Geld rein, Zertifikat raus? Was Ihnen kein ISO-27001-Berater abnehmen kann

Vor einiger Zeit hatten wir es in einem Projekt mit einer Erwartung zu tun, die uns in unterschiedlichen Varianten immer wieder begegnet. Sinngemäß lautete sie:

„Wir haben Sie doch beauftragt. Dann erstellen Sie jetzt bitte alles, was wir für das Zertifikat brauchen.“

Das Missverständnis beginnt an einer anderen Stelle: Manche Unternehmen stellen sich ein Zertifizierungsprojekt ein wenig wie einen sehr teuren Getränkeautomaten vor. Oben wird Geld eingeworfen. Im Inneren hört man einige Monate lang geschäftiges Rumpeln. Unten fällt schließlich das ISO 27001-Zertifikat heraus.

So funktioniert es leider nicht. Denn nach ISO 27001 wird nicht der Berater zertifiziert. Zertifiziert wird das Managementsystem des Unternehmens. Und deshalb muss im Unternehmen selbst etwas passieren.

Die kurze Antwort

Ein guter ISO 27001-Berater kann Ihnen sehr viel Arbeit abnehmen. Er kann das Projekt führen, Anforderungen erklären, Workshops moderieren, Dokumente vorbereiten, Risiken strukturieren, offene Punkte nachhalten und Sie auf das Audit vorbereiten.

Nicht abnehmen kann er Ihnen:

• Wissen über Ihr Unternehmen liefern;
• Entscheidungen treffen und Risiken akzeptieren;
• Ressourcen im Unternehmen bereitstellen;
• IT und Räume sicherer machen;
• Regeln intern durchsetzen;
• und die erforderlichen Veränderungen im Unternehmen umsetzen.

Kurz gesagt: Der Berater kann den Weg erheblich kürzer, klarer und angenehmer machen. Gehen muss Ihr Unternehmen ihn trotzdem.

Was ein guter ISO 27001-Berater übernehmen kann

Bevor wir über Eigenleistung sprechen, sollten wir eine Sache klarstellen: Beratung darf nicht bedeuten, dass ein externer Experte Ihnen eine lange Aufgabenliste überreicht und anschließend mit wohlwollendem Blick beim Abarbeiten zusieht.

Ein guter Berater kann unter anderem:

• das Zertifizierungsprojekt planen und steuern;
• Normanforderungen in verständliche Arbeitspakete übersetzen;
• Anwendungsbereich und Workshops vorbereiten;
• Richtlinien, Prozesse und Nachweisvorlagen ausarbeiten;
• Risikomanagement, Anwendbarkeitserklärung und Risikobehandlung strukturieren;
• Lieferanten auf Grundlage der bereitgestellten Informationen bewerten;
• offene Maßnahmen nachhalten;
• typische Auditprobleme früh erkennen;
• und das Unternehmen auf Stage 1 und Stage 2 vorbereiten.

Wie viel Unterstützung sinnvoll ist, hängt von Zeit, Kompetenz und Budget ab. In unserem Artikel ISO 27001: Wer kann mir wirklich helfen? erklären wir ausführlicher, woran Sie geeignete Unterstützung erkennen.

Auch Dokumente können weitgehend vorbereitet werden. Sie müssen nicht vor einem leeren Word-Dokument sitzen und überlegen, wie eine Richtlinie für Zugriffskontrolle wohl anfangen könnte. Warum ein fertiger Dokumentensatz trotzdem noch kein fertiges ISMS ergibt, lesen Sie in ISO 27001 – Dokumentensatz und fertig!.

Der entscheidende Unterschied lautet: Der Berater kann vorbereiten. Das Unternehmen muss verstehen, entscheiden, freigeben, umsetzen und anwenden.

Warum sich ein ISMS nicht vollständig auslagern lässt

Ein Informationssicherheits-Managementsystem beschreibt, wie Ihr Unternehmen Informationssicherheit steuert. Es betrifft Ihre Leistungen, Kunden, Systeme, Mitarbeiter, Räume und Lieferanten.

Ein externer Berater kennt all das zu Beginn nur ausschnittsweise. Er kann die richtigen Fragen stellen, weiß aber nicht von allein, welche Anwendung unverzichtbar ist, welcher Lieferant eine kritische Schnittstelle betreibt, welche Admin-Rechte aus Bequemlichkeit verteilt wurden oder welcher Prozess nur dank regelmäßiger Improvisation funktioniert.

Genau diese Unternehmensrealität muss in das ISMS hinein. Sonst entsteht ein System, das auf dem Papier ordentlich aussieht, aber mit dem echten Betrieb nur lose bekannt ist.

Spätestens im Zertifizierungsaudit fällt das auf. In Stage 2 prüft der Auditor nicht nur Dokumente, sondern auch, ob Regeln tatsächlich umgesetzt wurden und Verantwortliche ihre Aufgaben kennen. Mehr dazu finden Sie in unserem Artikel zum Ablauf des ISO-27001-Zertifizierungsaudits.

Diese Aufgaben bleiben bei Ihrem Unternehmen

Die konkrete Eigenleistung unterscheidet sich je nach Größe, Anwendungsbereich und Ausgangslage. Die folgenden Aufgaben begegnen uns jedoch in nahezu jedem Zertifizierungsprojekt.

1. Verstehen, wie ein Managementsystem funktioniert

Sie müssen die Norm nicht auswendig lernen und keine Weiterbildung zum Lead Auditor absolvieren.

Ein grundlegendes Verständnis brauchen die zentral Beteiligten trotzdem. Dazu gehört insbesondere:

• Was ist ein Managementsystem?
• Warum werden Regeln dokumentiert und gelenkt?
• Wie werden Verantwortlichkeiten festgelegt?
• Wie funktionieren Ziele und Kennzahlen?
• Warum wird das System regelmäßig bewertet?

Ohne dieses Verständnis wird das ISMS zur Sammlung fremder Dokumente: Man kennt ihren Speicherort, aber nicht ihren Zweck.

2. Die eigene Organisation beschreiben und Assets zusammentragen

Ein Berater kann die richtigen Fragen stellen. Die Antworten müssen aus Ihrem Unternehmen kommen.

Sie müssen beispielsweise erklären:

• Welche Leistungen erbringen wir?
• Welche Prozesse sind dafür unverzichtbar?
• Welche Standorte, Gesellschaften und Teams gehören dazu?
• Welche Informationen und Systeme benötigen wir?
• Welche Kundenanforderungen und gesetzlichen Vorgaben sind relevant?
• Von welchen internen und externen Parteien hängen wir ab?

Außerdem muss das Unternehmen seine Assets zusammentragen. Dazu gehören nicht nur Geräte, sondern beispielsweise Informationen, Anwendungen, Cloudservices, Netzwerke, Räume und andere für das Geschäft relevante Werte. Der Berater kann die Assetliste strukturieren und bei der Klassifizierung helfen. Welche Assets existieren und wofür sie gebraucht werden, muss jedoch das Unternehmen liefern.

Aus der Beschreibung des Geschäfts, der Produkte und Dienstleistungen sowie der Frage, wofür Kunden das Zertifikat verlangen, kann der Berater einen sinnvollen Anwendungsbereich ableiten. Das Unternehmen muss den Scope nicht allein erfinden. Warum größer dabei nicht automatisch besser ist, erklären wir in ISO 27001 Anwendungsbereich: Ein kleiner Scope ist besser.

