Ein ISMS aufzusetzen, ist die eine Sache. Es im Alltag wirklich zu nutzen, ist eine ganz andere. Stell dir einmal folgende Frage: Entspricht dein ISMS einem Dokumentenarchiv, einer IT-Kontrollinstanz oder einem unternehmerischen Sicherheitstreiber? Deine Antwort entscheidet maßgeblich darüber, ob Informationssicherheit in deinem Alltag wirklich ankommt oder nur „mitläuft“.
Das Qualitätsmanagement stellt sich jene Frage bereits seit Jahrzehnten. Wer heute ein ISMS aufbaut, profitiert von einer seltenen Chance: aus einer Geschichte zu lernen, die bereits geschrieben wurde.
Qualitätssicherung und Qualitätsmanagement sind zwei unterschiedliche Disziplinen, die dennoch zusammengehören. Qualitätssicherung agiert operativ und messend. Sie kontrolliert Produkte und Prozesse während der Leistungserbringung, dokumentiert Abweichungen und bewertet Fehlerquoten. Sie ist unverzichtbar – aber reaktiv, denn sie stellt fest, was vorgefallen ist.
Das Qualitätsmanagement setzt wiederum jene Erkenntnisse in einen größeren Zusammenhang, um das gesamte Unternehmen zu einem gemeinsamen Leistungsverständnis zu führen. QM nutzt Prozesse, um Klarheit zu schaffen. Darüber, wie Leistungen erbracht werden, wer dafür verantwortlich ist und wie Qualität systematisch verbessert wird. Es agiert nicht reaktiv, sondern gestalterisch.
Wer diese Unterscheidung kennt, bemerkt sofort die Parallelen zum Informationssicherheitsmanagement. Denn die IT-Sicherheit verhält sich zum ISMS wie die Qualitätssicherung zum Qualitätsmanagement.
IT-Sicherheit geht operativ vor: Firewalls konfigurieren, Patches einspielen, Logs auswerten, Penetrationstests durchführen und Zugriffsrechte verwalten. Sie misst und schützt konkrete technische Objekte wie Systeme, Netzwerke und Endgeräte. IT-Sicherheit ist unverzichtbar.
Aber sie beantwortet keine unternehmerischen Fragen wie: Welche Informationen sind für unser Geschäft kritisch? Wer trägt dafür Verantwortung? Wie lange bleiben wir bei einem Ausfall handlungsfähig?
Hier kommt das ISMS ins Spiel und setzt diese Fragen in einen Governance-Rahmen. Risiken werden bewertet, Verantwortlichkeiten festgelegt, Prozesse durchleuchtet und die Geschäftsführung wird eingebunden. Ein ISMS gestaltet, statt nur zu reagieren.
Zugegeben: Die Analogie erscheint methodisch nicht vollständig deckungsgleich. Aber sie ist präzise genug, um die entscheidende Frage zu stellen: Unterläuft uns im Informationssicherheitsmanagement der gleiche Positionierungsfehler, den das Qualitätsmanagement vor dreißig Jahren gemacht hat?
Als die ISO 9001 in den 80er- und 90er-Jahren den Managementsystemgedanken einführte, geschah in vielen Unternehmen Folgendes: Die neue Aufgabe landete bei einer Person, die schon da war. Der Qualitätssicherungsleiter wurde zum Qualitätsmanagementbeauftragten. Der Titel änderte sich, die Wahrnehmung der Rolle im Unternehmen jedoch nicht.
Das Problem: Die QMBs schrieben Prozessbeschreibungen, die Fachbereiche erkannten sich darin nicht wieder. Die Geschäftsführung unterschrieb die Qualitätspolitik und betrachtete die Aufgabe damit als erfüllt. Das Managementsystem steht auf dem Papier, aber es steuerte nichts.
