ISO 27001: Wer muss mitmachen?

Viele Unternehmen starten mit ISO 27001 in derselben Denkfalle:

Wir kaufen Vorlagen, holen einen Berater dazu, benennen intern eine Person - und dann läuft das.

Genau so läuft es meistens nicht.

Ein ISMS nach ISO 27001 ist kein Einzelkämpferprojekt. Es lebt davon, dass mehrere Rollen im Unternehmen mitwirken: Führung, Fachbereiche, IT, Verantwortliche für Prozesse und am Ende auch die Mitarbeiter, die nach den Regeln arbeiten sollen. ISO 27001 ist ausdrücklich als Managementsystem für das Einführen, Umsetzen, Aufrechterhalten und fortlaufende Verbessern von Informationssicherheit angelegt und verfolgt dabei einen ganzheitlichen Ansatz über Menschen, Regeln und Technik.

Die kurze Antwort

Wenn Du es auf den Punkt bringen willst:

Ja, bei ISO 27001 müssen mehrere Leute mitmachen. Nicht jeder muss ständig in jedem Termin sitzen. Aber ohne echte Mitarbeit aus dem Unternehmen wird aus dem Projekt schnell ein Papiersystem.

Typischerweise brauchen Sie mindestens:

• Rückendeckung und Entscheidungen aus der Geschäftsführung,
• Fachwissen aus den betroffenen Bereichen,
• technische und organisatorische Umsetzung,
• klare Zuständigkeiten,
• und Mitarbeiter, die die Regeln später tatsächlich leben. ISO 27001 verlangt dafür Führung, passende Ressourcen, Kompetenz, Awareness und klar delegierte Rollen und Verantwortlichkeiten.

Warum ein Dokumentensatz oder ein Berater allein nicht reicht

Der alte Artikel trifft hier den richtigen Nerv: Vorlagen und Beratung können helfen, aber sie ersetzen nicht die Mitarbeit des Unternehmens. Ein Dokumentensatz weiß nicht, welche Informationen bei Ihnen wirklich kritisch sind, welche Prozesse im Alltag tragen, wo Ihre echten Risiken liegen oder welche Regeln für Ihre Kultur praktikabel sind. Und ein Berater kann das nur dann sinnvoll übersetzen, wenn das Unternehmen selbst Zeit, Kontext und Entscheidungen einbringt. Genau deshalb entsteht Informationssicherheit selten gut „von der Stange“.

Wer bei ISO 27001 wirklich mitmachen muss

1. Die Geschäftsführung

Ohne Führung von oben wird ISO 27001 schnell zum Nebenbei-Projekt.

Die Geschäftsführung muss nicht jede Richtlinie selbst schreiben. Aber sie muss das Thema tragen, Priorität geben, Entscheidungen treffen und sichtbar dahinterstehen. Genau dort liegt der Unterschied zwischen „wir haben da mal was gestartet“ und einem ISMS, das wirklich ernst genommen wird. Führung von oben und die Ausrichtung an strategischer Richtung und Scope gehören zum Kern des Standards.

2. Die Person oder das Team, das das ISMS koordiniert

Jemand muss die Fäden zusammenhalten.

Diese Rolle heißt je nach Unternehmen anders:

Informationssicherheitsbeauftragter, ISMS-Verantwortlicher, Projektleiter oder ähnlich. Wichtig ist nicht der Titel, sondern die Funktion: Koordination, Nachhalten, Strukturieren, Vorbereiten, Eskalieren. Die Rollen und Verantwortlichkeiten müssen so zugewiesen sein, dass das ISMS normkonform betrieben und seine Leistung an die Leitung berichtet werden kann.

Eine sehr wichtige Rolle - zu dieser Rolle haben wir noch einen Spezialartikel.

3. Die IT oder technische Verantwortliche

Sobald es um Zugriffe, Systeme, Backups, Endgeräte, Schwachstellen, Logging, Netzwerke, Cloud-Dienste oder Adminrechte geht, braucht es Leute, die die technische Realität kennen.

