Phase 7 – Maßnahmen planen und priorisieren

„Nicht alles kann sofort umgesetzt werden – aber das Wichtigste zuerst.“

Einleitung

Phase 7 – Maßnahmen planen und priorisieren ist ein Baustein auf dem Weg zu einem belastbaren ISMS für KMU. Die Phase verbindet organisatorische Sicht, technische Realität und die Anforderungen der Geschäftsführung.

Ziel der Phase

Ziel ist es, die relevanten Informationen strukturiert zu erfassen, verständlich zu dokumentieren und als Grundlage für die nächsten Schritte nutzbar zu machen.

Benötigte Teilnehmer

• Geschäftsführung oder IT-Entscheider
• Interner oder externer IT-Verantwortlicher
• Fachabteilungen nach Bedarf
• Datenschutz oder Qualitätsmanagement, falls vorhanden

Arbeitsergebnisse der Phase

• Dokumentierte Ergebnisse der Bestandsaufnahme
• Offene Fragen und Risiken
• Erste Prioritäten für spätere Maßnahmen
• Grundlage für die nächste Phase

Checkliste

Maßnahmen ableiten

Ziel

Aus Risiken werden konkrete technische oder organisatorische Maßnahmen abgeleitet. Jede Maßnahme sollte einem Risiko oder einer Anforderung zugeordnet sein.

Warum ist das wichtig?

Dieser Punkt sorgt dafür, dass Entscheidungen nicht auf Annahmen beruhen. Gerade in kleinen Unternehmen sind viele Informationen nicht dokumentiert, sondern nur einzelnen Personen bekannt. Durch die strukturierte Erfassung entsteht Transparenz und eine belastbare Grundlage für Risikoanalyse, Maßnahmenplanung und spätere Audits.

Priorisieren

Ziel

Risiko, Aufwand, Kosten und Nutzen werden bewertet. Schnelle Verbesserungen mit hohem Nutzen sollten früh umgesetzt werden.

Warum ist das wichtig?

Dieser Punkt sorgt dafür, dass Entscheidungen nicht auf Annahmen beruhen. Gerade in kleinen Unternehmen sind viele Informationen nicht dokumentiert, sondern nur einzelnen Personen bekannt. Durch die strukturierte Erfassung entsteht Transparenz und eine belastbare Grundlage für Risikoanalyse, Maßnahmenplanung und spätere Audits.

Verantwortliche benennen

Ziel

Jede Maßnahme benötigt einen Verantwortlichen und einen Termin. Sonst bleiben Maßnahmen Absichtserklärungen.

Warum ist das wichtig?

Dieser Punkt sorgt dafür, dass Entscheidungen nicht auf Annahmen beruhen. Gerade in kleinen Unternehmen sind viele Informationen nicht dokumentiert, sondern nur einzelnen Personen bekannt. Durch die strukturierte Erfassung entsteht Transparenz und eine belastbare Grundlage für Risikoanalyse, Maßnahmenplanung und spätere Audits.

Aufwand und Kosten schätzen

Ziel

Lizenzkosten, Hardware, Dienstleistung und interne Aufwände werden betrachtet. Geschäftsführung benötigt realistische Entscheidungsgrundlagen.

Warum ist das wichtig?

Dieser Punkt sorgt dafür, dass Entscheidungen nicht auf Annahmen beruhen. Gerade in kleinen Unternehmen sind viele Informationen nicht dokumentiert, sondern nur einzelnen Personen bekannt. Durch die strukturierte Erfassung entsteht Transparenz und eine belastbare Grundlage für Risikoanalyse, Maßnahmenplanung und spätere Audits.

Umsetzungsplan erstellen

Ziel

Maßnahmen werden in kurzfristig, mittelfristig und langfristig eingeteilt. Das verhindert Überforderung und schafft sichtbaren Fortschritt.

Warum ist das wichtig?

Dieser Punkt sorgt dafür, dass Entscheidungen nicht auf Annahmen beruhen. Gerade in kleinen Unternehmen sind viele Informationen nicht dokumentiert, sondern nur einzelnen Personen bekannt. Durch die strukturierte Erfassung entsteht Transparenz und eine belastbare Grundlage für Risikoanalyse, Maßnahmenplanung und spätere Audits.

Abhängigkeiten beachten

Ziel

Manche Maßnahmen benötigen Vorarbeiten. Beispiel: MFA-Einführung setzt saubere Benutzerverwaltung und Kommunikationsplanung voraus.

Warum ist das wichtig?

Dieser Punkt sorgt dafür, dass Entscheidungen nicht auf Annahmen beruhen. Gerade in kleinen Unternehmen sind viele Informationen nicht dokumentiert, sondern nur einzelnen Personen bekannt. Durch die strukturierte Erfassung entsteht Transparenz und eine belastbare Grundlage für Risikoanalyse, Maßnahmenplanung und spätere Audits.

Restrisiken dokumentieren

Ziel

Nicht jedes Risiko wird vollständig beseitigt. Akzeptierte Restrisiken müssen bewusst entschieden und dokumentiert werden.

Warum ist das wichtig?

Dieser Punkt sorgt dafür, dass Entscheidungen nicht auf Annahmen beruhen. Gerade in kleinen Unternehmen sind viele Informationen nicht dokumentiert, sondern nur einzelnen Personen bekannt. Durch die strukturierte Erfassung entsteht Transparenz und eine belastbare Grundlage für Risikoanalyse, Maßnahmenplanung und spätere Audits.

Typische Feststellungen

In KMU fehlen häufig aktuelle Dokumentationen, eindeutige Verantwortlichkeiten und regelmäßige Prüfungen. Das ist kein Vorwurf, sondern der Ausgangspunkt für den Aufbau eines ISMS.

Hinweise für den IT-Berater

Wichtig ist eine pragmatische Sprache. Geschäftsführung und Fachbereiche müssen verstehen, welchen Nutzen die Phase für den Betrieb hat. Technische Details sind wichtig, sollten aber immer mit Geschäftsrisiken verbunden werden.

Praxistipp

Am Ende jeder Phase sollte eine kurze Zusammenfassung erstellt werden: Was wurde erkannt, was ist kritisch, was ist offen und welche Entscheidung wird als nächstes benötigt?

Ergebnis der Phase

Die Phase ist abgeschlossen, wenn die Ergebnisse so dokumentiert sind, dass eine andere fachkundige Person die Ausgangslage nachvollziehen und mit der nächsten Phase fortfahren kann.