„Kann man das nicht einfach outsourcen?“

Es war eigentlich egal, welches Arbeitspaket wir gerade besprachen. Die Antwort des Geschäftsführers war zuverlässig dieselbe.

Risikomanagement? „Puh, das ist aber arbeitsintensiv. Kann man das nicht gleich komplett outsourcen? Andere Unternehmen haben doch auch Risiken! Da muss es doch was von der Stange geben!“

Lieferantenmanagement? „Wir sollen jetzt erst einmal alle Lieferanten zusammensuchen? Das ist ja krank viel Arbeit. Da gibt es doch bestimmt Standardlösungen, die man einfach lizensieren kann.“

Business Continuity Management? „Dafür habe ich neulich ein günstiges SaaS-Tool gesehen, das wir abonnieren können. Dann haben wir das doch.“

Der Reflex war vollkommen konsistent: Sobald das Unternehmen etwas verstehen, zusammentragen, bewerten oder entscheiden sollte, wurde nach dem Kaufknopf gesucht. Irgendwo musste es doch ein Produkt geben, das man bezahlt und das anschließend selbstständig das Unternehmen kennt, seine Prioritäten versteht, seine Risiken akzeptiert und im Notfall weiß, was zuerst wieder laufen muss.

Ja, man kann das alles outsourcen. Die bewährte Methode heißt: Verkaufen Sie Ihr Unternehmen und kaufen Sie anschließend vom Erlös Anteile ohne Stimmrecht. Dann können Sie auf Wertsteigerung hoffen, ohne selbst etwas entscheiden zu müssen.

Solange es aber Ihr Unternehmen ist, bleibt Führung Arbeit. Das gilt auch bei ISO 27001.

Die kurze Antwort: Arbeit lässt sich auslagern, Unternehmensverantwortung nicht

Sie können einen Berater beauftragen. Sie können einen externen Informationssicherheitsbeauftragten einsetzen. Sie können ein GRC-Tool kaufen, Workshops moderieren lassen, Lieferantennachweise recherchieren lassen und technische Sicherheitsmaßnahmen vollständig von Dienstleistern betreiben lassen.

Das kann sehr sinnvoll sein. Gute externe Unterstützung spart Zeit, bringt Erfahrung ins Projekt und verhindert, dass Ihr Unternehmen jeden Fehler selbst noch einmal erfinden muss.

Nur entsteht dadurch kein selbstfahrendes ISMS. Jemand im Unternehmen muss weiterhin sagen:

• Was ist für unser Geschäft wirklich wichtig?
• Welcher Schaden wäre für uns tragbar – und welcher nicht?
• Welche Anforderungen wollen oder müssen wir erfüllen?
• Welche Priorität hat Informationssicherheit gegenüber Zeit, Kosten und Bequemlichkeit?
• Welche Risiken akzeptieren wir?
• Wer bekommt Geld, Zeit und Befugnisse für die Umsetzung?

Ein Tool kann diese Entscheidungen dokumentieren. Ein Berater kann sie vorbereiten und erklären. Treffen muss sie die Organisation – an den entscheidenden Stellen ihre oberste Leitung.

ISO 27001 outsourcen: Was damit überhaupt gemeint sein kann

Die Frage „Kann man ISO 27001 outsourcen?“ ist nicht falsch. Sie ist nur zu ungenau. Man kann sehr unterschiedliche Dinge meinen:

• das Zertifizierungsprojekt extern steuern lassen,
• Dokumente durch Berater erstellen lassen,
• eine ISMS-Software oder ein GRC-Tool verwenden,
• den ISB extern besetzen,
• einzelne Prozesse wie Lieferantenrecherche unterstützen lassen,
• technische Maßnahmen an einen IT-Dienstleister vergeben,
• Interne Audits extern durchführen lassen.

All das ist möglich. Entscheidend ist, dass Rollen, Befugnisse und Grenzen klar sind. Der Artikel zur Auswahl geeigneter ISO 27001-Beratung zeigt, woran Sie hilfreiche Unterstützung erkennen.

Problematisch wird Outsourcing erst dann, wenn das Unternehmen externe Hilfe nicht als Verstärkung versteht, sondern als Fluchtweg vor jeder eigenen Mitwirkung.

Ein Tool ist ein Werkzeug und keine ausgelagerte Geschäftsführung

ISMS-Software kann ausgesprochen nützlich sein. Sie kann Aufgaben verteilen, Fristen überwachen, Versionen verwalten, Risiken sortieren, Lieferantenakten strukturieren und Nachweise auffindbar machen.

Sie kann aber nicht wissen, ob der Ausfall Ihres wichtigsten Kundenportals existenzbedrohend ist. Sie kennt nicht die Beziehung zur Müller GmbH, wenn niemand ihr sagt, was diese liefert. Sie entscheidet nicht, ob vier Stunden Ausfall akzeptabel sind. Und sie weiß nicht, ob eine Richtlinie zu Ihrer tatsächlichen Arbeitsweise passt.

Genau deshalb lautet die Antwort auf die Frage „Brauchen wir eine spezielle ISO 27001-Software?“ nicht automatisch Ja. Ein gutes Werkzeug reduziert Handarbeit. Es ersetzt weder Projektführung noch Verständnis noch Entscheidungen.

Ein Akkuschrauber macht das Möbelbauen schneller. Er überlegt nicht, ob Sie einen Schrank oder ein Kaninchengehege benötigen.

Beispiel 1: Risikomanagement kann man stark unterstützen lassen

Ein erfahrener Berater kann das Unternehmen kennenlernen, Interviews führen, typische Bedrohungen einbringen, Risiken formulieren, Bewertungsskalen entwickeln und die Ergebnisse strukturiert dokumentieren. Ein Tool kann Bewertungen berechnen, Maßnahmen verknüpfen und Fälligkeiten überwachen.

Das ist echte Arbeitsentlastung. Das Unternehmen muss nicht jede Zelle seiner Risikotabelle persönlich einfärben.

Was externe Unterstützung nicht entscheiden kann:

• Wie wichtig ist ein Prozess für das Geschäft?
• Welche Folgen hätte ein bestimmter Ausfall tatsächlich?
• Welche finanziellen, vertraglichen oder reputativen Schäden wären zu erwarten?
• Wie viel Risiko ist die Geschäftsführung bereit zu tragen?
• Welche Risikobehandlung bekommt Geld und Priorität?

Beim ISO 27001 Risikomanagement kann ein Berater sehr viel vorbereiten. Die Risikoakzeptanz bleibt trotzdem eine Unternehmensentscheidung. Sonst würde der Berater mit fremdem Unternehmen und fremdem Geld wetten.

Beispiel 2: Lieferantenmanagement lässt sich vorbereiten, aber nicht erraten

Ja, ein Dienstleister kann Verträge sichten, Zertifikate recherchieren, Fragebögen verschicken, Lieferanteninformationen aufbereiten und Bewertungen nach einer vereinbarten Methode durchführen. Ein Tool kann daraus einen sauberen Lebenszyklus mit Verantwortlichen und Prüfterminen machen. Das Supplier Management lässt sich beispielsweise in Jira organisieren.

Aber zuerst muss das Unternehmen sagen, welche Lieferanten es überhaupt hat. Und vor allem:

• Was liefert dieser Anbieter?
• Welche Informationen bekommt er?
• Welche Systeme darf er erreichen?
• Welcher Schaden entsteht, wenn er ausfällt oder sich unsicher verhält?
• Wie abhängig ist das Unternehmen von ihm?

Ein externer Bewerter kann nicht hellsehen, dass die unscheinbare Müller GmbH das einzige Ersatzteil für Ihre Produktionsanlage liefert. Wenn Sie nur einen Namen und eine Rechnungsadresse übergeben, kann er zwar eine hübsche Lieferantenakte anlegen. Er kann aber nicht die Bedeutung erfinden, die dieser Lieferant für Ihr Geschäft hat.

Beispiel 3: BCM-Software schreibt keinen sinnvollen Notfallplan

BCM-Tools können Abhängigkeiten abbilden, Wiederanlaufpläne versionieren, Kontakte verwalten, Übungen terminieren und im Notfall Informationen bereitstellen. Das ist hilfreich – besonders dann, wenn mehrere Standorte, Systeme und Teams koordiniert werden müssen.

Aber auch das beste SaaS-Tool wacht nicht eines Morgens auf und weiß:

• welcher Geschäftsprozess zuerst wieder laufen muss,
• wie lange Kunden einen Ausfall tolerieren,
• welche Mindestbesetzung benötigt wird,
• welche Übergangslösung praktisch funktioniert,
• welches Budget für Vorsorge vertretbar ist.

Ein Berater kann das Business Continuity Management sauber herleiten und Workshops moderieren. Die Ausfalltoleranz und die geschäftlichen Prioritäten muss das Unternehmen festlegen. Andernfalls entsteht ein sehr ordentlich gepflegter Plan für das falsche Problem.

Was Sie guten Gewissens einkaufen können

Der Artikel ist kein Plädoyer dafür, alles selbst und möglichst mühsam zu machen. Das wäre genauso unsinnig wie der Wunsch, alles wegzukaufen.

Externe Unterstützung kann unter anderem übernehmen:

• Projektplanung und methodische Steuerung,
• Erklärung und Übersetzung der Normanforderungen,
• Vorbereitung und Moderation von Workshops,
• Erstellung und Anpassung von Dokumenten,
• strukturierte Interviews und Datenerhebung,
• Risikoformulierung und Bewertungsvorschläge,
• Recherche und Aufbereitung von Lieferantennachweisen,
• Einrichtung und Betrieb geeigneter Tools,
• technische Sicherheitsmaßnahmen,
• Interne Audits und Auditvorbereitung,
• laufende ISB-Unterstützung.

Gute Beratung sorgt sogar dafür, dass die verbleibenden Unternehmensentscheidungen klarer, kleiner und schneller werden. Sie legt nicht einfach 200 offene Fragen auf den Tisch, sondern bereitet Optionen und Konsequenzen so auf, dass die zuständigen Personen entscheiden können.

Was bei der Geschäftsführung bleibt

Abschnitt 5.1 der ISO 27001 verlangt Führung und Verpflichtung der obersten Leitung. Die Norm zählt dabei konkrete Aufgaben auf: Sie muss unter anderem dafür sorgen, dass Politik und Ziele zur strategischen Richtung passen, Anforderungen in Geschäftsprozesse integriert werden, benötigte Ressourcen verfügbar sind und das ISMS seine beabsichtigten Ergebnisse erreicht.

Das bedeutet nicht, dass Geschäftsführer persönlich die Risikotabelle pflegen oder Lieferantenzertifikate herunterladen müssen. Operative Aufgaben sind delegierbar.

Nicht delegierbar ist die Rolle der obersten Leitung als Führung des Systems. Sie muss Richtung, Priorität, Ressourcen und Entscheidungsfähigkeit sicherstellen. Auch klar zugewiesene Rollen und Befugnisse entstehen nicht durch bloßes Hoffen.

Besonders sichtbar wird das in der Managementbewertung. Berichte können vorbereitet werden. Die Bewertung und die daraus folgenden Leitungsentscheidungen müssen aber von der Leitung getragen werden.

Die Grenze guter Beratung

Ein guter Berater nimmt Ihnen so viel Arbeit wie sinnvoll ab. Er verhindert aber, dass Sie Ihr eigenes Unternehmen nur noch als lästige Datenquelle für sein Managementsystem behandeln.

Wenn er fragt, welche Folgen der Ausfall Ihres Kerngeschäfts hätte, ist „Sagen Sie uns das, Sie sind doch der Berater“ keine brauchbare Antwort. Er kann Konsequenzen strukturieren und Erfahrungen einbringen. Er führt Ihr Unternehmen aber nicht.

Genau deshalb ist es im Audit wichtig, dass das ISMS als System des Unternehmens erkennbar ist. Die entscheidenden Antworten sollten von den internen Verantwortlichen kommen – nicht ausschließlich vom Berater.

Was will der Auditor sehen?

Ein Auditor hat kein Problem damit, dass Sie Tools verwenden oder Aufgaben extern vergeben. Im Gegenteil: Professionelle Unterstützung kann ein Zeichen sinnvoller Ressourcenplanung sein.

Er wird aber prüfen, ob das Unternehmen sein ISMS selbst beherrscht:

• Kann die Geschäftsführung die wesentlichen Risiken und Prioritäten erklären?
• Ist klar, wer welche Entscheidungen trifft?
• Verstehen Verantwortliche ihre Prozesse und Regelungen?
• Kann das Unternehmen begründen, warum Risiken akzeptiert oder Maßnahmen priorisiert wurden?
• Werden externe Leistungen wirksam gesteuert?
• Kann das ISMS auch dann funktionieren, wenn der Berater gerade nicht im Raum sitzt?

Wenn bei jeder Frage jemand nach dem externen Ansprechpartner ruft, entsteht nicht der Eindruck besonders effizienten Outsourcings. Es entsteht der Eindruck, dass das Unternehmen sein Managementsystem nicht besitzt.

Ein einfacher Test für jede Outsourcing-Idee

Bevor Sie das nächste Tool abonnieren oder eine Aufgabe extern vergeben, stellen Sie drei Fragen:

1. Welche Arbeit soll konkret abgenommen werden?
2. Welche Informationen und Entscheidungen muss unser Unternehmen trotzdem liefern?
3. Wer bleibt intern dafür verantwortlich, dass das Ergebnis passt und genutzt wird?

Wenn Sie darauf klare Antworten haben, kann Outsourcing großartig funktionieren. Wenn die eigentliche Erwartung lautet „Wir bezahlen jemanden, damit wir uns nie wieder damit beschäftigen müssen“, sind Sie gedanklich schon beim Unternehmensverkauf.

Interesse geweckt?

ISO 27001 muss nicht als heroisches Selbermacherprojekt betrieben werden. Kaufen Sie Erfahrung ein. Nutzen Sie gute Werkzeuge. Lagern Sie Tätigkeiten aus, die andere besser oder effizienter erledigen können.

Aber behalten Sie das Steuerrad. Denn ein Tool kann Arbeit automatisieren. Ein Berater kann Arbeit übernehmen. Keiner von beiden kann für die Geschäftsführung entscheiden, welches Unternehmen sie eigentlich führen will.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.