„Entscheiden Sie das – Sie sind doch der Berater!“

Wir waren mitten in einem ISO 27001-Projekt und stellten dem Kunden einen Satz Richtlinien vor. Nicht einfach zum Abnicken, sondern als Arbeitsgrundlage.

Im Workshop fragten wir:

„Können wir die Richtlinien so lassen oder müssen wir sie anders aufteilen? Die Inhalte bringen bestimmte Verantwortlichkeiten mit sich. Passen diese Verantwortlichkeiten zu Ihrer Organisation?“

Die Antwort kam prompt:

„Entscheiden Sie das. Sie sind doch der Berater!“

Unsere Antwort:

„Ja. Aber Sie müssen danach arbeiten.“

Ein anderes Mal ging es um Lieferanten. Wir baten das Unternehmen zunächst um eine Liste der Dienstleister, deren sicherheitsrelevantes Fehlverhalten zu einem ernsthaften Problem werden könnte. Für jeden dieser Lieferanten wollten wir wissen:

• Was liefert er?
• Welche Informationen sieht oder verarbeitet er?
• Was könnte schlimmstenfalls mit der Vertraulichkeit passieren?
• Was könnte bei der Integrität schiefgehen?
• Was wäre die maximale Auswirkung auf die Verfügbarkeit?

Die Reaktion:

„Das müssen doch Sie sagen. Sie sind doch die Berater!“

Nein. Wir können aus den Antworten eine Lieferantenbewertung machen. Wir können Risiken strukturieren, Bewertungen vorschlagen, Widersprüche finden und Maßnahmen empfehlen. Wir können aber nicht aus dem Namen „Müller GmbH“ herauslesen, ob sie Ihre Lohnbuchhaltung betreibt, Ihr Rechenzentrum hostet oder freitags die Obstkiste bringt.

Und so zog sich dieses Muster durch das Projekt: Möglichst keine Verantwortung für die Tragweite des eigenen Inputs übernehmen. Der Berater sollte nicht nur die Methode liefern, sondern am besten auch die unbekannten Tatsachen erfinden und anschließend die unternehmerische Entscheidung gleich mit treffen.

Die kurze Antwort

Ein ISO 27001-Berater kennt die Norm, typische Lösungen und den Weg zur Zertifizierung. Er kann sehr viel Arbeit abnehmen. Er kann Workshops führen, Dokumente vorbereiten, Risiken methodisch bearbeiten, Ergebnisse strukturieren und konkrete Empfehlungen aussprechen.

Was er nicht kann: Ihr Unternehmen von außen besser kennen als Sie selbst.

Der Berater kann nicht ohne Ihren Input wissen:

• welche Leistungen für Ihre Kunden besonders kritisch sind;
• welche Ausfallzeit für Sie noch tragbar wäre;
• welcher Lieferant tatsächlich wofür benötigt wird;
• welche Informationen besonders empfindlich sind;
• wer in Ihrer Organisation sinnvoll welche Verantwortung übernehmen kann;
• welche vertraglichen Versprechen Sie Ihren Kunden gegeben haben;
• oder welches Risiko Ihre Geschäftsführung akzeptieren will.

Die sinnvolle Arbeitsteilung lautet deshalb:

1. Das Unternehmen liefert die Unternehmensrealität.
2. Der Berater übersetzt sie in eine saubere ISO 27001-Logik.
3. Das Unternehmen prüft und trägt die daraus entstehenden Entscheidungen.

Fehlt der erste Schritt, kann der zweite nur raten. Fehlt der dritte, gehören die Entscheidungen nicht wirklich dem Unternehmen.

Wir beraten Sie gerne – aber wir sind kein Firmenorakel

Ein guter Berater sollte viel wissen. Er sollte die Anforderungen der ISO 27001 verstehen, Auditpraxis kennen, typische Lösungswege vergleichen können und ein Gefühl dafür haben, wo Projekte erfahrungsgemäß entgleisen.

Er sollte außerdem gute Fragen stellen. Denn häufig liegt das für die Bewertung notwendige Wissen bereits im Unternehmen – nur noch nicht strukturiert auf dem Tisch.

Aber Beratung ist kein übernatürliches Verfahren zur Fernwahrnehmung von Geschäftsmodellen.

