Natürlich kann man ein ISMS auch intern aufbauen. Jedoch sollte man sich dann einen Informationssicherheitsexperten einstellen oder ausbilden. Beides kostet in der Regel auf Dauer mehr, als ein Beratungsunternehmen einzubinden, die die Experten nur für den benötigten Zeitraum bereitstellen, insofern kein eigenes Informationssicherheitsteam eingestellt werden soll. Worauf geachtet werden muss ist, dass praktische Erfahrung in mehreren Unternehmen wichtig ist, um Maßnahmen bewerten und abgeben zu können und keine sinnlosen „Versuche“ zu starten. Was definitiv nicht gemacht werden sollte an der Stelle, ist bestehende IT-Mitarbeiter für diese Position auszuwählen, da dies zu einem Interessenkonflikt führt und die Rolle einer Stabstelle für das Management von bestehenden Mitarbeitern in der Regel nicht entsprechend ausgefüllt werden kann. Nach der Implementierung eines ISMS reduziert sich der Aufwand übrigens drastisch, weshalb es sich bei Mittelständlern empfiehlt externe Ressourcen einzubeziehen.