Die ISO 27001 macht so viel Arbeit? Vielleicht liegt es an Ihrem Unternehmen

Wir saßen in einem Workshop bei einem kleinen Softwareunternehmen. Knapp 25 Personen, eine spezialisierte Anwendung für die Immobilienwirtschaft, technisch durchaus versiert. Die zentrale Frage an diesem Vormittag lautete: Wer soll künftig welche Verantwortung im ISMS übernehmen?

Der Geschäftsführer hörte sich unsere Frage an, lehnte sich nach vorne und sagte:

„Ach, interessant. Das erinnert mich an etwas. Ich muss da nur ganz kurz etwas prüfen.“

Dann teilte er seinen Bildschirm.

Zu sehen war ein Windows-Server. Der Geschäftsführer öffnete die Registry, klickte sich durch einige Schlüssel und murmelte vor sich hin. Im Workshop saßen außer ihm ein ISO 27001-Berater und vier Beschäftigte des Unternehmens.

„Nur kurz. Wirklich nur ganz kurz. In 30 Sekunden habe ich es.“

Nach einigen Änderungen öffnete er den Explorer.

„So, und hier müsste jetzt … Moment. Nein. Wieso geht das denn nicht?“

Zurück in die Registry.

Die übrigen fünf Menschen schauten zu. Der Workshop war inzwischen vollständig zum Erliegen gekommen. Nach einigen weiteren Minuten kam ein zufriedenes „Fertig!“ – gefolgt von der Frage:

„Wo waren wir stehen geblieben?“

Genau dort, wo das Unternehmen organisatorisch häufig stand: Alles lief über den Geschäftsführer. Jede Entscheidung, jede technische Besonderheit und jeder interessante Gedanke durfte zuerst durch seinen Kopf, seine Hände und gelegentlich durch die Registry. Das konnte fachlich brillant sein. Es war nur keine besonders günstige Betriebsform.

Die kurze Antwort

Wie Sie den ISO 27001 Aufwand reduzieren, hängt nicht nur davon ab, wie viele Anforderungen bereits erfüllt sind. Es hängt auch davon ab, wie Ihr Unternehmen arbeitet.

Klare Verantwortlichkeiten, entschiedene Führung, bekannte Prozesse und eine funktionierende Delegation sparen im ISO 27001-Projekt sehr viel interne Arbeitszeit. Fehlen diese Dinge, muss das Projekt nicht nur ein ISMS aufbauen. Es muss nebenbei immer wieder das Unternehmen sortieren.

Die Norm verlangt deshalb nicht automatisch mehr Arbeit. Ein chaotischer Betrieb produziert jedoch zusätzliche Arbeit:

• Entscheidungen werden mehrfach besprochen;
• Informationen werden immer wieder neu zusammengesucht;
• Workshops drehen sich im Kreis;
• Ergebnisse werden nachträglich umgebaut;
• dieselben Personen werden für jede Kleinigkeit benötigt;
• und niemand weiß zuverlässig, welche Festlegung gerade gilt.

Wie hoch der Eigenaufwand in einem ISO 27001-Projekt grundsätzlich ausfällt, haben wir bereits ausführlich beschrieben. Hier geht es um einen besonderen Aufwandstreiber: organisatorisches Chaos aus eigener Herstellung.

Das andere Ende der Größenskala

Einige Zeit zuvor hatten wir einen Scope-Workshop bei einem größeren technischen Dienstleister. Rund 320 Beschäftigte, vier Geschäftsführer, alle vier aus dem Vertrieb. Das Unternehmen saß in einer westdeutschen Stadt – jedenfalls in dieser bewusst verfremdeten Fassung der Geschichte.

Wir wollten wissen, welche Produkte und Dienstleistungen in den Anwendungsbereich des ISMS gehören sollten. Also begannen wir mit einer vermeintlich einfachen Frage:

„Was macht Ihr Unternehmen eigentlich genau?“

Die Antworten wurden gesammelt. Erst kamen Entwicklung und Betrieb einiger Kundenlösungen. Dann Beratung. Dann Hardwarehandel. Dann technische Betreuung vor Ort. Dann Datenanalysen, Schulungen, Personalüberlassung, Projektmanagement, Hotline-Leistungen und noch ein paar sehr individuelle Dinge, die irgendwann einmal für einen Kunden möglich gemacht worden waren.

Die Liste wuchs. Und wuchs.

Die vier Geschäftsführer waren ehrlich erstaunt darüber, was ihr eigenes Unternehmen alles anbot. Vertriebliche Beweglichkeit war dort ein Wert an sich: Wenn ein Kunde fragte, ob man etwas machen könne, lautete die Antwort offenbar grundsätzlich „Ja“ – und die organisatorische Klärung folgte irgendwann später.

