ISO 27001: So behandeln Sie Abweichungen richtig

Wenn ich als Auditor ein Internes Audit durchführe, schaue ich mir ziemlich zuverlässig an, was aus den Feststellungen des vorangegangenen Audits geworden ist. Das ist einer dieser Momente, in denen man sehr schnell erkennt, ob ein Managementsystem tatsächlich arbeitet – oder ob lediglich ein paar Zellen in einer Maßnahmenliste grün eingefärbt wurden.

Und dabei sehe ich regelmäßig völligen Kokolores.

Empfehlungen werden wie Nichtkonformitäten behandelt. Nichtkonformitäten werden wie unverbindliche Empfehlungen behandelt. Korrekturen werden als Korrekturmaßnahmen bezeichnet und Korrekturmaßnahmen sollen plötzlich die Korrektur ersetzen. Ursachenanalysen bestehen aus zwei Wörtern, Maßnahmen haben mit der gefundenen Ursache nichts zu tun und manchmal wurde einfach gar nichts gemacht.

Sehr beliebt ist auch: „Ursache: zu wenige Ressourcen. Maßnahme: Der Administrator muss seine Arbeit künftig ausführlicher dokumentieren.“

Das ist keine Ursachenbekämpfung. Das ist eine bürokratische Zusatzbelastung für die bereits als überlastet erkannte Ressource. Man hat die Ursache also nicht beseitigt, sondern noch einmal ordentlich gegossen und gedüngt.

Zeit, einmal sauber zu erklären, wie Sie eine Abweichung aus einem Audit tatsächlich bearbeiten.

Die kurze Antwort

Wenn in einem Audit eine Nichtkonformität festgestellt wurde, müssen Sie mehr tun, als das sichtbare Problem einmalig zu reparieren. Sie müssen den konkreten Fehler korrigieren, seine Folgen betrachten, die Ursache verstehen, eine zur Ursache passende Korrekturmaßnahme umsetzen, nach vergleichbaren Fällen suchen und später prüfen, ob Ihre Maßnahme wirklich funktioniert.

Genau diese Logik steckt in Abschnitt 10.2 der ISO 27001. Bei einer Nichtkonformität aus einem Zertifizierungsaudit kommt zusätzlich die Zertifizierungslogik aus ISO/IEC 17021-1 hinzu: Die Zertifizierungsstelle verlangt eine Ursachenanalyse sowie konkrete Korrekturen und Korrekturmaßnahmen und bewertet anschließend, ob diese plausibel und wirksam sind.

In einem Satz:

Eine Korrektur beseitigt den festgestellten Fehler. Eine Korrekturmaßnahme beseitigt seine Ursache, damit er nicht erneut oder an anderer Stelle auftritt.

Abweichung, Nichtkonformität oder Empfehlung?

Im Auditalltag werden „Abweichung“ und „Nichtkonformität“ meistens gleichbedeutend verwendet. Gemeint ist: Eine konkrete Anforderung wurde nicht erfüllt. Welche Bestandteile eine sauber formulierte Feststellung braucht und was Haupt- und Nebenabweichungen unterscheidet, erklären wir ausführlich im Artikel Was ist eine Nichtkonformität im ISO 27001-Audit?.

Eine Empfehlung, ein Hinweis oder eine Verbesserungschance ist etwas anderes. Dabei wurde keine Nichterfüllung nachgewiesen. Der Auditor sieht lediglich eine Möglichkeit, wie das Unternehmen sein System verbessern könnte. Die Organisation darf diese Anregung prüfen und ablehnen. Sinnvoll ist es trotzdem, die Entscheidung kurz nachvollziehbar zu machen.

Das heißt:

• Nichtkonformität: Sie müssen reagieren und die Feststellung nach Ihrem geregelten Verfahren behandeln.
• Empfehlung: Sie müssen nicht blind umsetzen, sollten aber bewusst entscheiden, ob sie hilfreich ist.

Wer jede Empfehlung wie eine Pflichtabweichung behandelt, produziert unnötige Arbeit. Wer eine echte Nichtkonformität als freundlichen Denkanstoß ablegt, produziert beim nächsten Audit wahrscheinlich eine unangenehme Wiederholung.

