ISO 27001: Was muss die Geschäftsführung wirklich tun?

Vor versammelter Mannschaft erklärt ein Geschäftsführer, was er von dem neuen Informationssicherheitsmanagementsystem hält:

„Dieses ISMS macht uns doch nur Arbeit. Bei uns weiß jeder, was zu tun ist. Dieses ganze Dokumentationszeug könnten wir uns eigentlich sparen.“

Danach wundert er sich, dass Richtlinien nicht gelesen, Termine nicht eingehalten und Aufgaben zur Informationssicherheit immer wieder nach hinten geschoben werden.

Dabei hat die Mannschaft sehr genau verstanden, was von ihr erwartet wird. Nur eben anders als beabsichtigt. Der Chef hat unmissverständlich klargemacht: Das operative Geschäft ist wichtig. Das ISMS ist lästiges Beiwerk. Wer viel zu tun hat – und wer hat das nicht? – weiß nun, was zuerst unter'n Tisch fällt.

Die kurze Antwort

Abschnitt 5.1 der ISO 27001 verlangt von der obersten Leitung, Führung und Verpflichtung in Bezug auf das ISMS zu zeigen. Eine Unterschrift unter der Informationssicherheitspolitik reicht dafür nicht. Die Geschäftsführung muss dafür sorgen, dass Informationssicherheit zur strategischen Richtung passt, in die Geschäftsprozesse eingebunden wird, Ressourcen erhält und ihre vorgesehenen Ergebnisse erreicht.

Sie darf viele Tätigkeiten delegieren. Sie muss keine Assetliste persönlich pflegen, keine Richtlinie selbst formulieren und auch nicht jedes Ticket zur Risikobehandlung nachhalten. Was sie nicht delegieren kann, ist ihre Führungsrolle.

Oder kürzer: Die Treppe wird von oben gefegt.

Warum das Verhalten der Geschäftsführung so viel ausmacht

Mitarbeiter schauen bei ihrer täglichen Arbeit immer auch nach oben. Nicht aus Unterwürfigkeit, sondern weil Prioritäten irgendwo herkommen müssen.

Fast jeder hat mehr Aufgaben auf dem Tisch, als sich gleichzeitig erledigen lassen. Deshalb wird sortiert: Was ist dringend? Was ist wichtig? Was wird nachgefragt? Wo gibt es Ärger, wenn es liegen bleibt? Und was findet die Geschäftsführung erkennbar gut oder eben erkennbar doof?

Wenn die Leitung Informationssicherheit sichtbar unterstützt, Entscheidungen trifft und selbst nach den vereinbarten Regeln handelt, wird das Thema ernst genommen. Wenn sie es vor anderen schlechtredet, jede Entscheidung verschleppt oder sich persönlich von den Regeln ausnimmt, wird ebenfalls eine Botschaft gesendet.

Dann ist das ISMS nicht bloß ein Klotz am Bein. Es ist ein Klotz am Bein, den die Geschäftsführung selbst dort festgebunden hat.

Das erklärt auch, weshalb fehlende Unterstützung der Geschäftsführung ein ISO 27001-Projekt erheblich verlängern kann. Wenn alle Sicherheitsaufgaben gegen sichtbar wichtigere Vorhaben verlieren, hilft auch der schönste Projektplan nicht viel.

Wer ist überhaupt die „oberste Leitung“?

In vielen Unternehmen ist damit schlicht die Geschäftsführung gemeint. Die Norm schaut allerdings auf die Personen, die eine Organisation auf der höchsten Ebene führen und steuern. Bezieht sich der Anwendungsbereich des ISMS nur auf einen klar abgegrenzten Teil einer größeren Organisation, kann die oberste Leitung für das ISMS deshalb auch die höchste Leitung dieses Bereichs sein.

Entscheidend ist nicht der Titel auf der Visitenkarte. Entscheidend ist, wer für den Anwendungsbereich tatsächlich Richtung, Prioritäten und Ressourcen bestimmen kann.

Eine Person ohne Entscheidungsbefugnis kann das ISMS koordinieren. Sie kann aber nicht glaubwürdig die Rolle der obersten Leitung ersetzen. Wer kein Budget freigeben, keine Prioritäten setzen und keine Führungskräfte in die Pflicht nehmen darf, kann Abschnitt 5.1 nicht stellvertretend erledigen.

Was Abschnitt 5.1 konkret verlangt

Der Normabschnitt ist erfreulich konkret. Hinter seinen Anforderungen stehen acht praktische Führungsaufgaben.

Informationssicherheit muss zur strategischen Richtung passen

Die Geschäftsführung muss dafür sorgen, dass Informationssicherheitspolitik und Informationssicherheitsziele festgelegt werden und zur strategischen Ausrichtung des Unternehmens passen.

Das heißt nicht, dass in der Unternehmensstrategie zwanzig Seiten über Verschlüsselung stehen müssen. Es heißt aber: Wenn das Unternehmen etwa sensible Kundendaten verarbeitet, einen besonders verfügbaren Onlinedienst verkauft oder in einen regulierten Markt eintreten will, muss sich das in der Ausrichtung des ISMS wiederfinden.

Eine austauschbare Politik aus dem Internet genügt diesem Gedanken nicht. Wie die übergeordnete Aussage sinnvoll aufgebaut wird, erläutert unser Artikel zur Informationssicherheitspolitik nach ISO 27001.

Das ISMS gehört in die Geschäftsprozesse

Informationssicherheit darf kein Paralleluniversum neben dem eigentlichen Unternehmen sein. Die Anforderungen des ISMS müssen in die Geschäftsprozesse integriert werden.

Bei der Entwicklung eines Produkts werden Sicherheitsanforderungen deshalb nicht drei Tage vor dem Audit ergänzt. Beim Onboarding denkt man Zugriffsrechte von Anfang an mit. Beim Einkauf werden sicherheitsrelevante Lieferanten nicht erst betrachtet, wenn der Vertrag längst unterschrieben ist.

Genau an dieser Stelle entscheidet Führung darüber, ob das ISMS Teil der Arbeit oder Zusatzarbeit wird.

Notwendige Ressourcen müssen verfügbar sein

Ein ISMS benötigt Zeit, Kompetenz, Entscheidungsfähigkeit und manchmal Geld. Die Geschäftsführung muss dafür sorgen, dass diese Ressourcen verfügbar sind.

Das bedeutet nicht, dass jeder Wunsch des ISB automatisch erfüllt werden muss. Ressourcenentscheidungen dürfen und sollen wirtschaftlich sein. Aber ein Projekt mit ehrgeiziger Deadline, ohne interne Zeit, ohne Budget und ohne entscheidungsbefugte Ansprechpartner ist keine sportliche Zielsetzung. Es ist Wunschdenken mit Kalendertermin.

Die Bedeutung wirksamer Informationssicherheit muss kommuniziert werden

Die Geschäftsführung muss deutlich machen, dass ein wirksames ISMS und die Einhaltung seiner Anforderungen wichtig sind.

Das geschieht nicht nur in einer Rundmail. Kommunikation besteht auch aus Verhalten. Eine Leitung, die die neue Zutrittsregel beim ersten eigenen Besuch ignoriert, kommuniziert sehr wirksam – nur leider die falsche Botschaft.

Das ISMS muss seine vorgesehenen Ergebnisse erreichen

Die Leitung soll nicht nur dafür sorgen, dass ein ISMS existiert. Es soll auch leisten, wofür es eingerichtet wurde.

Welche Ergebnisse das sind, hängt vom Unternehmen ab: Risiken sollen auf ein akzeptables Maß gebracht, Kundenanforderungen erfüllt, wichtige Informationen geschützt oder eine Zertifizierungsfähigkeit erreicht werden. Dazu braucht es konkrete Informationssicherheitsziele statt wohlklingender Allgemeinplätze.

Menschen brauchen Richtung und Unterstützung

Beschäftigte und Führungskräfte, die zum ISMS beitragen, müssen angeleitet und unterstützt werden. Das kann bedeuten, Hindernisse aus dem Weg zu räumen, Entscheidungen zu treffen, Zuständigkeiten zu klären oder Konflikte zwischen Sicherheit und anderen Zielen aufzulösen.

„Macht das bitte irgendwie sicher“ ist keine Richtung. „Das hat im Moment Priorität; Frau Müller entscheidet bei Zielkonflikten und bekommt dafür zwei Tage pro Woche“ ist schon deutlich brauchbarer.

Wer im ISMS wofür zuständig ist, sollte anschließend sauber geregelt und kommuniziert werden. Dazu passt unser Beitrag über Rollen, Verantwortlichkeiten und Befugnisse nach Abschnitt 5.3.

Fortlaufende Verbesserung muss gefördert werden

Ein ISMS ist nie endgültig fertig. Bedrohungen, Technik, Kundenanforderungen, Geschäftsprozesse und das Unternehmen selbst verändern sich. Und eines ist sicher: die bösen Jungs da draußen schlafen nicht. Stillstand ist Rückschritt. So einfach ist das.

Die Geschäftsführung muss deshalb Verbesserung fördern. Dazu gehört eine Kultur, in der Probleme nicht versteckt werden müssen. Wer für jede gemeldete Schwachstelle zuerst einen Schuldigen sucht, wird bald erstaunlich wenige Schwachstellen gemeldet bekommen. Sicherer ist das Unternehmen dadurch nicht geworden – nur stiller.

Andere Führungskräfte müssen ebenfalls unterstützt werden

Informationssicherheit ist nicht allein Aufgabe der Geschäftsführung und auch nicht allein Aufgabe des ISB. Bereichsleitungen müssen in ihrem jeweiligen Verantwortungsbereich ebenfalls führen können und sollen dabei von oben unterstützt werden.

Wenn beispielsweise HR sichere Personalprozesse etablieren, die IT Berechtigungen aufräumen und der Einkauf Lieferantenanforderungen durchsetzen soll, brauchen diese Bereiche klare Rückendeckung. Sonst gewinnt im Konfliktfall wieder das, was schneller Umsatz verspricht oder lauter heult.

Was darf die Geschäftsführung delegieren?

Sehr viel. Sie muss das ISMS nicht selbst administrieren.

Delegierbar sind zum Beispiel:

• das Führen von Asset-, Risiko- und Maßnahmenlisten;
• die Vorbereitung von Richtlinien;
• die Koordination des ISO 27001-Projekts;
• die Organisation von Schulungen und Awareness-Maßnahmen;
• das Sammeln und Auswerten von Kennzahlen;
• die Vorbereitung des Internen Audits;
• die Vorbereitung der Managementbewertung.

In kleinen Unternehmen kann eine Person mehrere dieser Aufgaben übernehmen. In größeren Unternehmen verteilen sie sich auf ISB, IT, HR, Einkauf, Datenschutz, Fachbereiche und Projektleitung.

Die Geschäftsführung muss nicht jedes Detail bearbeiten. Sie muss aber ein System schaffen, in dem die Aufgaben sinnvoll verteilt sind, erledigt werden können und bei Bedarf zu Entscheidungen führen.

Was kann sie nicht delegieren?

Nicht delegierbar ist die eigene Führungs- und Verpflichtungsrolle.

Die Geschäftsführung kann jemanden damit beauftragen, eine Entscheidung vorzubereiten. Sie kann nicht gleichzeitig jede Entscheidung verweigern. Sie kann einen ISB bestellen. Sie kann ihm aber nicht die unternehmerische Priorisierung, die Bereitstellung von Ressourcen oder die strategische Ausrichtung des Unternehmens übergeben.

Besonders sichtbar wird das in der Managementbewertung. Informationen und Unterlagen können selbstverständlich vorbereitet werden. Bewerten, priorisieren und entscheiden muss die Leitung jedoch selbst.

Ein hübsches Protokoll, das der ISB vollständig geschrieben hat und das am Ende ungelesen unterschrieben wird, ist keine Führungsleistung. Es ist Autogrammverwaltung.

So wird Management Commitment im Alltag sichtbar

Glaubwürdige Unterstützung braucht kein wöchentliches Vorstandspathos. Oft reichen ein paar sehr praktische Verhaltensweisen:

• Die Geschäftsführung erklärt beim Projektstart, weshalb das ISMS für das Unternehmen wichtig ist.
• Sie setzt eine realistische Priorität und schützt die dafür vorgesehenen Kapazitäten.
• Sie entscheidet zeitnah, wenn das Projektteam einen echten Zielkonflikt vorlegt.
• Sie fragt in bestehenden Führungsrunden nach Risiken, Zielen und überfälligen Maßnahmen.
• Sie hält sich selbst an die freigegebenen Regeln.
• Sie verlangt keine heimlichen Ausnahmen für besonders wichtige Personen.
• Sie nimmt die Managementbewertung als Entscheidungstermin ernst.
• Sie fragt nicht nur vor dem Audit nach dem Stand.

Die erforderliche Dokumentation sollte dabei weder zum Selbstzweck noch zum Feindbild werden. Die Norm verlangt dokumentierte Information dort, wo sie erforderlich ist. Unser Überblick zeigt, welche Dokumente man für ISO 27001 wirklich braucht.