Am Ende fehlte auf der Leistungsliste im Grunde nur noch das nicht genehmigte Anfahren eines Kernkraftwerks. Vermutlich hatte bislang einfach noch kein Kunde danach gefragt.

Nun sollte aber ein Anwendungsbereich für die Zertifizierung festgelegt werden. Dafür musste plötzlich klar sein, welche Leistungen zusammengehören, welche Prozesse sie tragen, welche Standorte und Systeme benötigt werden und wofür Kunden das Zertifikat überhaupt sehen wollten.

Das ISO 27001-Projekt erzeugte diese Unklarheit nicht. Es schaltete lediglich das Licht ein.

Die ISO 27001 hält dem Unternehmen den Spiegel vor

Und manchmal ist das Unternehmen einigermaßen entsetzt darüber, was es darin sieht.

Unternehmen sagen gerne, dass „die ISO“ so viel Aufwand verursache. Manchmal stimmt das. Ein Managementsystem aufzubauen, Risiken zu bearbeiten, technische Maßnahmen umzusetzen und sich auf ein Zertifizierungsaudit vorzubereiten, ist echte Arbeit. Diese interne Arbeitszeit gehört deshalb auch in eine ehrliche Betrachtung der Kosten einer ISO 27001-Zertifizierung.

Aber nicht jede Arbeitsstunde, die während des Projekts anfällt, wurde von der ISO 27001 bestellt.

Wenn fünf Menschen zehn Minuten dabei zusehen, wie der Geschäftsführer spontan ein technisches Problem löst, sind fast fünfzig Minuten Arbeitszeit verbraucht. Wenn vier Geschäftsführer drei Workshops benötigen, um das eigene Leistungsangebot zu verstehen, ist das ebenfalls Aufwand. Wenn eine bereits besprochene Rollenverteilung wieder geöffnet wird, weil eine nicht beteiligte Person später widerspricht, entsteht zusätzliche Arbeit.

Wichtig ist dabei die Unterscheidung zwischen Dauer und Aufwand. Wenn eine Entscheidung zwei Wochen liegen bleibt, dauert das Projekt länger. Solange in dieser Zeit niemand daran arbeitet, steigt dadurch nicht automatisch der Aufwand. Wenn aber in der dritten Woche derselbe Sachverhalt erneut erklärt, diskutiert und vorbereitet werden muss, entstehen zusätzliche Personenstunden. Welche Faktoren vor allem die Dauer einer ISO 27001-Zertifizierung beeinflussen, betrachten wir deshalb separat.

Chaos erhöht den Aufwand vor allem durch Wiederholung, Mehrfacharbeit, Unterbrechungen und fehlende Koordination.

Aufwandstreiber 1: Der Geschäftsführer als menschlicher Flaschenhals

In kleinen Unternehmen ist es normal, dass die Geschäftsführung viele Rollen übernimmt. Problematisch wird es, wenn wirklich nichts ohne sie entschieden, freigegeben oder auch nur sinnvoll besprochen werden kann.

Dann warten nicht nur Aufgaben. Mitarbeitende bereiten dieselbe Entscheidung mehrfach vor, holen den Geschäftsführer in Termine, erklären den Zusammenhang erneut und passen Ergebnisse an spontane Einfälle an. Zugleich sitzt die zentrale Person in jedem Workshop – auch bei Fragen, die längst delegiert werden könnten.

Die ISO 27001 verlangt von der obersten Leitung Führung und Commitment. Sie verlangt aber nicht, dass der Geschäftsführer persönlich jede Zelle einer Assetliste pflegt. Was die Geschäftsführung nach Abschnitt 5.1 tatsächlich tun muss, ist vor allem Richtung geben, Prioritäten setzen, Ressourcen bereitstellen und dafür sorgen, dass Verantwortung funktioniert.

Wer alles selbst entscheidet, hat nicht besonders viel Kontrolle. Er hat nur besonders viele offene Tabs.

Aufwandstreiber 2: Verantwortung ist überall und deshalb nirgends

Ein ISMS berührt IT, Personal, Einkauf, Entwicklung, Vertrieb, Facility Management und die eigentlichen Leistungsprozesse. Wenn bei jedem Thema erst ausgehandelt werden muss, wer zuständig sein könnte, wird jede Aufgabe unnötig teuer.

Typische Symptome sind:

• Drei Personen bearbeiten dieselbe Frage parallel.
• Eine Aufgabe bleibt liegen, weil alle von einer anderen Zuständigkeit ausgehen.
• Ergebnisse müssen von Menschen geprüft werden, die weder entscheiden dürfen noch das Thema kennen.
• Die einzige kompetente Person zieht immer mehr Arbeit an sich und wird zum Bottleneck.
• Entscheidungen werden in Meetings getroffen, aber niemand übernimmt ihre Umsetzung.