Was ISO 27001 Abschnitt 10.2 tatsächlich verlangt

Die Norm verlangt bei einer aufgetretenen Nichtkonformität eine nachvollziehbare Reaktion. Je nach Fall müssen Sie den Zustand überwachen und korrigieren sowie mit seinen Folgen umgehen. Anschließend bewerten Sie, was getan werden muss, damit die Ursache beseitigt wird und die Nichtkonformität nicht erneut oder an anderer Stelle auftritt.

Dazu gehören ausdrücklich:

• die Nichtkonformität überprüfen;
• ihre Ursache bestimmen;
• prüfen, ob vergleichbare Nichtkonformitäten bestehen oder auftreten könnten;
• erforderliche Maßnahmen umsetzen;
• deren Wirksamkeit überprüfen;
• und das ISMS bei Bedarf ändern.

Die Maßnahmen müssen zu den Auswirkungen der Nichtkonformität passen. Außerdem brauchen Sie dokumentierte Informationen über die Art der Nichtkonformität, die ergriffenen Maßnahmen und die Ergebnisse der Korrekturmaßnahmen. Dass Nichtkonformitäten und Korrekturmaßnahmen zu den notwendigen dokumentierten Informationen gehören, ist daher kein Wunsch Ihres Auditors.

Für Feststellungen aus Zertifizierungsaudits wird es noch konkreter. ISO/IEC 17021-1 verlangt in 9.4.9, dass die Zertifizierungsstelle vom Kunden eine Ursachenanalyse sowie die Beschreibung konkreter Korrekturen und Korrekturmaßnahmen innerhalb einer festgelegten Zeit fordert. Nach 9.4.10 prüft sie, ob das Vorgehen akzeptabel ist, und verifiziert die Wirksamkeit. Je nach Abweichung können dafür Dokumente genügen, ein begrenztes Nachaudit erforderlich sein oder sogar ein vollständigeres zusätzliches Audit angesetzt werden.

Neun Arten, eine Nichtkonformität nicht zu behandeln, bei denen ich regelmäßig die Wände hochgehe

1. Eine Empfehlung wird wie eine Nichtkonformität behandelt

Der Auditor empfiehlt, Rollenbeschreibungen übersichtlicher zu gestalten. Noch am selben Nachmittag eröffnet jemand ein dringendes Maßnahmenprogramm, schreibt sämtliche Rollen neu und lässt alles von der Geschäftsführung freigeben.

Das kann man machen. Man muss aber nicht. Zuerst wäre zu klären, ob die vorhandene Darstellung tatsächlich Probleme verursacht. Vielleicht funktioniert sie bestens und der Auditor hätte es persönlich lediglich gerne anders sortiert. Wer Empfehlungen automatisch in Pflichten verwandelt, lässt sich sein ISMS nach und nach vom Geschmack wechselnder Auditoren diktieren.

2. Eine Nichtkonformität wird wie eine Empfehlung behandelt

Im Audit wurde nachgewiesen, dass Austritte wiederholt nicht entsprechend der eigenen Offboarding-Regel bearbeitet wurden. In der Liste steht anschließend: „Hinweis an HR gegeben. Bei Gelegenheit Prozess ansehen.“

Nein. Hier wurde eine Anforderung nicht erfüllt. Das Unternehmen muss reagieren, Verantwortlichkeit und Termin festlegen und den Fall vollständig behandeln. Klare Rollen, Verantwortlichkeiten und Befugnisse helfen dabei, dass die Aufgabe nicht zwischen HR, IT und ISB liegen bleibt.

3. Die Nichtkonformität wird überhaupt nicht behandelt

Manchmal steht eine Feststellung schlicht seit elf Monaten auf „offen“. Niemand weiß, wer sie übernommen hat. Die Frist ist lange vorbei und im nächsten Audit beginnt eine hektische Suche nach einer Person, die sich wenigstens noch an das Thema erinnert.