Wenn wir fragen, was die Müller GmbH liefert – und was bei einer Fehllieferung die schlimmsten anzunehmenden Konsequenzen für Sie sind, dann ist das keine Fangfrage. Wir versuchen nicht herauszufinden, ob der Kunde seine Hausaufgaben gemacht hat. Wir benötigen schlicht eine Information, ohne die jede Bewertung Fantasie wäre.

Vielleicht stellt Müller eine leicht ersetzbare Standardsoftware bereit. Vielleicht administriert Müller sämtliche Produktivsysteme. Vielleicht verarbeitet Müller besonders vertrauliche Kundendaten. Vielleicht liefert Müller tatsächlich nur Obst.

Alle vier Unternehmen könnten denselben Namen tragen. Die Risiken wären vollkommen unterschiedlich.

Beispiel 1: Richtlinien müssen zu Ihrer Organisation passen

Eine gute Beratung kann ISO 27001-Richtlinien sinnvoll vorbereiten. Sie kann vermeiden, dass das Unternehmen vor einem leeren Dokument sitzt, und erprobte Regelungen vorschlagen.

Aber schon die Aufteilung einer Richtlinie kann Folgen haben:

• Wer soll sie freigeben?
• Wer hält sie aktuell?
• Wer setzt die darin beschriebenen Regeln um?
• Welche Abteilungen müssen sie verstehen?
• Passt die Regelung zu bestehenden Prozessen?
• Besitzt die verantwortliche Rolle überhaupt die nötigen Befugnisse?

Wir können beispielsweise vorschlagen, dass HR den Ein- und Austritt von Beschäftigten steuert und die IT die technischen Berechtigungen umsetzt. Ob das bei einem konkreten Unternehmen passt, hängt aber davon ab, wie dieses Unternehmen tatsächlich organisiert ist.

Vielleicht übernimmt dort Office Management einen Teil des Onboardings. Vielleicht existiert eine zentrale Identity-Abteilung. Vielleicht ist HR ausgelagert. Vielleicht besteht das Unternehmen aus zwölf Personen und dieselbe Person trägt mehrere Rollen.

Deshalb ist die Frage „Passt das zu Ihnen?“ kein Zeichen dafür, dass der Berater ratlos ist. Sie ist Qualitätssicherung.

Die ISO 27001 verlangt schließlich nicht, dass irgendeine denkbare Rollenverteilung aufgeschrieben wird. Die Rollen, Verantwortlichkeiten und Befugnisse müssen im konkreten Unternehmen funktionieren.

Beispiel 2: Lieferanten lassen sich nicht anhand ihres Namens bewerten

Beim Lieferantenmanagement wird das Problem besonders anschaulich.

Ein Berater kann ein Bewertungsverfahren entwerfen, einen Fragenkatalog vorbereiten, Zertifikate einordnen und die Ergebnisse in einem sinnvollen System abbilden. (Wie man beispielsweise Lieferantenmanagement mit Jira steuern kann, haben wir an anderer Stelle beschrieben.)

Vor jeder Bewertung steht aber die Frage: Was macht dieser Lieferant für Ihr Unternehmen?

Für eine erste Einordnung benötigen wir typischerweise:

• die gelieferte Leistung oder das Produkt;
• betroffene Prozesse und Informationen;
• vorhandene Zugriffe auf Systeme oder Daten;
• Abhängigkeiten und Ersatzmöglichkeiten;
• vertraglich vereinbarte Leistungen;
• und die möglichen Auswirkungen eines Fehlers oder Ausfalls.

Diese Tatsachen müssen aus dem Unternehmen kommen. Der Berater kann sie anschließend durch die Brille der Informationssicherheit betrachten.

Wenn ein externer Payroll-Dienstleister falsche Abrechnungsdaten erzeugt, betrifft das die Integrität. Wenn er Gehaltsdaten offenlegt, betrifft das die Vertraulichkeit. Wenn er vor dem Abrechnungslauf ausfällt, betrifft das die Verfügbarkeit. Wie schwer diese Auswirkungen für das konkrete Unternehmen sind, hängt wiederum von dessen Abläufen, Fristen, Ausweichmöglichkeiten und Verpflichtungen ab.

Gutes Lieferantenmanagement bedeutet deshalb nicht, wahllos Fragebögen zu verschicken. Es beginnt damit, kritische Lieferanten und ihre Risiken anhand der tatsächlichen Geschäftsbeziehung zu verstehen.

