Mit "Informationssicherheitsmanagement nach ISO 27001" legt Andreas Wisler ein umfangreiches Handbuch vor, das Organisationen beim Aufbau, bei der Weiterentwicklung und bei der Zertifizierung eines Informationssicherheitsmanagementsystems unterstützen soll. Der Anspruch ist hoch: Das Buch will nicht nur die Anforderungen der ISO 27001 erläutern, sondern auch deren praktische Umsetzung, typische Herausforderungen, Auditvorbereitung, Kennzahlen und Schnittstellen zu weiteren Standards behandeln. Ergänzt wird der Band durch Musterdokumente und den vollständigen Text der DIN EN ISO/IEC 27001:2024-01. Der Verlag positioniert das Werk ausdrücklich als praxisorientierte Schritt-für-Schritt-Anleitung.
Zunächst überzeugt die klare und nachvollziehbare Gliederung. Wisler beginnt mit den Grundlagen eines Informationssicherheitsmanagementsystems, erläutert zentrale Begriffe und ordnet die ISO 27001 in die Normenfamilie ISO 27000 ein. Anschließend werden die einzelnen Kapitel der Norm sowie die organisatorischen, personellen, physischen und technologischen Maßnahmen des Anhangs A systematisch abgearbeitet. Weitere Kapitel befassen sich mit Messgrößen, Reifegradmodellen, internen Audits, Zertifizierung, rechtlichen Anforderungen und angrenzenden Standards. Die Struktur eignet sich damit sowohl zum fortlaufenden Lesen als auch zum gezielten Nachschlagen einzelner Normanforderungen.
Eine besondere Stärke des Buches liegt erkennbar in der Auditperspektive des Autors. Die Abschnitte zu Auditplanung, Auditfragen, Feststellungen und Zertifizierungsabläufen sind deutlich umfangreicher als in vielen allgemeinen Einführungen. Für Organisationen, die erstmals eine Zertifizierung nach ISO 27001 anstreben oder ein bestehendes ISMS auf ein externes Audit vorbereiten müssen, dürfte dieser Teil einen hohen praktischen Nutzen besitzen. Auch die Erläuterungen in der Buchvorschau zeigen, dass Wisler die Normtexte nicht lediglich wiedergibt, sondern versucht, Anforderungen wie die Bestimmung interessierter Parteien oder die Festlegung des Anwendungsbereichs in einen organisatorischen Zusammenhang einzuordnen.
Positiv sind außerdem die zahlreichen Musterdokumente im Anhang. Vorlagen können insbesondere kleineren und mittleren Unternehmen helfen, eine erste Struktur für Leitlinien, Verfahrensbeschreibungen, Risikodokumentationen oder Auditunterlagen zu entwickeln. Allerdings liegt hier zugleich eine typische Gefahr solcher Praxisbücher: Vorlagen verleiten dazu, ein ISMS vor allem als Dokumentationsprojekt zu verstehen. Ein Informationssicherheitsmanagementsystem ist jedoch nicht deshalb wirksam, weil alle verlangten Dokumente vorhanden sind. Entscheidend ist, ob Verantwortlichkeiten tatsächlich gelebt, Risiken nachvollziehbar bewertet, Maßnahmen wirksam umgesetzt und Abweichungen konsequent bearbeitet werden. Mustertexte können diesen Prozess unterstützen, aber nicht ersetzen.
Der Umfang von 496 Seiten suggeriert zunächst eine außerordentlich tiefgehende Darstellung. Bei genauer Betrachtung relativiert sich dieser Eindruck. Fast hundert Seiten entfallen auf Musterdokumente, weitere knapp vierzig Seiten auf den abgedruckten Normtext. Das eigentliche Autorenwerk endet im Wesentlichen vor diesen Anhängen. Zudem umfasst das ausdrücklich mit "So setzen Sie ein ISMS um" überschriebene Kapitel lediglich rund zehn Seiten. Demgegenüber nimmt die systematische Beschreibung der Controls des Anhangs A einen sehr großen Raum ein. Das Buch ist deshalb eher ein ausführlicher Normkommentar mit Audit- und Arbeitshilfen als eine durchgehende Anleitung für ein komplexes ISMS-Einführungsprojekt.
Gerade beim versprochenen Thema "Best Practices" wäre mehr organisatorische Tiefe wünschenswert. Die Einführung eines ISMS scheitert in der Praxis selten daran, dass eine einzelne Normforderung unbekannt ist. Häufiger fehlen ein tragfähiges Governance-Modell, ausreichende Ressourcen, klare Entscheidungsrechte, die Einbindung der Fachbereiche oder die Unterstützung durch die Unternehmensleitung. Auch Konflikte zwischen Sicherheitsanforderungen, operativer Geschwindigkeit und Wirtschaftlichkeit müssten stärker behandelt werden. Eine echte Best Practice müsste daher nicht nur erklären, welches Dokument oder welcher Prozess benötigt wird, sondern auch, wie Widerstände überwunden, Verantwortlichkeiten durchgesetzt und Sicherheitsziele in bestehende Führungs- und Steuerungssysteme integriert werden können.
