ISO 27001 Kompetenz: Was verlangt Abschnitt 7.2?

Auf dem Tisch liegt ein sehr ordentlicher Schulungsordner. Darin befinden sich Teilnahmebescheinigungen, Zertifikate und Ausdrucke von Onlinekursen. Einige Dokumente sind sogar farbig und auf angenehm schwerem Papier gedruckt.

Der Auditor nimmt eines davon in die Hand und fragt: „Welche Kompetenz braucht diese Person eigentlich für ihre Aufgabe?“

Kurze Stille.

Dann kommt die Antwort: „Na, die war doch auf der Schulung.“

Das kann stimmen. Es beantwortet die Frage aber nicht. Eine besuchte Schulung beweist zunächst nur, dass jemand an einer Schulung teilgenommen hat. Ob die Person danach eine Aufgabe kompetent ausführen kann, ist eine andere Frage. Genau um diesen Unterschied geht es in Abschnitt 7.2 der ISO 27001.

Die kurze Antwort

Abschnitt 7.2 der ISO 27001 verlangt, dass Unternehmen bei Tätigkeiten mit Einfluss auf die Informationssicherheitsleistung nicht einfach auf Talent und guten Willen hoffen. Sie müssen:

1. bestimmen, welche Kompetenz für die betreffenden Personen erforderlich ist;
2. sicherstellen, dass diese Personen aufgrund angemessener Ausbildung, Schulung oder Erfahrung kompetent sind;
3. bei Bedarf Maßnahmen ergreifen, um fehlende Kompetenz zu erwerben, und prüfen, ob diese Maßnahmen wirksam waren;
4. geeignete dokumentierte Informationen als Kompetenznachweis aufbewahren.

Das ist kein allgemeiner Auftrag, jede beschäftigte Person mit möglichst vielen Zertifikaten zu dekorieren. Die Norm will eine nachvollziehbare Verbindung zwischen Aufgabe, benötigter Kompetenz, tatsächlicher Befähigung und Nachweis.

Oder einfacher: Wer etwas mit Einfluss auf die Informationssicherheit macht, soll es können. Und das Unternehmen soll erklären und belegen können, warum es davon ausgeht.

Für wen gilt die Kompetenzanforderung?

Abschnitt 7.2 bezieht sich auf Personen, die unter der Aufsicht der Organisation Tätigkeiten ausführen, welche die Informationssicherheitsleistung beeinflussen. Das können Beschäftigte sein, aber ebenso externe Personen, Freelancer oder beauftragte Spezialisten.

Gemeint ist nicht nur der Informationssicherheitsbeauftragte. Informationssicherheit wird an vielen Stellen beeinflusst:

• Administratoren vergeben Rechte, konfigurieren Systeme und stellen Backups wieder her.
• HR organisiert Eintritte, Rollenwechsel und Austritte.
• Der Einkauf vereinbart Anforderungen mit Lieferanten.
• Entwickler bauen Sicherheitsfunktionen ein oder erzeugen versehentlich Sicherheitslücken.
• Führungskräfte entscheiden über Risiken, Prioritäten und Ressourcen.
• Interne Auditoren beurteilen, ob Prozesse und Maßnahmen funktionieren.
• Beschäftigte im Facility Management steuern Zutritt und physische Sicherheit.
• Mitarbeiter nutzen in der Öffentlichkeit (Bahnhof, Flughafen, Starbucks) ihren Laptop.

Welche Personen tatsächlich betrachtet werden müssen, hängt also vom Unternehmen, seinem Anwendungsbereich und den zugewiesenen Aufgaben ab. Unser Artikel Wer muss bei ISO 27001 mitmachen? zeigt, weshalb ein ISMS ohnehin kein Soloprojekt der IT ist.

Kompetenz ist nicht dasselbe wie Awareness

Abschnitt 7.2 behandelt Kompetenz. Abschnitt 7.3 behandelt Bewusstsein. Hinzu kommt die Maßnahme A.6.3 aus Anhang A zu Informationssicherheitsbewusstsein, Ausbildung und Schulung.

Diese Themen hängen zusammen, sind aber nicht identisch.

