Ihr ISO 27001-Berater kann Ihnen viel abnehmen – aber nicht Ihr ISMS

Wir hatten das Unternehmen beraten, beim Aufbau des ISMS begleitet und saßen auf Wunsch auch mit im Zertifizierungsaudit. Das kann man bei uns dazubuchen und es ist häufig sinnvoll: Wir kennen das Projekt, können bei Rückfragen Hintergründe liefern und sind da, falls an einer Stelle etwas unnötig schiefzulaufen droht.

Nur entwickelte sich in diesem Audit eine gewisse Arbeitsteilung. Der Auditor stellte dem Unternehmen eine Frage. Das Unternehmen schaute zu uns herüber und sagte sinngemäß:

„Das haben wir auch nicht verstanden, lieber Auditor. Das hat uns der Berater da drüben so gesagt.“

Nicht bei jeder Frage. Aber oft genug, dass der Auditor irgendwann die Geduld verlor. Seine Antwort war ungefähr:

„Ich verstehe ja, dass Sie das sagen. Aber dann haben Sie Ihre Hausaufgaben nicht gemacht. Sie ownen Ihr ISMS gar nicht selbst. Lassen Sie das besser sein – sonst reden wir über eine schwerwiegende Abweichung gegen Abschnitt 5.1.“

Das ist deutlich. Und vollkommen nachvollziehbar.

Die kurze Antwort

Eine gute ISO 27001-Beratung kann Ihnen sehr viel Arbeit abnehmen. Ein Berater kann das Projekt strukturieren, Workshops moderieren, Informationen einsammeln, Dokumente vorbereiten, Risiken methodisch bearbeiten, Aufgaben nachhalten und Sie auf das Zertifizierungsaudit vorbereiten.

Was er nicht übernehmen kann, ist die Verantwortung Ihres Unternehmens für das eigene ISMS.

Sie müssen nicht jedes Dokument selbst geschrieben haben. Sie müssen auch nicht jeden Absatz der Norm auswendig kennen. Aber die zuständigen Menschen in Ihrem Unternehmen müssen verstehen, wie ihr Teil des ISMS funktioniert, warum wesentliche Entscheidungen getroffen wurden und was im Alltag von ihnen erwartet wird. Die Geschäftsführung wiederum muss das System führen, unterstützen und in die Organisation integrieren.

Sonst haben Sie kein eigenes Managementsystem. Sie haben eine gemietete Auditkulisse, deren Bedienungsanleitung beim Berater liegt.

Stellen Sie sich vor, Ihr ISMS wäre ein Kreuzfahrtschiff

Wir benutzen deshalb schon im Kick-off eines ISO 27001-Projekts ein Gleichnis.

Stellen Sie sich vor, Ihr Unternehmen bietet Kreuzfahrten an. Nun lassen Sie auf einer Werft ein neues Schiff bauen. Mit diesem Schiff wollen Sie nicht bloß bei Sonnenschein zwischen Mallorca und Ibiza verkehren. Sie planen Reisen in die Antarktis, durch schwere See und rund um Kap Hoorn. Also in Gewässer, für die Ihre bisherigen Schiffe nicht ausgelegt waren.

Während der Bauphase liegen Sie gemeinsam mit der Werft am Kai. Jetzt können Sie bei jeder einzelnen Niete fragen:

„Warum ist die da? Was hält sie zusammen? Muss sie gewartet werden? Was passiert, wenn sie sich löst? Und wer merkt das eigentlich?“

Sie müssen nicht selbst schweißen können. Sie müssen auch nicht jedes technische Detail besser verstehen als die Schiffbauer. Aber Sie sollten die Gelegenheit nutzen, Ihr künftiges Schiff kennenzulernen. Schließlich wollen Sie es später betreiben.

Irgendwann läuft das Schiff aus. Dann sind Sie im Sturm vor der Antarktis, der Wind heult mit Stärke zwölf und die Werft ist 20.000 Kilometer entfernt. Wenn Ihre Mannschaft das Schiff jetzt nicht beherrscht, hilft der Satz „Ich habe immer gewusst, dass diese komische Werft schuld ist“ nur begrenzt weiter. Im Sturm hört ihn ohnehin niemand.

Und das Meer interessiert sich erschreckend wenig dafür, wer ursprünglich welche Niete vorgeschlagen hat.

Der Berater baut mit – das Unternehmen fährt

Das Gleichnis ist natürlich nicht perfekt. Ein ISMS ist kein Schiff und ein Berater keine Werft. Der entscheidende Punkt stimmt trotzdem: Die Aufbauphase ist Ihre Gelegenheit, Fragen zu stellen, Entscheidungen zu verstehen und das System zu Ihrem eigenen zu machen.

Ein guter Berater nimmt Ihnen dabei Arbeit ab. Gerade wenn interne Zeit knapp ist, kann starke operative Unterstützung wirtschaftlich sinnvoll sein. Unser Artikel über die tatsächlichen Kosten einer ISO 27001-Zertifizierung zeigt, weshalb weniger externe Beratung nicht automatisch niedrigere Gesamtkosten bedeutet.

