Governance einfach erklärt: Was bedeutet das G in GRC?

Ein Unternehmen führt ein GRC-Tool ein. Es gibt ein schickes Dashboard, grüne, gelbe und rote Ampeln, Verantwortliche, Fristen und eine erstaunliche Zahl kleiner Kästchen. Das System kann Berichte erzeugen, an überfällige Maßnahmen erinnern und vermutlich auch Kaffee bestellen, wenn man nur das richtige Zusatzmodul lizenziert.

Dann taucht ein hohes Informationssicherheitsrisiko auf. Die entscheidende Frage lautet: Wer darf dieses Risiko eigentlich akzeptieren?

Der ISB zeigt auf die Geschäftsführung. Die Geschäftsführung zeigt auf die IT. Die IT zeigt auf den Risikoeigentümer. Der Risikoeigentümer zeigt auf das GRC-Tool.

„Aber wir haben doch jetzt Governance gekauft.“

Nein. Sie haben Software gekauft. Governance müssen Sie immer noch selbst betreiben.

Die kurze Antwort

Governance ist das System, mit dem eine Organisation ausgerichtet, beaufsichtigt und zur Rechenschaft gezogen wird. In erfreulich normalem Deutsch beantwortet Governance vor allem diese Fragen:

• Wohin wollen wir?
• Wer darf was entscheiden?
• Welche Informationen werden für diese Entscheidungen benötigt?
• Wer überwacht, ob Entscheidungen umgesetzt werden und wirken?
• Wer muss berichten?
• Wer trägt am Ende die Verantwortung?

Governance besteht deshalb nicht nur aus Regeln. Sie verbindet Ziele, Verantwortung, Entscheidungsbefugnisse, Aufsicht, Berichterstattung und Rechenschaft.

Ein Unternehmen hat auch dann Governance, wenn es das Wort noch nie benutzt hat. Die Frage ist nur, ob diese Governance bewusst und brauchbar organisiert ist – oder ob Entscheidungen nach dem Verfahren „Wer gerade am lautesten spricht, wird schon recht haben“ getroffen werden.

Im Zusammenhang mit ISO 27001 verbindet Governance die Informationssicherheit mit der Führung des Unternehmens. Sie sorgt dafür, dass Sicherheitsziele nicht unabhängig von Geschäftszielen entstehen, dass Risiken von Personen mit passender Entscheidungsbefugnis behandelt werden und dass die Geschäftsführung erfährt, wenn Anspruch und Wirklichkeit auseinanderlaufen. Ohne diese Verbindung kann ein ISMS sehr ordentlich dokumentiert sein und trotzdem an den wichtigen Entscheidungen des Unternehmens vorbeileben.

Was bedeutet Governance wörtlich?

Eine vollkommen elegante deutsche Ein-Wort-Übersetzung gibt es nicht. Je nach Zusammenhang werden Steuerung, Führung, Aufsicht, Leitung oder Ordnungsrahmen verwendet. Keines dieser Wörter trifft den gesamten Begriff allein.

Die ISO 37000 beschreibt Governance sinngemäß als ein menschliches System, durch das eine Organisation ausgerichtet, beaufsichtigt und für die Erfüllung ihres Zwecks verantwortlich gehalten wird – und zwar ethisch und verantwortungsvoll.

Das „menschliche System“ ist dabei ein schöner Hinweis. Governance ist kein Dokumentenordner, kein Organigramm und kein Softwareprodukt. All diese Dinge können Governance unterstützen. Die eigentliche Governance entsteht aber dadurch, dass Menschen Richtung geben, Befugnisse verteilen, Informationen bewerten, Entscheidungen treffen und sich für die Folgen verantworten.

Governance und Management sind nicht dasselbe

Governance und Management hängen eng zusammen, erfüllen aber unterschiedliche Aufgaben.

Governance gibt Richtung, Rahmen und Entscheidungsbefugnisse vor. Sie bewertet, steuert auf einer übergeordneten Ebene und überwacht.

Management plant und organisiert innerhalb dieses Rahmens die konkrete Umsetzung. Es sorgt dafür, dass Menschen, Prozesse und Ressourcen tatsächlich etwas tun.

Ein einfaches Beispiel:

• Governance entscheidet, dass besonders kritische Kundendaten nur in freigegebenen europäischen Rechenzentren verarbeitet werden dürfen und dass Abweichungen von der Geschäftsführung genehmigt werden müssen.
• Das Management wählt geeignete Anbieter aus, gestaltet Prozesse, schließt Verträge, plant Migrationen und kontrolliert den laufenden Betrieb.

Oder noch kürzer: Governance legt fest, wohin das Schiff fahren soll, wer ans Steuer darf und welche Instrumente beobachtet werden müssen. Management organisiert Besatzung, Treibstoff, Route und Schichtplan.

Wenn niemand die Richtung festlegt, kann das operative Management trotzdem sehr beschäftigt aussehen. Das Schiff fährt dann ausgesprochen professionell irgendwohin.

Was bedeutet GRC?

GRC steht für Governance, Risk und Compliance. Der Begriff soll diese drei Themen nicht einfach in eine gemeinsame Abkürzung stopfen, sondern ihr Zusammenspiel betonen. Die OCEG beschreibt GRC als integrierte Fähigkeiten, mit denen eine Organisation ihre Ziele zuverlässig erreichen, mit Unsicherheit umgehen und integer handeln kann.

Für den praktischen Gebrauch kann man sich den Dreiklang so merken:

• Governance: Was wollen wir erreichen, nach welchen Grundsätzen handeln wir, wer entscheidet und wer trägt Verantwortung?
• Risk: Was könnte die Zielerreichung unsicher machen, wie groß ist das Risiko und wie gehen wir damit um?
• Compliance: Welche externen und selbst gesetzten Anforderungen müssen wir einhalten und wie stellen wir das sicher?

Die Reihenfolge ist nicht zufällig. Ohne Ziele und Verantwortung kann Risikomanagement kaum sinnvoll priorisieren. Ohne Kenntnis der Risiken werden Regeln und Maßnahmen schnell zum wahllosen Sicherheitsbuffet. Und ohne Compliance kann das Unternehmen zwar entschlossen in eine Richtung laufen – nur möglicherweise direkt durch eine gesetzlich verschlossene Tür.

Wie sieht Governance in der Praxis aus?

Governance klingt abstrakt, zeigt sich aber in sehr konkreten Dingen.

Zweck, Strategie und Ziele

Eine Organisation muss wissen, was sie erreichen will und welchen Stellenwert Informationssicherheit dabei hat. Daraus entstehen Prioritäten und konkrete Ziele. Wenn ein Unternehmen erklärt, dass der Schutz seiner Kundendaten geschäftskritisch ist, anschließend aber jedes Sicherheitsprojekt gegen die neue Kaffeemaschine verliert, stimmt die tatsächliche Governance nicht mit der Sonntagsrede überein.

Im ISMS wird diese Richtung unter anderem über die Informationssicherheitspolitik und über konkrete Informationssicherheitsziele sichtbar.

Rollen, Verantwortung und Befugnisse

Es muss klar sein, wer Entscheidungen vorbereitet, wer sie trifft, wer sie umsetzt und wer das Ergebnis kontrolliert. Verantwortung ohne Befugnis ist unfair. Befugnis ohne Rechenschaft ist gefährlich. Und eine Aufgabe, für die fünf Personen „irgendwie gemeinsam“ verantwortlich sind, besitzt häufig die bemerkenswerte Eigenschaft, von keiner dieser Personen erledigt zu werden.

Wie diese Zuweisung im ISMS funktioniert, erläutern wir im Artikel über Rollen, Verantwortlichkeiten und Befugnisse nach ISO 27001.

Delegation gehört ausdrücklich zu guter Governance. Die Geschäftsführung muss nicht jede Sicherheitsentscheidung selbst treffen. Sie muss aber sinnvoll festlegen, was sie delegiert, an wen, innerhalb welcher Grenzen und mit welcher Berichterstattung. Delegieren bedeutet, Entscheidungsfähigkeit zu schaffen. Es bedeutet nicht, Verantwortung in einen Umschlag zu stecken und auf dem Schreibtisch des ISB abzustellen.

Entscheidungswege und Eskalation

Gute Governance legt fest, welche Entscheidungen auf welcher Ebene getroffen werden. Der Administrator darf vielleicht einen akut kompromittierten Zugang sofort sperren. Die dauerhafte Akzeptanz eines hohen Geschäftsrisikos gehört dagegen nicht stillschweigend in seine Mittagspause.

