ISO 27001 – welche Dokumente braucht man wirklich?

Wer mit ISO 27001 startet, stellt ziemlich schnell dieselbe Frage: „Welche Dokumente brauchen wir eigentlich wirklich?“

Oft schwingt dabei die Sorge mit, dass demnächst jemand mit einer Schubkarre voller Richtlinien, Verfahrensanweisungen und Formblätter um die Ecke kommt. Die gute Nachricht: Für ein funktionierendes ISMS brauchen Sie in der Regel deutlich weniger Papier, als viele zunächst befürchten.

Die weniger gute Nachricht: Ganz ohne dokumentierte Informationen geht es nicht. Bestimmte Dinge müssen festgehalten werden, damit Ihr ISMS steuerbar, nachvollziehbar und auditierbar wird.

Die kurze Antwort

Sie brauchen einen überschaubaren Pflichtkern an dokumentierten Informationen. Dazu kommen die Unterlagen, die Ihr Unternehmen benötigt, damit seine tatsächlichen Prozesse und Sicherheitsmaßnahmen zuverlässig funktionieren.

Die entscheidende Frage lautet deshalb nicht: „Wie viele Dokumente müssen wir schreiben?“

Sondern: „Welche Informationen müssen wir dokumentieren, damit das System funktioniert und das Audit trägt?“

Ein einzelnes Dokument kann dabei mehrere Anforderungen erfüllen. Umgekehrt kann eine Anforderung auf mehrere vorhandene Systeme, Listen oder Nachweise verteilt sein. Die Norm verlangt keinen bestimmten Aktenordner und auch keine feste Anzahl von Dateien.

Dokumentierte Information statt Dokumentenstapel

Die ISO 27001 spricht nicht einfach von Dokumenten, sondern von dokumentierter Information. Das ist mehr als Wortklauberei.

Die Norm schreibt Ihnen nicht vor, dass alles als klassische Verfahrensanweisung oder als Word-Dokument vorliegen muss. Entscheidend ist, dass die notwendige Information vorhanden, verständlich, aktuell und beherrscht ist.

Dokumentierte Information kann zum Beispiel sein:

• ein klassisches Dokument (Word oder sogar Papier);
• eine Tabelle oder ein Register;
• ein gepflegter Wiki-Eintrag;
• ein Ticket-Workflow mit nachvollziehbaren Einträgen;
• ein Protokoll;
• ein Datensatz in einem geeigneten Tool;
• ein Video;
• oder eine sinnvolle Kombination aus mehreren Formaten.

Für das Audit zählt nicht zwingend die Papierform. Es zählt, ob die Information auffindbar ist, ob Verantwortlichkeiten und Versionen erkennbar sind und ob das Unternehmen tatsächlich danach arbeitet.

Welche dokumentierten Informationen wirklich Pflicht sind

Wenn man die Anforderungen auf ihren Kern reduziert, kommt ein ISMS nach ISO 27001 an den folgenden dokumentierten Informationen nicht sinnvoll vorbei. Das bedeutet allerdings nicht, dass daraus zwölf einzelne Word-Dateien werden müssen.

1. Der Anwendungsbereich

Sie müssen festhalten, welcher Teil Ihres Unternehmens vom ISMS und von der Zertifizierung erfasst wird. Der Anwendungsbereich muss die relevanten Grenzen, Schnittstellen und Abhängigkeiten verständlich machen.

2. Die Informationssicherheitspolitik

Sie brauchen eine grundsätzliche Haltung zur Informationssicherheit. Darin legt die oberste Leitung den Rahmen und die Richtung fest. Eine zehnseitige Abhandlung ist dafür nicht erforderlich – eine austauschbare Seite voller Allgemeinplätze hilft allerdings ebenso wenig.

3. Das Vorgehen für Risikobewertung und Risikobehandlung

Es muss nachvollziehbar beschrieben sein, wie Risiken identifiziert, analysiert, bewertet und behandelt werden. Dazu gehören unter anderem Kriterien dafür, wann ein Risiko akzeptabel ist und wie ein einheitliches Vorgehen sichergestellt wird.

4. Die Ergebnisse der Risikobewertung und Risikobehandlung

Nicht nur die Methode zählt. Auch die Ergebnisse müssen dokumentiert sein. Es muss erkennbar werden, welche Risiken betrachtet wurden, wie sie bewertet wurden, welche Maßnahmen vorgesehen sind und wer die verbleibenden Risiken akzeptiert hat.