3. Rollen verbindlich vergeben

Informationssicherheit funktioniert nicht nach dem Prinzip:

„Das macht derjenige, der als Nächstes Zeit hat.“

Das Unternehmen muss festlegen, wer welche Verantwortung trägt. Typische Rollen betreffen beispielsweise:

• die Gesamtverantwortung der Geschäftsleitung;
• die Koordination des ISMS;
• Verantwortung für Risiken;
• Verantwortung für Informationen, Systeme und Prozesse;
• Freigaben von Zugriffsrechten;
• Pflege der Lieferantenübersicht;
• Vorfallbehandlung;
• Umgang mit Ausnahmesituationen;
• und die Umsetzung technischer Maßnahmen.

Rollen können von bestehenden Personen übernommen werden. Entscheidend ist, dass Aufgaben, Befugnisse und Vertretungen klar sind. Zur Einordnung empfehlen wir Informationssicherheitsbeauftragter: Rolle und Anforderungen.

4. Schutzbedarfe und Risikoinformationen liefern

Wenn der Berater das Unternehmen, seine Assets und Abhängigkeiten kennt, kann er Risiken sehr gut identifizieren, formulieren und bewerten. Dazu braucht er jedoch belastbare Informationen aus dem Unternehmen.

Die zuständigen Personen müssen insbesondere erklären:

• welche Informationen und Leistungen besonders schutzbedürftig sind;
• welche Auswirkungen Verlust, Veränderung oder Ausfall hätten;
• welche Abhängigkeiten und bestehenden Schutzmaßnahmen es gibt;
• welche Ausfallzeiten noch tragbar sind;
• und welche Besonderheiten der Berater ohne internes Wissen nicht erkennen könnte.

Auf dieser Grundlage kann der Berater die eigentliche Risikobewertung weitgehend übernehmen und Maßnahmen vorschlagen. Entscheidungen über Prioritäten, Ressourcen und die bewusste Akzeptanz verbleibender Risiken bleiben beim Unternehmen.

Einen pragmatischen Überblick über die Methode bietet ISO 27001 Risikomanagement: in 5 Schritten einfach erklärt.

5. Richtlinien prüfen, freigeben und bekannt machen

Richtlinien kann man vorbereiten lassen. Freigeben muss sie das Unternehmen.

Vorher sollten die zuständigen Personen prüfen:

• Passt die Regel zu unserer tatsächlichen Arbeitsweise?
• Können wir sie technisch und organisatorisch einhalten?
• Ist klar, für wen sie gilt?
• Gibt es begründete Ausnahmen?
• Wer kontrolliert die Umsetzung?

Danach reicht es nicht, die PDF im ISMS-Ordner abzulegen. Die betroffenen Mitarbeiter müssen erfahren, dass eine neue oder geänderte Regel gilt. Je nach Thema braucht es eine Mitteilung, eine Schulung, eine Bestätigung oder eine Änderung im täglichen Arbeitsablauf.

Eine unbekannte Richtlinie wird nicht gelebt. Eine Regel, die niemand einhalten kann, ist vor allem ein künftiger Auditbefund mit Seitenzahlen.

6. Prozesse tatsächlich vereinheitlichen

Manche Unternehmen stellen im ISO 27001-Projekt fest, dass ihre Arbeitsweise bisher ungefähr so organisiert war:

„Wir sind eigentlich ein Haufen Freelancer, die zufällig dieselbe Mail-Domain benutzen.“

Das kann erstaunlich lange funktionieren. Für ein belastbares Managementsystem braucht es bei wiederkehrenden und sicherheitsrelevanten Tätigkeiten jedoch nachvollziehbare Abläufe.

Das betrifft beispielsweise:

• Eintritt, Rollenwechsel und Austritt von Mitarbeitern;
• Vergabe und Entzug von Berechtigungen;
• Änderungen an produktiven Systemen;
• Umgang mit Sicherheitsereignissen;
• Datensicherung und Wiederherstellung;
• Beschaffung neuer Anwendungen;
• und Aufnahme neuer Lieferanten.

Nicht jeder Handgriff braucht eine Prozessbeschreibung. Aber wichtige Tätigkeiten dürfen nicht davon abhängen, wer gerade Dienst hat und worauf diese Person heute Lust hat.