Damit wird aus einer fachlich überschaubaren Abweichung zusätzlich ein Nachweis dafür, dass das Unternehmen seine eigenen Verbesserungsprozesse nicht steuert. Gerade im Zertifizierungsaudit wird die Behandlung früherer Feststellungen gezielt betrachtet.

Wenn das Unternehmen nicht in der Lage ist, Abweichungen zu behandeln, ist das schnell eine weitere Nichtkonformität. So einfach ist das.

4. Eine Korrektur wird zur Korrekturmaßnahme umetikettiert

Im Audit fehlt die turnusgemäße Überprüfung einer Richtlinie. Das Unternehmen holt den Review nach und schreibt in das Feld „Korrekturmaßnahme“: „Richtlinie wurde am 12. August geprüft.“

Das ist eine super Korrektur. Der konkrete Mangel ist behoben. Sie erklärt aber nicht, weshalb der Review ausblieb und was künftig dafür sorgt, dass der nächste Termin nicht wieder verpasst wird.

5. Eine Korrekturmaßnahme soll die Korrektur ersetzen

Das Gegenstück ist genauso schön: Eine veraltete Richtlinie befindet sich im freigegebenen Bestand. Als Maßnahme wird ein automatischer Review-Reminder eingerichtet. Die Richtlinie selbst bleibt trotzdem veraltet veröffentlicht.

Der neue Reminder kann Teil einer Korrekturmaßnahme sein. Er beseitigt aber nicht das aktuell vorhandene Problem. Das veraltete Dokument muss weiterhin geprüft, aktualisiert oder zurückgezogen werden. Zukunftsmusik repariert nicht automatisch die Gegenwart.

6. Es werden nur Korrekturen vorgenommen

Bei drei ausgeschiedenen Mitarbeitern sind noch Konten aktiv. Die Konten werden gesperrt. Fertig.

Nein, noch nicht fertig. Die konkrete Gefahr wurde zwar reduziert. Ohne Ursachenanalyse weiß aber niemand, weshalb die Konten aktiv blieben. Wenn der Informationsfluss zwischen HR und IT weiterhin nur aus Zurufen in der Kaffeeküche besteht, wartet der nächste vergessene Account bereits geduldig auf seinen Einsatz.

7. Es gibt eine „Korrekturmaßnahme“, aber keine Ursachenanalyse

Lieferantenbewertungen fehlen. Die beschlossene Maßnahme lautet: „Alle Lieferanten werden künftig rechtzeitig bewertet.“

Das ist kein Mechanismus, sondern ein Wunsch. Fehlt die Lieferantenliste? Ist unklar, wer neue Lieferanten meldet? Gibt es keine Verantwortlichkeit? Ist die Bewertung zu kompliziert? Ohne Ursache kann die Maßnahme nur zufällig passen. Ein Informationssicherheitsbeauftragter kann die Bearbeitung koordinieren; die notwendigen Informationen und Entscheidungen müssen trotzdem aus den betroffenen Unternehmensbereichen kommen.

8. Maßnahme und Ursache haben nichts miteinander zu tun

Ursache: Der einzige Administrator ist dauerhaft überlastet. Maßnahme: Der Administrator muss ab sofort jede seiner Tätigkeiten zusätzlich in einer Excel-Tabelle dokumentieren.

Das ist der bereits erwähnte Klassiker. Vielleicht ist Dokumentation tatsächlich erforderlich. Dann muss aber erklärt werden, wie sie die festgestellte Ursache beseitigt. Wenn sie nur weitere Zeit verbraucht, verschärft sie die Überlastung. Passender wären beispielsweise Priorisierung, Automatisierung, Vertretungsregelungen, zusätzliche Ressourcen oder eine Reduktion unnötiger Aufgaben.

Ein Tool kann dabei unterstützen. Es kann aber weder denken noch Verantwortung übernehmen. Genau deshalb hilft auch ISO 27001-Software nur dann, wenn der zugrunde liegende Prozess vernünftig ist.