Ebenso wichtig ist die Eskalation: Was geschieht, wenn Maßnahmen überfällig sind, Risiken steigen oder ein Bereich Sicherheitsregeln dauerhaft ignoriert? Ein Bericht, der nach oben geschickt wird und dort ungelesen ein friedliches Leben führt, ist noch keine Steuerung.

Information, Überwachung und Rechenschaft

Entscheider brauchen geeignete Informationen. Nicht jede Logzeile muss auf den Tisch der Geschäftsführung. Sie muss aber erfahren, wenn wesentliche Risiken nicht behandelt werden, Sicherheitsziele scheitern, Ressourcen fehlen oder das ISMS seine Wirkung verfehlt.

Dazu braucht es aussagekräftige Berichte, Kennzahlen, Auditergebnisse und regelmäßige Bewertungen. Im ISMS bündelt das Management Review viele dieser Informationen. Es ist gerade keine Vorlesestunde des ISB, sondern ein Ort für Führungsentscheidungen.

Was ist Informationssicherheits-Governance?

Informationssicherheits-Governance wendet diese Führungslogik auf Informationssicherheit an. Die Organisation richtet Informationssicherheit an ihren Zielen aus, verteilt Entscheidungsrechte, überwacht Leistung und Risiken und sorgt dafür, dass die Leitung verlässliche Informationen erhält.

Dafür gibt es sogar eine eigene Norm: Die ISO/IEC 27014:2020 gibt Leitlinien für die Governance der Informationssicherheit. Sie beschreibt insbesondere das Bewerten, Lenken, Überwachen und Kommunizieren informationssicherheitsbezogener Prozesse.

Vereinfacht lässt sich daraus ein Kreislauf bauen:

1. Bewerten: Wo stehen wir, welche Erwartungen bestehen und welche Risiken oder Chancen sind relevant?
2. Lenken: Welche Richtung, Prioritäten, Grundsätze und Entscheidungen geben wir vor?
3. Überwachen: Wird umgesetzt, was beschlossen wurde, und erreicht es die gewünschte Wirkung?
4. Kommunizieren: Erhalten Entscheider und weitere Beteiligte die Informationen, die sie benötigen?

Das ist der Unterschied zwischen „Die IT macht da schon irgendwas mit Sicherheit“ und einer Organisation, die Informationssicherheit tatsächlich führt.

Wo steckt Governance in ISO 27001?

Die ISO 27001 trägt das Wort Governance nicht als große Leuchtreklame vor sich her. Die Governance-Logik steckt aber an vielen Stellen in den Anforderungen.

• Abschnitt 5.1 Führung und Verpflichtung: Die oberste Leitung muss Führung und Verpflichtung in Bezug auf das ISMS zeigen. Das Thema darf nicht vollständig beim ISB abgeladen werden.
• Abschnitt 5.2 Politik: Die Leitung gibt die grundsätzliche Richtung für Informationssicherheit vor.
• Abschnitt 5.3 Rollen, Verantwortlichkeiten und Befugnisse: Es wird geklärt, wer wofür zuständig ist und wer über die Leistung des ISMS berichtet.
• Abschnitt 6.1 Risikomanagement: Risiken werden nach einem festgelegten Verfahren bewertet und behandelt. Risikoeigentümer müssen Behandlungsplan und Restrisiken genehmigen.
• Abschnitt 6.2 Ziele: Die Organisation legt fest, was sie in der Informationssicherheit erreichen möchte und wie sie dorthin kommt.
• Abschnitt 9.3 Managementbewertung: Die oberste Leitung bewertet das ISMS und entscheidet über Verbesserungen, Änderungen und Ressourcen.

Auch das Risikomanagement nach ISO 27001 ist deshalb kein isoliertes Tabellenritual. Es liefert Entscheidungsgrundlagen für die Governance.

Kann ein GRC-Tool Governance herstellen?

Nein. Ein gutes GRC-Tool kann Governance allerdings erheblich unterstützen.

Es kann beispielsweise

• Rollen und Zuständigkeiten abbilden,
• Entscheidungen und Freigaben dokumentieren,
• Risiken, Anforderungen und Maßnahmen miteinander verknüpfen,
• Fristen und Eskalationen sichtbar machen,
• Berichte für unterschiedliche Entscheidungsebenen erzeugen und
• Änderungen sowie Bearbeitungsschritte nachvollziehbar protokollieren.