7. Technische Sicherheitsmaßnahmen umsetzen

Die Anforderungen aus Annex A bestehen nicht nur aus Organigrammen und Richtlinien. Vor allem der technologische Bereich A.8 kann ganz praktische Änderungen an Ihrer IT notwendig machen.

Je nach Ausgangslage geht es beispielsweise um:

• Mehrfaktor-Authentisierung;
• sichere Konfigurationen;
• Protokollierung und Überwachung;
• Schwachstellen- und Patchmanagement;
• Schutz vor Schadsoftware;
• Datensicherung und Wiederherstellungstests;
• Verschlüsselung;
• Netzwerksegmentierung;
• Verwaltung privilegierter Rechte;
• Überprüfung und Bereinigung bestehender Zugriffsrechte;
• sichere Entwicklung;
• und kontrollierte Änderungen.

Ein Berater kann Anforderungen erklären und Maßnahmen priorisieren. Firewalls konfigurieren, Identitätsmanagement und Zugriffsrechte aufräumen, Backups testen und Altsoftware ersetzen muss jedoch jemand mit Zugriff auf Ihre technische Umgebung. Gute Beratungsunternehmen haben hier Fachleute, die Sie unterstützen können.

8. Physische Sicherheit verbessern

Auch A.7 erledigt sich nicht durch Dokumentation. Wenn Serverräume unkontrolliert zugänglich sind, Besucher unbeaufsichtigt durch sensible Bereiche laufen oder vertrauliche Unterlagen offen herumliegen, kann ein Berater das Problem beschreiben. Beseitigen muss es das Unternehmen.

Mögliche Aufgaben sind:

• Zutrittsbereiche und Berechtigungen festlegen;
• Schlüssel und Zutrittsmedien verwalten;
• Besucherregelungen einführen;
• sensible Räume angemessen schützen;
• Arbeitsplätze und Bildschirme absichern;
• Geräte gegen Umwelteinflüsse schützen;
• und Datenträger sicher aufbewahren oder entsorgen.

Welche Maßnahmen angemessen sind, hängt von Räumen und Risiken ab. Ein Remote-Softwareunternehmen braucht andere Lösungen als ein Produktionsbetrieb mit Werkhalle und Serverraum.

9. Lieferanten zusammentragen und ihre Leistungen erklären

Fast jedes Unternehmen unterschätzt zunächst, wie viele Lieferanten es tatsächlich nutzt. Neben den offensichtlichen Dienstleistern tauchen plötzlich Cloudplattformen, Rechenzentren, SaaS-Anwendungen, Lohnabrechnung, Supportpartner, Freelancer, Entsorger und weitere Unterauftragnehmer auf.

Das Unternehmen muss deshalb zunächst:

• eine belastbare Lieferantenübersicht erstellen;
• beschreiben, welche Produkte oder Leistungen bezogen werden;
• angeben, auf welche Informationen oder Systeme ein Lieferant zugreift;
• wichtige technische und geschäftliche Abhängigkeiten erklären;
• vorhandene Verträge und Ansprechpartner benennen;
• und bekannte Zertifikate oder Sicherheitsinformationen bereitstellen.

Mit diesen Informationen kann der Berater die Lieferanten bewerten und sinnvolle Prüfintervalle vorschlagen. Der Einkauf kennt häufig nicht alle Dienste; deshalb müssen IT, Fachbereiche und gegebenenfalls Buchhaltung beim Zusammentragen helfen. Eine praktische Abbildung zeigt ISO 27001 Supplier Management mit Jira.

10. Kompetenzen und Schulungsbedarf klären

Eine allgemeine Awareness-Schulung für alle Mitarbeiter ist wichtig, löst aber nicht jede Kompetenzanforderung.

