ISO 27001: Wie viel Eigenaufwand müssen Sie einplanen?

Es gibt Unternehmen, die schließen sich mit 20 Personen für vier Stunden in einen Besprechungsraum ein, um eine halbseitige Richtlinie zu reviewen.

Das Ergebnis kann durchaus gut sein. Es sind aber auch 80 Personenstunden – für eine halbe Seite Richtlinientext.

Und genau solche Unternehmen fragen uns zu Beginn eines ISO 27001-Projekts häufig: „Wenn Sie uns maximal viel abnehmen: Mit wie viel Eigenaufwand müssen wir dann mindestens rechnen?“

Ganz ehrlich: Das können wir zu diesem Zeitpunkt noch nicht seriös sagen. Denn wir kennen vielleicht ein oder zwei Personen aus dem Unternehmen. Wir wissen aber noch nicht, ob dort eine halbseitige Richtlinie in 20 Minuten freigegeben wird – oder ob dafür 20 Personen einen halben Arbeitstag benötigen.

Die kurze Antwort

Ein erfahrener Berater kann den internen ISO 27001 Aufwand erheblich reduzieren. Er kann das Projekt strukturieren, Workshops moderieren, Dokumente vorbereiten, Anforderungen erklären, Risiken ausarbeiten und die Auditvorbereitung übernehmen.

Trotzdem bleibt Arbeit im Unternehmen. Wie viel, hängt vor allem von sieben Faktoren ab:

1. Wie gut ist die Ausgangslage?
2. Wie groß und komplex ist der Geltungsbereich?
3. Wie strukturiert und prozessorientiert arbeiten die Beteiligten?
4. Wie pragmatisch prüfen und entscheiden sie?
5. Wie viel echter Abstimmungs- und Kommunikationsaufwand entsteht?
6. Wie viele technische, organisatorische und physische Veränderungen sind nötig?
7. Wie viel bereits erledigte Arbeit muss später wiederholt werden?

Eine pauschale Zahl wie „Planen Sie intern 15 Personentage ein“ wäre deshalb selten mehr als eine freundlich vorgetragene Vermutung.

Aufwand ist nicht dasselbe wie Dauer

Bevor wir die sieben Stellschrauben betrachten, müssen wir zwei Fragen auseinanderhalten:

• Aufwand bezeichnet die aktiven Arbeitsstunden, die Mitarbeiter Ihres Unternehmens in das Projekt investieren.
• Dauer bezeichnet die Kalenderzeit vom Projektstart bis zur Zertifizierungsreife beziehungsweise bis zum Zertifikat.

Das ist nicht dasselbe.

Wenn eine Geschäftsführerin eine notwendige Freigabe erst nach sechs Wochen erteilt, verlängert das vermutlich das Projekt. Der Arbeitsaufwand für die Freigabe wird dadurch aber nicht automatisch größer. Wenn hingegen 20 Personen vier Stunden lang über diese Freigabe beraten, sind 80 Arbeitsstunden verbraucht – selbst wenn die Entscheidung noch am selben Tag fällt.

Wie viele Monate ein Projekt typischerweise benötigt, erklären wir deshalb separat in Wie lange dauert eine ISO 27001-Zertifizierung?. Hier geht es ausschließlich um den Eigenaufwand Ihres Unternehmens.

Warum der Aufwand am Anfang so schwer zu beziffern ist

Wenn ein Unternehmen uns diese Frage im Erstgespräch stellt, kennen wir meistens nur einen kleinen Ausschnitt der Organisation. Vielleicht sprechen wir mit der Geschäftsführung und der künftigen Projektleitung. Von diesen Personen können wir uns einen ersten Eindruck machen.

Was wir noch nicht wissen:

• Wie funktionieren Abstimmungen in den übrigen Abteilungen?
• Wie schnell werden Informationen gefunden?
• Wie viele Personen müssen Dokumente prüfen?
• Wie klar sind bestehende Prozesse und Zuständigkeiten?
• Wie heterogen ist die IT-Landschaft?
• Welche Sicherheitsmaßnahmen fehlen tatsächlich?
• Wie viel vorhandene Dokumentation ist brauchbar?
• Wie oft werden getroffene Entscheidungen später wieder aufgemacht?

Auch die Mitarbeiterzahl beantwortet diese Fragen nicht. Ein klar organisiertes Unternehmen mit 100 Mitarbeitern kann weniger Eigenaufwand verursachen als ein Betrieb mit 25 Mitarbeitern, in dem jede Abteilung anders arbeitet und jede Entscheidung durch sieben Hände wandert und nachher noch dreimal wieder neu aufgemacht wird.

