Der Kunde fordert ISO 27001 – was jetzt?

Die Mail kommt meistens aus dem Vertrieb. Ein wichtiger Kunde habe da noch eine Anforderung. Für die weitere Zusammenarbeit – oder spätestens für den nächsten Vertrag – werde ein Zertifikat nach ISO 27001 benötigt.

Kurz darauf folgt die Frage: „Kann die IT das nicht schnell machen?“

Kann sie nicht.

Jedenfalls nicht allein, nicht nebenbei und auch nicht dadurch, dass jemand bis Freitag drei Richtlinien aus dem Internet herunterlädt.

Eine Kundenforderung nach ISO 27001 ist keine zusätzliche Aufgabe für die IT-Abteilung. Sie ist ein geschäftlich veranlasstes Unternehmensprojekt. Schließlich geht es nicht bloß um ein paar Sicherheitseinstellungen, sondern möglicherweise um einen Auftrag, eine Vertragsverlängerung oder den Zugang zu einem neuen Markt.

Deshalb sollte die erste Reaktion weder Panik noch hektische Dokumentenproduktion sein. Die erste Reaktion sollte sein: genau klären, was verlangt wird, den eigenen Ausgangspunkt bestimmen und daraus ein belastbares Projekt machen.

Die kurze Antwort

Wenn ein Kunde ISO 27001 fordert, sollten Sie in dieser Reihenfolge vorgehen:

1. Klären Sie, welchen Nachweis der Kunde für welchen Bereich und bis wann verlangt.
2. Ermitteln Sie mit einer Gap-Analyse, wo Ihr Unternehmen tatsächlich steht.
3. Prüfen Sie, ob der geforderte Termin realistisch ist, und planen Sie von diesem rückwärts.
4. Entscheiden Sie, welche Arbeiten Sie selbst übernehmen können und wo Sie Unterstützung benötigen.
5. Setzen Sie das Vorhaben als echtes Projekt mit Projektleitung, Projektplan, Ressourcen und regelmäßiger Steuerung auf.
6. Sorgen Sie für sichtbare Priorität durch die Geschäftsführung und eine verbindliche Deadline.

Klären Sie zuerst, was der Kunde tatsächlich verlangt

„Der Kunde will ISO.“ Das ist noch keine brauchbare Projektanforderung.

Bevor Sie Aufwand, Budget oder Termine schätzen, sollten Sie den Wortlaut der Forderung kennen. Fragen Sie insbesondere:

• Wird tatsächlich ein akkreditiertes ISO 27001-Zertifikat verlangt?
• Muss das Zertifikat bereits zu einem bestimmten Termin vorliegen?
• Reicht zunächst ein nachvollziehbarer Projektplan oder der Nachweis, dass die Zertifizierung begonnen wurde?
• Für welche Produkte, Dienstleistungen, Standorte oder Gesellschaften wird der Nachweis benötigt?
• Ist das Zertifikat eine zwingende Voraussetzung für die Vergabe oder zunächst eines unter mehreren Bewertungskriterium?

Diese Fragen wirken kleinlich. Sind sie aber nicht.

Sie bestimmen den Umfang und damit einen erheblichen Teil von Aufwand, Kosten und Dauer.

Besonders wichtig ist der Anwendungsbereich (Scope). Der Scope legt fest, welcher Teil Ihres Unternehmens durch das Informationssicherheitsmanagementsystem und später durch das Zertifikat erfasst wird. Wenn der Kunde eine bestimmte Dienstleistung einkauft, muss diese Dienstleistung sinnvoll vom Scope abgedeckt sein. Ein Zertifikat für einen völlig anderen Unternehmensteil beeindruckt vielleicht die Bürowand, löst aber das Problem nicht.

Der Scope muss nicht automatisch das gesamte Unternehmen umfassen. Warum ein kleiner, aber sinnvoller ISO 27001-Anwendungsbereich gerade bei der ersten Zertifizierung häufig vernünftig ist, haben wir bereits beschrieben.

Prüfen Sie außerdem, ob der Kunde wirklich mit ISO 27001 glücklich ist. In der Automobilindustrie kann beispielsweise ein bestimmtes TISAX®-Assessment-Ergebnis beziehungsweise Label verlangt werden. Die harmlose Formulierung „Wir brauchen irgendeinen Security-Nachweis“ sollte daher nicht ungeprüft zur Projektgrundlage werden.

