ISO-27001-Zertifizierung: ein ISMS aufbauen, das Bestand hat

Ein Kunde fragt nach Ihrem ISO-27001-Zertifikat. Die geschäftliche Frist ist klar, die Umsetzungsarbeit vielleicht nicht. Die erste Entscheidung der Leitung lautet, ob ein Sicherheitsmanagementsystem aufgebaut werden soll, das das Unternehmen dauerhaft tragen kann, oder ob ein befristetes Projekt rund um einen Audittermin organisiert wird.

Ein brauchbarer Zertifizierungsplan beginnt damit, das System festzulegen, das Sie betreiben müssen, und ordnet dann die Nachweise, die es belegen. Das heißt: entscheiden, welche Dienste das Zertifikat abdecken soll, wer Risikoentscheidungen freigeben darf, welche Ressourcen die Maßnahmenverantwortlichen brauchen und woran die Leitung erkennt, ob die Maßnahmen wirken.

Das Zertifikat ist ein wichtiges Arbeitsergebnis. Der bleibende Wert für das Unternehmen ist jedoch ein Informationssicherheitsmanagementsystem (ISMS), das nützlich bleibt, wenn Mitarbeitende gehen, Lieferanten wechseln, neue Produkte auf den Markt kommen und Kunden schwierigere Fragen stellen.

Was eine ISO-27001-Zertifizierung tatsächlich belegt

ISO/IEC 27001 legt Anforderungen an Aufbau, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines ISMS fest. Ziel ist es, Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen im Kontext der Organisation zu steuern.

Vertraulichkeit betrifft unangemessene Offenlegung, etwa wenn Kundendatensätze für Unbefugte zugänglich werden. Integrität betrifft fehlerhafte oder unbefugte Änderungen, etwa wenn jemand Zahlungsanweisungen verändert. Verfügbarkeit betrifft den Zugriff bei Bedarf, etwa die Wiederherstellung eines wichtigen Dienstes nach einem Infrastrukturausfall.

Die Zertifizierung bezieht sich auf dieses Managementsystem innerhalb seines angegebenen Geltungsbereichs. Sie garantiert nicht, dass jedes Produkt frei von Schwachstellen ist, dass keine Vorfälle eintreten können oder dass jede Geschäftseinheit bewertet wurde. Ein Zertifikat, das einen Managed Service abdeckt, sollte nicht als Nachweis für ein davon unabhängiges Produkt dargestellt werden.

ISO und IEC veröffentlichen die Norm; sie zertifizieren Ihre Organisation nicht. Eine unabhängige Zertifizierungsstelle führt die Bewertung durch und trifft die Zertifizierungsentscheidung. Für die Vertrauensbildung bei Kunden empfiehlt es sich in der Praxis, eine für die betreffende ISMS-Zertifizierungstätigkeit akkreditierte Stelle zu wählen und zu bestätigen, dass deren Zertifizierung die Anforderungen der Käufer erfüllt.

Auch der Unterschied zwischen Konformität und Zertifizierung ist wichtig. Eine Organisation kann ein normkonformes ISMS umsetzen, ohne eine externe Zertifizierung anzustreben. Die Zertifizierung ergänzt eine unabhängige Bewertung und ein formelles Zertifikat. Der Kauf von Software, die Beschäftigung einer qualifizierten Implementiererin oder der Abschluss eines Schulungskurses verleiht der Organisation keine Zertifizierung.

Entscheiden Sie, ob die Zertifizierung das geschäftliche Problem löst

Eine Zertifizierung ist besonders relevant, wenn Beschaffungsanforderungen, vertragliche Zusagen, sensible Informationen oder betriebliche Abhängigkeiten eine unabhängige Bestätigung rechtfertigen. Sie ist keine allgemeine gesetzliche Pflicht für jedes Unternehmen.

Bitten Sie Vertrieb und Kundenbetreuung vor einer Festlegung, die tatsächliche Anforderung zu ermitteln. Verlangt der Käufer ein Zertifikat vor Vertragsunterzeichnung, vor dem Produktivzugang oder bei der Verlängerung? Muss es einen bestimmten Dienst oder eine bestimmte juristische Person abdecken? Wird der Käufer trotzdem einen Sicherheitsfragebogen, Testberichte oder zusätzliche vertragliche Maßnahmen verlangen?

Diese Antworten beeinflussen die Investitionsprioritäten. Ein Zertifikat kann die Beschaffung unterstützen, ersetzt aber nicht jede Due-Diligence-Prüfung. Planen Sie Umsätze nicht unter der Annahme, die Zertifizierung schließe die Sicherheitsprüfung jedes Kunden automatisch ab.