Ähnliches gilt für das Risikomanagement. Das Buch enthält zwar ein konkretes Beispiel und behandelt die normativen Anforderungen an Risikoidentifikation, Bewertung und Behandlung. Für komplexere Organisationen bleiben jedoch zentrale methodische Fragen offen: Wie werden Abhängigkeiten zwischen Risiken berücksichtigt? Wie geht man mit seltenen, aber existenzbedrohenden Szenarien um? Wie werden Bandbreiten, Unsicherheiten und unterschiedliche Einschätzungen der Experten abgebildet? Und wie lässt sich verhindern, dass Risikomatrizen lediglich eine Scheingenauigkeit erzeugen? Ein stärkerer Vergleich qualitativer, szenariobasierter und quantitativer Verfahren hätte den Anspruch eines modernen Praxisbuchs deutlich unterstrichen.
Kritisch ist ferner die Behandlung des BSI-Umfelds. Das Inhaltsverzeichnis weist im betreffenden Kapitel die BSI-Standards 200-1 und 200-2 aus. Der sich 2026 konkretisierende neue Ansatz Grundschutz++ ist nicht berücksichtigt. Diese Auslassung muss zeitlich fair eingeordnet werden. Das Buch erschien bereits am 9. April 2026, sodass Manuskript und Satz vermutlich abgeschlossen waren, bevor die jüngsten BSI-Unterlagen verfügbar wurden. Gerade ein 2026 veröffentlichtes Werk, das Schnittstellen zu anderen Standards behandelt und sich an den deutschen Markt richtet, sollte auf eine der wichtigsten absehbaren Veränderungen im BSI-Instrumentarium hinweisen.
Auch die Darstellung regulatorischer Themen wie NIS-2, Cyber Resilience Act und TISAX ist grundsätzlich nützlich, wird aber wegen der hohen Veränderungsgeschwindigkeit zwangsläufig rasch altern. Bei einem Fachbuch dieser Preisklasse wäre deshalb ein nachvollziehbares Aktualisierungskonzept wünschenswert. Statische Erläuterungen reichen in einem Umfeld, in dem sich Gesetze, Umsetzungsfristen und Auslegungshilfen laufend verändern, nur begrenzt aus.
Wer eine detaillierte Erläuterung der ISO-27001-Anforderungen, viele Auditfragen, Musterdokumente und den vollständigen Normtext sucht, erhält ein umfangreiches Arbeitsmittel. Wer dagegen innovative Methoden, vertiefte Risikoquantifizierung, eine umfassende Transformationsanleitung oder Ansätze für die Umsetzung eines wirksamen IT-Risikomanagements sucht, wird vermutlich nicht zufriedengestellt.
Insgesamt ist Wislers Buch ein solides, systematisch aufgebautes Nachschlagewerk mit besonderer Stärke bei Normverständnis, Auditierung und Zertifizierungsvorbereitung. Es dürfte vor allem Informationssicherheitsbeauftragten, internen Auditoren und kleineren Organisationen beim Einstieg in die ISO 27001 helfen. Für erfahrene CISOs und Risikomanager bleibt der Erkenntnisgewinn dagegen begrenzt. Das Werk erklärt ausführlich, was die Norm verlangt. Weniger überzeugend beantwortet es die schwierigere Frage, wie ein ISMS unter realen organisatorischen Bedingungen dauerhaft wirksam, risikoorientiert und anpassungsfähig betrieben werden kann.
Inhalte des Buches im kompakter Form:
Kapitel 1: Einleitung
Das kurze Eingangskapitel beschreibt die Zielgruppen des Buches und erläutert, welche Inhalte und Hilfestellungen die Leser erwarten können. Es dient vor allem der Orientierung und grenzt den Anspruch des Werkes als praxisbezogenen Leitfaden ab. Eine ausführlichere Darstellung des methodischen Ansatzes, der verwendeten Fallbeispiele und der Grenzen des Buches wäre an dieser Stelle jedoch hilfreich gewesen.
Kapitel 2: Was ist ein ISMS?
Das zweite Kapitel führt in die Ziele und Vorteile eines Informationssicherheitsmanagementsystems ein. Darüber hinaus grenzt der Autor ein ISMS von anderen Managementsystemen ab, insbesondere vom Qualitätsmanagement nach ISO 9001, vom Business Continuity Management nach ISO 22301 und vom Datenschutzmanagement nach ISO 27701. Damit wird deutlich, dass ein ISMS nicht isoliert betrachtet werden sollte, sondern Schnittstellen zu bereits bestehenden Governance- und Managementsystemen besitzt.
