ISO 27001 Dokumentenlenkung: Was verlangt Abschnitt 7.5?

In einem Unternehmen liegen drei Fassungen derselben Passwortrichtlinie. Die erste heißt Passwortrichtlinie_final.docx, die zweite Passwortrichtlinie_final_neu.docx und die dritte – selbstverständlich – Passwortrichtlinie_final_wirklich_final.pdf.

In einer Fassung stehen zwölf Zeichen, in einer anderen vierzehn. Die PDF wurde zwar irgendwann freigegeben, aber seitdem hat sich technisch einiges geändert. Welche Fassung gilt? Wer durfte sie ändern? Und woher sollen die Mitarbeiter das wissen?

Genau für solche Situationen gibt es Dokumentenlenkung. Sie soll nicht möglichst viel Bürokratie produzieren. Sie soll dafür sorgen, dass die richtige Information zur richtigen Zeit am richtigen Ort verfügbar ist – und dass nicht versehentlich eine veraltete Fassung das Unternehmen regiert.

Die kurze Antwort

Abschnitt 7.5 der ISO 27001 verlangt, dass die für das ISMS benötigten dokumentierten Informationen erstellt, aktualisiert und beherrscht werden.

Praktisch bedeutet das:

• Dokumente müssen eindeutig erkennbar sein;
• Inhalt und Format müssen für ihren Zweck geeignet sein;
• relevante Dokumente müssen geprüft und freigegeben werden;
• die jeweils gültige Fassung muss verfügbar sein;
• Informationen müssen angemessen geschützt werden;
• Änderungen und Versionen müssen nachvollziehbar bleiben;
• Aufbewahrung und Löschung müssen geregelt sein;
• auch wichtige Dokumente von außen müssen kontrolliert werden.

Die Norm verlangt dafür weder SharePoint noch Confluence und auch kein spezielles ISMS-Tool. Sie verlangt ein funktionierendes Verfahren. Das darf schlank sein. Es darf nur nicht darauf beruhen, dass irgendeine Person schon wissen wird, welche Datei gerade aktuell ist.

Dokumentenlenkung ist nicht dasselbe wie eine Dokumentenliste

Wer sich mit ISO 27001 beschäftigt, fragt häufig zuerst, welche Unterlagen überhaupt benötigt werden. Das haben wir im Artikel „ISO 27001 – welche Dokumente braucht man wirklich?“ ausführlich beschrieben.

Abschnitt 7.5 setzt an einer anderen Stelle an. Er fragt nicht nur, was dokumentiert sein muss. Er fragt auch, wie diese Informationen über ihren Lebenszyklus beherrscht werden.

Ein Dokument entsteht. Es wird bearbeitet, geprüft, freigegeben, verteilt und später vielleicht geändert. Irgendwann wird es ersetzt, archiviert oder gelöscht. Bei Nachweisen ist der Ablauf etwas anders: Sie entstehen als Ergebnis einer Tätigkeit und müssen danach so aufbewahrt werden, dass ihre Aussage erhalten bleibt.

Dokumentenlenkung ist die Summe der Regeln, mit denen Sie diesen Lebenszyklus im Griff behalten.

Was ist überhaupt eine „dokumentierte Information“?

Die Norm verwendet bewusst den Begriff „dokumentierte Information“. Gemeint ist nicht nur ein Word-Dokument mit Deckblatt und Freigabetabelle.

Dokumentierte Information kann beispielsweise sein:

• eine Richtlinie als PDF;
• eine Seite im Unternehmenswiki;
• eine Risikotabelle;
• ein Ticket samt Freigabehistorie;
• ein Protokoll;
• ein Eintrag in einem Fachsystem;
• eine Systemkonfiguration;
• ein Formular oder eine Checkliste;
• eine Videoanleitung.

Das Format ist zweitrangig. Entscheidend ist, ob die Information ihren Zweck erfüllt und angemessen beherrscht wird. Ein sinnvoll gepflegter Wiki-Eintrag kann geeigneter sein als ein prächtig formatierter Aktenordner, den niemand öffnet.

Ähnlich verhält es sich mit Richtlinien im ISMS: Nicht ihre Anzahl macht das Managementsystem gut, sondern ihre Verständlichkeit, Eignung und tatsächliche Verwendung.

7.5.1: Welche dokumentierten Informationen brauchen Sie?

Abschnitt 7.5.1 unterscheidet im Kern zwei Gruppen:

1. dokumentierte Informationen, welche die Norm ausdrücklich verlangt;
2. weitere dokumentierte Informationen, die Ihre Organisation für die Wirksamkeit des ISMS für notwendig hält.

