Mit NIS-2 sind Risikomanagementmaßnahmen für viele Einrichtungen Pflicht geworden, ein Informationssicherheits-Managementsystem bündelt sie. ISO 27001 gibt die Struktur und die Kontrollen vor, doch der laufende Betrieb bindet viel Personal. Genau hier verändern Automatisierung und KI gerade, wie ein ISMS geführt wird.
Ein Informationssicherheits-Managementsystem (ISMS) ist der organisatorische Rahmen, mit dem eine Einrichtung Informationssicherheit systematisch steuert: Risiken erkennen, Maßnahmen festlegen, umsetzen, überprüfen und verbessern. Es ist kein Produkt, sondern ein Managementprozess. Die international maßgebliche Norm ist ISO/IEC 27001, im öffentlichen Bereich in Deutschland kommt der BSI IT-Grundschutz als gleichwertiger Weg hinzu.
Mit dem NIS-2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 in Kraft ist[3], müssen besonders wichtige und wichtige Einrichtungen Risikomanagementmaßnahmen umsetzen und dokumentieren (§ 30 BSIG)[5]. Einrichtungen der Bundesverwaltung müssen zusätzlich die Mindestanforderungen aus IT-Grundschutz und BSI-Mindeststandards erfüllen (§ 44 BSIG). Ein ISMS ist der Weg, diese Pflichten strukturiert und nachweisbar zu erfüllen, statt Einzelmaßnahmen unverbunden nebeneinander zu betreiben.
Das Herzstück von ISO 27001 sind die Kontrollen im Anhang A. Die Fassung von 2022 hat sie neu strukturiert: aus 114 Maßnahmen in 14 Bereichen wurden 93 Kontrollen in vier Themen[1], [6].
Der BSI IT-Grundschutz verfolgt dasselbe Ziel über Bausteine und Anforderungen und lässt sich auf ISO 27001 abbilden; das BSI stellt dafür eigene Zuordnungstabellen bereit[2]. Für Auftraggeber ist entscheidend: Welcher Rahmen gewählt wird, ist eine bewusste Entscheidung, und die Kontrollen sind der Maßstab, an dem sich später Umsetzung und Prüfung messen.
Der Aufbau eines ISMS ist ein Projekt, der Betrieb ist Daueraufgabe. Liegt die Dokumentation in Dateiablagen und Tabellen und werden Nachweise nur einmal im Jahr für das Audit zusammengesucht, weiß zwischen den Audits niemand sicher, ob eine Kontrolle noch wirksam ist. Das Ergebnis ist ein Momentaufnahme-ISMS: zum Auditzeitpunkt sauber, im Alltag blind.
Dazu kommt die Mehrfacharbeit. Wer zugleich ISO 27001, IT-Grundschutz und die NIS-2-Anforderungen bedienen muss, pflegt ohne gemeinsame Struktur dieselben Nachweise mehrfach. Das kostet Personal, das im öffentlichen Sektor ohnehin knapp ist, und es macht das ISMS zu einer Last statt zu einem Steuerungsinstrument.
GRC- und ISMS-Werkzeuge setzen genau hier an. Zwei Hebel sind heute bereits verfügbar:
Für die Beschaffung heißt das: Wer ein ISMS-Werkzeug oder eine ISMS-Unterstützung ausschreibt, sollte kontinuierliche Überwachung und automatisierte Nachweise als Anforderung aufnehmen, nicht nur eine reine Dokumentenverwaltung.
Automatisierung nimmt die Fleißarbeit ab, KI setzt an der Bewertung an. Absehbar ist, dass die aufwendigsten, heute rein manuellen Schritte eines ISMS zunehmend KI-gestützt laufen:
Dabei gilt: KI liefert Entwürfe und Hinweise, die Verantwortung bleibt beim Menschen. Und der Kreis schließt sich: Für den Einsatz von KI selbst gibt es seit 2023 mit ISO/IEC 42001 einen eigenen Management-Standard[4], ein ISMS-Gedanke, angewandt auf künstliche Intelligenz. Wer heute ein ISMS aufbaut, sollte es so anlegen, dass Automatisierung und KI später andocken können, statt in einer reinen Dokumentenablage stecken zu bleiben.
Wenn Sie die Einführung oder den Betrieb eines ISMS ausschreiben, liefert unser Muster-Leistungsverzeichnis ISMS ein technisches Positionsraster als Excel-Vorlage: Risikoanalyse und Schutzbedarf, Sicherheitskonzept und Richtlinien, Umsetzung der Kontrollen, internes Audit und Zertifizierungsvorbereitung.
Wie andere Auftraggeber vergleichbare Verfahren aufgebaut haben, sehen Sie im Vergabe-Archiv.
Quellen
Das Muster-Leistungsverzeichnis ISMS als Excel-Vorlage für den technischen Teil Ihrer Unterlagen, dazu vergleichbare Verfahren im Vergabe-Archiv.
Sie haben eine konkrete Beschaffung vor sich und wollen sehen, wie andere sie aufgesetzt haben? Das Vergabe-Archiv zeigt vergleichbare Verfahren. Bei Fragen zu den Produkten melden Sie sich gern.