ISO 27001 Umsetzung: Dauer, Projektphasen und Zeitbedarf planen
Die Dauer aus Ausgangslage und Abhängigkeiten ableiten
Für die ISO-27001-Umsetzung gibt es keine allgemein passende Projektdauer. Der Zeitbedarf hängt davon ab, welche Bereiche betrachtet werden, was bereits funktioniert und wie viel Arbeitszeit für offene Aufgaben verfügbar ist. Auch die Terminplanung der unabhängigen Zertifizierungsstelle kann den Gesamtverlauf beeinflussen.
Ein belastbarer Zeitplan unterscheidet die Bearbeitungszeit einer Aufgabe von ihrer tatsächlichen Dauer im Kalender. Wenige Arbeitstage können sich über mehrere Wochen verteilen, wenn Fachkräfte nur begrenzt verfügbar sind.
Phasen mit erkennbaren Ergebnissen planen
Für die zeitliche Einordnung können folgende Abschnitte getrennt betrachtet werden:
- Abgrenzung und Bestandsaufnahme;
- Bewertung der Risiken und Entscheidungen über Maßnahmen;
- praktische Umsetzung und Anwendung der Abläufe;
- Aufbau aussagekräftiger Nachweise;
- interne Prüfung, Managementbewertung und Bearbeitung offener Punkte;
- gegebenenfalls externe Zertifizierungsprüfung.
Diese Abschnitte können sich teilweise überschneiden. Grundlegende Entscheidungen lassen sich aber nicht beliebig durch parallele Arbeit ersetzen.
Wartezeiten und Nachweise berücksichtigen
Beispiel: Eine neue Zugriffskontrolle ist technisch schnell eingerichtet. Für die Bewertung ihres Betriebs müssen anschließend reale Vorgänge vorliegen und geprüft werden. Der Projektplan benötigt deshalb auch Zeit für Anwendung und Auswertung. Eine am Vortag erstellte Richtlinie belegt noch keinen verlässlichen Prozess.
Termine bei Veränderungen nachvollziehbar anpassen
Neue Dienstleistungen, Personalwechsel oder wichtige Auditfeststellungen können den Aufwand verändern. Im Plan sollte sichtbar sein, welche Aufgabe betroffen ist und welche Folgen sich daraus ergeben. Ein fester Zieltermin darf nicht dazu führen, unfertige Maßnahmen als umgesetzt zu kennzeichnen.
Ein realistischer Zeitrahmen entsteht damit aus konkreten Arbeitspaketen, Kapazitäten und Prüfbedingungen. Pauschale Monatsangaben können diese Planung nicht ersetzen.
Arbeitstage und Projektdauer auseinanderhalten
Ein einfaches Rechenbeispiel macht den Unterschied sichtbar: Für ein einzelnes Arbeitspaket werden 40 interne Arbeitsstunden geschätzt. Stehen der zuständigen Person dafür vier Stunden pro Woche zur Verfügung, entspricht das rechnerisch zehn Wochen. Bei acht verfügbaren Stunden wären es fünf Wochen. Das ist eine Illustration der Kapazitätsplanung, keine Prognose für ein vollständiges ISO-27001-Projekt.
Rückfragen, Freigaben, technische Änderungen und die zeitliche Verfügbarkeit von Nachweisen können weitere Abhängigkeiten schaffen. Werden mehrere Aufgaben parallel bearbeitet, verkürzt sich die Gesamtdauer nur dann, wenn sie sich nicht gegenseitig blockieren und die Beteiligten tatsächlich Kapazität haben.
Welche Fragen machen einen Zeitplan belastbar?
- Sind Geltungsbereich und Dienstleistungen bereits abgestimmt?
- Welche vorhandenen Prozesse funktionieren nachweisbar, welche müssen erst eingeführt werden?
- Wer kann Entscheidungen treffen und wann sind diese Personen verfügbar?
- Welche Änderungen benötigen einen abgestimmten Wartungs- oder Schulungstermin?
- Wann lassen sich interne Prüfung und Leitungsbewertung sinnvoll durchführen?
- Ist bei einem Zertifizierungsziel die Verfügbarkeit einer geeigneten Zertifizierungsstelle geklärt?
Die Antwort auf „Wie lange dauert ISO 27001?“ sollte daher einen begründeten Zeitplan mit Voraussetzungen liefern. Ein fixes Monatsversprechen ohne diese Angaben lässt weder den Aufwand noch den möglichen Engpass erkennen.
Ein ISMS-Projektplan mit Abhängigkeiten und Abnahmekriterien macht diese Voraussetzungen sichtbar. Wie sich interne Arbeit und externe Unterstützung im Budget niederschlagen, erläutert die Seite zu den ISO-27001-Kosten.
Quellen und fachliche Grundlagen
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO