ISO 27001: Kein Job für Einzelkämpfer

Viele Unternehmen starten mit ISO 27001 in derselben falschen Annahme: Man benennt intern „den IT-Menschen“, „die Datenschutzbeauftragte“ oder irgendeinen motivierten Kollegen, und der soll das Thema bitte im Hintergrund mit erledigen. Genau so scheitern Projekte unnötig oft. ISO 27001 ist ein Standard für ein Informationssicherheitsmanagementsystem, also für ein System, das aufgebaut, umgesetzt, aufrechterhalten und fortlaufend verbessert werden muss. Das ist per Definition kein Thema für eine einzelne Person im stillen Kämmerchen.

Die kurze Antwort

ISO 27001 braucht Führung, Mitarbeit und Verbindlichkeit. Eine einzelne Person kann koordinieren, anschieben und viel zusammenhalten. Sie kann aber nicht allein die Risiken des Unternehmens kennen, Fachbereiche einbinden, technische Maßnahmen realistisch einordnen, Managemententscheidungen ersetzen und gleichzeitig noch das gesamte Projekt tragen. Genau deshalb betont ISO 27001 die Rolle des Top Managements, die Bereitstellung von Ressourcen sowie Kompetenz und Awareness im Unternehmen.

Warum Einzelkämpfer bei ISO 27001 fast immer scheitern

Informationssicherheit entsteht nicht dadurch, dass eine Person ein paar Richtlinien schreibt. Sie entsteht dadurch, dass ein Unternehmen gemeinsam regelt, wie mit Risiken, Vorfällen, Zugängen, kritischen Informationen, Veränderungen und Verantwortlichkeiten umgegangen wird. Schon an einfachen Fragen sieht man das: Wer meldet einen Vorfall? Wer entscheidet über kritische Risiken? Wer darf auf heikle Informationen zugreifen? Wer priorisiert Maßnahmen? Solche Fragen kann niemand allein sinnvoll beantworten, wenn sie das ganze Unternehmen betreffen.

Zeit gibt es nicht nebenbei

Der eigentliche Engpass ist oft nicht fehlendes Wissen, sondern fehlende Priorität. ISO 27001 braucht Zeit: für Workshops, Entscheidungen, Abstimmungen, Risikoarbeit, Dokumentation, Umsetzung und Nachweise. Wenn das Projekt „nur nebenbei“ laufen soll, verliert es fast immer gegen das Tagesgeschäft. Genau deshalb betont ISO 27001 im Support-Teil die Bereitstellung der nötigen Ressourcen, der nötigen Menschen und der nötigen Infrastruktur für Aufbau, Umsetzung, Betrieb und Verbesserung des ISMS.

Schauen Sie auch gerne in diesen Artikel, wenn Sie wissen möchten, wie lange ein ISO 27001-Projekt dauert.

Ohne Rückendeckung von oben geht es nicht

Die Geschäftsführung muss nicht jedes Dokument selbst schreiben. Aber sie muss das Thema sichtbar tragen. ISO 27001 stellt Führung und Commitment des Top Managements ausdrücklich in den Mittelpunkt (Anforderung 5.1). Gleichzeitig verlangt der Standard, dass die nötigen Ressourcen bereitgestellt werden und dass Menschen im Unternehmen die Relevanz der Informationssicherheit verstehen. Wenn die Leitung das Thema nur formal abnickt, aber weder Zeit freiräumt noch Entscheidungen trifft noch Rückendeckung gibt, wird aus ISO 27001 schnell ein Papierprojekt.

Ein ISMS ist Teamarbeit, kein Sololauf

Ein funktionierendes ISMS braucht in der Praxis mehrere Perspektiven: Management, Fachbereiche, IT, Prozesseigner und diejenigen, die Regeln später im Alltag anwenden müssen. Genau deshalb funktionieren ISO 27001-Projekte deutlich besser, wenn klar ist, wer welche Rolle spielt. Projektleitung oder ISMS-Verantwortung hält die Fäden zusammen, die Geschäftsführung setzt Richtung und Priorität, Fachbereiche bringen Realität ein, IT sorgt für technische Bodenhaftung, und Mitarbeiter müssen verstehen, wie sie ihren Teil beitragen. ISO 27001 ist genau auf diese organisationsweite Zusammenarbeit ausgelegt.

Der menschliche Faktor entscheidet mit

Viele Unternehmen unterschätzen, dass ISO 27001 immer auch ein Veränderungsprojekt ist. Regeln werden klarer, Verantwortlichkeiten sichtbarer, Risiken benannt, Abläufe überprüft. Das kann Widerstände auslösen. Genau deshalb reicht es nicht, dass eine Person „fachlich gut“ ist. Es braucht Kommunikation, Einbindung und spürbare Rückendeckung. Top Management Commitment in ISO 27001 bedeutet nicht nur Freigabe auf dem Papier, sondern echtes Engagement dafür, Menschen im Unternehmen mitzunehmen und das ISMS zu unterstützen.

Was passiert, wenn trotzdem nur einer alles machen soll

Dann sieht das Projekt meist erst ganz ordentlich aus und kippt später. Immer. Eine Person sammelt Dokumente, bereitet Workshops vor, versucht Entscheidungen einzuholen und hält alles irgendwie zusammen. Aber sobald diese Person auf Rückfragen stößt, stockt das Projekt. Fachbereiche sind nicht eingebunden, die Geschäftsführung kennt den Stand nur oberflächlich, technische Maßnahmen hängen in der Luft und die Organisation wirkt im Audit wie ein System, das eher von außen aufgesetzt als intern getragen wurde. Diese Gefahr ist keine Theorie, sondern ergibt sich direkt aus den Anforderungen an Führung, Ressourcen, Rollen, Kompetenz und Awareness.

Was will der Auditor sehen?

Ein Auditor will nicht sehen, dass es einen besonders fleißigen Einzelkämpfer gibt. Er will sehen, dass das ISMS in der Organisation verankert ist. Dazu gehört, dass die Geschäftsführung ihre Rolle kennt, dass Verantwortlichkeiten klar geregelt sind, dass relevante Personen das System erklären können und dass Informationssicherheit nicht nur von einer einzelnen Person abhängt. Wenn im Audit sichtbar wird, dass nur eine Person Antworten geben kann und der Rest ahnungslos daneben sitzt, wirkt das fast immer schwach. Die Anforderungen der Norm an Leadership, Ressourcen, Kompetenz und Awareness laufen genau auf diesen Punkt hinaus.

Woran ein starkes Projekt zu erkennen ist

Ein gutes ISO 27001-Projekt erkennt man nicht daran, dass alle ständig in jedem Termin sitzen. Man erkennt es daran, dass die richtigen Leute an den richtigen Stellen eingebunden sind. Die Geschäftsführung fragt nach Fortschritt und trifft Entscheidungen. Fachbereiche bringen ihre Sicht ein. IT liefert die technische Einordnung. Die koordinierende Rolle hält Themen nach. Und Mitarbeiter wissen zumindest in ihrer Rolle, was von ihnen erwartet wird. Genau dann entsteht nicht nur Dokumentation, sondern ein System, das auch später trägt.

Wenn Sie Ihr ISO 27001-Projekt so aufsetzen wollen, dass es nicht an einem Einzelkämpfer hängen bleibt, sondern im Unternehmen wirklich getragen wird, dann lassen Sie uns sprechen.

Welche Rollen wirklich gebraucht werden

Ein ISO 27001-Projekt braucht nicht zwingend ein riesiges festes Team. Es braucht aber Zugriff auf die richtigen Perspektiven. Typischerweise gehören dazu:

• Geschäftsführung für Ziele, Prioritäten, Ressourcen und Risikoentscheidungen,
• IT für technische Realität und Betrieb,
• Personal für Eintritt, Wechsel, Austritt und Awareness,
• Einkauf oder Lieferantenverantwortliche für externe Abhängigkeiten,
• Facility Management für Gebäude und physische Sicherheit,
• Fachbereiche für kritische Prozesse und Informationen,
• Projektleitung oder ISB für Koordination und Nachhalten.

In einem kleinen Unternehmen können mehrere Aufgaben bei derselben Person liegen. Das ändert nichts daran, dass die Entscheidungen aus unterschiedlichen Rollen heraus getroffen werden müssen. Ein Administrator kann erklären, wie Backups funktionieren. Ob ein Ausfall von zwei Tagen geschäftlich tragbar ist, muss der Prozessverantwortliche oder die Leitung beantworten.