Was ein Berater grundsätzlich übernehmen kann – und was zwingend im Unternehmen bleiben muss – haben wir im Artikel Geld rein, Zertifikat raus? Was Ihnen kein ISO 27001-Berater abnehmen kann ausführlich beschrieben.

Die sieben Stellschrauben für Ihren ISO 27001 Aufwand

1. Wie gut ist Ihre Ausgangslage?

Manche Unternehmen beginnen nicht bei null. Sie verfügen bereits über nachvollziehbare Abläufe, aktuelle Verträge, klare Rollen, eine gepflegte IT-Dokumentation und brauchbare Sicherheitsregeln. Vielleicht gibt es sogar Erfahrungen mit anderen Managementsystemen oder Audits.

Dann muss vieles nicht neu geschaffen werden. Es wird gesichtet, geordnet, gegebenenfalls ergänzt und in das ISMS eingebunden.

In anderen Unternehmen steckt fast alles Wissen in einzelnen Köpfen. Lieferantenlisten sind unvollständig, Assets nicht erfasst, Zuständigkeiten historisch gewachsen und Sicherheitsregeln werden mündlich weitergegeben oder von neuen Mitarbeitern nach jahrelanger Beobachtung erraten. Dann entsteht zusätzlicher Eigenaufwand, weil die Organisation ihre eigene Arbeitsweise zunächst rekonstruieren muss.

Die entscheidenden Fragen lauten:

• Gibt es bereits brauchbare Prozesse und Richtlinien?
• Sind Assets, Lieferanten und Verantwortlichkeiten bekannt?
• Ist die IT grundsätzlich angemessen abgesichert?
• Lassen sich Verträge, technische Informationen und Entscheidungen auffinden?
• Stimmen die Beschreibungen verschiedener Beteiligter überein?

Ein vorbereiteter Dokumentensatz kann das Schreiben beschleunigen. Er ersetzt aber nicht die Beschäftigung mit der eigenen Realität. Warum das so ist, erläutern wir in ISO 27001 – Dokumentensatz und fertig!.

2. Wie groß und komplex ist der Geltungsbereich?

Die Zahl der Mitarbeiter ist nur ein grober Hinweis. Wichtiger ist, was tatsächlich zertifiziert werden soll.

Der Eigenaufwand steigt typischerweise mit:

• der Zahl der Standorte und Gesellschaften;
• der Zahl unterschiedlicher Produkte und Dienstleistungen;
• der Zahl beteiligter Teams und Fachbereiche;
• einer heterogenen oder historisch gewachsenen IT-Landschaft;
• eigenen Rechenzentren, Produktionsanlagen oder Entwicklungsumgebungen;
• vielen Schnittstellen und ausgelagerten Leistungen;
• sowie unterschiedlichen rechtlichen oder kundenseitigen Anforderungen.

Ein Unternehmen mit einem Standort, einem klaren Produkt und weitgehend einheitlichen Cloudsystemen ist meist leichter zu erfassen als eine kleinere Unternehmensgruppe mit mehreren Gesellschaften, unterschiedlichen Leistungen und einer IT, die in jeder Niederlassung anders aussieht.

Der Anwendungsbereich sollte nicht aus einem spontanen Vollständigkeitsimpuls heraus alles umfassen, was irgendwie zum Unternehmen gehört. Jeder zusätzliche Bereich bringt Menschen, Prozesse, Systeme, Risiken und Abstimmungen mit.

3. Wie strukturiert arbeiten die Beteiligten?

Zwei Menschen können dieselbe Aufgabe mit vollkommen unterschiedlichem Aufwand erledigen.

Eine Person erhält einen vorbereiteten Prozess, erkennt die wesentlichen Punkte, ergänzt drei fachliche Details und gibt ihn nach 30 Minuten zurück. Eine andere beginnt mit einer Grundsatzdiskussion über Aufbau, Wortwahl und sämtliche theoretisch denkbaren Sonderfälle. Nach drei Stunden ist der erste von 20 Absätzen erst im Ansatz bearbeitet.

Für den Eigenaufwand ist deshalb relevant:

• Wie schnell erfassen die Beteiligten neue Zusammenhänge?
• Können sie Informationen übersichtlich bereitstellen?
• Denken sie in wiederholbaren Prozessen oder nur in Einzelfällen?
• Können sie zwischen wichtig und lediglich interessant unterscheiden?
• Sind sie es gewohnt, Aufgaben mit einem klaren Ergebnis abzuschließen?
• Können sie Verantwortung sinnvoll delegieren?