Es kann aber nicht entscheiden, welchen Risikoappetit das Unternehmen hat. Es kann keine Priorität gegen eine widerwillige Geschäftsführung durchsetzen. Es kann auch keinen Risikoeigentümer dazu zwingen, eine echte Entscheidung zu treffen, wenn dieser seit drei Wochen in das Kommentarfeld schreibt: „Müssten wir mal gemeinsam besprechen.“

Das Tool ist das Cockpit. Governance entscheidet, wer fliegt, wohin geflogen wird und wann wegen einer Warnleuchte gelandet werden muss. Ein Cockpit ohne verantwortliche Pilotin bleibt eine teure Sammlung beleuchteter Instrumente.

Typische Governance-Fehler

• Niemand ist wirklich verantwortlich: Rollen sind benannt, aber Entscheidungen wandern im Kreis.
• Die Geschäftsführung delegiert das gesamte Thema: Der Informationssicherheitsbeauftragte soll koordinieren, entscheiden, Ressourcen beschaffen, Risiken akzeptieren und sich anschließend selbst kontrollieren.
• Berichte enthalten nur grüne Ampeln: Schlechte Nachrichten werden auf dem Weg nach oben so lange weichgekocht, bis niemand mehr handeln muss.
• Entscheidungen haben keine Folgen: Maßnahmen werden beschlossen, aber weder finanziert noch terminiert noch nachverfolgt.
• Governance wird mit Bürokratie verwechselt: Es entstehen immer neue Regeln, obwohl Entscheidungsrechte und Prioritäten weiterhin unklar bleiben.
• Das Tool wird zum Ersatzhirn erklärt: Weil ein Feld „Risk Owner“ heißt, glaubt man, die Verantwortung sei damit bereits wirksam übernommen worden.

Was will der Auditor von Ihrer Governance sehen?

Bei einem Audit wird selten jemand mit der Tür ins Haus fallen und verlangen: „Zeigen Sie mir jetzt Ihre Governance!“ Die Wirkung der Governance taucht aber überall auf.

Ein Auditor schaut beispielsweise darauf,

• ob die Geschäftsführung die wesentlichen Informationssicherheitsziele und Risiken kennt,
• ob Verantwortlichkeiten und Entscheidungsbefugnisse tatsächlich funktionieren,
• ob Risiken von den richtigen Personen genehmigt werden,
• ob überfällige oder unwirksame Maßnahmen eskaliert werden,
• ob das Management Review zu nachvollziehbaren Entscheidungen führt und
• ob aus Ergebnissen eines Internen Audits und anderen Rückmeldungen Konsequenzen gezogen werden.

Governance zeigt sich also nicht daran, dass das Wort in einer Richtlinie vorkommt. Sie zeigt sich daran, dass Richtung, Verantwortung, Information, Entscheidung und Kontrolle zusammenpassen.

Governance ist Führung mit eingebauter Rückmeldung

Der Begriff wirkt zunächst größer und akademischer, als die Grundidee ist. Gute Governance sorgt dafür, dass eine Organisation nicht nur fleißig arbeitet, sondern bewusst geführt wird.

Sie verbindet den Zweck und die Ziele des Unternehmens mit Entscheidungen, Verantwortlichkeiten, Risiken, Anforderungen und Rückmeldungen. Sie stellt sicher, dass delegiert werden kann, ohne Verantwortung im Nebel verschwinden zu lassen.

Oder ganz kurz:

Governance heißt: Richtung geben, Entscheidungen ermöglichen, Wirkung überwachen und Verantwortung nicht verlieren.

Wenn ein Tool dabei hilft: hervorragend. Wenn das Unternehmen glaubt, mit dem Kauf des Tools seien Richtung, Mut und Verantwortung bereits installiert worden, fehlt vermutlich noch ein Update. Allerdings nicht für die Software.

Interesse geweckt?

Sie möchten Informationssicherheit nicht nur dokumentieren, sondern sinnvoll steuern? Sprechen Sie mit uns Wir helfen Ihnen, Rollen, Entscheidungswege, Risikomanagement und Berichterstattung so aufzubauen, dass daraus ein funktionierendes ISMS wird – und keine besonders farbenfrohe Verwaltung ungeklärter Verantwortung.