Awareness bedeutet beispielsweise, dass Beschäftigte wissen, warum Informationssicherheit wichtig ist, welche Regeln für sie gelten und welche Folgen Regelverstöße haben können. Kompetenz bedeutet, eine konkrete Aufgabe fachgerecht ausführen zu können.

Ein Mitarbeiter kann sehr aufmerksam mit verdächtigen E-Mails umgehen und trotzdem keine Firewall konfigurieren können. Eine Administratorin kann eine Firewall hervorragend konfigurieren und trotzdem nicht wissen, an wen sie einen Datenschutzvorfall melden soll.

Der allgemeine Awareness-Kurs macht deshalb nicht automatisch alle Personen für ihre Fachaufgaben kompetent. Und ein technisches Zertifikat ersetzt nicht das Bewusstsein für die Regeln des eigenen Unternehmens. Mehr zu dieser Unterscheidung steht in unserem Beitrag ISO 27001 Awareness: Warum Schulung allein nicht reicht.

Der erste Schritt: benötigte Kompetenz bestimmen

Viele Unternehmen beginnen beim Nachweis: Sie sammeln Lebensläufe, Zertifikate und Schulungslisten. Abschnitt 7.2 beginnt aber einen Schritt früher. Zunächst muss klar sein, welche Kompetenz überhaupt benötigt wird.

Das lässt sich am besten aus den Aufgaben und Verantwortlichkeiten einer Rolle ableiten. Wer Risiken moderieren soll, braucht andere Fähigkeiten als jemand, der Benutzerkonten anlegt. Wer ein Internes Audit durchführt, braucht andere Kompetenzen als jemand, der Lieferantenverträge verhandelt.

Eine brauchbare Beschreibung muss nicht aus einem dreiseitigen Kompetenzroman pro Rolle bestehen. Häufig reichen wenige konkrete Aussagen:

• Die Rolle kann die für sie relevanten Anforderungen und Richtlinien anwenden.
• Sie versteht die ihr zugewiesenen Prozesse und Entscheidungsbefugnisse.
• Sie kann die eingesetzten Werkzeuge oder technischen Systeme sicher bedienen.
• Sie erkennt typische Fehler und weiß, wann sie eskalieren muss.
• Sie kann die erforderlichen Nachweise erzeugen und aufbewahren.

Wichtig ist, dass Kompetenz nicht schwammig formuliert wird. „Kennt sich mit IT aus“ oder „hat Erfahrung mit ISO“ hilft wenig. Besser ist eine Beschreibung, an der sich später tatsächlich prüfen lässt, ob jemand die Aufgabe beherrscht.

Die Grundlage dafür sind sauber zugewiesene Aufgaben. Solange niemand weiß, wer was tun soll, lässt sich auch die benötigte Kompetenz nicht sinnvoll bestimmen. Deshalb gehört Abschnitt 7.2 eng zum Thema Rollen, Verantwortlichkeiten und Befugnisse.

Wie konkret muss man Kompetenzen je Rolle beschreiben?

Die ISO 27001 schreibt keine bestimmte Kompetenzmatrix und kein festes Bewertungsmodell vor. Unternehmen dürfen eine Form wählen, die zu ihrer Größe und Arbeitsweise passt.

Eine einfache Übersicht kann beispielsweise diese Spalten enthalten:

• Rolle oder Aufgabe;
• benötigte Kenntnisse und Fähigkeiten;
• verantwortliche oder eingesetzte Person;
• vorhandene Ausbildung, Schulung oder Erfahrung;
• erkannte Lücke;
• geplante Maßnahme;
• Termin;
• Bewertung der Wirksamkeit;
• vorhandener Nachweis.

In einem kleinen Unternehmen kann das eine überschaubare Tabelle sein. In einem größeren Unternehmen können Rollenprofile, Personalentwicklungsprozesse, Skill-Matrizen und technische Berechtigungskonzepte zusammenspielen. Entscheidend ist nicht das Format, sondern die erkennbare Logik.