Arbeit abnehmen heißt aber nicht Verantwortung abnehmen. Der Berater kann beispielsweise:

• einen belastbaren Projektplan aufstellen;
• Workshops vorbereiten und moderieren;
• Informationen strukturiert aus den Fachbereichen einsammeln;
• Richtlinien und Prozessbeschreibungen vorformulieren;
• das Risikomanagement methodisch begleiten;
• Umsetzungsaufgaben koordinieren und nachhalten;
• ein Internes Audit vorbereiten oder – bei ausreichender Unabhängigkeit – durchführen;
• die Geschäftsführung auf die Managementbewertung vorbereiten;
• und das Unternehmen im Zertifizierungsaudit begleiten.

Aber das Unternehmen muss die Inhalte prüfen, Entscheidungen treffen, Regeln freigeben, sie im Alltag umsetzen und verstehen, was es da eigentlich betreibt. Genau deshalb sollte bei der Auswahl eines ISO 27001-Beraters nicht nur zählen, wie viele Zertifikate jemand vorzeigen kann. Entscheidend ist auch, ob er Wissen überträgt und das Unternehmen zunehmend selbstständig macht.

Was „das ISMS selbst ownen“ praktisch bedeutet

„Ownen“ ist kein Normbegriff. Er beschreibt aber ziemlich gut, was im Audit sichtbar werden muss: Das Unternehmen behandelt das ISMS als sein eigenes System und nicht als fremdes Produkt, das zufällig im eigenen Dateisystem liegt.

Das zeigt sich zum Beispiel daran, dass die zuständigen Personen erklären können:

• warum es das ISMS gibt und welche geschäftlichen Ziele es unterstützt;
• welche wesentlichen Informationssicherheitsrisiken das Unternehmen beschäftigen;
• warum bestimmte Regeln eingeführt wurden;
• wer Entscheidungen trifft und wer Aufgaben umsetzt;
• wie Richtlinien und Prozesse im Alltag angewendet werden;
• wo das System noch nicht perfekt ist und was deshalb verbessert wird;
• und wie reagiert wird, wenn etwas nicht wie geplant funktioniert.

Dabei muss nicht jeder alles wissen. Die Personalabteilung muss keine Firewall konfigurieren können. Die IT muss nicht aus dem Kopf erklären, wie Lieferantenverträge im Einkauf freigegeben werden. Und die Geschäftsführung muss nicht sämtliche Controls aus Anhang A aufsagen.

Aber jeder sollte seinen Teil des Schiffes kennen. Auf der Brücke sollte jemand navigieren können, im Maschinenraum sollte jemand wissen, was dort läuft, und die Unternehmensleitung sollte erklären können, warum das Schiff überhaupt in diese Richtung fährt.

Warum wir damit mitten in Abschnitt 5.1 sind

Abschnitt 5.1 verlangt Führung und Verpflichtung der obersten Leitung in Bezug auf das ISMS. Die Geschäftsführung soll unter anderem dafür sorgen, dass das ISMS zur strategischen Richtung passt, in die Geschäftsprozesse integriert wird, notwendige Ressourcen erhält und seine vorgesehenen Ergebnisse erreicht.

Das funktioniert nicht, wenn die Leitung ihr eigenes System bei jeder inhaltlichen Frage dem Berater zuschiebt. Wer erklärt „Das wollte der Berater so“, beschreibt keine Führungsentscheidung. Er beschreibt die Abwesenheit einer Führungsentscheidung.

Natürlich darf die Geschäftsführung Rat annehmen. Dafür ist Beratung da. Sie darf Vorschläge prüfen, Alternativen abwägen und eine fachliche Empfehlung übernehmen. Aber aus der Empfehlung muss eine eigene Entscheidung werden:

„Der Berater hat uns diese Vorgehensweise empfohlen. Wir haben sie geprüft und übernommen, weil sie dieses konkrete Risiko behandelt und zu unseren Abläufen passt.“

Das ist etwas vollkommen anderes als:

„Keine Ahnung. Das hat der Berater in die Richtlinie geschrieben.“

Wie aktive Führung im ISMS aussieht, haben wir ausführlich in unserem Beitrag zu den Aufgaben der Geschäftsführung nach ISO 27001 beschrieben. Besonders sichtbar wird die Verantwortung außerdem in der Managementbewertung: Vorbereiten dürfen andere. Bewerten, priorisieren und entscheiden muss die Leitung.

Im Audit wird nicht der Berater zertifiziert

Ein Berater darf das Unternehmen im Zertifizierungsaudit begleiten. Das ist weder ungewöhnlich noch ehrenrührig. Er kann Hintergrundinformationen geben, bei Missverständnissen helfen oder Unterlagen schneller auffindbar machen.

Aber der Zertifizierer prüft das Unternehmen. Er prüft nicht, ob der daneben sitzende Berater die ISO 27001 verstanden hat. Den Unterschied zwischen beiden Rollen erläutern wir ausführlicher im Artikel Berater oder Zertifizierer – beides geht nicht.

Wenn jede zweite Frage mit einem Blick zur Seite und einem „Antworten Sie doch mal“ weitergereicht wird, ist deshalb irgendwann Schluss. Es ist durchaus üblich, dass ein Auditor dann freundlich, aber bestimmt erklärt:

„So, nun ist es mal gut. Die übrigen Fragen beantwortet bitte das Unternehmen selbst.“

Das ist keine Schikane und keine Abneigung gegen Berater. Der Auditor muss beurteilen, ob das Unternehmen sein ISMS versteht, wirksam betreibt und selbst steuert. Der Ablauf eines solchen Audits und die unterschiedliche Funktion von Stage 1 und Stage 2 werden in unserem Überblick zum ISO 27001-Zertifizierungsaudit genauer beschrieben.

Der Berater darf der Lotse sein. Am Steuer muss trotzdem das Unternehmen stehen. Und spätestens wenn der Auditor den Lotsen zum Schweigen bringt, sollte auf der Brücke niemand überrascht feststellen, dass dort sonst keiner weiß, wie das Schiff funktioniert.

Auch der beste Berater darf gelegentlich falschliegen

Es gibt noch einen zweiten Grund, weshalb blindes Übernehmen keine gute Idee ist: Berater sind Menschen. Menschen machen Fehler. Sie missverstehen Zusammenhänge, übersehen Besonderheiten oder schlagen etwas vor, das bei einem anderen Unternehmen hervorragend funktioniert hat, aber zu Ihrem Unternehmen nicht passt.

Wer einen Vorschlag prüft, entdeckt solche Dinge rechtzeitig. Wer jedes Dokument ungelesen freigibt, entdeckt sie möglicherweise erst im Audit – oder im ersten echten Sicherheitsvorfall.

Das entlastet den Berater nicht von seiner Verantwortung für gute Arbeit. Es bedeutet nur, dass ein Managementsystem auf zwei Seiten Qualität braucht: kompetente Beratung und ein Unternehmen, das mitdenkt. Welche Kompetenzen intern benötigt werden, hängt von den jeweiligen Aufgaben ab. Die Rolle und das nötige Profil eines zentralen Verantwortlichen behandeln wir im Beitrag zum Informationssicherheitsbeauftragten.

Woran Sie gute ISO 27001-Beratung erkennen

Eine gute Beratung baut keine möglichst dauerhafte Abhängigkeit auf. Sie macht das Unternehmen handlungsfähiger.

Eine ausführliche Checkliste für die Auswahl finden Sie in unserem Beitrag ISO 27001: Wer kann mir wirklich helfen?.

Das erkennen Sie daran, dass der Berater:

• Zusammenhänge verständlich erklärt;
• Empfehlungen mit Risiken, Anforderungen und Unternehmensrealität begründet;
• nicht jede Entscheidung selbst an sich zieht;
• die richtigen internen Personen frühzeitig einbindet;
• Dokumente so vorbereitet, dass das Unternehmen sie tatsächlich prüfen kann;
• Fragen ausdrücklich zulässt und nicht als Störung behandelt;
• Wissen in das Unternehmen überträgt;
• und im Audit nicht beweisen muss, dass er der Klügste im Raum ist.

Das Ziel guter Beratung ist nicht, dass der Berater am Ende jede Frage beantworten kann. Das sollte man erwarten dürfen. Das eigentliche Ziel ist, dass er immer seltener antworten muss, weil das Unternehmen sein System inzwischen selbst beherrscht.

Was Sie während des Projekts konkret tun sollten

Sie müssen deshalb nicht jeden Workshop in ein Grundlagenseminar verwandeln. Ein paar Gewohnheiten reichen, um das ISMS tatsächlich zu Ihrem eigenen zu machen:

1. Fragen Sie bei wichtigen Regelungen nach dem Warum.
2. Lassen Sie Entscheidungen und Alternativen nachvollziehbar erklären.
3. Prüfen Sie Dokumente nicht nur auf Tippfehler, sondern auf Passung zu Ihrem Unternehmen.
4. Sorgen Sie dafür, dass die später verantwortlichen Personen schon beim Aufbau beteiligt sind.
5. Üben Sie vor dem Audit, zentrale Zusammenhänge in eigenen Worten zu erklären.
6. Nutzen Sie den Berater im Audit als Unterstützung – nicht als menschliche Antwortmaschine.

Die Werftphase ist genau dafür da. Fragen Sie nach den Nieten, solange das Schiff noch am Kai liegt. Im Sturm ist der Zeitpunkt für eine grundsätzliche Einweisung eher ungünstig.

Interesse geweckt?

Wenn Sie eine ISO 27001-Beratung suchen, die Ihnen möglichst viel Arbeit abnimmt und trotzdem dafür sorgt, dass Ihr Unternehmen das entstehende ISMS selbst versteht, sprechen Sie mit uns. Wir strukturieren das Projekt, bereiten Inhalte vor und begleiten Sie auf Wunsch bis ins Zertifizierungsaudit. Das Ziel bleibt aber ein ISMS, das zu Ihrem Unternehmen gehört – und nicht zu uns.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.