Kapitel 3: Warum auch Sie ein ISMS verwenden sollten
Dieses Kapitel begründet die Notwendigkeit eines systematischen Informationssicherheitsmanagements. Behandelt werden die wachsende Bedeutung von Informationen, typische Risiken und Bedrohungen sowie wirtschaftliche und rechtliche Anforderungen. Inhaltlich erfüllt das Kapitel vor allem eine motivierende Funktion. Die Argumentation bleibt dabei naturgemäß allgemein; eine stärkere Differenzierung nach Unternehmensgröße, Branche und Risikoprofil hätte den praktischen Nutzen erhöhen können.
Kapitel 4: Begriffe zur Informationssicherheit
Kapitel 4 erläutert zentrale Grundbegriffe. Dazu gehören der Informationsbegriff, die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit sowie Authentizität und Verbindlichkeit. Dieses Kapitel schafft eine notwendige terminologische Grundlage. Für erfahrene Informationssicherheitsbeauftragte bietet es allerdings nur begrenzten zusätzlichen Erkenntnisgewinn.
Kapitel 5: Einführung in die Normenreihe ISO 27000
Das fünfte Kapitel ordnet die ISO 27001 in die größere ISO-27000-Normenfamilie ein. Vorgestellt werden insbesondere ISO/IEC 27000, ISO/IEC 27001 und ISO/IEC 27002. Zusätzlich erläutert der Autor den PDCA-Zyklus und einen Sicherheitskreislauf. Das Kapitel hilft dabei, die Zertifizierungsnorm von den erläuternden und unterstützenden Normen zu unterscheiden.
Kapitel 6: Die ISO 27001 verstehen
Kapitel 6 bildet einen ersten inhaltlichen Schwerpunkt des Buches. Der Autor arbeitet die Normkapitel 4 bis 10 systematisch ab: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Dabei werden unter anderem interessierte Parteien, Anwendungsbereich, Sicherheitsziele, Ressourcen, Kompetenzen, interne Audits, Managementbewertungen und Korrekturmaßnahmen behandelt. Ein eingeschobenes Praxisbeispiel erläutert Bedrohungen, Risikobewertung und Risikobehandlung. Die systematische Darstellung erleichtert das Verständnis der Norm. Gleichzeitig besteht die Gefahr, dass die einzelnen Anforderungen zu stark nacheinander abgearbeitet werden und ihr Zusammenwirken als Managementkreislauf in den Hintergrund tritt.
Kapitel 7: Die Anhänge der ISO 27001 – die Controls A.5 bis A.8
Das siebte Kapitel ist mit mehr als 100 Seiten der umfangreichste Teil des eigentlichen Autorenwerks. Es erläutert die organisatorischen, personenbezogenen, physischen und technologischen Controls des Anhangs A. Behandelt werden beispielsweise Rollen und Verantwortlichkeiten, Lieferantenbeziehungen, Cloud-Dienste, Incident Management, Datenschutz, Remote-Arbeit, physische Zutrittskontrollen, Schwachstellenmanagement, Kryptografie, Protokollierung, Netzwerksicherheit und sichere Softwareentwicklung. Als Nachschlagewerk ist diese Vollständigkeit hilfreich. Kritisch ist jedoch, dass die große Zahl einzeln erläuterter Controls den Eindruck einer Checklistenlogik fördern kann. Die Norm verlangt keine pauschale Umsetzung aller Controls, sondern eine risikobasierte Auswahl und nachvollziehbare Begründung in der Erklärung zur Anwendbarkeit.
Kapitel 8: Wie wird ein ISMS umgesetzt?
Dieses Kapitel soll den Übergang von der Norminterpretation zur praktischen Einführung leisten. Es enthält einen Leitfaden für kleine und mittlere Unternehmen, Hinweise auf typische Stolpersteine, eine Übersicht mindestens erforderlicher Dokumente sowie Verweise auf Tools und weitere Ressourcen. Gerade dieser Abschnitt ist angesichts des Untertitels "Umsetzung, Best Practices" von besonderer Bedeutung. Mit lediglich ungefähr zehn Seiten bleibt er jedoch auffallend knapp. Themen wie Projektorganisation, Ressourcenplanung, Stakeholdermanagement, Sicherheitskultur, Konflikte mit operativen Zielen oder die nachhaltige Verankerung im Führungsprozess werden dadurch nur begrenzt vertieft.