Wie die Geschäftsführung das ISMS ungewollt sabotiert

Kaum eine Geschäftsführung beschließt ausdrücklich, das eigene ISMS scheitern zu lassen. Trotzdem gibt es dafür ein recht zuverlässiges Rezept.

Das ISMS vor anderen schlechtreden

Wer bei jeder Gelegenheit über Bürokratie, Berater und lästige Normanforderungen spottet, darf sich nicht wundern, wenn andere ihre Aufgaben ebenfalls lästig finden.

Entscheidungen liegen lassen

Ohne Freigaben, Risikobeschlüsse und Prioritätsentscheidungen drehen Projektteams Schleifen. Häufig entsteht dadurch mehr Aufwand als durch die eigentliche Sachfrage. (Dieses Anti-Pattern wird auch der „Ich bin so wichtig, ich hab ja so viel um die Ohren!“-Bottleneck genannt.)

Sicherheitsaufgaben zusätzlich verteilen

„Frau Müller, das machen Sie einfach noch mit!“ klingt günstig. Wenn aber keinerlei andere Aufgabe entfällt, wurde keine Ressource bereitgestellt. Es wurde lediglich Hoffnung verteilt.

Sich selbst von Regeln ausnehmen

Wenn MFA, Clean Desk oder geregelte Freigaben für alle gelten – außer für die Geschäftsführung –, ist die Wirkung verheerend. Führung wird gerade an den unbequemen Kleinigkeiten sichtbar.

Nur das Zertifikat wollen

Ein Zertifikat kann wirtschaftlich wichtig sein. Wenn die Leitung aber ausschließlich auf das Papier an der Wand schaut, wird das ISMS leicht zur kurzfristigen Auditkulisse. Abschnitt 5.1 zielt auf ein wirksames Managementsystem, nicht auf dekorative Urkundenproduktion.

Woran erkennt ein Auditor fehlende Führung?

Im Zertifizierungsaudit wird die oberste Leitung normalerweise selbst befragt. Dabei geht es nicht darum, acht Unterpunkte der Norm auswendig aufzusagen.

Ein Auditor wird verstehen wollen:

• Warum ist Informationssicherheit für dieses Unternehmen wichtig?
• Welche strategischen oder geschäftlichen Ziele unterstützt das ISMS?
• Welche wesentlichen Informationssicherheitsrisiken kennt die Leitung?
• Welche Informationssicherheitsziele wurden festgelegt?
• Wie werden Ressourcen und Prioritäten bestimmt?
• Welche wichtigen Entscheidungen wurden zuletzt getroffen?
• Wo musste verbessert oder nachgesteuert werden?

Wenn die Geschäftsführung darauf nur antworten kann, dass der ISB alles vorbereitet habe, wird es dünn. Noch dünner wird es, wenn sie offen erklärt, mit dem Thema eigentlich nichts zu tun haben zu wollen.

Gute Führung zeigt sich dagegen in zusammenpassenden Antworten, Entscheidungen und Beobachtungen. Niemand erwartet, dass die Geschäftsführung jedes Control aus Anhang A kennt. Sie sollte aber wissen, weshalb das ISMS existiert, wohin es führen soll und wo ihre Entscheidungen benötigt werden.

Was die Geschäftsführung jetzt konkret tun kann

Für einen brauchbaren Anfang genügt eine kurze Selbstprüfung:

1. Können wir in zwei Sätzen erklären, warum Informationssicherheit für unser Geschäft wichtig ist?
2. Passen Politik und Ziele erkennbar zu unserem Unternehmen?
3. Sind Sicherheitsanforderungen in die relevanten Geschäftsprozesse eingebaut?
4. Haben die Verantwortlichen tatsächlich Zeit, Kompetenz und Befugnisse?
5. Treffen wir notwendige Entscheidungen schnell genug?
6. Verhalten wir uns selbst so, wie wir es von den Mitarbeitenden erwarten?
7. Nutzen wir die Managementbewertung, um wirklich zu steuern?

Wenn mehrere Antworten unangenehm ausfallen, fehlt wahrscheinlich nicht zuerst ein weiteres Dokument. Dann fehlt Führung.

Interesse geweckt?

Wenn Sie Ihr ISO 27001-Projekt so aufsetzen wollen, dass die Geschäftsführung sinnvoll eingebunden ist und das ISMS nicht als Parallelwelt neben dem Unternehmen entsteht, sprechen Sie mit uns. Wir helfen Ihnen dabei, Anforderungen, Verantwortlichkeiten und Führungsroutinen praxistauglich zu gestalten.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.