Der zweite Punkt wird gerne unterschätzt. Die Norm enthält keine abschließende Einkaufsliste mit exakt benannten Dateien. Ein kleines Softwareunternehmen benötigt andere Unterlagen als ein Betreiber mehrerer Rechenzentren. Größe, Tätigkeiten, Prozesse, Kompetenzen und Komplexität spielen eine Rolle.

Sie können sich daher nicht darauf zurückziehen, dass ein bestimmtes Dokument nicht wörtlich in der Norm verlangt wird. Wenn ein kritischer Prozess ohne eine klare Regelung regelmäßig unterschiedlich ausgeführt wird, kann dokumentierte Information trotzdem notwendig sein.

Umgekehrt ist auch nicht jede denkbare Prozessbeschreibung erforderlich. Wenn ein kleiner, eingespielter Kreis eine einfache Tätigkeit zuverlässig beherrscht und keine besonderen Risiken bestehen, muss daraus nicht zwingend ein zwölfseitiger Prozess entstehen.

7.5.2: Dokumente erstellen und aktualisieren

Beim Erstellen und Aktualisieren dokumentierter Informationen verlangt die Norm drei Dinge: eine angemessene Kennzeichnung und Beschreibung, ein geeignetes Format und Medium sowie Prüfung und Freigabe hinsichtlich Eignung und Angemessenheit.

Dokumente eindeutig kennzeichnen

Die richtige Fassung muss erkennbar sein. Dafür können je nach Dokument beispielsweise folgende Angaben sinnvoll sein:

• Titel;
• Dokumentenverantwortlicher;
• Freigabestatus;
• Versionsnummer;
• Datum der Erstellung oder letzten Änderung;
• Gültigkeitsbereich;
• Klassifizierung;
• eindeutige Dokumenten-ID (der Titel reicht hier vielleicht schon aus).

Nicht jedes Dokument braucht alle Angaben. Eine Richtlinie benötigt typischerweise mehr formale Merkmale als eine kurze Arbeitsanweisung in einem Wiki. Wichtig ist, dass Nutzer ohne Detektivarbeit erkennen können, womit sie es zu tun haben.

Format und Medium müssen passen

Dokumentenlenkung bedeutet nicht, alles in PDF umzuwandeln. Manche Inhalte sollen bewusst nicht mehr verändert werden, andere müssen laufend gepflegt werden. Eine Assetliste in einer starren PDF-Datei ist meistens unpraktisch. Eine freigegebene Informationssicherheitspolitik kann dagegen sehr gut als PDF veröffentlicht werden.

Die Informationssicherheitspolitik ist ein gutes Beispiel: Sie muss verfügbar und kommuniziert sein. Dafür sollte ihr Format zur Zielgruppe und zur tatsächlichen Verteilung passen.

Prüfen und freigeben

Bevor ein wichtiges Vorgabedokument gilt, muss jemand prüfen, ob es geeignet und angemessen ist. Danach braucht es eine erkennbare Freigabe.

Geeignet bedeutet: Das Dokument kann den vorgesehenen Zweck erfüllen. Angemessen bedeutet: Sein Inhalt passt zum Unternehmen, zum Risiko und zur Aufgabe. Eine aus dem Internet kopierte Richtlinie kann sprachlich tadellos und trotzdem völlig ungeeignet sein.

Die Freigabe muss nachvollziehbar sein. Das kann über einen dokumentierten Workflow, einen Statuswechsel im Wiki, eine elektronische Genehmigung oder eine klassische Freigabetabelle geschehen. Eine eingescannte Unterschrift ist nicht grundsätzlich besser als ein sauber protokollierter digitaler Prozess.

Und nein: Nicht jedes Protokoll benötigt die persönliche Freigabe der Geschäftsführung. Legen Sie für unterschiedliche Arten dokumentierter Information sinnvolle Verantwortlichkeiten fest. Wer für Rollen und Zuständigkeiten eine saubere Grundlage schaffen möchte, findet dazu mehr in unserem Artikel über Rollen, Verantwortlichkeiten und Befugnisse.

7.5.3: Dokumentierte Informationen beherrschen

Nach der Erstellung beginnt die eigentliche Arbeit. Die Information muss dort verfügbar und verwendbar sein, wo sie gebraucht wird. Gleichzeitig muss sie angemessen geschützt werden.

Dabei betrachtet Abschnitt 7.5.3 unter anderem Verteilung, Zugriff, Auffindbarkeit, Verwendung, Speicherung, Erhaltung, Änderungskontrolle, Aufbewahrung und Verfügung.

Das klingt nach viel. In der Praxis lassen sich diese Punkte mit wenigen vernünftigen Regeln abdecken.