Eine weltweite ISO-Studie mit über 8.000 Teilnehmenden zeigt, dass die größten Schwierigkeiten bei ISO 9001 bis heute nicht aufgrund von technischen Normanforderungen entstehen, sondern bei der Führung, im Kontext der Organisation und bei der Verankerung in den Fachbereichen. (Quelle: ISO/TC 176 User Survey, 2022)
Heute wiederholt sich dieses Muster beim ISMS. Informationssicherheit landet in der IT-Abteilung, die unvermittelt zum Informationssicherheitsbeauftragten wird. Wie zuvor bei den QMBs ändert sich nur der Titel, allerdings nicht die Wahrnehmung im Unternehmen. Was das zur Folge hat, lehrt uns die Erfahrung aus dem QM: Das ISMS läuft – aber es wirkt nicht.
Ungeachtet dieser Parallelen gibt es einen wichtigen Unterschied, der den Anspruch an ein ISMS im Vergleich zum QM sogar noch erhöht. Im Qualitätsmanagement entstehen Abweichungen in der Regel unbeabsichtigt durch Fehler, Prozessschwächen oder Materialversagen. Das Managementsystem muss Ursachen finden und Abläufe verbessern. Der Gegner ist die Varianz.
Im Informationssicherheitsmanagement haben wir es dagegen oft mit einem absichtsvollen und intelligenten Gegner zu tun. Ein Angreifer passt sein Vorgehen an. Er lernt, reagiert und sucht gezielt nach Sicherheitslücken. Das macht IT-Sicherheit fundamental dynamischer als Qualitätskontrolle. Die Bedrohungslandschaft verändert sich aktiv, weil Menschen sie verändern.
Ein ISMS, das nur dokumentiert und einmal im Jahr Risiken bewertet, verliert nicht nur seine Wirkung. Es birgt sogar Gefahren, weil es ein falsches Sicherheitsgefühl vermittelt.
Für den Aufbau eines ISMS folgt daraus eine klare Konsequenz: Die Prozessorientierung, die das QM zu einem wirksamen Managementsystem macht, stellt auch für das ISMS den richtigen Ansatz dar. Zusätzlich erfordert das ISMS eine Kultur der Wachsamkeit, sowohl in den Fachbereichen als auch in der Führung und im Alltag. Nicht aus Angst, sondern aus einem informierten Risikobewusstsein heraus.
Die Geschichte des Qualitätsmanagements erteilt uns drei Lektionen, die für den erfolgreichen Aufbau eines ISMS von großem Nutzen sind.
Learning aus dem QM: Ein Managementsystem wirkt nur dann, wenn die Menschen, die damit arbeiten, es als nützlich erleben. Nicht als Kontrollinstrument oder Bürokratietreiber, sondern als Werkzeug, das Orientierung und Struktur bietet und die eigene Arbeit erleichtert.
Bedeutung für dein ISMS: Die Richtlinien, Risikoanalysen und Schutzmaßnahmen müssen in der Sprache der Fachbereiche formuliert sein. Der Vertrieb muss verstehen, warum Kundendaten schützenswert sind. Die Produktion muss verinnerlicht haben, was ein Ausfall des ERP für das Unternehmen bedeutet. Dieses Verständnis entsteht nicht durch Schulungen, die einmal im Jahr stattfinden: Es entsteht durch ein Managementsystem, das im Alltag präsent ist.
Learning aus dem QM: QMBs, die allein für die Qualität des gesamten Unternehmens verantwortlich sind, scheitern. Nicht weil sie inkompetent sind, sondern weil Qualität dort entsteht, wo Prozesse ausgeführt werden.
Bedeutung für dein ISMS: Die Vertriebsleitung kennt die kritischen Kundeninformationen. Die Entwicklungsleitung hat auf dem Schirm, welche technischen Spezifikationen nicht nach außen gelangen dürfen. Und der Produktionsleiter weiß um die Konsequenzen eines Systemausfalls für die Lieferfähigkeit. Dieses Expertenwissen gehört in die Risikoanalyse und nicht ausschließlich in die Einschätzung der IT von außen.