Warum Kunden solche Nachweise immer häufiger verlangen

Informationssicherheit bleibt nicht an Unternehmensgrenzen stehen. Kunden geben Daten an Dienstleister weiter, beziehen Software, nutzen Cloud-Dienste und hängen mit ihren eigenen Prozessen von Lieferanten ab. Gleichzeitig erhöhen regulatorische Vorgaben, Ausschreibungen und interne Einkaufsregeln den Druck, diese Abhängigkeiten nachweisbar zu steuern.

Für den Einkauf ist ein anerkannter Sicherheitsnachweis oft einfacher als eine vollständige eigene Prüfung jedes Lieferanten. Die Forderung wandert deshalb durch die Lieferkette: Ein großes Unternehmen verlangt den Nachweis von seinen direkten Lieferanten, diese geben Anforderungen an ihre Dienstleister weiter – und irgendwann landet die Mail bei Ihnen.

Hinzu kommt ein Wandel der Erwartung. Ein ISO 27001-Zertifikat war in manchen Märkten einmal ein auffälliges Zusatzmerkmal. Inzwischen entwickelt es sich zunehmend zum Basismerkmal: Sein Vorhandensein löst nicht unbedingt Begeisterung aus, sein Fehlen dagegen das Gegenteil: Ablehnung.

Den Hintergrund erklären wir ausführlicher im Artikel „Darum fragen Ihre Kunden jetzt nach ISO 27001“.

Der entscheidende Punkt lautet: Diskutieren Sie nicht monatelang darüber, ob diese Entwicklung erfreulich ist. Wenn der Nachweis über einen Auftrag entscheidet, ist aus einem Sicherheitsthema bereits ein Geschäftsthema geworden.

Beginnen Sie mit einer Gap-Analyse

Nachdem die Kundenanforderung geklärt ist, brauchen Sie ein ehrliches Bild der Ausgangslage. Genau dafür ist eine Gap-Analyse da.

Sie vergleicht den aktuellen Zustand Ihres Unternehmens mit den Anforderungen der Norm. Dabei geht es nicht nur darum, vorhandene Richtlinien zu zählen. Eine brauchbare Gap-Analyse betrachtet unter anderem:

• bestehende Rollen und Verantwortlichkeiten;
• den geplanten Anwendungsbereich;
• Prozesse und ihre tatsächliche Umsetzung;
• Risikomanagement;
• IT- und organisatorische Sicherheitsmaßnahmen;
• den Umgang mit Lieferanten;
• Security Awareness im Unternehmen;
• sowie Business Continuity.

Das Ergebnis sollte keine 80-seitige Mängelliste sein, die anschließend ehrfürchtig auf einem Laufwerk abgelegt wird. Es sollte ein priorisierbarer Arbeitsvorrat entstehen:

• Was ist bereits vorhanden und kann weiterverwendet werden?
• Was fehlt vollständig?
• Was ist schnell zu erledigen?
• Welche Lücken benötigen Entscheidungen der Geschäftsführung?
• Welche technischen Maßnahmen brauchen Budget oder längere Vorlaufzeiten?
• Welche Tätigkeiten hängen voneinander ab?

Erst mit diesen Informationen lässt sich ein realistischer Projektplan erstellen. Wer dagegen sofort mit Richtlinien beginnt, produziert häufig Dokumente für ein System, dessen Scope, Prozesse und Verantwortlichkeiten noch gar nicht geklärt sind. Das fühlt sich nach Fortschritt an, ist aber ungefähr so hilfreich wie das Streichen der Wände, bevor der Grundriss feststeht.

Rechnen Sie vom benötigten Termin rückwärts

Eine der ersten Fragen lautet fast immer: „Wie lange dauert das?“

Die seriöse Antwort hängt von Ihrer Ausgangslage, dem Scope, der Größe und Komplexität des Unternehmens, den verfügbaren Ressourcen und den notwendigen Verbesserungen ab.

Trotzdem brauchen Sie früh einen Zieltermin. Beginnen Sie bei dem Zeitpunkt, zu dem der Kunde das Zertifikat tatsächlich sehen muss, und planen Sie von dort rückwärts.

Berücksichtigen Sie dabei mindestens:

• den Termin für das Zertifizierungsaudit;
• die Verfügbarkeit einer geeigneten Zertifizierungsgesellschaft;
• die tatsächliche Umsetzung und des ISMS.

Der grundsätzliche Weg zum ISO 27001-Zertifikat besteht aus Tätigkeiten, die teilweise aufeinander aufbauen. Manche lassen sich parallel bearbeiten, andere nicht. Ein Internes Audit kann beispielsweise kein System sinnvoll beurteilen, das bislang nur aus leeren Vorlagen und einem ambitionierten Kalendereintrag besteht.