Verfügbarkeit und Auffindbarkeit

Eine Richtlinie hilft niemandem, wenn sie in einem Ordner liegt, den nur der ISB kennt oder auf der Rückseite von Alpha Centauri seit 600 Jahren aushängt. Mitarbeiter müssen relevante Regeln finden können – idealerweise an dem Ort, an dem sie ohnehin arbeiten.

Gleichzeitig soll nicht jeder alles sehen. Personalunterlagen, Sicherheitsarchitekturen oder sensible Risikoinformationen benötigen andere Zugriffsrechte als eine allgemeine Homeoffice-Richtlinie.

Dokumentenlenkung verbindet deshalb Verfügbarkeit mit Zugriffsschutz. Die Frage lautet nicht einfach: „Ist das Dokument irgendwo gespeichert?“ Sondern: „Können die richtigen Personen die gültige Fassung finden und dürfen nur die richtigen Personen sie verändern?“

Schutz und Erhaltung

Dokumentierte Informationen müssen vor Verlust, unbefugter Veränderung, unbeabsichtigter Veröffentlichung und anderen Beeinträchtigungen geschützt werden. Dazu gehören je nach System beispielsweise Berechtigungen, Backups, Wiederherstellbarkeit und technische Änderungsprotokolle.

Auch Lesbarkeit gehört dazu. Ein Nachweis, der zwar sieben Jahre aufgehoben wurde, sich aber nicht mehr öffnen lässt, ist nur theoretisch vorhanden.

Änderungen und Versionen

Bei Vorgabedokumenten muss erkennbar sein, welche Fassung gilt. Eine gute Lösung zeigt außerdem, was geändert wurde, wer die Änderung vorgenommen und wer sie freigegeben hat.

Das heißt nicht, dass jede korrigierte Kommasetzung ein Lenkungsgremium beschäftigen muss. Sie dürfen zwischen redaktionellen und inhaltlichen Änderungen unterscheiden. Wesentliche Änderungen sollten jedoch erneut geprüft und freigegeben werden.

Alte Versionen dürfen aufbewahrt werden, sollten dann aber eindeutig als überholt erkennbar und aus der normalen Nutzung entfernt sein. Sonst findet jemand über die Suchfunktion doch wieder die Richtlinie von vor drei Jahren – und hält sie für aktuell.

Aufbewahren und löschen

Für Nachweise und andere Informationen sollten sinnvolle Aufbewahrungsfristen festgelegt werden. Dabei spielen gesetzliche, regulatorische, vertragliche und betriebliche Anforderungen eine Rolle. Mehr dazu finden Sie in unserem Artikel über rechtliche und vertragliche Anforderungen.

Nach Ablauf einer Frist folgt nicht automatisch eine ewige Verlängerung. Informationen sollten geregelt archiviert oder gelöscht werden. Auch die Informationslöschung ist deshalb Teil eines schlüssigen Informationslebenszyklus.

Vorgabedokumente und Nachweise sind nicht dasselbe

Für eine praxistaugliche Dokumentenlenkung hilft eine einfache Unterscheidung:

Vorgabedokumente beschreiben, wie gearbeitet werden soll. Dazu gehören etwa Richtlinien, Prozesse und Arbeitsanweisungen. Sie werden entworfen, geprüft, freigegeben und bei Bedarf geändert.

Nachweise oder Aufzeichnungen zeigen, was tatsächlich geschehen ist. Dazu gehören Auditberichte, Protokolle, Freigaben, Prüfergebnisse, Tickets und ihre Historie, oder abgeschlossene Checklisten. Sie sollen nach ihrer Entstehung grundsätzlich nicht unbemerkt verändert werden können.

Ein Risikobewertungsverfahren ist eine Vorgabe. Die ausgefüllte Risikobewertung ist ein Nachweis. Ein Auditprozess ist die Vorgabe dafür, wie und wann Audits durchgeführt werden sollen. Ein Auditprogramm ist zum einen der Nachweis, dass der Auditprozess ausgeführt wurde, aber auch eine Vorgabe für die zeitliche Planung der Audits selbst. Der konkrete Auditbericht dokumentiert das Ergebnis.

Diese Unterscheidung verhindert absurde Regeln. Ein Protokoll braucht meist keine laufende Versionierung wie eine Richtlinie. Es braucht vielmehr Integrität, Auffindbarkeit und eine angemessene Aufbewahrung.

Auch externe Dokumente müssen gelenkt werden

Nicht jede wichtige Information entsteht im eigenen Unternehmen. Verträge, Gesetze, technische Handbücher, Normen, Kundenanforderungen oder Sicherheitsvorgaben von Lieferanten können für das ISMS notwendig sein.

Solche externen dokumentierten Informationen müssen identifiziert und angemessen beherrscht werden. Praktisch sollten Sie wissen:

• welches externe Dokument relevant ist;
• wo die maßgebliche Fassung zu finden ist;
• wer Änderungen beobachtet;
• wer bewertet, ob daraus Handlungsbedarf entsteht;
• wie betroffene Personen informiert werden.