5. Die Anwendbarkeitserklärung

Die Anwendbarkeitserklärung, kurz SoA, gehört zu den zentralen Unterlagen des ISMS. Sie bildet zunächst alle Controls aus Anhang A ab. Sie zeigt, welche davon notwendig sind, wie weit sie umgesetzt sind und warum einzelne Controls (Anforderungen) ausgeschlossen wurden. Nutzt das Unternehmen darüber hinaus eigene notwendige Controls, gehören auch diese in die SoA.

6. Informationssicherheitsziele

Sie müssen festlegen, welche konkreten Ziele Sie in der Informationssicherheit verfolgen. Zu den Zielen gehören auch Informationen darüber, wie sie erreicht, gemessen, überwacht und bei Bedarf aktualisiert werden.

7. Nachweise zur Kompetenz

Für Personen, deren Arbeit die Informationssicherheitsleistung beeinflusst, muss geeignete dokumentierte Information als Nachweis ihrer Kompetenz vorhanden sein. Eine künftig geplante Schulung ist noch kein Nachweis vorhandener Kompetenz. Geeignet können beispielsweise Qualifikationen, Erfahrungen, Schulungsnachweise oder nachvollziehbare Bewertungen sein.

8. Nachweise aus der betrieblichen Planung und Steuerung

Abschnitt 8.1 verlangt dokumentierte Information in dem Umfang, der erforderlich ist, um darauf vertrauen zu können, dass die geplanten Prozesse auch tatsächlich wie vorgesehen durchgeführt wurden. Was das konkret bedeutet, hängt stark vom Unternehmen ab. Es können beispielsweise Freigaben, Tickets, Prüfprotokolle, Beschreibungen von Standard-Vorgehensweisen oder andere betriebliche Aufzeichnungen sein.

9. Ergebnisse aus Überwachung und Messung

Wo Sie die Leistung und Wirksamkeit des ISMS überwachen oder messen, müssen auch geeignete Nachweise über die Ergebnisse vorhanden sein. Das bedeutet nicht, dass alles messbar gemacht werden muss. Aber was Sie zu messen beschlossen haben, darf nicht im Nebel verschwinden.

10. Unterlagen zum Internen Audit

Das Auditprogramm und die Ergebnisse des Internen Audits müssen nachvollziehbar dokumentiert werden. Dazu gehören insbesondere Umfang, Kriterien, Ergebnisse und die erforderliche Unabhängigkeit der auditierenden Person.

11. Ergebnisse der Managementbewertung

Wenn die Geschäftsleitung das ISMS bewertet, müssen die Ergebnisse dieser Managementbewertung als dokumentierte Information erhalten bleiben. Ein Termin im Kalender beweist lediglich, dass ein Termin im Kalender stand.

12. Nichtkonformitäten und Korrekturmaßnahmen

Wenn etwas nicht wie vorgesehen läuft, muss nachvollziehbar sein, was festgestellt wurde, welche Ursachen betrachtet wurden und welche Korrekturmaßnahmen daraus folgten.

Eine Anforderung ist nicht automatisch ein Dokument

Ein häufiger Denkfehler lautet: zwölf dokumentierte Anforderungen, also zwölf Dateien. So funktioniert die Norm nicht.

Eine sauber aufgebaute Risikomanagement-Lösung kann Methode, Bewertungsergebnisse, Behandlungsplan und Verantwortlichkeiten miteinander verbinden. Ein gut geführtes Ticketsystem kann Freigaben und betriebliche Nachweise liefern. Eine Managementbewertung kann in einem strukturierten Protokoll gleich mehrere erforderliche Ergebnisse festhalten.

Entscheidend ist nicht, wie viele Dateien Sie am Ende zählen. Entscheidend ist, ob die geforderten Informationen vollständig, verständlich und beherrscht sind.

Der häufigste Fehler: zu viele Vorlagen, zu wenig System

Viele Unternehmen starten mit einer riesigen Vorlagensammlung und glauben, dass ein vollständiger ISO 27001-Dokumentensatz automatisch ein funktionierendes ISMS ergibt.

Genau das ist oft der Denkfehler. Ein Paket mit Richtlinien, Prozessen und Formularen hilft nur dann, wenn die Unterlagen zum Unternehmen passen, verstanden werden und im Alltag tatsächlich genutzt werden. Sonst entsteht vor allem Bürokratie ohne Wirkung.

Die bessere Herangehensweise lautet:

• den Pflichtkern sauber aufsetzen;
• wirklich notwendige Zusatzunterlagen ergänzen;
• vorhandene Systeme sinnvoll nutzen;
• und alles weglassen, was nur Papier produziert.

Welche zusätzlichen Unterlagen in der Praxis häufig sinnvoll sind

Neben dem Pflichtkern gibt es Unterlagen, die nicht in jedem Unternehmen ausdrücklich als eigenes Dokument vorgeschrieben sind, praktisch aber sehr schnell notwendig werden.