Auch muss nicht für jede Person jede Fähigkeit individuell neu erfunden werden. Sinnvoller sind rollenspezifische Anforderungen. Wenn fünf Administratoren dieselben Aufgaben ausführen, kann die Rolle zunächst gemeinsam beschrieben und anschließend betrachtet werden, wer welche Ausprägung benötigt oder bereits besitzt.

Ausbildung, Schulung oder Erfahrung: Mehrere Wege führen zur Kompetenz

Abschnitt 7.2 nennt Ausbildung, Schulung und Erfahrung als mögliche Grundlagen. Keiner dieser Wege hat automatisch Vorrang.

Eine Person kann durch ein Studium oder eine Berufsausbildung fachlich vorbereitet sein. Sie kann eine gezielte Schulung besuchen. Sie kann sich Fähigkeiten über Jahre in der Praxis erworben haben. Häufig entsteht Kompetenz aus einer Mischung.

Das ist für kleine und mittlere Unternehmen wichtig. Die Norm verlangt nicht, dass jede Person ein teures Personenzertifikat besitzt. Ein erfahrener Administrator wird nicht plötzlich inkompetent, weil er kein gerahmtes Zertifikat über dem Schreibtisch hängen hat. Umgekehrt macht ein dreitägiger Kurs aus einem Anfänger nicht automatisch einen erfahrenen Spezialisten.

Geeignete Wege zum Schließen einer Lücke können sein:

• eine Fachschulung;
• Einarbeitung und Mentoring;
• begleitetes praktisches Arbeiten;
• interne Wissensvermittlung;
• eine andere Aufgabenverteilung;
• die Einstellung einer kompetenten Person;
• oder die Beauftragung eines geeigneten externen Dienstleisters.

Gerade der letzte Punkt wird häufig übersehen. Unternehmen müssen nicht jede selten benötigte Spezialkompetenz selbst aufbauen. Sie dürfen kompetente Externe einsetzen. Sie müssen dann allerdings sinnvoll beurteilen, ob der Anbieter für die Aufgabe geeignet ist, und die Verantwortung für die Auswahl und Steuerung behalten.

Eine Schulung ist eine Maßnahme – noch kein Wirksamkeitsnachweis

Hier liegt der spannendste Teil von Abschnitt 7.2: Wenn ein Unternehmen Maßnahmen zum Kompetenzerwerb ergreift, muss es deren Wirksamkeit bewerten.

Die Rechnung „Schulung besucht = Kompetenz vorhanden“ geht deswegen nicht auf. Das Unternehmen muss sich überlegen, woran es erkennt, dass die Lücke tatsächlich geschlossen wurde.

Je nach Aufgabe kann das sehr unterschiedlich aussehen:

• ein kurzer Wissenstest;
• eine praktische Übung;
• eine beobachtete Durchführung unter Anleitung;
• die fachliche Prüfung eines Arbeitsergebnisses;
• ein erfolgreich bearbeitetes Beispielszenario;
• ein Review durch einen erfahrenen Kollegen;
• Kennzahlen oder Fehlerquoten aus dem laufenden Prozess;
• oder der Nachweis, dass die Person die Aufgabe über einen angemessenen Zeitraum zuverlässig ausgeführt hat.

Wer eine Schulung zur Wiederherstellung von Backups besucht hat, könnte anschließend testweise eine Wiederherstellung durchführen. Wer Lieferanten bewerten soll, kann eine erste Bewertung begleitet erstellen. Wer ein Internes Audit durchführen soll, kann zunächst hospitieren, ein Audit unter Anleitung vorbereiten und später selbstständig auditieren.

Das ist wesentlich aussagekräftiger als die Frage, ob auf einer Teilnahmebescheinigung der Name richtig geschrieben wurde.

Welche Kompetenzen braucht ein Interner Auditor?

Das Interne Audit ist ein besonders anschauliches Beispiel. Wer es durchführt, sollte die relevanten Normanforderungen verstehen, Auditmethoden beherrschen, nachvollziehbare Feststellungen formulieren und mit Gesprächspartnern vernünftig umgehen können. Außerdem muss die Person objektiv und unparteilich auditieren.