Niemand verlangt, dass Sie das Internet versionieren. Aber wenn eine veraltete Kundenvorgabe oder eine überholte technische Spezifikation Ihre Sicherheitsmaßnahmen steuert, haben Sie ein echtes Problem.

Brauchen Sie dafür ein Dokumentenmanagementsystem?

Nein. Ein spezielles Dokumentenmanagement- oder ISMS-System kann helfen, ist aber keine Normforderung.

Für viele kleinere Unternehmen reicht eine sauber eingerichtete Plattform, die ohnehin vorhanden ist. Das kann SharePoint, Confluence, Google Workspace, ein lokales Wiki oder ein anderes System mit Berechtigungen und Versionshistorie sein.

Eine schlanke Lösung benötigt typischerweise:

• einen klaren Ablageort für gültige Vorgabedokumente;
• einen getrennten Bereich für Entwürfe;
• festgelegte Dokumentenverantwortliche;
• einen nachvollziehbaren Prüf- und Freigabeprozess;
• automatische oder klar geregelte Versionierung;
• passende Zugriffsrechte;
• Regeln für Archivierung und Löschung;
• eine Möglichkeit, relevante Änderungen zu kommunizieren.

Je weniger Sonderwege Sie zulassen, desto leichter funktioniert das. Wenn Richtlinien teilweise per E-Mail, teilweise im Wiki und teilweise in privaten Laufwerken verteilt werden, hilft auch die schönste Verfahrensanweisung wenig.

Typische Fehler im Audit

Auditoren schauen nicht nur nach einer Verfahrensbeschreibung zur Dokumentenlenkung. Sie prüfen anhand konkreter Beispiele, ob das Verfahren funktioniert.

Typische Probleme sind:

• mehrere widersprüchliche Fassungen desselben Dokuments;
• fehlende oder nicht nachvollziehbare Freigaben;
• Dokumente ohne Verantwortliche;
• veraltete Richtlinien im allgemein zugänglichen Bereich;
• vorgeschriebene Reviews, die nie stattgefunden haben;
• nicht passende Zugriffsrechte;
• unkontrollierte lokale Kopien;
• Nachweise, die nachträglich unbemerkt verändert werden können;
• externe Vorgaben, deren Aktualität niemand überwacht;
• Aufbewahrungsfristen, die nur auf dem Papier existieren.

Beim Internen Audit sollten Sie deshalb nicht nur fragen, ob ein Dokumentenlenkungsprozess vorhanden ist. Ziehen Sie einige konkrete Dokumente und verfolgen Sie deren Weg: Entwurf, Prüfung, Freigabe, Veröffentlichung, Änderung und gegebenenfalls Archivierung.

So setzen Sie Dokumentenlenkung pragmatisch um

Beginnen Sie nicht mit einem möglichst großen Regelwerk. Beginnen Sie mit den tatsächlichen Informationsarten und Arbeitsmitteln Ihres Unternehmens.

Ein praktikables Vorgehen sieht so aus:

1. Ermitteln Sie, welche Arten dokumentierter Information im ISMS vorkommen.
2. Unterscheiden Sie mindestens zwischen Vorgaben und Nachweisen.
3. Bestimmen Sie für jede Art einen geeigneten Ablageort und Verantwortliche.
4. Legen Sie fest, was vor der Gültigkeit geprüft und freigegeben werden muss.
5. Sorgen Sie dafür, dass nur gültige Fassungen im normalen Zugriff erscheinen.
6. Nutzen Sie vorhandene Versions- und Berechtigungsfunktionen.
7. Definieren Sie Aufbewahrung und Löschung dort, wo sie tatsächlich relevant sind.
8. Testen Sie das Verfahren mit einigen echten Dokumenten.

Wenn sich Ihr Verfahren nur auf einem Ablaufdiagramm gut anhört, aber niemand es im Alltag befolgt, ist es zu kompliziert. Dokumentenlenkung soll Orientierung schaffen. Sie ist kein Beschäftigungsprogramm für Menschen, die besonders gerne Versionsnummern vergeben.

Interesse geweckt?

Wenn Sie Ihre ISO 27001 Dokumentenlenkung schlank aufsetzen oder ein bestehendes System auditfest machen möchten, sprechen Sie uns gerne an. Wir helfen Ihnen dabei, aus vorhandenen Werkzeugen einen nachvollziehbaren Prozess zu bauen – ohne jedes Dokument in eine bürokratische Zwangsjacke zu stecken.

Dieser Artikel gehört zum Thema ISO 27001 Zertifizierung – erfahren Sie mehr über die Zertifizierung.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.