Kontinuierliche Verbesserung nach ISO 27001: Raus aus dem Maßnahmenfriedhof

Im Überwachungsaudit kommt irgendwann eine Frage, die erstaunlich harmlos klingt:

„Zeigen Sie mir doch bitte einmal, was Sie seit meinem letzten Besuch verbessert haben. Welche Nichtkonformitäten gab es und was ist daraus geworden? Welche Empfehlungen haben Sie erhalten und wie haben Sie damit verfahren? Und was wollten Sie selbst verändern oder verbessern?“

Dann öffnet jemand die Maßnahmenliste. 74 Zeilen. Rot, gelb, noch röter. Manche Maßnahmen sind seit 18 Monaten „in Bearbeitung“. Bei anderen wurde das Zieldatum bereits dreimal durch ein neues Zieldatum ersetzt. Verantwortlich ist fast überall dieselbe Person, die außerdem Informationssicherheitsbeauftragter, Datenschutzbeauftragter, IT-Leiter, Brandschutzhelfer und vermutlich Hausmeister ist.

Willkommen auf dem Maßnahmenfriedhof.

Die Liste ist vollständig. Sie ist ordentlich formatiert. Sie dokumentiert nur leider keine Verbesserung, sondern hauptsächlich, dass seit Monaten nichts fertig wird.

Die kurze Antwort

ISO 27001 verlangt in Abschnitt 10.1, dass das Unternehmen die Eignung, Angemessenheit und Wirksamkeit seines Informationssicherheitsmanagementsystems fortlaufend verbessert.

Das bedeutet nicht, dass jeden Dienstag eine neue Richtlinie erfunden werden muss. Es bedeutet auch nicht, dass das ISMS niemals einen ruhigen Monat haben darf. Verbesserungen sollen über die Zeit immer wieder stattfinden. Zwischen ihnen dürfen durchaus Phasen liegen, in denen das Unternehmen einfach vernünftig arbeitet.

Damit aus einer erkannten Verbesserungsmöglichkeit aber eine wirkliche Verbesserung wird, braucht es mehr als eine Zeile in Excel oder ein Ticket in Jira. Es braucht eine Entscheidung, eine verantwortliche Person, Zeit, gegebenenfalls Budget und einen sinnvollen Abschlussnachweis.

Genau deshalb gehört zu Abschnitt 10.1 immer auch Abschnitt 7.1: Das Unternehmen muss die Ressourcen bestimmen und bereitstellen, die es für Aufbau, Betrieb, Aufrechterhaltung und fortlaufende Verbesserung des ISMS benötigt.

Wer 38 Maßnahmen beschließt und für keine davon Zeit bereitstellt, verbessert sein ISMS nicht. Er bestellt Verbesserung, liefert aber keine Zutaten.

Was bedeutet kontinuierliche Verbesserung nach ISO 27001?

Im deutschsprachigen Normtext ist von fortlaufender Verbesserung die Rede. Gesucht und im Alltag gesagt wird häufig kontinuierliche Verbesserung. Gemeint ist nicht pausenlose Veränderung, sondern eine wiederkehrende Entwicklung über einen längeren Zeitraum.

Verbessert werden sollen drei Eigenschaften des ISMS:

Eignung: Passt das ISMS noch zum Unternehmen?

Ein ISMS kann einmal hervorragend gepasst haben und zwei Jahre später am Unternehmen vorbeiarbeiten. Vielleicht wurden neue Dienstleistungen eingeführt, Standorte geschlossen, Cloud-Dienste eingekauft oder ganze Abteilungen umgebaut.

Eignung bedeutet praktisch: Behandelt das ISMS noch die richtigen Themen für dieses Unternehmen, seinen Anwendungsbereich und seine Anforderungen?

Angemessenheit: Ist die Ausgestaltung ausreichend und verhältnismäßig?

Eine Sicherheitsmaßnahme kann grundsätzlich zum Risiko passen und trotzdem zu schwach, zu kompliziert oder völlig überdimensioniert sein.

Wenn ein Unternehmen für die Freigabe jedes neuen Benutzerkontos drei Geschäftsführer benötigt, hat es vielleicht eine sehr feierliche Regel – aber keine besonders angemessene. Umgekehrt ist „Wir schauen da gelegentlich mal drauf“ für privilegierte Zugriffsrechte vermutlich etwas dünn.

Wirksamkeit: Erreichen wir damit das geplante Ergebnis?