9. Niemand sucht nach vergleichbaren Fällen

Ein ausgeschiedener Mitarbeiter hatte noch Zugriff auf Microsoft 365. Das Konto wird gesperrt, der Prozess wird für Microsoft 365 verbessert und die Abweichung geschlossen.

Was ist mit VPN, Ticketsystem, Quellcode-Repository, Zeiterfassung, Cloudplattform und Kundensystemen? Was ist mit externen Mitarbeitern? Was ist mit Rollenwechseln, bei denen alte Berechtigungen ebenfalls entfernt werden müssen?

Abschnitt 10.2 verlangt ausdrücklich die Prüfung, ob vergleichbare Nichtkonformitäten bestehen oder möglicherweise auftreten könnten. Das ist keine Einladung zu grenzenloser Weltforschung. Es ist die Aufforderung, nicht nur genau das eine Loch zu stopfen, durch das der Auditor zufällig geschaut hat.

So bearbeiten Sie eine Auditabweichung Schritt für Schritt

1. Feststellung verstehen: Welche Anforderung wurde nicht erfüllt? Welche Nachweise nennt der Auditor? Betrifft die Feststellung wirklich Ihr Unternehmen und ist sie sachlich nachvollziehbar?
2. Sofort reagieren: Begrenzen Sie gegebenenfalls das aktuelle Risiko. Sperren Sie etwa ein noch aktives Konto oder ziehen Sie ein falsches Dokument zurück.
3. Korrektur durchführen: Beseitigen Sie den konkret festgestellten Fehler und kümmern Sie sich um erkennbare Folgen.
4. Ursache analysieren: Fragen Sie, weshalb das Problem entstehen konnte und weshalb vorhandene Kontrollen es nicht verhindert oder entdeckt haben.
5. Vergleichbare Fälle suchen: Prüfen Sie andere Systeme, Standorte, Rollen, Dokumente, Lieferanten oder Prozesse, bei denen dieselbe Ursache wirken könnte.
6. Korrekturmaßnahme festlegen: Wählen Sie eine Maßnahme, die nachvollziehbar an der Ursache ansetzt. Benennen Sie Verantwortliche, Termin und erforderliche Ressourcen.
7. Umsetzen und nachweisen: Dokumentieren Sie, was tatsächlich geschehen ist. Eine Absichtserklärung ist noch keine Umsetzung.
8. Wirksamkeit prüfen: Legen Sie vorher fest, wann und woran Sie erkennen, dass die Maßnahme funktioniert.
9. ISMS anpassen und schließen: Ändern Sie bei Bedarf Prozesse, Rollen, Dokumente oder Werkzeuge und schließen Sie die Feststellung erst, wenn die Bearbeitung vollständig und nachvollziehbar ist.

Ein vollständiges Beispiel: Das vergessene Benutzerkonto

Nichtkonformität: Im Audit wurde festgestellt, dass das Konto eines vor sechs Wochen ausgeschiedenen Mitarbeiters noch aktiv war, obwohl die interne Offboarding-Regel eine unverzügliche Deaktivierung fordert.

Sofortige Reaktion und Korrektur: Das Konto wird gesperrt. Sitzungen und Tokens werden beendet. Die Organisation prüft die letzten Anmeldungen und Aktivitäten, bewertet mögliche Folgen und entfernt weitere verbliebene Berechtigungen.

Ursachenanalyse: HR versendet Austrittsinformationen per E-Mail an einzelne Empfänger. Es gibt keine festgelegte Vertretung, keinen verbindlichen Workflow und keine Kontrolle, ob die IT-Aufgabe abgeschlossen wurde. Im konkreten Fall war der zuständige Administrator im Urlaub.

Vergleichbare Fälle: Geprüft werden weitere Austritte, externe Mitarbeiter, Rollenwechsel und alle relevanten Zielsysteme – nicht nur das System, in dem der Auditor den aktiven Account gefunden hat. Dabei werden zwei weitere Fälle aufgedeckt.

Korrekturmaßnahme: Jeder Austritt erzeugt künftig einen verbindlichen Offboarding-Vorgang mit definierten Zielsystemen, Verantwortlichen, Vertretung und Fälligkeit. HR löst den Vorgang aus; die jeweilige Systemverantwortung bestätigt die Umsetzung; eine zentrale Rolle kontrolliert den Abschluss.