Drei verschiedene Arten von Arbeit

In ISO 27001-Projekten hilft eine klare Trennung zwischen Tatsachen, fachlicher Bearbeitung und Entscheidungen.

1. Tatsachen aus dem Unternehmen

Das sind Informationen, die der Berater nicht seriös erfinden kann:

• Wie arbeitet der Prozess heute?
• Welche Informationen werden verarbeitet?
• Welche Kundenanforderungen gelten?
• Was liefert ein Dienstleister?
• Wer hat welche Zugriffe?
• Welche Ausweichmöglichkeiten bestehen?
• Was würde ein Ausfall geschäftlich auslösen?

Dafür braucht es die Menschen, die das Geschäft und die Abläufe kennen.

2. Fachliche Bearbeitung durch den Berater

Hier kann externe Erfahrung sehr viel Arbeit sparen. Der Berater kann:

• die richtigen Fragen stellen;
• Informationen sortieren und vervollständigen;
• Schutzbedarfe und Auswirkungen vorstrukturieren;
• Risiken formulieren und bewerten;
• Normanforderungen zuordnen;
• Optionen mit ihren Vor- und Nachteilen darstellen;
• eine sinnvolle Empfehlung geben;
• und daraus Dokumente oder Aufgaben vorbereiten.

Gerade beim Risikomanagement nach ISO 27001 ist das wertvoll. Ein erfahrener Berater erkennt typische Risikomuster schneller und kann aus verstreuten Aussagen eine konsistente Bewertung aufbauen.

3. Entscheidungen des Unternehmens

Am Ende müssen bestimmte Festlegungen vom Unternehmen getragen werden:

• Passt diese Regelung zu uns?
• Akzeptieren wir dieses Risiko?
• Welche Maßnahme setzen wir um?
• Welche Restwirkung bleibt akzeptabel?
• Wer übernimmt eine Verantwortung?
• Welches Budget stellen wir bereit?
• Welche Unterbrechungsdauer können wir vertreten?

Der Berater darf eine klare Empfehlung geben. Manchmal sollte er das sogar unbedingt tun. Aber aus „Wir empfehlen Variante B, weil …“ muss beim Kunden irgendwann ein „Wir entscheiden uns für Variante B“ werden.

„Sie sind doch der Berater“ ist manchmal trotzdem berechtigt

Jetzt könnte man den Spieß natürlich zu weit umdrehen. Ein schlechter Berater stellt nur offene Fragen, schreibt die Antworten mit und verkauft das Ergebnis anschließend als hochwertige Beratungsleistung.

Wenn der Kunde für jede Kleinigkeit allein herausfinden muss, was die Norm verlangt, welche Optionen üblich sind und wie eine praktikable Lösung aussehen könnte, darf er sich durchaus fragen, wofür er den Berater bezahlt.

Gute Beratung heißt deshalb nicht:

„Das ist Ihr Unternehmen. Überlegen Sie sich einfach irgendetwas und schicken Sie es uns.“

Gute Beratung heißt:

„Wir haben drei sinnvolle Varianten vorbereitet. Variante A ist schlanker, führt aber zu dieser Abhängigkeit. Variante B passt vermutlich besser zu Ihren vorhandenen Rollen. Dafür müssen wir von Ihnen noch wissen, wer heute tatsächlich über Zugriffe entscheidet.“

Der Berater bringt Struktur, Erfahrung, Tempo und Entscheidungsvorbereitung. Der Kunde bringt das Wissen über sein Geschäft und trifft die Entscheidung. Beide Seiten müssen ihren Teil leisten.

Woran Sie einen Berater erkennen, der mehr kann als Fragen vorzulesen, behandeln wir ausführlich im Artikel ISO 27001: Wer kann mir wirklich helfen?.

Schutzbedarf ist keine technische Eigenschaft

Besonders deutlich wird die Arbeitsteilung bei Vertraulichkeit, Integrität und Verfügbarkeit.

Ein Berater kann erklären, was die drei Schutzziele bedeuten und welche Folgen typischerweise betrachtet werden. Er kann die Angaben verschiedener Fachbereiche vergleichbar machen und übertriebene oder auffällig niedrige Bewertungen hinterfragen.

Aber die geschäftliche Bedeutung kommt aus dem Unternehmen.