Sprechen Sie außerdem früh mit möglichen Zertifizierungsgesellschaften. Selbst ein perfekt vorbereitetes Unternehmen kann nicht an einem Termin auditiert werden, den niemand anbietet. Achten Sie bei der Auswahl darauf, dass es sich um eine geeignete, glaubwürdige Stelle handelt. Auch zu den Warnzeichen unseriöser Zertifizierer haben wir einen eigenen Artikel.

Ist die Kundenfrist offensichtlich unrealistisch, sollten Sie das früh ansprechen. Ein belastbarer Projektplan, reservierte Audittermine und klar benannte Zwischenschritte sind eine bessere Gesprächsgrundlage als die Ankündigung „Wir sind dran“.

Eigenleistung, externe Unterstützung oder Mischmodell?

Nun stellt sich die Frage, wie das Projekt personell und finanziell umgesetzt werden soll.

Viel Eigenleistung

Wenn Sie viel selbst übernehmen, fällt zunächst weniger externe Beratung an. Das kann sinnvoll oder aufgrund der Liquidität sogar notwendig sein. Interne Arbeit ist allerdings nicht kostenlos, nur weil dafür keine zusätzliche Rechnung eingeht.

Die beteiligten Personen benötigen Zeit, Wissen und die Fähigkeit, das Thema strukturiert voranzutreiben. Fehlt hier Erfahrung, wird häufig mit Inbrunst und lange am Falschen gearbeitet.

Denken Sie außerdem daran, dass jeder Mitarbeiter, der am ISO 27001-Projekt arbeitet, nicht gleichzeitig für das Unternehmen Geld verdienen kann. Sie bezahlen also nicht nur mit Gehalt, sondern auch noch mit entgangenem Business.

Viel externe Unterstützung

Ein erfahrener Berater kann Struktur, Vorlagen und Projektwissen einbringen, Dinge ausarbeiten und typische Umwege vermeiden.

Er kann dem Unternehmen aber nicht alles abnehmen. Niemand von außen kann allein entscheiden, welche Informationen kritisch sind, wie interne Prozesse tatsächlich funktionieren, welche Risiken akzeptiert werden oder welche Regeln im Unternehmen praktikabel sind. Externe Unterstützung ersetzt keine Mitwirkung des Kunden.

Wenn Sie Unterstützung suchen, lohnt sich deshalb eine sorgfältige Auswahl. Ein guter Berater sollte nicht nur Fachbegriffe beherrschen, sondern einen echten Projektplan mit Tätigkeiten, Abhängigkeiten, Aufwand, Zuständigkeiten und Terminen vorlegen können. Weitere Auswahlkriterien finden Sie in „ISO 27001 – Wer kann mir helfen?“.

Wenn Sie abschätzen möchten, was Ihr ISO 27001-Projekt kostet – und wann sich diese Investition voraussichtlich wieder bezahlt macht –, können Sie dafür unseren ISO 27001-Investitionsrechner verwenden.

Behandeln Sie ISO 27001 als echtes Projekt

Die Kundenmail ist der Anlass. Das Zertifikat ist das Ziel. Dazwischen liegt ein Projekt.

Statt eines Projekts entsteht trotzdem oft eine lose Sammlung aus Workshops, Richtlinien und Aufgaben. Alle sind irgendwie beteiligt, niemand ist wirklich verantwortlich.

Ein belastbares ISO 27001-Projekt braucht mindestens:

• eine benannte Projektleitung;
• einen Management-Sponsor;
• einen nachvollziehbaren Projektplan;
• ein geeignetes Projektteam;
• klare Verantwortlichkeiten;
• regelmäßige Steuerung;
• geregelte Entscheidungswege;
• und ein Budget.

Der Projektplan sollte mehr sein als eine Liste mit 18 Tätigkeiten untereinander. Er muss zeigen, welche Arbeit zuerst erfolgen muss, was parallel bearbeitet werden kann und welche Ergebnisse für nachfolgende Tätigkeiten benötigt werden. Zu den Tätigkeiten gehören Verantwortliche, erwarteter Aufwand, realistische Fristen und überprüfbare Ergebnisse.

Ein regelmäßiger Jour fixe sorgt dafür, dass offene Punkte nicht wochenlang unsichtbar bleiben. Dort wird nicht jedes Richtlinienkomma im Plenum diskutiert. Stattdessen gehören Fortschritt, Hindernisse, nächste Schritte und notwendige Entscheidungen auf die Tagesordnung.