Abschnitt 5.3 der Norm ist deshalb keine Organigramm-Lyrik. Rollen, Verantwortlichkeiten und Befugnisse müssen so klar sein, dass Arbeit tatsächlich verteilt und entschieden werden kann.

Aufwandstreiber 3: Jeder Auftrag erfindet das Unternehmen neu

Vertrieblich kann große Flexibilität ein Wettbewerbsvorteil sein. Organisatorisch wird sie teuer, wenn jeder neue Kundenwunsch einen vollständig individuellen Leistungserbringungsprozess erzeugt.

Dann lässt sich im ISO 27001-Projekt kaum auf gemeinsame Abläufe zurückgreifen. Für jede Leistung muss neu geklärt werden:

• Welche Informationen werden verarbeitet?
• Welche Systeme und Lieferanten werden benötigt?
• Wer ist verantwortlich?
• Welche Sicherheitsanforderungen gelten?
• Wie wird ein Fehler erkannt?
• Was passiert bei einem Ausfall?

Das bedeutet nicht, dass alle Kunden dasselbe Produkt kaufen müssen. Es bedeutet, dass ein Unternehmen wissen sollte, aus welchen beherrschten Bausteinen es seine Leistungen zusammensetzt.

Abschnitt 8.1 verlangt, notwendige Prozesse zu planen, zu verwirklichen und zu steuern. Unser Artikel zu Prozessen nach ISO 27001 Abschnitt 8.1 erklärt, wann auch Kerngeschäftsprozesse für das ISMS relevant werden. Wer Sicherheitsanforderungen innerhalb seiner normalen Leistungserbringung erfüllen will, muss diese Leistungserbringung ausreichend beherrschen.

Aufwandstreiber 4: Entscheidungen bleiben vorläufig – für immer

In manchen Unternehmen bedeutet eine Entscheidung lediglich, dass gerade niemand mehr widerspricht. Beim nächsten Termin ist wieder alles offen.

Das ist für ein ISO 27001-Projekt verheerend. Dokumente, Rollen, Risikobewertungen und Maßnahmen hängen zusammen. Wird eine grundlegende Festlegung nachträglich verändert, müssen weitere Ergebnisse angepasst werden.

Natürlich darf ein Managementsystem verbessert werden. Änderungen sind ausdrücklich vorgesehen. Aber eine bewusste Änderung aufgrund neuer Erkenntnisse ist etwas anderes als eine Entscheidung, die nie wirklich getroffen wurde.

Hilfreich sind überraschend einfache Dinge:

• eine klar benannte entscheidungsbefugte Person;
• ein dokumentierter Beschluss;
• ein Termin, ab dem die Entscheidung gilt;
• und eine Regel, wann sie erneut geöffnet werden darf.

Das ist keine Bürokratie. Es verhindert, dass fünf Menschen zum vierten Mal denselben Nachmittag verbringen.

Aufwandstreiber 5: Informationen müssen archäologisch ausgegraben werden

Wo ist die aktuelle Lieferantenliste? Wer kennt den Vertrag? Welche Systeme nutzt das Team? Wer hat die Richtlinie zuletzt geändert? Welche Version wurde eigentlich freigegeben?

Wenn jede Antwort eine Expedition durch Postfächer, Netzlaufwerke und persönliche Erinnerungen erfordert, die selbst James Clark Ross als zu gefährlich abgelehnt hätte, wird das ISMS teuer. Nicht weil die Frage unverschämt wäre, sondern weil das Unternehmen seine eigene Arbeitsgrundlage immer wieder rekonstruieren muss.

(Siehe hierzu auch unseren Artikel zu ISO 27001 mit Word und Excel.)

Was strukturierte Unternehmen anders machen

Strukturierte Unternehmen sind nicht zwangsläufig groß, langsam oder bürokratisch. Häufig sind sie gerade deshalb schnell, weil nicht jede Frage bei null beginnt.

Sie wissen typischerweise:

• welche Leistungen sie erbringen;
• welche Prozesse dafür wesentlich sind;
• wer diese Prozesse verantwortet;
• wer bestimmte Entscheidungen treffen darf;
• wo verbindliche Informationen liegen;
• wie Aufgaben nachgehalten werden;
• und wann ein Ergebnis als freigegeben gilt.

Für solche Unternehmen ist ein ISMS nicht automatisch leicht. Technische Lücken, neue Kundenanforderungen oder eine umfangreiche Risikobehandlung können trotzdem viel Arbeit verursachen. Aber die Arbeit lässt sich orchestrieren.