Ein Zertifikat über einen zweistündigen Videokurs kann ein Nachweisbaustein sein. Wenn die Person danach weder einen Auditplan erstellen noch eine Feststellung mit Anforderung und objektivem Nachweis verbinden kann, ist die Kompetenzfrage trotzdem offen.

Umgekehrt kann eine erfahrene Auditorin ihre Kompetenz durch frühere Audits, Schulungen, beobachtete Auditdurchführungen und belastbare Arbeitsergebnisse nachweisen. Mehr zu den Anforderungen an diese Rolle erläutert unser Artikel zum Internen Audit nach ISO 27001.

Welche Nachweise sind sinnvoll?

Die Norm verlangt geeignete dokumentierte Informationen als Nachweis der Kompetenz. Sie schreibt keine abschließende Dokumentenliste vor.

Mögliche Nachweise sind:

• Lebensläufe und Angaben zur Berufserfahrung;
• Ausbildungs- und Studienabschlüsse;
• Teilnahme- oder Prüfungszertifikate;
• interne Schulungsnachweise;
• dokumentierte Einarbeitungspläne;
• Kompetenz- oder Skill-Matrizen;
• Ergebnisse praktischer Übungen;
• Freigaben für bestimmte Tätigkeiten;
• Protokolle aus Mentoring oder begleitetem Arbeiten;
• Qualitätsreviews von Arbeitsergebnissen;
• oder geeignete Leistungsbeurteilungen.

Nicht jeder Nachweis muss in einem eigenen ISO-Ordner liegen. Bestehende HR-, Projekt- und Betriebsunterlagen dürfen selbstverständlich genutzt werden. Dabei sollten Datenschutz, Vertraulichkeit und angemessene Zugriffsrechte berücksichtigt werden.

Eine gute Lösung zeigt eine nachvollziehbare Kette: Diese Aufgabe besteht. Dafür wird diese Kompetenz gebraucht. Diese Person übernimmt die Aufgabe. Daraus schließen wir aus diesen Gründen, dass sie kompetent ist. Eine vorhandene Lücke wurde mit dieser Maßnahme behandelt. So haben wir geprüft, dass die Maßnahme funktioniert hat.

Welche dokumentierten Informationen ein ISMS insgesamt benötigt, haben wir in ISO 27001 – welche Dokumente braucht man wirklich? eingeordnet.

Muss wirklich jeder Mitarbeiter bewertet werden?

Sie müssen nicht aus der Belegschaft eine riesige Tabelle mit hundert generischen Fähigkeiten machen. Der Ausgangspunkt sind Tätigkeiten, die die Informationssicherheitsleistung beeinflussen, und die dafür benötigten Kompetenzen.

Für viele Beschäftigte genügt eine gemeinsame Basiskompetenz: relevante Richtlinien anwenden, Informationen richtig behandeln, Vorfälle melden und die für den Arbeitsplatz geltenden Sicherheitsregeln einhalten. Spezialisierte Rollen benötigen darüber hinaus rollenspezifische Kompetenzen.

Der Aufwand sollte also dem Risiko und der Aufgabe folgen. Ein Administrator mit weitreichenden privilegierten Rechten, ein Verantwortlicher für Kryptographie oder ein Interner Auditor benötigen einen anderen Kompetenznachweis als eine Person, die ausschließlich mit einer klar abgegrenzten Standardanwendung arbeitet.

Was will der Zertifizierungsauditor sehen?

Ein Auditor wird typischerweise nicht nur fragen, welche Schulungen stattgefunden haben. Interessanter sind Fragen wie:

• Welche Rollen beeinflussen die Informationssicherheitsleistung?
• Welche Kompetenz benötigen diese Rollen?
• Wo ist das festgelegt?
• Woran erkennen Sie, dass die eingesetzten Personen kompetent sind?
• Welche Lücken wurden festgestellt?
• Was haben Sie dagegen getan?
• Wie haben Sie bewertet, ob diese Maßnahme wirksam war?
• Welche Nachweise können Sie dazu zeigen?