Trennen Sie die Zertifizierung von der regulatorischen Analyse. Ein ISMS kann Nachweise und Governance unterstützen, die für andere Pflichten relevant sind, doch eine Zertifizierung belegt keine Konformität mit der DSGVO oder NIS2. Diese Regelwerke haben eigene Anwendbarkeitsregeln und Pflichten. NIS2 wird durch nationales Recht umgesetzt; die Pflichten nach der DSGVO hängen von den Verarbeitungstätigkeiten und den Rollen der Organisation ab.

Die Entscheidungsgrundlage für die Leitung sollte daher drei Dinge benennen: die Bestätigung, die Kunden brauchen, die Informationsrisiken, die das Unternehmen steuern muss, und die laufenden Betriebskosten. Geben Sie das Programm auf dieser Basis frei, nicht auf das Versprechen eines Zertifikats zu einem willkürlichen Datum hin.

Ziehen Sie einen Geltungsbereich, den Kunden verstehen

Der Geltungsbereich beschreibt die Grenzen und die Anwendbarkeit des ISMS. Er sollte die relevanten Dienste, Organisationseinheiten, Standorte, Personen, Informationen, Systeme und Abhängigkeiten benennen. Außerdem muss er Schnittstellen zu Tätigkeiten außerhalb dieser Grenzen berücksichtigen.

Ein enger Geltungsbereich kann angemessen sein, besonders bei einer Ersteinführung. Er muss aber dennoch abbilden, was Kunden von der Abdeckung des Zertifikats erwarten. Wer das Team ausklammert, das den Produktivzugang verwaltet, beseitigt nicht dessen Einfluss auf einen Kundendienst im Geltungsbereich.

Betrachten Sie bei einer gehosteten Anwendung die gesamte Leistungskette: Entwicklung, Bereitstellung, Produktivbetrieb, Supportzugriff, Identitätsverwaltung, Datensicherungen und wesentliche externe Dienstleister. Gemeinsam genutzte Personal- oder IT-Prozesse können die Sicherheit beeinflussen, auch wenn sich der Geltungsbereich auf ein Produkt statt auf das gesamte Unternehmen konzentriert.

Eine praxistaugliche Dokumentation des Geltungsbereichs sollte folgende Fragen beantworten:

• Welche juristische Person betreibt den Dienst?
• Welche kundenseitigen Dienste und Informationen sind abgedeckt?
• Welche Standorte und Regelungen zum mobilen Arbeiten sind relevant?
• Welche Teams und gemeinsam genutzten Prozesse beeinflussen diese Dienste?
• Welche Lieferanten stellen Infrastruktur bereit oder verarbeiten relevante Informationen?
• Was liegt außerhalb der Grenze und wie werden die Schnittstellen gesteuert?

Testen Sie die vorgeschlagene Formulierung mit einer Kollegin oder einem Kollegen mit Kundenkontakt. Wenn sie nicht erklären können, ob der Dienst des Kunden abgedeckt ist, muss die Formulierung überarbeitet werden.

Optimieren Sie den Geltungsbereich nicht allein auf geringere Auditgebühren. Eine engere Grenze kann komplizierte Schnittstellen erzeugen und die geschäftliche Anforderung unbeantwortet lassen. Umgekehrt kann die sofortige Einbeziehung aller Konzerngesellschaften unnötigen Koordinationsaufwand verursachen. Die richtige Grenze ist begründbar, verständlich und betrieblich beherrschbar.

Dokumentieren Sie die Begründung und die Auslöser für eine Überprüfung, etwa die Übernahme eines Unternehmens, einen Infrastrukturumzug oder die Einführung eines wesentlich anderen Dienstes. Der Geltungsbereich sollte eine Entscheidung der Leitung bleiben, kein vergessener Absatz.

Geben Sie dem Programm Befugnisse, nicht nur eine verantwortliche Person

Benennen Sie eine Umsetzungsleitung und einen verantwortlichen Sponsor aus der Leitung. Beide haben unterschiedliche Aufgaben. Die Umsetzungsleitung koordiniert die Arbeit und sorgt für Transparenz; der Sponsor klärt Prioritäten, gibt Ressourcen frei und stellt sicher, dass die Sicherheitsziele zu den Geschäftsentscheidungen passen.

Die Verantwortung für Maßnahmen sollte der betrieblichen Entscheidungsbefugnis folgen. Die Personalabteilung kann für beschäftigungsbezogene Verfahren verantwortlich sein, die IT für das Gerätemanagement, die Entwicklung für Entwicklungspraktiken und der Einkauf für die Koordination der Lieferantenbewertung. Die Compliance-Leitung sollte nicht nominell für Prozesse verantwortlich werden, die sie nicht ändern kann.