Asset- oder Systemübersicht

Wenn Sie nicht wissen, welche Systeme, Anwendungen, Daten oder Dienstleister relevant sind, wird Risikomanagement beliebig. Eine brauchbare Assetliste schafft hier Ordnung.

Rollen- und Verantwortlichkeitsübersicht

Gerade in kleineren Unternehmen ist vieles vermeintlich klar. Im Audit zeigt sich dann häufig, dass drei Personen dieselbe Aufgabe bei einer vierten vermutet haben.

Berechtigungskonzept

Sobald Zugriffe, Rollen oder privilegierte Konten relevant sind, ist eine nachvollziehbare Regelung fast immer sinnvoll. Ob das ein klassisches Konzept, eine Rollenmatrix oder eine gut gepflegte Systemkonfiguration ist, hängt von Ihrer Umgebung ab.

Regelungen für Sicherheitsvorfälle und Notfälle

Wenn ein Sicherheitsvorfall eintritt, sollte nicht erst diskutiert werden, wer jetzt eigentlich wen anruft. Auch Backup, Wiederherstellung und der Umgang mit Ausnahmesituationen brauchen eine zum Unternehmen passende Form.

Lieferanten- und Dienstleisterregelungen

Wenn externe Partner wichtige Leistungen erbringen, sollte dokumentiert sein, wie sie ausgewählt, bewertet und überwacht werden und welche Sicherheitsanforderungen für sie gelten.

Regeln für Homeoffice, mobile Geräte und Cloud-Nutzung

Diese Themen sind nicht wichtig, weil sie in jeder Vorlagensammlung vorkommen. Sie sind wichtig, weil sie in vielen Unternehmen reale Risiken und konkrete Arbeitsweisen betreffen.

Dokumentenlenkung

Auch ein schlanker Dokumentensatz braucht Ordnung. Es sollte klar sein, wer ein Dokument erstellt und freigibt, welche Version gilt, wie Änderungen nachvollziehbar bleiben und wie veraltete Fassungen aus dem Verkehr gezogen werden.

Ein Ordner voller Dateien mit Namen wie `final`, `final_neu` und `final_wirklich_neu_2` ist keine Dokumentenlenkung. Je weniger Unterlagen Sie haben, desto leichter wird die Pflege – automatisch erledigt sie sich deshalb aber nicht.

Was Auditoren wirklich sehen wollen

Viele Unternehmen fragen nach den Dokumenten, weil sie glauben, das Audit sei am Ende ein formaler Dokumentencheck. So einfach ist es nicht.

Auditoren wollen im Wesentlichen erkennen:

• Sind die ausdrücklich geforderten Informationen vorhanden?
• Passen Risiken, Maßnahmen, Ziele und Nachweise logisch zusammen?
• Sind die Informationen aktuell und gelenkt?
• Kennen die beteiligten Personen ihre Aufgaben?
• Wird das beschriebene System im Unternehmen tatsächlich gelebt?

Ein schlankes, klares und konsistentes ISMS ist fast immer überzeugender als ein riesiger Dokumentenberg, der nur auf dem Papier existiert.

Die Frage nach einem Dokumentensatz ist also durchaus richtig – aber nur, wenn die nächste Frage lautet: „Ok, wie passen wir das jetzt auf uns an und was können wir in unserem Fall weglassen?“

Wie Sie unnötige Bürokratie vermeiden

Dokumentieren Sie nicht einfach alles, was sich theoretisch dokumentieren ließe. Beginnen Sie mit dem Pflichtkern und fragen Sie bei jeder zusätzlichen Unterlage nach ihrem Zweck – und danach, ob Ihr ISMS auch dann noch funktionieren würde, wenn man die Unterlage wegließe.

Komplexe, seltene oder besonders fehleranfällige Abläufe verdienen eher eine schriftliche Regelung als tägliche Routine. Nutzen Sie bestehende Wikis, Ticketsysteme, Register und technische Systeme, wenn diese die Information zuverlässig liefern können. Und verpflichten Sie sich in Ihren eigenen Richtlinien nicht zu Dingen, die niemand benötigt und später niemand einhalten wird.

Interesse geweckt?

Wenn Sie einen pragmatischen Ausgangspunkt suchen, nutzen Sie gern unseren kostenfreien Dokumentensatz. Er ist ein Ausgangspunkt – aber kein fertiges ISMS zum Herunterladen.

Wenn Sie gemeinsam klären möchten, welche Unterlagen Ihr Unternehmen tatsächlich braucht, Sprechen Sie mit uns.