Wirksamkeit ist die unangenehmste der drei Fragen, weil sie sich nicht mit einem hübschen Dokument beantworten lässt.

Ein Unternehmen kann eine Richtlinie, einen Prozess und eine Maßnahmenliste haben. Wenn ausgeschiedene Mitarbeiter trotzdem aktive Zugänge behalten, funktioniert das System an dieser Stelle nicht. Unser Artikel über IT-Sicherheitsleistung ohne KPI-Theater zeigt, wie sich solche Ergebnisse sinnvoll beobachten lassen.

Die Verbesserungspflicht bezieht sich auf das Managementsystem. Natürlich können daraus bessere technische oder organisatorische Schutzmaßnahmen entstehen. Die Norm verlangt aber nicht, dass jede einzelne Sicherheitskennzahl in jedem Jahr zwangsläufig steigt. Entscheidend ist, dass das ISMS besser darin wird, relevante Risiken und Anforderungen zu erkennen, zu steuern und wirksam zu behandeln.

Woher kommen Verbesserungsmöglichkeiten?

Unternehmen müssen nicht jeden Januar einen Workshop veranstalten und verzweifelt nach völlig neuen Ideen suchen. Verbesserungsmöglichkeiten entstehen im laufenden ISMS an vielen Stellen.

Aus Nichtkonformitäten

Eine Anforderung wurde nicht erfüllt. Das kann im Internen Audit, im Zertifizierungsaudit oder im Tagesgeschäft auffallen. Dann greift Abschnitt 10.2: Das Unternehmen muss reagieren, die konkrete Nichtkonformität korrigieren, ihre Ursache betrachten und eine angemessene Korrekturmaßnahme umsetzen.

Warum eine Nichtkonformität keine Geschmacksfrage des Auditors ist, haben wir bereits ausführlich beschrieben.

Aus Internen und externen Audits

Ein Audit liefert nicht nur Nichtkonformitäten. Es kann auch Stellen sichtbar machen, an denen ein Prozess unnötig schwerfällig, ein Nachweis schlecht auffindbar oder eine Verantwortung unklar ist.

Genau darin liegt einer der Zwecke des Internen Audits nach ISO 27001: nicht bloß die Abwesenheit von Fehlern zu bescheinigen, sondern systematisch zu prüfen, ob das ISMS normkonform und wirksam arbeitet.

Aus Empfehlungen und Verbesserungspotenzialen

Zertifizierungsauditoren verwenden je nach Zertifizierungsstelle Begriffe wie Hinweis, Beobachtung oder Opportunity for Improvement. Im Alltag wird häufig einfach von einer Empfehlung gesprochen.

Eine solche Empfehlung ist keine Nichtkonformität. Das Unternehmen muss sie nicht gehorsam umsetzen. Es darf zu dem Ergebnis kommen: „Danke für den Hinweis. Für unser Unternehmen wäre diese Änderung nicht sinnvoll.“

Das sollte aber eine bewusste Entscheidung sein. Eine Empfehlung drei Jahre lang in einer Maßnahmenliste als „offen“ mitzuschleppen, ist keine Entscheidung. Es ist nur eine Ablage.

Aus Vorfällen, Messungen und Risiken

Sicherheitsvorfälle zeigen besonders eindrücklich, wo Theorie und Praxis auseinanderliegen. Auch Trends aus Messungen, nicht erreichte Informationssicherheitsziele oder veränderte Risiken liefern sinnvolle Verbesserungsimpulse.

Die entscheidende Frage lautet nicht nur: „Ist etwas Schlimmes passiert?“ Sie lautet auch: „Was lernen wir daraus für unser System?“

Aus der Managementbewertung

In der Managementbewertung nach ISO 27001 laufen Auditresultate, Messungen, Zielerreichung, Risiken, frühere Maßnahmen und Veränderungen zusammen. Die Geschäftsführung soll daraus Entscheidungen über Verbesserungsmöglichkeiten und notwendige Änderungen am ISMS ableiten.

Eine Managementbewertung, die jedes Jahr dieselben überfälligen Maßnahmen vorliest und anschließend wieder vertagt, hat immerhin eine bemerkenswerte Tradition entwickelt. Gute Steuerung ist es nicht.

Aus dem normalen Arbeitsalltag

Oft kommen die besten Verbesserungen von den Menschen, die täglich mit einem Prozess arbeiten. Sie wissen, welche Freigabe doppelt erfasst wird, welche Checkliste niemand versteht und an welcher Stelle Aufgaben zuverlässig verlorengehen.

Fortlaufende Verbesserung ist daher kein exklusiver Denksport für ISB und Auditoren. Ein funktionierendes ISMS nimmt Beobachtungen aus dem Unternehmen auf und kann daraus Entscheidungen machen.

Korrektur, Korrekturmaßnahme und Verbesserung: nicht dasselbe

Diese Begriffe werden gerne in einen Topf geworfen. Für die Maßnahmensteuerung ist die Unterscheidung nützlich.

Korrektur

Die Korrektur beseitigt das unmittelbar festgestellte Problem. Ein ausgeschiedener Mitarbeiter besitzt noch einen aktiven Zugang. Die Korrektur lautet: Zugang sperren.

Korrekturmaßnahme

Die Korrekturmaßnahme setzt an der Ursache an und soll verhindern, dass eine vergleichbare Nichtkonformität erneut auftritt. Vielleicht wird der Offboarding-Prozess geändert, eine Verantwortung eindeutig festgelegt oder ein verbindlicher Workflow eingeführt.

Was nach einer Feststellung praktisch geschieht, erläutern wir im Artikel ISO 27001-Zertifizierung nicht bestanden: Was passiert jetzt?.

Verbesserung

Eine Verbesserung braucht nicht zwingend eine vorherige Nichtkonformität. Ein funktionierender Prozess kann einfacher, robuster oder besser messbar gemacht werden, bevor er versagt.

Vielleicht wird eine manuelle Kontrollliste durch einen verlässlichen Workflow ersetzt. Vielleicht werden zwei parallele Maßnahmenlisten zusammengeführt. Vielleicht wird ein Bericht verkürzt, damit die Geschäftsführung endlich die drei entscheidungsrelevanten Punkte erkennt, bevor sie auf Seite 26 geistig aussteigt.

Nicht jede Änderung ist automatisch eine Verbesserung. Eine neue Farbe in der Excel-Tabelle verändert vor allem die Farbe in der Excel-Tabelle. Das geplante Ergebnis muss besser erreichbar werden.

Der Maßnahmenfriedhof ist meistens ein Ressourcenproblem

Maßnahmenfriedhöfe entstehen selten, weil niemand das Wort „Verbesserung“ kennt. Sie entstehen, weil viel beschlossen und wenig ermöglicht wird.

Typische Ursachen sind:

• Maßnahmen haben keine klare Priorität;
• Verantwortliche werden benannt, ohne gefragt zu werden;
• Termine werden politisch attraktiv statt realistisch gesetzt;
• dieselbe Person erhält jede Aufgabe, die irgendwie nach Sicherheit aussieht;
• notwendiges Budget wird nicht freigegeben;
• Fachabteilungen sollen mitarbeiten, bekommen dafür aber keine Zeit;
• Entscheidungen der Geschäftsführung bleiben aus;
• neue Maßnahmen kommen schneller hinzu, als alte abgeschlossen werden;
• niemand beendet Maßnahmen, die nicht mehr sinnvoll sind.

Abschnitt 7.1 verlangt nicht, dass Ressourcen in einem bestimmten Formular beantragt werden. Er verlangt aber, dass notwendige Ressourcen bestimmt und bereitgestellt werden. Dazu gehören je nach Maßnahme:

• Arbeitszeit;
• Budget;
• geeignete Personen und Kompetenzen;
• technische Werkzeuge;
• externe Unterstützung;
• Entscheidungskapazität;
• Aufmerksamkeit der Führung.

Wie stark der interne Aufwand von Arbeitsweise, Delegation und Entscheidungsfähigkeit abhängt, zeigt unser Beitrag Wie viel Eigenaufwand müssen Sie für ISO 27001 einplanen?.

Wenn die Geschäftsführung jede Maßnahme wichtig findet, aber für keine Ressourcen bereitstellt, ist in Wahrheit keine davon wichtig. Dann führt der Weg von 10.1 über 7.1 direkt zu 5.1. Unser Artikel darüber, was die Geschäftsführung bei ISO 27001 wirklich tun muss, beschreibt genau diese Führungsverantwortung.

So verhindern Sie einen Maßnahmenfriedhof

Sie brauchen dafür nicht zwangsläufig eine teure GRC-Plattform. Sie brauchen eine verbindliche Steuerung. Das kann in einem Ticketsystem, einem geeigneten Collaboration Tool oder bei kleinen Unternehmen auch in einer sauber geführten Liste funktionieren.

Für jede relevante Maßnahme sollten mindestens erkennbar sein:

• Anlass: Warum gibt es diese Maßnahme?
• Ziel: Was soll nachher besser sein?
• Verantwortung: Wer sorgt für die Umsetzung?
• Termin: Bis wann ist das realistisch zu schaffen?
• Ressourcen: Welche Zeit, welches Budget und welche Mitwirkung werden benötigt?
• Priorität: Wie wichtig ist die Maßnahme im Verhältnis zu den anderen?
• Status: Wo steht die Maßnahme? Ist sie nur vorgeschlagen, schon genehmigt, in Arbeit oder fertig?
• Nachweis: Woran erkennen wir den Abschluss?
• Wirksamkeit: Bei Korrekturmaßnahmen insbesondere: Hat die Maßnahme die Ursache wirksam behandelt?

Weniger anfangen, mehr abschließen

Eine Organisation mit zwölf sinnvoll priorisierten und abgeschlossenen Maßnahmen verbessert mehr als eine Organisation mit 140 offenen Ideen.

Neue Maßnahmen sollten deshalb nicht kostenlos in die Liste geworfen werden. Wer eine neue dringende Maßnahme beschließt, sollte auch entscheiden, welche andere Aufgabe dafür später kommt oder welche zusätzlichen Ressourcen bereitgestellt werden.

Überfälligkeit muss eine Entscheidung auslösen

Ein Termin darf sich ändern. Projekte verlaufen nicht immer wie geplant. Aber ein überfälliger Termin braucht eine Entscheidung:

• Bleibt die Maßnahme notwendig?
• Fehlen Ressourcen?
• Muss die Priorität geändert werden?
• Ist ein anderer Lösungsweg sinnvoller?

Das bloße Ersetzen des Datums ist keine Steuerung. Es ist die digitale Variante davon, den ungeöffneten Brief wieder unter den Papierstapel zu schieben.

Nicht mehr sinnvolle Maßnahmen sauber beenden

Auch „Wir setzen diese Idee nicht um“ kann eine gute Entscheidung sein. Vielleicht hat sich das Risiko verändert, ein System wurde abgeschafft oder eine andere Lösung erreicht das Ziel bereits.

Dann sollte das Unternehmen die Entscheidung begründen und die Maßnahme schließen. Ein Friedhof wird nicht lebendiger, wenn man tote Ideen aus Pietät weiter als „in Prüfung“ führt.

Was will der Auditor sehen?

Als Auditor schaue ich bei einem Folgeaudit gerne früh auf die Entwicklung seit dem letzten Besuch:

• Welche Nichtkonformitäten wurden festgestellt und wie wurden sie behandelt?
• Welche Hinweise oder Empfehlungen gab es und wie hat das Unternehmen darüber entschieden?
• Welche Verbesserungen hat das Unternehmen selbst angestoßen?
• Welche Maßnahmen wurden abgeschlossen?
• Welche blieben offen – und warum?
• Wurden notwendige Ressourcen tatsächlich bereitgestellt?
• Haben Korrekturmaßnahmen das erneute Auftreten verhindert?

Dabei erwarte ich keine Organisation, in der jede Idee umgesetzt und jeder Termin auf die Minute eingehalten wurde. Ich möchte erkennen, dass das Unternehmen sein ISMS steuert.

Kritisch wird es, wenn dieselben Punkte von Audit zu Audit weitergetragen werden, Verantwortliche nichts von ihrer Verantwortung wissen, Termine nur umdatiert werden oder die Geschäftsführung bei jedem Ressourcenproblem sagt: „Das muss irgendwie nebenbei gehen.“

Dann ist der Maßnahmenfriedhof nicht mehr nur eine unschöne Liste. Er kann ein Hinweis darauf sein, dass Verbesserung, Ressourcenbereitstellung und Führung im ISMS insgesamt nicht wirksam funktionieren.

Interesse geweckt?

Wenn Ihre Maßnahmenliste größer wird, aber Ihr ISMS nicht erkennbar besser, sollten Sie nicht als Erstes eine zusätzliche Spalte einführen.

Wir helfen Ihnen dabei, Nichtkonformitäten, Risiken, Ziele und Verbesserungen in eine gemeinsame, realistische Steuerung zu bringen. Dazu gehören klare Prioritäten, echte Verantwortlichkeiten, belastbare Termine und die unbequeme Frage, welche Ressourcen eine beschlossene Maßnahme tatsächlich benötigt.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.