Warum eine ISO 27001-Einführung als richtiges Projekt geführt werden muss, haben wir an anderer Stelle ausführlich beschrieben.

Das Projektteam darf nicht nur aus der IT bestehen

Informationssicherheit betrifft Technik, aber nicht nur Technik. Die IT kennt Systeme, Zugänge, Netzwerke und Backups. Sie entscheidet jedoch nicht allein über Personalprozesse, Lieferanten, Vertragsanforderungen, Geschäftsrisiken oder die strategische Risikobereitschaft des Unternehmens.

Deshalb braucht das Projekt je nach Unternehmen Beiträge aus mehreren Bereichen. Typisch sind:

• Geschäftsführung;
• Projektleitung oder ISMS-Verantwortung;
• IT beziehungsweise technische Sicherheitskompetenz;
• Fachbereiche mit relevantem Prozesswissen;
• sowie bei Bedarf HR, Einkauf, Datenschutz oder Legal.

Nicht alle müssen in jedem Termin sitzen. Ein kleines Kernteam ist meist wirksamer als eine große Runde, in der 14 Menschen gemeinsam feststellen, dass jemand anderes noch etwas zuliefern müsste. Wie ein sinnvolles ISO 27001-Projektteam aussehen kann, erläutern wir in einem eigenen Beitrag.

Management Attention ist keine Dekoration

Die Geschäftsführung muss nicht jede Richtlinie schreiben und nicht jeden Workshop moderieren. Sie muss aber sichtbar hinter dem Projekt stehen.

Das bedeutet praktisch:

• Priorität vorgeben;
• Ressourcen ermöglichen;
• Zielkonflikte entscheiden;
• Hindernisse aus dem Weg räumen;
• und regelmäßig nach dem Fortschritt fragen.

Fehlt diese Aufmerksamkeit, verstehen die Beteiligten die tatsächliche Botschaft sehr schnell: ISO 27001 sei zwar angeblich wichtig, aber bitte nur, solange nichts Dringenderes ansteht.

Und etwas Dringenderes steht immer an.

Projekte ohne Priorität verlieren gegen Projekte mit Priorität. Kundenarbeit, Releases, Einstellungen und operative Probleme haben sichtbare Entscheider und konkrete Folgen. Ein Zertifizierungsprojekt ohne Management-Sponsor hat dagegen häufig nur freundlich-zahnlose Erinnerungsmails.

Die Geschäftsführung muss deshalb nicht bloß den Projektauftrag unterschreiben. Sie muss die Priorität auch dann vertreten, wenn das Projekt erstmals echte Arbeitszeit oder eine unangenehme Entscheidung benötigt.

Alles ohne Deadline verliert gegen alles mit Deadline

Dasselbe gilt für den Zieltermin.

„Wir möchten irgendwann zertifiziert sein“ ist kein Projektziel. Es ist eine leise Anregung.

Ohne Deadline wird jede Aufgabe mit Termin zuerst erledigt. Das Kundenprojekt muss am Freitag fertig sein, der Release steht im Kalender und die Monatsabrechnung wartet nicht. ISO 27001 kann dann vermeintlich noch eine Woche nach hinten geschoben werden – und danach noch eine.

Alles ohne Deadline verliert gegen alles mit Deadline.

Setzen Sie deshalb einen verbindlichen Zieltermin für die Auditbereitschaft und planen Sie die notwendigen Meilensteine rückwärts. Wenn der Kunde bereits eine Frist genannt hat, prüfen Sie diese und übersetzen Sie sie in interne Termine. Wenn es noch keine externe Frist gibt, setzen Sie selbst eine.

Eine Deadline allein macht das Projekt nicht erfolgreich. Sie sorgt aber dafür, dass Entscheidungen, Ressourcen und Abhängigkeiten nicht auf unbestimmte Zeit vertagt werden. Zusammen mit einer klaren Projektleitung und sichtbarer Management Attention wird aus „Wir müssten mal ISO machen“ ein steuerbares Vorhaben.

Interesse geweckt?

Wenn ein Kunde ISO 27001 von Ihnen fordert, brauchen Sie weder Aktionismus noch einen Dokumentenautomaten. Sie brauchen Klarheit über die Anforderung, ein ehrliches Bild Ihrer Ausgangslage und einen Projektplan, der zum benötigten Termin und zu Ihren Ressourcen passt.

Wenn Sie dabei Unterstützung benötigen, sprechen Sie mit uns. Wir können gemeinsam klären, wo Sie stehen, welcher Weg realistisch ist und welche Arbeit wir Ihnen sinnvoll abnehmen können.