Ob eine Stunde Ausfall belanglos oder katastrophal ist, steht nicht im Datenblatt des Systems. Ob eine Information intern, vertraulich oder existenzkritisch ist, ergibt sich nicht allein aus ihrem Dateiformat. Und ob eine fehlerhafte Zahl nur ärgerlich ist oder zu falschen Zahlungen, medizinischen Fehlentscheidungen oder Vertragsstrafen führt, wissen die Menschen im jeweiligen Prozess.

Genau deshalb werden bei der Klassifizierung und Schutzbedarfsbetrachtung die fachlich verantwortlichen Owner benötigt. Der Berater liefert das Schema. Die Owner liefern die Bedeutung.

Auch Ziele kann der Berater nicht auswürfeln

Dasselbe gilt für Informationssicherheitsziele.

Wir können aus Risiken, Kundenanforderungen und Verbesserungsbedarf sinnvolle Ziele vorschlagen. Wir können sie messbar formulieren, Verantwortliche und Termine ergänzen und darauf achten, dass aus wohlklingenden Absichten steuerbare Vorhaben werden.

Aber welches Ziel für das Unternehmen wirklich wichtig ist, hängt von dessen Strategie und aktueller Lage ab. Vielleicht muss die Wiederherstellungszeit eines zentralen Dienstes sinken. Vielleicht steht die Absicherung privilegierter Konten im Vordergrund. Vielleicht braucht ein Großkunde einen bestimmten Sicherheitsnachweis.

Wie konkrete Informationssicherheitsziele aussehen können, lässt sich methodisch erklären. Die Priorität bleibt eine Managemententscheidung.

Was der Auditor davon merkt

Im Zertifizierungsaudit wird nicht verlangt, dass jede Person die ISO 27001 auswendig kennt. Es ist vollkommen in Ordnung, sich beim Aufbau beraten zu lassen und Dokumente vorbereiten zu lassen.

Der Auditor merkt aber schnell, ob wesentliche Aussagen aus dem Unternehmen stammen.

Wenn eine Richtlinie Verantwortlichkeiten festlegt, die niemand kennt oder praktisch übernehmen kann, fällt das auf. Wenn ein angeblich kritischer Lieferant von den Fachbereichen als weitgehend bedeutungslos beschrieben wird, passt etwas nicht zusammen. Wenn Risiken bewertet wurden, aber niemand erklären kann, weshalb ein Ausfall schwerwiegend sein soll, wirkt die Bewertung wie eine fremde Übung.

Das Problem ist dann nicht, dass der Berater mitgearbeitet hat. Das Problem ist, dass das Unternehmen die Tragweite seines eigenen Inputs nie geprüft hat.

So funktioniert die Zusammenarbeit besser

Unternehmen müssen sich nicht vor jedem Workshop tagelang vorbereiten. Ein paar einfache Regeln helfen:

1. Holen Sie die richtigen Personen dazu. Wer den Prozess, Lieferanten oder Informationswert kennt, liefert meist in wenigen Minuten bessere Antworten als eine zentrale Stelle nach drei Tagen Recherche.
2. Beschreiben Sie erst die Realität. Noch nicht die perfekte ISO-Lösung. Wie läuft es heute tatsächlich?
3. Sagen Sie offen, wenn etwas unbekannt ist. Eine offene Lücke lässt sich bearbeiten. Eine erfundene Antwort führt zu einer erfundenen Bewertung.
4. Lassen Sie sich Empfehlungen begründen. Dann können Sie fundiert entscheiden, statt nur abzunicken.
5. Prüfen Sie Konsequenzen. Können die benannten Personen die Verantwortung wirklich übernehmen? Können die Fachbereiche die Regel einhalten?
6. Machen Sie aus der Empfehlung eine eigene Entscheidung. Dokumentieren Sie kurz, weshalb die gewählte Lösung zu Ihrem Unternehmen passt.

Sie müssen nicht jede Normanforderung selbst interpretieren. Dafür ist der Berater da. Sie müssen aber zu Ihrem eigenen Geschäft stehen: zu Ihren Prozessen, Abhängigkeiten, Prioritäten und Entscheidungen.

Interesse geweckt?

Wenn Sie eine ISO 27001-Beratung suchen, die Ihnen möglichst viel fachliche und operative Arbeit abnimmt, ohne Ihnen Unternehmenswissen anzudichten, sprechen Sie mit uns. Wir bereiten Bewertungen und Entscheidungen so weit vor, dass Ihre internen Experten genau den Input liefern müssen, den wirklich nur sie liefern können.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.