Wirksamkeitsprüfung: Nach drei Monaten wird eine Stichprobe aller Austritte und Rollenwechsel betrachtet. Das Unternehmen prüft, ob die Vorgänge vollständig, fristgerecht und für alle relevanten Systeme abgeschlossen wurden. Ein bloßer Screenshot des neu eingerichteten Workflows wäre noch kein Wirksamkeitsnachweis.

Wie tief muss eine Ursachenanalyse gehen?

Sie brauchen nicht für jede Nebenabweichung ein zweitägiges Ursachenanalyse-Retreat mit Fischgrätendiagramm, Moderationskoffer und tibetanischen Gebetskeksen. Die Tiefe sollte zu Auswirkungen und Komplexität passen.

Oft reicht eine sauber geführte Folge von Warum-Fragen. Hüten Sie sich allerdings vor Scheinursachen wie „menschliches Versagen“, „Unachtsamkeit“ oder „zu wenig Bewusstsein“. Das ist nur eine Kategorie, keine Ursache. Menschen machen Fehler. Die interessantere Frage ist, weshalb der Prozess einen erwartbaren menschlichen Fehler nicht verhindert, erkannt oder abgefangen hat.

Eine gute Ursache ist konkret genug, dass sich daraus eine passende Maßnahme ableiten lässt. Wenn aus derselben Ursache zehn völlig verschiedene Maßnahmen ebenso plausibel erscheinen, ist sie Unsinn.

Wann ist eine Nichtkonformität wirklich geschlossen?

Nicht dann, wenn jemand die Maßnahme in einer Tabelle auf „erledigt“ setzt. Und auch nicht zwingend schon dann, wenn die Korrekturmaßnahme technisch umgesetzt wurde.

Eine Nichtkonformität ist belastbar bearbeitet, wenn:

• die konkrete Feststellung korrigiert und ihre Folgen betrachtet wurden;
• die Ursache nachvollziehbar bestimmt wurde;
• vergleichbare Fälle geprüft wurden;
• eine zur Ursache passende Maßnahme umgesetzt wurde;
• die erforderlichen Nachweise vorliegen;
• und die Wirksamkeit geprüft wurde oder verbindlich zu einem sinnvollen Zeitpunkt geprüft wird.

Ein sauberer Maßnahmenprozess braucht deshalb mehr als die Spalten „Aufgabe“, „Termin“ und „grünes Häkchen“. Er sollte mindestens Feststellung, Anforderungsbezug, Korrektur, Folgen, Ursache, vergleichbare Fälle, Korrekturmaßnahme, Verantwortung, Termin, Nachweise und Wirksamkeitsprüfung nachvollziehbar abbilden.

Was will der Auditor sehen?

Der Auditor sucht keine besonders wissenschaftlich klingende Ursachenanalyse. Er sucht eine belastbare Gedanken- und Handlungskette:

Feststellung → Korrektur → Ursache → vergleichbare Fälle → Korrekturmaßnahme → Nachweis → Wirksamkeit.

Wenn die Maßnahme erkennbar nichts mit der Ursache zu tun hat, wird er nachfragen. Wenn nur das sichtbare Symptom repariert wurde, ebenfalls. Und wenn dieselbe Abweichung im nächsten Audit wieder auftaucht, spricht das ziemlich deutlich gegen die Wirksamkeit der bisherigen Behandlung.

Die Zuständigkeit darf koordiniert werden, aber nicht im Nebel verschwinden. Ein funktionierendes ISMS lebt davon, dass Aufgaben, Entscheidungen und Nachweise nicht erst am Vorabend des nächsten Audits zusammengesucht werden.

Interesse geweckt?

Wenn Sie Abweichungen aus einem Internen Audit oder Zertifizierungsaudit sauber bearbeiten, Ursachenanalysen plausibel aufbauen und Korrekturmaßnahmen wirksam schließen möchten, Sprechen Sie mit uns.