Anschließend kann der Auditor Stichproben ziehen. Er betrachtet beispielsweise die Person, die Risiken pflegt, Administratoren mit privilegierten Rechten, Verantwortliche für Sicherheitsvorfälle oder die Person, die das Interne Audit durchgeführt hat.

Dabei geht es nicht nur um Papier. In Gesprächen und anhand von Arbeitsergebnissen wird schnell sichtbar, ob jemand seine Aufgabe versteht. Eine wunderschöne Kompetenzmatrix hilft wenig, wenn die eingetragene Person anschließend nicht erklären kann, was sie eigentlich macht.

Typische Fehler bei Abschnitt 7.2

Alle haben am Awareness-Kurs teilgenommen

Das ist sinnvoll (und aus Sicht von Anforderung 7.3 auch eine Pflichtübung), ersetzt aber keine rollenspezifische Kompetenz. Der Awareness-Kurs qualifiziert niemanden automatisch für Risikomanagement, Administration, sichere Entwicklung oder Interne Audits.

Wir haben sämtliche Zertifikate eingesammelt

Zertifikate können gute Nachweise sein. Ohne Bezug zu Aufgabe und benötigter Kompetenz bleiben sie jedoch eine Sammlung. Außerdem sagt eine Teilnahmebescheinigung häufig wenig über die Wirksamkeit aus.

Die Leute machen das schon seit Jahren

Erfahrung ist ausdrücklich ein möglicher Kompetenznachweis. Sie sollte aber nachvollziehbar zur aktuellen Aufgabe passen. Zehn Jahre Erfahrung mit einem anderen System oder einer früheren Rolle beantworten nicht automatisch jede Kompetenzfrage.

Für jede Rolle steht nur „Schulung erforderlich“

Eine Schulung ist eine mögliche Maßnahme, aber keine Kompetenzbeschreibung. Zuerst muss klar sein, was die Person anschließend können soll.

Die Wirksamkeit wird nie geprüft

Das Unternehmen schickt Menschen in Kurse und legt Teilnahmebescheinigungen ab. Ob die Kompetenzlücke geschlossen wurde, interessiert anschließend niemanden. Genau dieser Schritt ist in Abschnitt 7.2 ausdrücklich vorgesehen.

Externe werden vergessen

Auch Personen außerhalb der eigenen Belegschaft können unter Aufsicht des Unternehmens sicherheitsrelevante Tätigkeiten ausführen. Die Beauftragung eines Dienstleisters beseitigt die Kompetenzfrage nicht – sie verändert nur, wie sie beantwortet wird.

Ein pragmatischer Weg zur Umsetzung

1. Listen Sie die Rollen und Tätigkeiten auf, die Ihre Informationssicherheitsleistung beeinflussen.
2. Beschreiben Sie pro Rolle wenige konkrete benötigte Kompetenzen.
3. Ordnen Sie Personen oder externe Leistungserbringer zu.
4. Bewerten Sie vorhandene Ausbildung, Schulung und Erfahrung.
5. Identifizieren Sie echte Lücken statt vorsorglich alle in dieselbe Schulung zu schicken.
6. Legen Sie passende Maßnahmen, Verantwortliche und Termine fest.
7. Definieren Sie vorher, wie die Wirksamkeit bewertet wird.
8. Bewahren Sie geeignete Nachweise auf und aktualisieren Sie die Übersicht bei relevanten Änderungen.

Das passt gut zu einem rollenbasierten ISMS. Wer Verantwortung sauber verteilt, kann anschließend gezielt dafür sorgen, dass die jeweiligen Personen ihre Aufgaben auch beherrschen.

Interesse geweckt?

Sie möchten die Anforderungen aus Abschnitt 7.2 erfüllen, ohne eine akademische Kompetenzverwaltung aufzubauen? Wir helfen Ihnen dabei, sicherheitsrelevante Rollen zu identifizieren, benötigte Kompetenzen pragmatisch zu beschreiben und vorhandene Nachweise sinnvoll zu nutzen.

Das Ziel ist keine möglichst große Schulungsliste. Das Ziel ist, dass die richtigen Personen ihre Aufgaben beherrschen – und dass Ihr Unternehmen das nachvollziehbar zeigen kann.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.