteres Silo zu werden.
Das Prinzip
Bewerten → integrieren → Lücken erkennen → verbessern → automatisieren. Zuerst verstehen, was da ist, nutzen, was funktioniert, und nur ergänzen, wo es eine echte Lücke gibt.