ISMS Projektplan erstellen: Phasen, Termine und Ressourcen planen

Einen ISMS-Projektplan mit überprüfbaren Ergebnissen erstellen

Ein Projektplan verbindet Aufgaben mit verfügbaren Personen, Abhängigkeiten und Meilensteinen. Für ein ISMS reicht eine Liste von Themen wie „Risiken“ oder „Dokumentation“ nicht aus. Jedes Arbeitspaket sollte beschreiben, welches Ergebnis vorliegen muss und wer es abnimmt.

Zunächst werden Ziel und Geltungsbereich geklärt. Anschließend lässt sich bestimmen, welche Vorarbeiten nötig sind und welche Tätigkeiten parallel erfolgen können. Ein gewünschter Zertifizierungstermin ist dabei eine Planungsannahme, kein Beleg für Umsetzbarkeit.

Beispiel für eine sinnvolle Phasenfolge

• Projektauftrag: Ziele, Grenze und Verantwortliche sind beschlossen.
• Bestandsaufnahme: wesentliche Prozesse, Systeme und vorhandene Nachweise sind erfasst.
• Risikobewertung: Kriterien, Szenarien und erste Entscheidungen sind dokumentiert.
• Umsetzung: priorisierte Maßnahmen sind eingeführt und werden angewendet.
• Prüfung: Erkenntnisse aus Kontrollen und Audits sind bewertet und nachverfolgt.
• Übergabe: Zuständigkeiten für Pflege und offene Punkte sind festgelegt.

Diese Phasen sind ein Beispiel und keine feste Laufzeitvorgabe. Für komplexe oder bereits weit entwickelte Organisationen kann eine andere Aufteilung sinnvoll sein.

Abhängigkeiten ausdrücklich einplanen

Eine Anwendbarkeitserklärung lässt sich nicht belastbar abschließen, solange wesentliche Entscheidungen zur Risikobehandlung fehlen. Ein interner Audit benötigt wiederum einen ausreichend umgesetzten Zustand. Solche Abhängigkeiten sollten neben der reinen Bearbeitungszeit sichtbar werden.

Mit verfügbaren Kapazitäten rechnen

Beispiel: Eine Aufgabe benötigt mehrere Arbeitstage, die zuständige Person steht aber nur stundenweise zur Verfügung. Der Terminplan muss diese Verfügbarkeit berücksichtigen. Gleiches gilt für Urlaubszeiten, Kundenprojekte und externe Auditvorläufe.

Bei Änderungen wird der Plan nachvollziehbar angepasst. Verschobene Termine sollten eine Begründung und eine Entscheidung über ihre Folgen erhalten. So bleibt er eine belastbare Arbeitsgrundlage.

Beispiel für einen ISMS-Projektplan mit Abnahmekriterien

Die folgende Arbeitsvorlage ordnet Ergebnisse und Abhängigkeiten. Sie ist kein vorgegebener Normterminplan:

1. Projektauftrag: Ziel, Geltungsbereich und Entscheidungsträger sind benannt. Erst danach ist eine belastbare Bestandsaufnahme möglich.
2. Bestandsaufnahme: Dienste, Schnittstellen und vorhandene Nachweise sind erfasst; offene Informationen haben einen Verantwortlichen.
3. Risiken und Behandlung: Die Bewertungsmethode ist vereinbart. Priorisierte Risiken und Entscheidungen über ihre Behandlung sind dokumentiert.
4. Umsetzung: Die vorgesehenen Abläufe werden angewendet; ausgewählte Vorgänge zeigen, wie sie im Betrieb funktionieren.
5. Interne Prüfung und Leitungsbewertung: Ergebnisse und offene Punkte liegen für Entscheidungen vor. Korrekturen sind zugewiesen.
6. Übergang in den Regelbetrieb: Zuständigkeiten für Pflege, wiederkehrende Kontrollen und Änderungen sind geklärt. Eine externe Zertifizierung wird bei entsprechendem Ziel gesondert koordiniert.

Zu jedem Paket werden Verantwortlicher, Aufwand, Vorgänger, Zieltermin und Ergebnisnachweis ergänzt. Der Projektplan steuert damit das gesamte Vorhaben. Der Maßnahmenplan beschreibt hingegen einzelne Verbesserungen, die sich aus Risiken oder Feststellungen ergeben. Beide Pläne müssen zusammenpassen, erfüllen aber unterschiedliche Aufgaben.

Die einzelnen Sicherheitsverbesserungen gehören in den ISMS-Maßnahmenplan. Für die Terminierung zeigt die Seite zur Dauer der ISO-27001-Umsetzung, wie Arbeitsaufwand, verfügbare Kapazität und Kalenderzeit zusammenhängen.

Quellen und fachliche Grundlagen

• BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
• BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik