Prozessnorm ISO 27001: Was wirklich dahintersteckt

Das Wort Prozessnorm klingt erst einmal trocken. Und es löst bei den wenigsten Jubel aus.

Trotzdem steckt genau darin ein wichtiger Punkt: ISO 27001 bewertet nicht einfach, ob Sie irgendwo eine Firewall, einen Virenscanner oder ein VPN haben. Die Norm ist ein Standard für ein Informationssicherheitsmanagementsystem. ISO beschreibt sie ausdrücklich als Rahmen zum Aufbauen, Umsetzen, Aufrechterhalten und fortlaufenden Verbessern eines ISMS. Genau deshalb geht es nicht nur um einzelne Sicherheitsbausteine, sondern darum, wie ein Unternehmen Informationssicherheit insgesamt organisiert.

Die kurze Antwort

Wenn man vereinfacht sagt, ISO 27001 sei eine Prozessnorm, dann meint man damit vor allem dies:

Die Norm fragt nicht nur, ob einzelne Sicherheitsmaßnahmen existieren. Sie fragt, ob Ihr Unternehmen Informationssicherheit als wiederholbaren, gesteuerten und verbesserten Prozess im Griff hat. ISO 27001 führt deshalb als einen Standard aus der Familie der Managementsystemnormen. Diese Standards sollen Organisationen helfen, Themen nicht zufällig, sondern systematisch zu steuern.

Warum viele am Anfang in die falsche Richtung denken

Der bestehende Artikel trifft hier einen wahren Punkt: In Erstgesprächen sagen Unternehmen oft sinngemäß:

• wir haben doch aktuelle Updates;
• wir arbeiten doch im VPN;
• wir haben doch gute Firewalls.

Das sind sinnvolle Bausteine. Aber sie beantworten noch nicht die eigentliche Frage, ob Informationssicherheit im Unternehmen als System funktioniert. Genau diesen Gegensatz macht der alte Beitrag bereits sehr plastisch auf.

ISO 27001 ist keine Produktnorm und keine Technik-Checkliste

Der große Denkfehler lautet oft: Wenn wir genug gute Technik kaufen, sind wir im Grunde schon fertig.

Genau so denkt ISO 27001 nicht. Die Norm schreibt nicht für alle Unternehmen dieselbe technische Einheitslösung vor. Sie ist bewusst so gebaut, dass Organisationen jeder Größe und aus allen Branchen ein passendes ISMS aufbauen können. ISO stellt das ausdrücklich so dar. Das bedeutet praktisch: Nicht das einzelne Produkt steht im Mittelpunkt, sondern die Frage, wie Risiken erkannt, Entscheidungen getroffen, Maßnahmen gesteuert, Zuständigkeiten geklärt und Verbesserungen nachgehalten werden.

Was mit „Prozess“ hier eigentlich gemeint ist

Mit Prozess ist hier nicht gemeint, dass Sie plötzlich für jede Kleinigkeit ein Flussdiagramm malen müssen.

Gemeint ist etwas deutlich Nüchterneres:

• Wer kümmert sich worum?
• Wie werden Risiken erkannt und bewertet?
• Auf welche Weise werden Maßnahmen ausgewählt?
• Wie wird geprüft, ob sie funktionieren?
• Was passiert, wenn sich etwas ändert?
• Wie lernt das Unternehmen aus Vorfällen, Audits und neuen Anforderungen?

Genau deshalb passt das Wort Prozessnorm als praktische Beschreibung ganz gut, auch wenn ISO selbst ISO 27001 als Managementsystemstandard einordnet.

Warum Einzelmaßnahmen allein nicht reichen

Eine Firewall kann gut sein und trotzdem schlecht eingebunden sein.
Ein Update-Prozess kann auf dem Papier existieren und trotzdem unzuverlässig laufen. Ein VPN kann eingeführt sein und trotzdem umgehen Mitarbeiter es im Alltag.

Genau hier zeigt sich der Unterschied zwischen technischer Einzelmaßnahme und Prozesslogik. ISO 27001 ist auf Dauerhaftigkeit angelegt: Maßnahmen sollen nicht nur einmal eingeführt, sondern betrieben, überprüft und verbessert werden. Dass die Norm ausdrücklich auf continual improvement abstellt, ist dabei kein Nebensatz, sondern Kern des Konzepts.

Warum das für Unternehmen oft anstrengender ist als Technik einkaufen

Einzelmaßnahmen einkaufen fühlt sich oft einfacher an als ein Managementsystem aufbauen.

Ein Produkt kann man kaufen. Ein Abo kann man abschließen. Ein Tool kann man aktivieren.

Ein funktionierendes System ist anstrengender. Es braucht:

• Führung;
• Entscheidungen;
• Rollen;
• wiederkehrende Reviews;
• saubere Kommunikation;
• und die Bereitschaft, das Thema dauerhaft zu steuern.

Genau deshalb unterschätzen viele Unternehmen ISO 27001 anfangs. Sie erwarten eine Art Sicherheits-Checkliste und merken erst später, dass es eigentlich um Organisationsfähigkeit geht. Diese Einschätzung ist eine praktische Schlussfolgerung aus dem Managementsystem-Charakter von ISO 27001.

Der häufigste Denkfehler

Der häufigste Denkfehler lautet: Wir sind technisch schon ziemlich sicher, also dürfte die Zertifizierung kein großes Thema sein.

Das ist zu kurz gedacht.

Technische Stärke hilft. Aber sie ersetzt kein ISMS. ISO 27001 fragt nicht nur, was Sie einsetzen, sondern auch, wie Sie Informationssicherheit dauerhaft organisieren. Genau deshalb können technisch starke Unternehmen im Audit trotzdem schwach wirken, wenn Rollen, Nachweise, Review-Logik und Verbesserungsmechanismen fehlen. Diese Schlussfolgerung ergibt sich direkt aus dem Managementsystem-Ansatz der Norm.

Warum das auch etwas Gutes ist

Die gute Nachricht daran ist: Gerade weil ISO 27001 keine starre Techniknorm ist, lässt sie Raum für vernünftige, passende und angemessene Lösungen.

Ein kleines Unternehmen muss nicht wie ein Konzern arbeiten. Ein Softwareunternehmen darf anders steuern als ein Fertigungsbetrieb. Ein agiles Team darf anders arbeiten als eine stark regulierte Organisation.

Wichtig ist nur, dass die Sicherheitssteuerung als System funktioniert. Dass ISO die Norm ausdrücklich für Unternehmen jeder Größe und aus allen Branchen beschreibt, ist genau die Grundlage dafür.

Was will der Auditor sehen?

Ein Auditor will in der Regel nicht sehen, dass Sie einfach nur möglichst viele gute Einzelmaßnahmen gekauft haben.

Er will erkennen, dass Ihr Unternehmen Informationssicherheit systematisch steuert:

• mit klaren Verantwortlichkeiten;
• mit passenden Maßnahmen;
• mit nachvollziehbaren Entscheidungen;
• mit regelmäßiger Überprüfung;
• und mit echter Verbesserung statt bloßer Einmalaktion.

Genau das ist der praktische Kern hinter dem Wort Prozessnorm.

Prozesse sind mehr als Ablaufdiagramme

Beim Wort Prozess denken viele sofort an Kästchen, Pfeile und eine Software, in der jemand bunte Bahnen malt. Das kann hilfreich sein, ist aber nicht der Kern. Ein Prozess beschreibt, wie aus einem Anlass mit klaren Verantwortlichkeiten und Regeln ein Ergebnis entsteht.

Für Informationssicherheit sind beispielsweise diese Fragen wichtig:

• Wer erkennt und bewertet neue Risiken?
• Wie wird ein neuer Mitarbeiter sicher aufgenommen?
• Wer entscheidet über Zugriffsrechte?
• Was geschieht nach einer Sicherheitsmeldung?
• Wie wird geprüft, ob eine Maßnahme tatsächlich wirkt?

Ein Diagramm ohne Antworten ist Dekoration. Ein gelebter Ablauf kann dagegen auch ohne kunstvolle Grafik funktionieren, wenn Beteiligte wissen, was sie tun müssen und Nachweise entstehen.

Managementsystem und Anhang A gehören zusammen

Die Abschnitte 4 bis 10 der ISO 27001 bauen den Steuerungskreislauf: Kontext verstehen, Führung übernehmen, planen, unterstützen, betreiben, bewerten und verbessern. Anhang A liefert mögliche Maßnahmen für konkrete Risiken. Beides zusammen macht das ISMS aus.

Wer nur Anhang A abarbeitet, kann zwar viele technische und organisatorische Maßnahmen besitzen. Es fehlt aber möglicherweise die Logik, warum sie ausgewählt wurden, wer sie prüft und wie Änderungen behandelt werden. Wer umgekehrt nur Managementprozesse beschreibt, aber keine wirksamen Maßnahmen betreibt, verwaltet Unsicherheit sehr ordentlich – und schützt trotzdem wenig.

Wie diese Auswahl nachvollziehbar dokumentiert wird, erläutert unser Artikel zum Statement of Applicability. Den Zusammenhang mit Risiken vertieft der Beitrag zum ISO 27001-Risikomanagement.

Drei Ebenen, die ineinandergreifen müssen

Vorgabe

Die Organisation legt fest, wie etwas grundsätzlich laufen soll. Das kann eine Richtlinie, ein Rollenmodell oder ein definierter Workflow sein.

Durchführung

Mitarbeiter und Systeme wenden die Vorgabe im Alltag an. Hier entscheidet sich, ob die schön formulierte Regel überhaupt praktikabel ist.

Prüfung und Verbesserung

Das Unternehmen betrachtet Nachweise, Kennzahlen, Vorfälle und Auditergebnisse. Wenn die Regel nicht funktioniert, wird sie verbessert. Genau dieser Rückweg wird in schwachen Systemen gern vergessen.

Ein gutes Beispiel ist das Änderungsmanagement nach ISO 27001: Eine Änderung wird nicht nur beschlossen. Auswirkungen, Verantwortlichkeiten, Ressourcen und spätere Wirksamkeit müssen mitgedacht werden.

Warum Tools den Prozess nicht ersetzen

Ein Ticketsystem kann Fristen überwachen, Verantwortliche erinnern und Entscheidungen dokumentieren. Es entscheidet aber nicht von selbst, welche Risiken akzeptabel sind. Eine GRC-Software kann Zusammenhänge darstellen. Sie ersetzt trotzdem nicht die Verantwortungsübernahme der Geschäftsführung.

Tools sind stark, wenn der Ablauf fachlich geklärt ist. Vorher digitalisieren sie schlimmstenfalls nur den Kokolores. Wie groß der Unterschied zwischen Werkzeug und Verantwortung ist, zeigt unser Artikel Kann man ISO 27001 einfach outsourcen?.

Woran ein guter ISMS-Prozess zu erkennen ist

Ein guter Prozess hat einen verständlichen Auslöser, einen Verantwortlichen, passende Eingaben, ein erkennbares Ergebnis und eine Form der Kontrolle. Er ist so detailliert wie nötig, aber nicht so kompliziert, dass jeder Beteiligte zuerst eine Schulung über das Ablaufdiagramm braucht.

Für ein Internes Audit bedeutet das beispielsweise: Es gibt ein Auditprogramm, einen konkreten Auditauftrag, kompetente Auditoren, nachvollziehbare Feststellungen und einen Umgang mit Abweichungen. Der Unterschied zwischen dem großen Plan und dem einzelnen Termin wird in unserem Beitrag Auditprogramm und Audit anschaulich erklärt.

Typische Fehler

• Prozesse werden nur für das Audit beschrieben und im Alltag umgangen.
• Verantwortlich ist eine Abteilung, aber keine konkrete Rolle.
• Auslöser und Ergebnis bleiben unklar.
• Nachweise entstehen nur durch manuelles Nacherzählen.
• Verbesserungen werden beschlossen, aber nie bis zum Abschluss verfolgt.
• jeder Sonderfall führt sofort zu einem neuen, noch komplizierteren Prozess.

Prozessreife heißt nicht, jede Bewegung zu regeln. Sie heißt, wiederkehrende wichtige Arbeit beherrschbar zu machen.

Was will der Auditor sehen?

Ein Auditor folgt gern einem echten Beispiel durch den Ablauf. Er lässt sich nicht nur die Richtlinie zeigen, sondern fragt: Wann wurde dieser Prozess zuletzt ausgelöst? Wer hat entschieden? Welcher Nachweis entstand? Was passierte bei einer Abweichung?

Genau dort trennt sich ein Managementsystem von einer Dokumentensammlung. Das eine kann seine eigene Arbeitsweise zeigen. Das andere kann nur vorlesen, wie sie theoretisch aussehen sollte.

Interesse geweckt?

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.