Das ISO 27001-Projektteam muss dann nicht in jedem Termin die Unternehmensverfassung neu verhandeln. Es kann sich mit Informationssicherheit beschäftigen.

Genau an dieser Stelle verändert sich auch die Wahrnehmung des Managementsystems. Es wird nicht als etwas verstanden, das die unternehmerische Freiheit beendet. Es gießt eine ohnehin erkannte Notwendigkeit in eine belastbare Form: Wir wollen wissen, wie wir arbeiten, wer entscheidet und wie wir erkennen, ob das Ergebnis funktioniert.

Was will der Auditor sehen?

Ein Auditor bewertet nicht, ob Ihr Geschäftsführer zu viele Gesprächsanteile hat. Es gibt auch keine Normforderung gegen spontane Registry-Ausflüge.

Er prüft jedoch, ob das ISMS wirksam in der Organisation verankert ist. Dazu gehören unter anderem klare Verantwortlichkeiten, gesteuerte Prozesse, nachvollziehbare Entscheidungen und ein Management, das das System tatsächlich führt.

Wenn niemand außer dem Geschäftsführer erklären kann, wie ein Prozess funktioniert, kann dessen Ausfall zur sichtbaren Schwäche werden. Wenn vier Mitglieder der Geschäftsführung den Anwendungsbereich unterschiedlich beschreiben, wird die Scope-Abgrenzung schwer belastbar. Wenn Richtlinien zwar freigegeben sind, aber jede Abteilung etwas anderes darunter versteht, fehlt es an Wirksamkeit.

Der Auditor stellt damit nicht die Forderung „Werden Sie ein ordentliches Unternehmen!“ Er stellt konkrete Fragen an konkrete Normanforderungen. Ein chaotischer Betrieb benötigt nur häufig mehr Anläufe, mehr Erklärungen und mehr nachträgliche Korrekturen, um darauf konsistente Antworten zu geben.

So reduzieren Sie den internen ISO 27001 Aufwand wirklich

Sie müssen vor Projektbeginn kein vollständig durchorganisiertes Musterunternehmen werden. Einige Hebel sparen jedoch sehr schnell Arbeitszeit:

1. Benennen Sie eine echte Projektleitung. Sie hält Aufgaben, Abhängigkeiten und Entscheidungen zusammen. Denn eine ISO 27001-Einführung sollte als echtes Projekt mit Ziel, Aufwand, Deadline und Verantwortlichkeiten geführt werden.
2. Legen Sie Entscheidungswege fest. Nicht jede Frage benötigt die gesamte Geschäftsführung.
3. Definieren Sie den Anwendungsbereich früh. Welche Produkte und Dienstleistungen sollen durch das Zertifikat gestützt werden?
4. Holen Sie die richtigen Fachleute gezielt dazu. Nicht alle müssen in jedem Workshop sitzen.
5. Schließen Sie Entscheidungen sichtbar ab. Ergebnis, Verantwortlicher und Gültigkeit müssen auffindbar sein.
6. Beschreiben Sie komplexe oder sicherheitsrelevante Prozesse ausreichend. Nicht für den Ordner, sondern damit Menschen gleichartig arbeiten können.
7. Nutzen Sie geeignete Werkzeuge. Aufgaben, Versionen und Nachweise sollten sich ohne Betriebsarchäologie finden lassen.
8. Prüfen Sie Ihren Ausgangspunkt ehrlich. Eine ISO 27001 Gap-Analyse zeigt nicht nur technische Lücken, sondern häufig auch, wo organisatorische Reife fehlt.

Eine Beratung kann viel davon moderieren, vorbereiten und strukturieren. Sie kann aber keine funktionierende Delegation vorspielen, wenn intern jede Entscheidung an einer Person hängt. Sie kann auch keinen eindeutigen Scope erfinden, solange die Geschäftsführung sich nicht festlegen will, welches Geschäft sie eigentlich zertifizieren lässt.

Interesse geweckt?

Wenn Sie den ISO 27001 Aufwand reduzieren möchten, schauen wir nicht nur auf die Normanforderungen. Wir betrachten auch, wie das Projekt in Ihrem Unternehmen sinnvoll organisiert werden kann: Wer liefert welchen Input? Wer entscheidet? Was lässt sich parallel bearbeiten? Und welche vorhandenen Abläufe können wir nutzen, statt eine zweite Unternehmenswirklichkeit für das Audit zu bauen?

So entsteht ein ISMS, das nicht zusätzlich zum Unternehmen existiert, sondern zu seiner tatsächlichen Arbeitsweise passt – und diese an den richtigen Stellen verbessert.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.