Learning aus dem QM: Managementsysteme, die an abstrakten Normstrukturen hängen, kommen im Alltag nicht an. Wirksam wird ein System dort, wo es an etwas anknüpft, das die Organisation ohnehin kennt: an die eigenen Prozesse.
Bedeutung für dein ISMS: Informationen werden nicht isoliert verarbeitet, sondern eingebettet in einen Geschäftsprozess. Ein Vertriebsprozess verarbeitet dabei andere Informationen als die Entwicklung, die Entwicklung andere als der Einkauf. Genau deshalb ist der Einstieg über Prozesse der direkteste Weg, um Schutzbedarfe, Risiken und Maßnahmen so herzuleiten, dass sie für alle Beteiligten nachvollziehbar sind.
In den Fehlern der Vergangenheit liegt eine Chance, die das Qualitätsmanagement nicht besaß: Wer heute ein ISMS aufbaut und bereits ISO 9001 betreibt, muss nicht bei null anfangen.
Denn dann sind Prozesse bereits dokumentiert, Verantwortlichkeiten definiert, das PDCA-Prinzip bekannt und ein Risikobewusstsein verankert. Die ISO 9001 dient in der Praxis oft als Fundament für weitere Managementsysteme. Das zeigt sich auch darin, dass fast alle Anwender:innen von Energie- oder Umweltmanagementsystemen diese Norm als gemeinsame Basis verwenden. (Quelle: BAM/DIN: Die Nutzung und Wirkung genormter Managementsysteme, Fokus-Studie, 2021)
Ein ISMS knüpft an genau dieser Grundlage an und betrachtet dieselben Geschäftsprozesse aus einer weiteren Perspektive. Welche Informationen werden hier verarbeitet? Welche Schutzziele gelten für Vertraulichkeit, Integrität und Verfügbarkeit? Was passiert, wenn dieser Prozess ausfällt?
Das bedeutet: QM und ISMS schließen sich nicht aus. Sie verstärken einander, wenn sie integriert gedacht werden. Nicht als zwei Normen nebeneinander, sondern als zwei Perspektiven auf dieselbe Prozesslandschaft.
Ein integriertes Managementsystem, das beide Sichten vereint, verdoppelt nicht den Aufwand. Es ergänzt vielmehr, was schon da ist, und erzielt dabei eine Wirkung, die ein isoliertes ISMS nicht erreichen kann.
Unternehmen, die jetzt ihre ISMS-Strukturen aufbauen, kennen die fehlerbehaftete Positionierung des Qualitätsmanagements und können verhindern, dass diese sich wiederholt.
Das QM hat lange gebraucht, um vom Dokumentenverwalter zum echten Qualitätstreiber zu werden. Dieser eigentlich vermeidbare Weg entstand oft als Folge von (unbewussten) Positionierungsentscheidungen. Die Wahrnehmung des QM entscheidet über seine Wirkung.
Heute kannst du bei der Einführung deines ISMS diese Abkürzung nehmen. Mache dir von Anfang an klar, dass Informationssicherheit kein IT-Projekt ist und, dass Risiken dort bewertet werden müssen, wo sie entstehen. Denn ein Managementsystem wirkt nur, wenn es im Alltag genutzt wird.
Ein ISMS, das so verstanden und eingeführt wird, leistet einen wichtigen Beitrag zur Stabilität, Handlungsfähigkeit und Verlässlichkeit deines Unternehmens. Und zwar nicht nur heute, sondern auch in Zukunft, wenn sich die Bedrohungslandschaft weiterentwickelt. Richtig aufgesetzt führt Informationssicherheitsmanagement nicht zu mehr Bürokratie, Compliance-Aufwand oder IT-Kontrolle, sondern zu echter Befähigung.
Melde dich, um direkt Kontakt mit Carsten aufzunehmen.
Wir freuen uns, dich mit inspirierenden Inhalten, aktuellen Veranstaltungen und Neuigkeiten zu versorgen.