Die Norm verlangt keine bestimmte Persönlichkeit. Ein ISO 27001-Projekt besteht aber zu einem guten Teil aus strukturierender Arbeit. Unternehmen, die Informationen ordnen, Verantwortlichkeiten klären und wiederholbare Abläufe beschreiben können, benötigen dafür gewöhnlich weniger Arbeitsstunden.

4. Wie pragmatisch prüfen und entscheiden Sie?

Gründlichkeit ist gut. Ein ISMS soll zur Organisation passen und darf keine Regeln enthalten, die niemand einhalten kann.

Gründlichkeit wird jedoch teuer, wenn hinter jedem Wort ein möglicher Anschlag auf das Unternehmen vermutet wird.

Pragmatische Reviews fragen:

• Ist die Regel fachlich richtig?
• Ist sie verständlich?
• Können wir sie einhalten?
• Fehlt etwas Wesentliches?
• Wer muss sie freigeben?

Unpragmatische Reviews diskutieren, ob ein Satz auch in einer sehr unwahrscheinlichen, bisher nie aufgetretenen Ausnahmesituation missverstanden werden könnte. Danach wird das Dokument vorsichtshalber an vier weitere Personen zur Freigabe geschickt und zehn weitere dabei ins Cc genommen.

Auch die vorhandene Entscheidungskultur zählt. Wenn zuständige Personen innerhalb ihres Verantwortungsbereichs entscheiden dürfen, bleibt der Aufwand überschaubar. Wenn jede Formulierung im einstimmigen Konsens entstehen soll, vervielfacht sich die eingesetzte Arbeitszeit.

Passende Vorlagen helfen dabei, nicht jedes Dokument neu zu erfinden. Entscheidend bleibt aber ein vernünftiger Review. Welche Dokumente überhaupt sinnvoll sind, lesen Sie in ISO 27001 Richtlinien: Welche Sie wirklich brauchen.

5. Wie viel Abstimmungs- und Kommunikationsaufwand entsteht?

Unklare Zuständigkeiten verlängern ein Projekt häufig. Sie können aber auch den Aufwand erhöhen – nämlich dann, wenn dadurch tatsächlich mehr gearbeitet wird.

Das passiert beispielsweise, wenn:

• mehrere Personen dieselbe Aufgabe parallel bearbeiten;
• Ergebnisse in zahlreichen Besprechungen wiederholt erklärt werden;
• Dokumente nacheinander durch viele Freigabestufen laufen;
• bereits getroffene Entscheidungen erneut verhandelt werden;
• Aufgaben falsch delegiert und anschließend neu erledigt werden;
• oder unterschiedliche Abteilungen widersprüchliche Lösungen entwickeln, die später zusammengeführt werden müssen.

Die Zahl der Mitarbeiter ist dabei weniger wichtig als die Zahl der Menschen, die bei jeder Entscheidung mitreden müssen oder möchten.

Hinzu kommt die Kommunikation in das Unternehmen. Neue Richtlinien, Rollen und Abläufe müssen bei den betroffenen Mitarbeitern ankommen. Dafür braucht es Mitteilungen, Besprechungen, Schulungen und Antworten auf Rückfragen. Gute bestehende Kommunikationswege reduzieren diesen Aufwand. Fehlen sie, muss das Projekt sie nebenbei mit aufbauen.

Ein sinnvoll zusammengesetztes ISO 27001-Projektteam verhindert viele unnötige Schleifen: Die richtigen Personen arbeiten an den richtigen Themen, statt dass vorsichtshalber immer alle beteiligt werden.

6. Wie viel muss in Ihrem Unternehmen tatsächlich verändert werden?

Dokumente sind nur ein Teil des Projekts. Der meist größere Aufwand entsteht dort, wo die heutige Realität noch nicht zu den festgelegten Regeln und Sicherheitsanforderungen passt. Die ISO 27001 hält jedem Unternehmen gnadenlos den Spiegel der eigenen Organisationsreife vor.

Je nach Ausgangslage müssen Unternehmen beispielsweise:

• Assets und Lieferanten vollständig erfassen;
• Rollen und Verantwortlichkeiten neu ordnen;
• Prozesse für Eintritte, Austritte, Änderungen oder Sicherheitsvorfälle einführen;
• Zugriffsrechte bereinigen;
• Mehrfaktor-Authentisierung oder Protokollierung ausbauen;
• Backups und Wiederherstellung verbessern;
• Schwachstellen- und Patchmanagement strukturieren;
• physische Zutrittsregelungen verändern;
• Notfallvorsorge für relevante Ausnahmesituationen aufbauen;
• oder Mitarbeiter für besondere Sicherheitsaufgaben qualifizieren.