Sie müssen überlegen, welche Personen für ihre Aufgaben besondere Kenntnisse benötigen. Das betrifft zum Beispiel:

• Administratoren mit privilegierten Rechten;
• Entwickler und Verantwortliche für sichere Entwicklung;
• Mitarbeiter im Incident Response;
• interne Auditoren;
• und Führungskräfte, die Sicherheitsentscheidungen treffen.

Anschließend muss das Unternehmen geeignete Maßnahmen organisieren und ihre Wirksamkeit bewerten. Das können Schulungen, Einweisungen, Übungen, Mentoring, Fachliteratur oder praktische Tests sein.

11. Ausnahmesituationen durchdenken und Vorsorge umsetzen

Business Continuity beginnt mit einer unangenehmen Frage:

„Was könnte passieren, damit wir als Unternehmen für längere Zeit nicht mehr arbeitsfähig wären?“

Dabei muss nicht sofort ein vollständig ausgearbeitetes Katastrophenszenario entstehen. Es reicht zunächst, relevante Ausnahmesituationen zu betrachten: etwa den Ausfall eines Rechenzentrums, eines wichtigen Lieferanten, eines Standorts oder einer kleinen Gruppe unverzichtbarer Personen.

Das Unternehmen muss seine kritischen Tätigkeiten und Abhängigkeiten selbst kennen. Es muss entscheiden,

• welche Leistungen wie schnell wieder verfügbar sein müssen;
• welche Ausfallzeiten noch tragbar sind;
• welche Daten maximal verloren gehen dürfen;
• welche Ersatzlösungen realistisch sind;
• wer in einer Ausnahmesituation entscheidet;
• und wie Kommunikation und Wiederanlauf funktionieren.

Ein Berater kann die Überlegungen moderieren und daraus Business-Continuity-Maßnahmen und Pläne vorbereiten. Das Unternehmen muss dafür erklären, welche Tätigkeiten kritisch sind, welche Ersatzwege realistisch wären und die nötigen Vorkehrungen anschließend umsetzen.

Der häufigste Denkfehler

Der häufigste Denkfehler lautet:

„Wir geben dem Berater ein paar Informationen. Daraus baut er unser ISMS, und beim Audit erklärt er es dem Auditor.“

Damit kann man durchaus einen ansehnlichen Dokumentensatz produzieren. Das Problem beginnt, sobald der Auditor mit anderen Menschen im Unternehmen spricht.

Dann stellt er beispielsweise Fragen wie:

• Wer genehmigt diese Berechtigung?
• Wann wurde die Wiederherstellung zuletzt getestet?
• Wie melden Mitarbeiter einen Sicherheitsvorfall?
• Welche Leistung beziehen Sie von diesem Lieferanten?
• Welche Sicherheitsziele verfolgt die Geschäftsleitung?

Wenn jede Antwort lautet „Das weiß unser Berater“, beschreibt das keinen wirksamen internen Prozess. Es beschreibt ein ausgelagertes Gedächtnis.

So gelingt die Zusammenarbeit

Die besten Projekte funktionieren nicht deshalb gut, weil der Kunde besonders viel selbst schreibt. Sie funktionieren, weil die Arbeit sinnvoll verteilt ist: Der Berater plant, erklärt, moderiert, bereitet vor und hält nach. Das Unternehmen stellt Ansprechpartner bereit, liefert Informationen, trifft Entscheidungen, setzt Änderungen um und wendet das ISMS an.

So wird Beratung zur echten Entlastung, ohne dass ein fremdes Managementsystem entsteht, das am Ende nur der Berater versteht.

Interesse geweckt?

Sie möchten ISO 27001 erreichen, ohne dass Ihr Team monatelang allein vor Normtexten, leeren Dokumenten und endlosen Aufgabenlisten sitzt? Wir übernehmen Projektstruktur, Dokumentation, Workshops und Auditvorbereitung – und sagen Ihnen von Anfang an klar, welche Entscheidungen und Umsetzungen bei Ihnen bleiben. Sprechen Sie mit uns über Ihr ISO-27001-Zertifizierungsprojekt.