Diese Mitarbeit ist nicht optional. Denn viele Sicherheitsentscheidungen klingen nur auf Papier einfach. In der Praxis müssen sie zu Eurer Infrastruktur, Euren Tools und Euren Betriebsabläufen passen. Ein ISMS ohne technische Erdung wird schnell theoretisch.

4. Fachbereiche und Prozessverantwortliche

Informationssicherheit ist nicht nur IT.

Fachbereiche wissen oft am besten,

• welche Informationen wirklich kritisch sind;
• welche Prozesse nicht ausfallen dürfen;
• welche Abhängigkeiten es gibt;
• und wo im Alltag tatsächlich Risiken entstehen.

Wer diese Perspektive nicht einholt, baut schnell ein ISMS, das technisch vielleicht ordentlich aussieht, aber am Geschäft vorbeigeht. Die Norm ist ausdrücklich so gedacht, dass Sicherheitsmanagement an Ziele, Prozesse, Größe und Struktur der Organisation angepasst wird.

5. Personal, Einkauf, Legal und ähnliche Querschnittsrollen

Nicht jedes Unternehmen braucht alle Rollen gleich stark eingebunden. Aber je nach Aufbau werden weitere Bereiche wichtig:

• HR bei Onboarding, Offboarding, Awareness und Rollen,
• Einkauf oder Vendor Management bei Lieferanten,
• Legal bei Verträgen und Anforderungen,
• Datenschutz bei Überschneidungen mit personenbezogenen Daten.

Diese Rollen müssen nicht das Projekt führen. Aber sie sollten dort eingebunden sein, wo ihre Themen sicherheitsrelevant werden. Das ist genau der Unterschied zwischen einem schlanken System und einem blinden Fleck.

6. Die Mitarbeiter insgesamt

Auch die Mitarbeiter „machen mit“, nur eben anders.

Sie müssen nicht alle das ISMS designen. Aber sie müssen die Regeln kennen, ihren Beitrag verstehen und im Alltag danach arbeiten. Genau das gehört zu den Anforderungen an Awareness: Personen unter Kontrolle der Organisation sollen die Informationssicherheitspolitik kennen, verstehen, wie sie zur Wirksamkeit beitragen, und wissen, was die Folgen von Nichtbeachtung sind.

Der häufigste Denkfehler

Der häufigste Denkfehler lautet: Wir benennen intern eine Person, dann ist das Thema organisiert.

Das reicht nicht.

Eine einzelne Person kann koordinieren. Sie kann Dinge vorbereiten, priorisieren und treiben. Aber sie kann nicht allein die Risiken kennen, die Prozesse definieren, die Geschäftsleitung ersetzen, die Technik umsetzen und die Belegschaft mitnehmen. Genau deshalb ist ISO 27001 kein Heldengeschichten-Thema, sondern ein Teamthema mit klaren Verantwortlichkeiten.

Was passiert, wenn zu wenige Leute mitmachen

Dann sieht das Projekt oft so aus:

• schöne Dokumente;
• schwache Verankerung;
• wenig echte Entscheidungen;
• technische Regeln ohne Alltagstauglichkeit;
• und Mitarbeiter, die das Ganze als Fremdkörper erleben.

Im Audit fällt das meist schnell auf. Nicht immer, weil ein einzelnes Dokument fehlt, sondern weil das System nicht wie ein gelebtes Managementsystem wirkt. Wenn Rollen, Ressourcen, Awareness und Zusammenarbeit fehlen, bleibt das ISMS theoretisch.

Was Auditoren hier sehen wollen

Ein Auditor will nicht sehen, dass „alle mal irgendwie dabei waren“. Er will erkennen, dass die richtigen Rollen eingebunden sind und dass Verantwortlichkeiten funktionieren.

Überzeugend ist zum Beispiel:

• klare Zuweisung von Rollen und Zuständigkeiten;
• sichtbare Führung durch das Management;
• Mitarbeit der relevanten Bereiche bei Risiken und Maßnahmen;
• Awareness bei den Mitarbeitern;
• und ein ISMS, das nicht nur vom Berater oder einer Einzelperson getragen wird. Genau diese Punkte tauchen auch als typische Auditfragen zu Rollen und Verantwortlichkeiten auf.

Wie man Mitarbeit sinnvoll organisiert

„Mitmachen“ heißt nicht, dass plötzlich das ganze Unternehmen in jedem Workshop sitzen muss.

Der bessere Weg ist:

• die richtigen Personen für die richtigen Themen holen;
• Rollen klar schneiden;
• Entscheidungstermine schlank halten;
• Fachwissen punktuell abholen;
• und nicht jeden unnötig in alles ziehen.

Ein gutes ISO 27001-Projekt ist also nicht chaotisches Gruppenkuscheln, sondern strukturierte Mitarbeit dort, wo sie wirklich gebraucht wird. Das passt auch besser zur Normlogik: klare Rollen statt diffuse Beteiligung.

Nicht jeder muss alles tun

Die Beteiligung am ISMS lässt sich besser nach Aufgaben als nach Abteilungen planen. Die Geschäftsführung entscheidet Richtung, Prioritäten und Ressourcen. Prozessverantwortliche erklären Abläufe und Schutzinteressen. IT und andere Fachrollen gestalten Maßnahmen. Mitarbeiter wenden Regeln an und melden Probleme. Das koordinierende ISMS-Team hält die Fäden zusammen.

Eine klare Rollen- und Verantwortlichkeitsbeschreibung verhindert zwei Extreme: Entweder landet jede Frage beim ISB, oder alle fühlen sich irgendwie gemeinsam zuständig und am Ende niemand konkret.

Für jedes größere Arbeitspaket reichen häufig vier Angaben:

• Wer entscheidet?
• Wer setzt um?
• Wer liefert Fachwissen oder wird konsultiert?
• Wer muss über das Ergebnis informiert werden?

Das kann als einfache Verantwortlichkeitsmatrix abgebildet werden. Entscheidend ist nicht die Abkürzung auf der Tabelle, sondern dass die Beteiligten ihre Rolle kennen und die zugewiesene Verantwortung praktisch wahrnehmen können.

Der ISB hält zusammen, aber besitzt nicht das ganze Unternehmen

Ein Informationssicherheitsbeauftragter kann Management Review, Risikomanagement, Maßnahmenverfolgung, interne Audits und Berichte koordinieren. Er ist deshalb eine wichtige Drehscheibe. ISO 27001 schreibt diese konkrete Stellenbezeichnung jedoch nicht zwingend vor.

Der ausführliche Artikel über Aufgaben und Stellung des ISB zeigt, welche Gestaltung sich in der Praxis bewährt. Der ISB kann Informationen anfordern, Termine organisieren und auf Lücken hinweisen. Er kann nicht allein entscheiden, wie kritisch ein Kundenprozess ist, welches Lieferantenrisiko der Einkauf trägt oder welche Ressourcen die Geschäftsführung bereitstellt.

Wenn im Workshop auf jede Frage „Das muss der ISB wissen“ folgt, ist das kein Zeichen für einen besonders starken ISB. Es ist ein Zeichen dafür, dass das restliche Unternehmen sein ISMS noch nicht besitzt.

Fachbereiche liefern den Inhalt, Berater die Methode

Ein externer Berater kennt ISO 27001 und viele typische Lösungen. Er kennt nicht automatisch die Müller GmbH in Ihrer Lieferkette, die Sonderfreigaben des Vertriebs oder den Prozess, der freitagabends noch manuell auf einem Notebook läuft.

Das Unternehmen muss deshalb die Tragweite seines eigenen Inputs verantworten. Bei Lieferantenfragen erklärt der Fachbereich, was geliefert wird und was bei Fehler, Ausfall oder Missbrauch passieren kann. Beim Risikomanagement benennt er Auswirkungen. Bei Richtlinien prüft er, ob Verantwortlichkeiten zur tatsächlichen Organisation passen.

Gute Beratung erkennt man daran, dass sie diese Entscheidungen nicht heimlich übernimmt, sondern strukturiert vorbereitet. Der Artikel zur Auswahl einer ISO 27001-Beratung hilft bei der Einordnung.

Kompetenz bedeutet nicht, die Norm auswendig aufzusagen

Menschen brauchen die Kompetenz für ihre konkrete ISMS-Aufgabe. Ein Administrator muss technische Vorgaben anwenden und Nachweise liefern können. Ein interner Auditor muss Anforderungen, Auditmethoden und Unparteilichkeit verstehen. Eine Führungskraft muss Risiken und Ressourcenentscheidungen einordnen können.

Der Beitrag über Kompetenz nach Abschnitt 7.2 erklärt, wie Anforderungen, Qualifikation und Nachweise zusammenpassen. Nicht jeder Mitarbeiter benötigt einen mehrtägigen Normkurs. Jeder Betroffene sollte aber wissen, was für seine Arbeit sicherheitsrelevant ist und wo er Unterstützung bekommt.

So bleibt die Beteiligung schlank

Ein gutes Projekt holt Menschen gezielt statt dauerhaft in große Runden:

1. Planen Sie ein kleines, arbeitsfähiges Kernteam.
2. Benennen Sie Fachverantwortliche für Prozesse und Querschnittsthemen.
3. Laden Sie Spezialisten nur zu den Entscheidungen ein, für die ihr Wissen gebraucht wird.
4. Kommunizieren Sie beschlossene Regeln zielgruppengerecht.
5. Prüfen Sie anhand echter Fälle, ob die Beteiligung funktioniert.

Das ISO 27001-Projektteam muss deshalb nicht das Organigramm im Miniaturformat sein. Es braucht Zugang zu den richtigen Menschen und einen verlässlichen Weg zur Geschäftsführung.

Beteiligung verändert sich im Projektverlauf

Zu Beginn werden Geschäftsführung, Projektleitung und wesentliche Prozessverantwortliche gebraucht, um Ziel, Scope und Rahmen zu entscheiden. Beim Risikomanagement rücken Fachbereiche, IT und Dienstleister in den Vordergrund. Für Richtlinien und Maßnahmen kommen Personal, Einkauf, Recht oder Facility Management punktuell hinzu. Vor dem Audit müssen Mitarbeiter und Führungskräfte ihre eigenen Abläufe erklären können.

Planen Sie diese Beteiligung früh. Wer erst zwei Wochen vor dem Audit feststellt, dass der Einkauf Lieferanten nie nach Sicherheitsanforderungen ausgewählt hat, kann fehlende Praxis nicht durch einen zusätzlichen Workshop ersetzen.

Was die Geschäftsführung nicht delegieren kann

Die Leitung kann Koordination und Facharbeit übertragen. Sie bleibt für Führung, Integration in Geschäftsprozesse, Ressourcen und Wirksamkeit verantwortlich. Der Artikel über ISO 27001 und die Geschäftsführung bringt es mit einem eingängigen Bild auf den Punkt: Die Treppe wird von oben gefegt.

Wenn die Geschäftsführung das ISMS öffentlich als lästigen Dokumentationskram behandelt, richten sich Mitarbeiter daran aus. Jeder hat mehr Arbeit als Zeit. Liegen zwei Aufgaben auf dem Tisch, bleibt erstaunlich zuverlässig diejenige liegen, die von oben sichtbar für unwichtig gehalten wird.

Auditorfragen dürfen nicht dauerhaft weitergereicht werden

Im Zertifizierungsaudit kann ein Berater unterstützen und Zusammenhänge erklären. Das Unternehmen muss sein ISMS trotzdem selbst beherrschen. Wird jede Frage mit „Antworten Sie mal, Sie haben uns doch beraten“ weitergereicht, wird der Auditor irgendwann das Unternehmen allein antworten lassen.

Das ist keine Schikane. Das Zertifikat bescheinigt das Managementsystem des Unternehmens, nicht die Schlagfertigkeit seines Beraters. Beteiligung während des Projekts ist deshalb auch Vorbereitung auf Eigenständigkeit.

Genau diese Eigenständigkeit macht das ISMS dauerhaft tragfähig.

Interesse geweckt?

Wenn Ihr Projekt zwischen „Das macht der ISB“ und einem wöchentlichen Meeting mit dem gesamten Unternehmen pendelt, Sprechen Sie mit uns. Wir helfen, Beteiligung und Verantwortung so zu schneiden, dass Arbeit tatsächlich erledigt wird.