Ein Berater kann Lücken identifizieren, Lösungen vorschlagen und die Umsetzung strukturieren. Die eigene IT, die eigenen Räume und die eigenen Arbeitsweisen verändern sich dadurch aber noch nicht.

Je größer die Lücke zwischen dem heutigen Zustand und dem benötigten Zustand, desto größer der interne ISO 27001 Aufwand. Genau deshalb ist eine Bestandsaufnahme vor einer belastbaren Schätzung so wichtig.

7. Wie viel Arbeit muss wiederholt werden?

Unternehmen bleiben während eines Projekts nicht stehen. Das ist normal. Zusätzlicher Aufwand entsteht jedoch, wenn Veränderungen bereits erledigte Arbeit unbrauchbar machen.

Typische Beispiele:

• Der Geltungsbereich wird nachträglich erweitert.
• Eine neue Gesellschaft oder ein neuer Standort kommt hinzu.
• Eine an den Markt gerichtete Tätigkeit im Anwendungsbereich wird grundlegend verändert.
• Die IT-Landschaft wird parallel umgebaut.
• Ein wichtiger Dienstleister wird ausgetauscht.
• Die Projektleitung oder mehrere Schlüsselpersonen wechseln.
• Bereits freigegebene Grundsatzentscheidungen werden zurückgenommen.

Nicht jede Veränderung ist vermeidbar. Trotzdem sollte ein Unternehmen erkennen, dass Nacharbeiten keine mysteriöse Eigenschaft der Norm sind. Sie entstehen, weil sich die Grundlage verändert hat.

Was eine seriöse Aufwandsschätzung braucht

Eine brauchbare Schätzung entsteht nicht durch die Frage nach der Mitarbeiterzahl allein. Sie braucht zumindest einen strukturierten Blick auf:

• den geplanten Geltungsbereich;
• vorhandene Prozesse, Dokumente und Verantwortlichkeiten;
• die technische und physische Ausgangslage;
• beteiligte Standorte, Systeme und Dienstleister;
• notwendige Umsetzungsmaßnahmen;
• sowie die Art, wie Informationen, Reviews und Entscheidungen im Unternehmen organisiert werden.

Eine Gap-Analyse oder ein entsprechend gründliches Vorprojektgespräch liefert dafür eine deutlich bessere Grundlage als ein pauschaler Wert aus einer Verkaufstabelle.

Und noch etwas: Der interne Aufwand ist nur ein Teil der Gesamtkosten. Beratung und Zertifizierungsaudit kommen hinzu. Wie diese drei Kostenblöcke zusammenhängen, zeigen wir in Was kostet eine ISO 27001-Zertifizierung wirklich?.

Der wichtigste Hebel ist nicht „mehr selbst machen“

Viele Unternehmen versuchen, Beratungskosten zu senken, indem sie möglichst viele Aufgaben intern übernehmen. Das kann sinnvoll sein, wenn intern Erfahrung, Kapazität und Struktur vorhanden sind.

Es kann aber auch dazu führen, dass ein Mitarbeiter mehrere Tage an einer Aufgabe arbeitet, die ein erfahrener Berater in wenigen Stunden vorbereitet hätte. Weniger externe Unterstützung bedeutet deshalb nicht automatisch weniger Gesamtaufwand.

Die wirtschaftlichere Arbeitsteilung lautet häufig:

• Der Berater bringt Normwissen, Struktur, Vorlagen, Moderation und Projekterfahrung ein.
• Das Unternehmen liefert Wissen über seine Realität, trifft Entscheidungen und setzt notwendige Veränderungen um.

Ziel ist nicht, dass das Unternehmen besonders viel selbst schreibt. Ziel ist, dass niemand Arbeit erledigt, die ein anderer deutlich effizienter übernehmen kann.

Interesse geweckt?

Sie möchten vor einem ISO 27001-Projekt wissen, womit Ihr Unternehmen realistisch rechnen muss? Dann sollten wir nicht nur Mitarbeiter zählen. Wir schauen uns Ausgangslage, Scope, Komplexität und notwendige Veränderungen an – und besprechen, welche Aufgaben wir sinnvoll übernehmen können und welche Eigenleistung bei Ihnen verbleibt.

Sprechen Sie mit uns über Ihr Zertifizierungsprojekt. Je besser wir Ihr Unternehmen verstehen, desto belastbarer lässt sich auch der interne Aufwand einschätzen.