ISO 27001 für kleine IT-Unternehmen: schlanke Strukturen aufbauen
Ein ISMS mit wenigen Mitarbeitenden tragfähig gestalten
ISO/IEC 27001 ist auch auf kleine Organisationen anwendbar. Die praktische Ausgestaltung darf zur Größe und Komplexität des Unternehmens passen. Entscheidend ist, dass erforderliche Aufgaben erfüllt und Entscheidungen nachvollziehbar sind. Kleine Teams benötigen deshalb nicht automatisch dieselbe Anzahl von Rollen und Dokumenten wie große Unternehmen.
Vorhandene Arbeitsmittel können genutzt werden, wenn sie zuverlässig gepflegt werden. Ein übersichtliches Aufgabenverzeichnis und klar geregelte Freigaben können hilfreicher sein als eine umfangreiche zusätzliche Verwaltungsstruktur.
Rollen bündeln, Befugnisse klären
In einem kleinen IT-Unternehmen übernimmt die Geschäftsführung möglicherweise zugleich fachliche Aufgaben, während die IT-Leitung den Betrieb und die ISMS-Koordination betreut. Diese Bündelung sollte ausdrücklich beschrieben werden.
Zu klären sind insbesondere:
- Wer entscheidet über Prioritäten und Ressourcen?
- Wer verantwortet die wesentlichen Risiken?
- Wer kontrolliert die Umsetzung?
- Wer übernimmt Aufgaben bei Abwesenheit?
Wo Objektivität erforderlich ist, etwa bei internen Audits, muss eine geeignete Prüfungsperspektive vorhanden sein. Eine geringe Teamgröße macht diese Anforderung nicht bedeutungslos.
Dokumentation auf die Anwendung ausrichten
Beispiel: Ein kleines Unternehmen führt Berechtigungsfreigaben in seinem bestehenden Ticketsystem. Die Richtlinie beschreibt den Ablauf, das Ticket enthält Antrag und Entscheidung. Eine zusätzliche manuelle Liste ist nur dann nötig, wenn sie einen klaren Zweck erfüllt und konsistent gehalten werden kann.
Den Umfang ehrlich darstellen
Eine sinnvolle Abgrenzung berücksichtigt auch externe Dienstleister und gemeinsam genutzte Systeme. Ein kleiner Geltungsbereich darf notwendige Abhängigkeiten nicht ausblenden. Ebenso wenig bedeutet ein schlanker Aufbau, dass Sicherheitsmaßnahmen oder Wirksamkeitsprüfungen nur auf dem Papier bestehen dürfen.
Das Ziel ist ein System, das mit den verfügbaren Personen dauerhaft funktioniert und bei Wachstum nachvollziehbar erweitert werden kann.
Die ISO-27001-Vorbereitung für KMU strukturiert die ersten Arbeitspakete. Besonders bei mehrfach besetzten Rollen müssen die Entscheidungsrechte und Vertretungen ausdrücklich feststehen.
Quellen und fachliche Grundlagen
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik