„Wir machen das pragmatisch“ – warum ISO 27001 ohne Commitment scheitert

Manchmal reicht ein einziges Wort, um ein ganzes Projektmodell zu beschreiben – oder zu verschleiern.

Wir saßen in einem Erstgespräch mit einem Geschäftsführer, der einen bemerkenswert großen Anteil des Gesprächs sehr zuverlässig selbst bestritt. Irgendwann erklärte er uns:

„Wir machen das pragmatisch. Wir brauchen einfachISO halt dann, wenn wir Sie brauchen. Machen Sie uns einfach mal ein Stundenkontingent auf einem Angebot klar. Wir kommen darauf zurück, wenn wir Sie brauchen. Aber vorher machen wir das alles selbst.“

Bis hierhin könnte das ein vernünftiges Modell sein. Ein Unternehmen mit ausreichend eigener Kompetenz kauft punktuell Beratung ein. Nur ging es noch weiter:

„Im Audit hätten wir Sie aber schon gerne dabei. Weil Sie uns ja beraten haben, können Sie genau beschreiben, dass wir alles richtig gemacht haben. Und wenn wir von unserem Budget eine Stunde benötigen, hätten wir natürlich gerne, dass wir die auch zeitnah bekommen – nicht irgendwann nächste Woche.“

Eine feste Deadline für die Zertifizierung gab es nicht. Die Haltung dazu lautete sinngemäß:

„Das muss nebenbei laufen, wenn wir mal Zeit haben. Aber dafür haben wir ja dann Sie.“

Wir haben dieses Modell abgelehnt.

Nicht, weil ein Stundenkontingent grundsätzlich unsinnig wäre. Sondern weil hier unter dem Wort „pragmatisch“ etwas vollkommen anderes bestellt werden sollte: keine interne Verbindlichkeit, keine planbare Zusammenarbeit und keine eigene Verantwortung – verbunden mit der Erwartung, dass der Berater bei Bedarf augenblicklich erscheint und im Audit erklärt, weshalb trotzdem alles ganz hervorragend geworden ist.

Die kurze Antwort

Eine ISO 27001 pragmatisch umzusetzen, ist eine ausgezeichnete Idee. Sie sollten unnötige Dokumentation vermeiden, vorhandene gute Prozesse nutzen, Entscheidungen zügig treffen und die Lösung an Ihr Unternehmen anpassen.

Pragmatisch bedeutet aber nicht:

• Wir arbeiten daran, wenn zufällig einmal Zeit übrig ist.
• Es gibt keine Deadline.
• Niemand steuert das Vorhaben.
• Aufgaben dürfen beliebig lange liegen bleiben.
• Der Berater wird erst gerufen, wenn es brennt.
• Dann muss er sofort verfügbar sein.
• Und im Audit soll er die Antworten für das Unternehmen liefern.

Das ist kein Pragmatismus. Das ist ein ungeführtes Vorhaben mit extern bestellter Feuerwehr.

Wer ein Zertifikat erreichen will, sollte die Einführung deshalb als das behandeln, was sie ist: ISO 27001 ist ein Projekt. Es braucht ein Ziel, eine verantwortliche Leitung, Ressourcen, Entscheidungen und einen Termin, bis zu dem etwas fertig sein soll.

Pragmatisch ist eigentlich ein Kompliment

Wir mögen pragmatische ISO 27001-Projekte. Sehr sogar.

Pragmatisch heißt für uns:

• Wir schreiben keine Richtlinie mit 30 Seiten, wenn drei verständliche Seiten reichen.
• Wir erfinden keinen neuen Prozess, wenn ein vorhandener Prozess die Sicherheitsanforderung bereits zuverlässig erfüllt.
• Wir laden nicht zwölf Personen in einen Workshop ein, wenn drei kompetente Personen entscheiden können.
• Wir bauen keine theoretische Perfektion, die im Alltag niemand bedienen kann.
• Wir bearbeiten zuerst die Dinge, die für Zertifizierungsreife und tatsächliche Sicherheit entscheidend sind.
• Wir wählen eine Lösung, die zur Größe, Reife und Arbeitsweise des Unternehmens passt.

Pragmatismus beseitigt unnötige Arbeit. Er beseitigt nicht die notwendige Arbeit.

Genau an dieser Stelle kippt der Begriff in manchen Projekten. „Pragmatisch“ wird dann zum freundlichen Ersatzwort für „unverbindlich“, „ungeplant“ oder „erst einmal gar nicht“.

Was in der Anekdote tatsächlich bestellt werden sollte

Das gewünschte Stundenkontingent war nur die Verpackung. Inhaltlich sollten wir vier Risiken übernehmen, ohne das Projekt steuern zu dürfen.

1. Das Terminrisiko

Das Unternehmen wollte selbst entscheiden, wann es sich mit dem Thema beschäftigt. Wir sollten gleichzeitig gewährleisten, dass unsere Hilfe genau dann kurzfristig verfügbar ist.

Ein Stundenkontingent reserviert aber nicht automatisch einen Berater für jeden beliebigen Dienstag um 10 Uhr. Es kauft Beratungszeit. Wer garantierte Reaktionszeiten oder fest reservierte Kapazitäten benötigt, muss genau diese Leistung vereinbaren.

2. Das Projektrisiko

Es gab weder einen verbindlichen Endtermin noch eine regelmäßige Projektsteuerung. Damit sollte niemand dafür verantwortlich sein, dass aus den einzelnen Tätigkeiten irgendwann ein vollständiges, auditfähiges ISMS entsteht.

Der Berater sollte punktuell Fragen beantworten, aber gleichzeitig irgendwie dafür einstehen, dass das Gesamtergebnis funktioniert. Das ist ungefähr so, als würde man einen Architekten gelegentlich für eine Stunde anrufen, das Haus ansonsten selbst bauen und später erwarten, dass er bei der Bauabnahme erklärt, weshalb alles statisch korrekt ist.

3. Das Verfügbarkeitsrisiko

Das Unternehmen wollte möglichst wenig externe Zeit bezahlen, aber im Bedarfsfall bevorzugt behandelt werden. Das ist wirtschaftlich nicht darstellbar. Beratungskapazität, die jederzeit spontan bereitstehen soll, kann währenddessen nicht zuverlässig für andere Kunden geplant werden.

Oder kürzer: Eine Stunde kaufen und eine ganze Arbeitswoche vorsorglich freihalten lassen – das ist nur für eine Seite pragmatisch.

4. Das Verantwortungsrisiko

Im Zertifizierungsaudit sollte der Berater erläutern, dass das Unternehmen alles richtig gemacht habe. Nur prüft der Auditor nicht, ob der Berater die Norm verstanden hat. Er prüft das Managementsystem des Unternehmens.

Beratung kann vorbereiten, erklären und im Audit unterstützen. Das Unternehmen muss aber selbst verstehen, was es eingeführt hat, wie seine Regelungen funktionieren und weshalb wesentliche Entscheidungen getroffen wurden. Die unterschiedlichen Aufgaben von Berater und Zertifizierer sind aus gutem Grund getrennt.

Alles ohne Deadline verliert gegen alles mit Deadline

Die ISO 27001 schreibt Ihnen kein Datum vor, an dem Ihr Zertifikat an der Wand hängen muss. Eine Deadline ist keine Normforderung.

Wenn Sie aber tatsächlich zertifiziert werden wollen, ist sie eine praktische Notwendigkeit. Denn in jedem Unternehmen gibt es mehr Arbeit als verfügbare Zeit. Das Tagesgeschäft drängt. Kunden rufen an. Angebote müssen raus. Ein System fällt aus. Ein Kollege ist krank. Und irgendwo liegt noch das ISO 27001-Projekt, das bearbeitet werden soll, „wenn wir mal Zeit haben“.

Diese Zeit kommt selten.

Alles ohne Deadline verliert gegen alles mit Deadline. Nicht, weil die Menschen faul wären, sondern weil sie vernünftig priorisieren. Eine Kundenfrist am Freitag schlägt eine ISMS-Aufgabe ohne Termin fast immer.

Das erklärt auch, warum die Dauer einer ISO 27001-Zertifizierung so stark davon abhängt, ob das Projekt echte Arbeitszeit und Priorität erhält. „Nebenbei“ ist keine Geschwindigkeit. „Nebenbei“ ist eine freundliche Umschreibung für dauerhaftes Nach-hinten-Schieben.

Commitment bedeutet nicht, dass alle nur noch ISO 27001 machen

Commitment klingt schnell nach großen Reden, feierlichem Handschlag und einer Geschäftsführung, die morgens persönlich die Norm verteilt. Gemeint ist etwas viel Bodenständigeres.

Ein belastbares Commitment zeigt sich daran, dass:

• ein gewünschter Zertifizierungstermin festgelegt wird;
• eine Person die Projektleitung tatsächlich übernimmt;
• die erforderlichen internen Personen benannt werden;
• diese Personen Arbeitszeit für das Projekt bekommen;
• Aufgaben mit Verantwortlichen und Terminen versehen werden;
• regelmäßige Projekttermine stattfinden;
• offene Entscheidungen zeitnah getroffen werden;
• und die Geschäftsführung eingreift, wenn das Vorhaben im Tagesgeschäft verschwindet.

Dafür muss nicht das ganze Unternehmen monatelang alles stehen und liegen lassen. Ein sinnvolles ISO 27001-Projektteam ist weder riesig noch ständig in Vollzeit beschäftigt. Es muss aber wissen, wer wann gebraucht wird und welche Ergebnisse erwartet werden.

Auch die Rollen, Verantwortlichkeiten und Befugnisse müssen klar sein. Verantwortung ohne Zeit und Entscheidungsmacht ist lediglich eine besonders elegante Methode, später jemanden zum Schuldigen bestimmen zu können.

Wann ein Stundenkontingent sinnvoll sein kann

Ein Stundenkontingent ist nicht per se schlecht. Für manche Unternehmen ist es sogar das passende Modell.

Es funktioniert besonders gut, wenn intern bereits vorhanden sind:

• ausreichendes Verständnis der ISO 27001;
• eine erfahrene Projektleitung;
• ein realistischer Projektplan;
• verbindliche interne Zuständigkeiten;
• die Fähigkeit, Anforderungen in eigene Lösungen zu übersetzen;
• und genug Kapazität, den größten Teil der Arbeit wirklich selbst zu erledigen.

Dann kann ein externer Berater punktuell prüfen, fachliche Fragen beantworten, bei schwierigen Entscheidungen unterstützen oder einen Zwischenstand challengen.

Wer dagegen noch nicht weiß, welche Arbeitspakete anstehen, wie sie zusammenhängen und wer sie intern erledigen kann, kauft mit einem Stundenkontingent keine Projektstruktur. Er kauft einzelne Antworten. Aus vielen richtigen Einzelantworten entsteht nicht automatisch ein fertiges Managementsystem.

Deshalb sollte bei der Auswahl der passenden ISO 27001-Unterstützung zuerst geklärt werden, welches Zusammenarbeitsmodell zum Unternehmen passt: punktuelles Sparring, gemeinsame Projektarbeit oder weitgehende operative Entlastung.

Auch maximale Unterstützung braucht Mitarbeit

Ein guter Berater kann sehr viel übernehmen:

• das Projekt strukturieren;
• einen Projektplan erstellen und pflegen;
• Workshops moderieren;
• Dokumente vorbereiten;
• Informationen aus den Fachbereichen einsammeln;
• Aufgaben nachhalten;
• Risikoarbeit methodisch begleiten;
• auf das Audit vorbereiten;
• und im Audit unterstützend anwesend sein.

Er kann aber nicht für das Unternehmen entscheiden, welche Risiken es akzeptiert, welche Prozesse wirklich gelebt werden, welche Ausfallzeiten geschäftlich tragbar sind oder welche Regeln die Geschäftsführung verbindlich machen will.

Und er kann keine Arbeitszeit herbeiberaten, die intern niemand bereitstellt.

Bei der Wirtschaftlichkeitsbetrachtung sollten deshalb nicht nur externe Rechnungen betrachtet werden. Zu den Kosten einer ISO 27001-Zertifizierung gehören auch interne Aufwände, technische Maßnahmen und die Zertifizierung selbst. Wer extern möglichst wenig einkauft, kann intern erheblich mehr Arbeit erzeugen – und umgekehrt.

Was ein pragmatisches ISO 27001-Projekt mindestens braucht

Sie benötigen dafür kein Projektbüro mit Wandtapeten voller Gantt-Diagramme. Die folgende Mindestausstattung reicht bei kleinen und mittleren Unternehmen häufig schon weit:

1. Ein klares Ziel: Welcher Bereich soll aus welchem Grund zertifiziert werden?
2. Eine Deadline: Wann soll das Zertifikat vorliegen?
3. Eine Projektleitung: Wer hält Aufgaben, Termine, Abhängigkeiten und Entscheidungen zusammen?
4. Ein Projektteam: Wer liefert Wissen aus Geschäftsführung, IT, HR, Einkauf, Entwicklung und den betroffenen Kernprozessen?
5. Ein Arbeitsrhythmus: Wann wird der Fortschritt regelmäßig besprochen?
6. Entscheidungswege: Wer entscheidet zügig, wenn mehrere Lösungen möglich sind?
7. Ein Beratungsmodell: Welche Aufgaben erledigt das Unternehmen, welche der Berater und welche werden gemeinsam bearbeitet?
8. Planbare Kapazität: Wie viel interne und externe Arbeitszeit steht tatsächlich zur Verfügung?

Das ist nicht bürokratisch. Es ist die schlankste Form, aus einer Absicht ein steuerbares Vorhaben zu machen.

Was der Auditor später merkt

Im Audit wird schnell sichtbar, ob ein Unternehmen sein ISMS selbst betreibt oder nur einzelne Dokumente eingesammelt hat.

Ein Berater darf im Audit unterstützen. Er darf Hintergründe ergänzen, Unterlagen auffindbar machen oder bei einem Missverständnis helfen. Wenn jedoch bei jeder wichtigen Frage alle Köpfe zum Berater wandern, entsteht ein anderes Bild: Das Wissen und möglicherweise auch die Verantwortung sitzen außerhalb des Unternehmens.

Dann hilft es wenig, dass der Berater eloquent erklären kann, weshalb theoretisch alles richtig ist. Der Auditor möchte sehen, ob die zuständigen Personen ihre Rollen, Prozesse, Risiken und Entscheidungen verstehen.

Ein pragmatisches Projekt bereitet das Unternehmen deshalb nicht darauf vor, im Audit möglichst geschickt Antworten vom Berater zu bekommen. Es baut das ISMS gemeinsam so auf, dass die richtigen Menschen selbst antworten können.

Pragmatisch heißt verbindlich – nur eben ohne Theater

Ein gutes pragmatisches Projekt ist kein schwerfälliger Verwaltungsapparat. Es ist klar, schlank und entscheidungsfreudig.

Es hat eine Deadline, aber keine künstliche Hektik. Es hat einen Projektplan, aber kein Projektmanagement-Theater. Es hat Dokumentation, aber keine Textproduktion zum Selbstzweck. Es nutzt Beratung, aber verwechselt Unterstützung nicht mit ausgelagerter Verantwortung.

Vor allem wartet es nicht darauf, dass irgendwann einmal Zeit übrig bleibt.

Unser Satz aus der Anekdote lässt sich deshalb leicht reparieren:

„Wir machen das pragmatisch. Deshalb legen wir jetzt Ziel, Deadline, Verantwortliche und Arbeitsweise fest. Dann entscheiden wir gemeinsam, was wir selbst erledigen und wo wir Unterstützung brauchen.“

So kann man arbeiten.

Die andere Variante – „Wir machen irgendwann irgendetwas selbst und rufen Sie an, wenn es dringend wird“ – ist alles mögliche. Aber nicht pragmatisch.

Interesse geweckt?

Wenn Sie ISO 27001 pragmatisch umsetzen wollen, helfen wir Ihnen gerne dabei, das Projekt schlank und trotzdem verbindlich aufzusetzen. Gemeinsam klären wir, wie viel Sie selbst übernehmen können, welche Unterstützung sinnvoll ist und welcher Weg realistisch zum Zertifikat führt.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.