Kapitel 9: Informationssicherheit messen
Kapitel 9 befasst sich mit Überwachung, Messung, Analyse und Bewertung auf Grundlage der ISO 27004. Es erläutert Kennzahlen und Metriken und stellt ein fünfstufiges Reifegradmodell von "initial" bis "kontinuierlich verbessert" vor. Ein Beispiel veranschaulicht die Reifegradbewertung. Die Aufnahme dieses Themas ist grundsätzlich positiv, weil ein ISMS nicht nur dokumentiert, sondern hinsichtlich seiner Wirksamkeit beurteilt werden muss. Kritisch bleibt, dass Reifegrade und Kennzahlen leicht eine Scheingenauigkeit erzeugen können, wenn Messgrößen nicht mit konkreten Sicherheitszielen, Risikoszenarien und Entscheidungen verknüpft werden.
Kapitel 10: Audits
Das zehnte Kapitel ist ein weiterer deutlicher Schwerpunkt. Es unterscheidet interne und externe Audits, erläutert die ISO 19011 und beschreibt Auditprogramme, Mehrjahres- und Jahresplanungen, Auditpläne, Berichte und Bewertungsverfahren. Besonders umfangreich sind die Auditfragen und die Darstellung typischer Feststellungen. Hier kommt die praktische Erfahrung des Autors besonders deutlich zum Tragen. Für interne Auditoren und Organisationen in der Zertifizierungsvorbereitung dürfte dieses Kapitel zu den nützlichsten Teilen des Buches gehören. Die starke Auditperspektive verstärkt allerdings auch den Eindruck, dass Zertifizierungsfähigkeit stellenweise stärker gewichtet wird als die tatsächliche risikobezogene Wirksamkeit des ISMS.
Kapitel 11: Zertifizierung
Das vergleichsweise kurze elfte Kapitel erläutert den Ablauf einer ISO-27001-Zertifizierung und behandelt die Rolle der Akkreditierung. Es bietet damit eine kompakte Orientierung für Organisationen, die erstmals ein Zertifizierungsverfahren durchlaufen. Angesichts der praktischen Bedeutung von Stage-1- und Stage-2-Audits, Überwachungsprüfungen, Abweichungen und Rezertifizierungen hätte dieser Themenbereich ausführlicher ausfallen können.
Kapitel 12: Weitere Normen und Standards
Kapitel 12 ordnet die ISO 27001 in eine breitere Standardlandschaft ein. Behandelt werden weitere Normen der ISO-27000-Familie, unter anderem ISO 27003, ISO 27006, ISO 27007, ISO 27008, ISO 27018 und ISO 27701. Hinzu kommen CISIS12, VdS 10000, DIN SPEC 27076, die BSI-Standards 200-1 und 200-2, das NIST Cybersecurity Framework und COBIT. Der Überblick ist nützlich, bleibt aber zwangsläufig verdichtet. Gerade bei den BSI-Standards zeigt sich eine Aktualitätslücke: Der 2026 weiter konkretisierte Ansatz Grundschutz++ wird im Inhaltsverzeichnis nicht berücksichtigt. Zwar war die neue Methodik bei Abschluss des Manuskripts noch nicht vollständig veröffentlicht, ein Ausblick auf diese absehbare Weiterentwicklung wäre für ein aktuelles Werk zum deutschen Informationssicherheitsmanagement dennoch sinnvoll gewesen.
Kapitel 13: Gesetzliche Anforderungen
Das letzte Hauptkapitel behandelt Datenschutz, den Cyber Resilience Act, NIS-2 und TISAX 6. Damit versucht das Buch, die ISO 27001 mit aktuellen regulatorischen und branchenspezifischen Anforderungen zu verbinden. Die Zusammenstellung ist praxisrelevant, konzeptionell jedoch nicht vollständig trennscharf: TISAX ist keine gesetzliche Anforderung, sondern ein branchenspezifischer Prüf- und Austauschmechanismus der Automobilindustrie. Außerdem sind gerade die Auslegung und nationale Umsetzung von NIS-2 sowie ergänzende regulatorische Vorgaben einem schnellen Wandel unterworfen. Dieses Kapitel dürfte deshalb schneller veralten als die normbezogenen Teile des Buches.
Anhänge A und B
Anhang A enthält umfangreiche Beispieldokumente, darunter einen Projektplan, eine Informationssicherheitspolitik, Rollenbeschreibungen, Klassifizierungs- und IT-Nutzungsrichtlinien, ein Zugriffskontrollkonzept, Unterlagen zum Change Management sowie verschiedene BCM-Dokumente. Anhang B gibt die DIN EN ISO/IEC 27001:2024-01 einschließlich Anhang und Änderung im Wortlaut wieder. Die Anhänge erhöhen den unmittelbaren Gebrauchswert, machen aber zugleich einen erheblichen Teil des Gesamtumfangs von 496 Seiten aus.