Was der ISB leisten kann – und was nicht

Der Informationssicherheitsbeauftragte kann Termine organisieren, Risiken zusammenführen, Maßnahmen nachhalten und für Berichte sorgen. Er ist die Spinne im Netz, aber nicht automatisch Eigentümer sämtlicher Risiken und Prozesse.

Wenn jeder Fachbereich seine Fragen mit „Das macht doch der ISB“ beantwortet, wird aus Koordination eine fachliche Ersatzhandlung. Unser ausführlicher Beitrag zu den Aufgaben des ISB grenzt diese Rolle genauer ab.

So sieht sinnvolle Zusammenarbeit aus

Die Geschäftsführung schafft Verbindlichkeit

Eine Deadline, verfügbare Arbeitszeit und sichtbare Priorität sind wichtiger als eine feierliche Auftaktfolie. Warum Führung so entscheidend ist, beschreibt unser Artikel zu ISO 27001 Abschnitt 5.1.

Fachbereiche liefern ihr Wissen

Der Berater und der ISB können moderieren. Sie können nicht erraten, welche Folgen der Ausfall eines Kundenportals hat, welche Daten ein Lieferant sieht oder warum ein bestimmter Prozess nur an drei Tagen im Monat kritisch ist. Das Wissen sitzt im Unternehmen.

Eine Person hält den Takt

Ohne Koordination werden aus zehn sinnvollen Einzelbeiträgen zehn halbfertige Baustellen. Maßnahmen brauchen Verantwortliche, Termine und einen sichtbaren Status. Sonst entsteht der bekannte Maßnahmenfriedhof.

Wie viel Zeit braucht das Team?

Die Antwort hängt von Größe, Reife und Scope ab. Entscheidend ist weniger eine pauschale Stundenzahl als die Verlässlichkeit. Zwei fest reservierte Stunden pro Woche sind oft wertvoller als das Versprechen, man werde sich „bei Gelegenheit einen ganzen Tag blocken“.

Ein realistischer Projektplan enthält Workshops, interne Bearbeitung, Entscheidungen, technische und organisatorische Umsetzung sowie Zeit für Prüfung und Nacharbeit. Unser Beitrag zur Dauer einer ISO 27001-Zertifizierung zeigt, warum der Audittermin allein kein brauchbarer Zeitplan ist.

Der Berater gehört nicht ans Steuer

Externe Beratung kann Erfahrung, Struktur und Tempo bringen. Das Unternehmen muss das ISMS trotzdem selbst verstehen und beherrschen. Spätestens im Audit fällt auf, wenn auf jede Frage der Blick zum Berater wandert.

Ein guter Berater stellt Fragen, erklärt Optionen und hilft beim Aufbau. Er übernimmt nicht die geschäftlichen Entscheidungen des Kunden. Woran man diese Haltung erkennt, erläutert unser Artikel zur Auswahl einer ISO 27001-Beratung.

Typische Fehler in der Teamaufstellung

• Die Geschäftsführung erscheint nur zum Kick-off und zur Zertifikatsübergabe.
• Die IT soll alle geschäftlichen Risiken allein bewerten.
• Fachbereiche erhalten Aufgaben, aber keine Zeit dafür.
• Der ISB ist für alles verantwortlich, hat aber keine Entscheidungskompetenz.
• Der Berater schreibt Antworten, die intern niemand erklären kann.
• Maßnahmen besitzen Fristen, aber keine namentlich oder rollenbezogen verantwortliche Stelle.

Was will der Auditor sehen?

Der Auditor schaut nicht nur auf ein Organigramm. Er prüft anhand von Gesprächen und Nachweisen, ob Rollen verstanden werden und Entscheidungen dort fallen, wo die Verantwortung liegt. Wer hat das Risiko akzeptiert? Wer hat die Sicherheitsanforderung für den Prozess bestimmt? Wer verfolgt die Maßnahme?

Wenn dieselbe Person jede Antwort gibt, ist das nicht automatisch falsch. In einem größeren Unternehmen ist es aber ein deutliches Signal, genauer hinzusehen. Ein funktionierendes ISMS verteilt Wissen und Verantwortung so, dass es nicht mit dem Urlaub eines Einzelkämpfers verschwindet.

Interesse geweckt?

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.