Legen Sie fest, wer Restrisiken bis zu welcher Höhe akzeptieren darf. Eine Dienstverantwortliche kann empfehlen, ein begrenztes betriebliches Risiko zu akzeptieren, während ein Risiko für wichtige Kundenzusagen eine Freigabe durch die Geschäftsleitung erfordern kann. Dokumentieren Sie Entscheidung, Begründung, Bedingungen und Überprüfungsdatum.

Die Leitung muss außerdem Umsetzungskapazität schützen. Wer Arbeit zuweist, ohne Raum dafür zu schaffen, erzeugt absehbare Verzögerungen. Fragen Sie die Verantwortlichen nach dem erforderlichen Aufwand, nach Abhängigkeiten und Zielkonflikten und geben Sie dann einen realistischen Plan frei.

In der Managementbewertung bewertet die Leitung das System und trifft Entscheidungen über Verbesserungen, Änderungen und Ressourcen. Ein unterschriebenes Sitzungsprotokoll ohne nennenswerte Entscheidungen hat wenig praktischen Wert. Die Bewertung sollte offene Entscheidungen sichtbar machen und nicht bloß ein grünes Dashboard abnicken.

Verstehen Sie die Anforderungen, bevor Sie eine Checkliste kaufen

Die Anforderungen in den Kapiteln 4 bis 10 der ISO/IEC 27001 bilden den Kern des Managementsystems. Sie können nicht ausgeschlossen werden, wenn Konformität beansprucht wird. Ihre praktischen Ergebnisse sind etwas anderes als die Umsetzung einzelner Sicherheitsmaßnahmen.

Anhang A der Ausgabe 2022 enthält 93 Referenzmaßnahmen: 37 organisatorische, acht personenbezogene, 14 physische und 34 technologische Maßnahmen. Die Anwendbarkeit ist risikobasiert; es gibt keine allgemeingültige Zahl, die jedes Unternehmen umsetzen sollte.

Bestimmen Sie die für die Risikobehandlung erforderlichen Maßnahmen und gleichen Sie sie dann mit Anhang A ab, um sicherzustellen, dass keine erforderlichen Maßnahmen übersehen wurden. Maßnahmen können auch aus vertraglichen Anforderungen, anderen Quellen oder Ihrem eigenen Design stammen. Anhang A ersetzt weder die Risikobeurteilung, noch ist er ein vollständiger Katalog aller denkbaren Sicherheitsmaßnahmen.

Die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) dokumentiert die erforderlichen Maßnahmen, die Gründe für ihre Aufnahme, ihren Umsetzungsstand und die Begründung für den Ausschluss von Maßnahmen aus Anhang A. Sorgen Sie für ausreichende Nachvollziehbarkeit, um zu erklären, wie diese Entscheidungen mit der Risikobehandlung und anderen Anforderungen zusammenhängen.

ISO 27002 bietet Leitlinien zu Informationssicherheitsmaßnahmen; ISO 27001 liefert die zertifizierbaren Anforderungen an das Managementsystem. Nutzen Sie die Leitlinien, um Umsetzungsoptionen zu verstehen, passen Sie Verfahren aber an Ihre Organisation an, statt ein Betriebsmodell zu übernehmen, das Sie nicht durchhalten können.

Bauen Sie die Risikobehandlung auf, bevor Sie Nachweise zusammenstellen

Beginnen Sie mit einer wiederholbaren Methode der Risikobeurteilung. Legen Sie fest, wie Risiken identifiziert, wie Eintrittswahrscheinlichkeit und Auswirkungen bewertet, wie Ergebnisse verglichen werden und welche Kriterien über die Akzeptanz entscheiden. Eine einheitliche Auslegung ist wichtiger als eine komplizierte Bewertungsformel.

Beschreiben Sie Risiken als Szenarien. „Cloud-Risiko“ ist zu vage, um eine Entscheidung zu tragen. „Ein Administratorkonto wird kompromittiert und genutzt, um Kundendatensätze zu exportieren“ benennt ein Ereignis, die betroffenen Informationen und eine geschäftliche Folge.

Beziehen Sie Menschen ein, die den Dienst verstehen. Sie können bestehende Schutzvorkehrungen, Supportzugriffe, Lieferantenabhängigkeiten, Einschränkungen bei der Wiederherstellung und Behelfslösungen erklären, die eine generische Risikobibliothek übersehen kann. Eine praxistaugliche Struktur für die Dokumentation finden Sie in unserem Leitfaden zum betrieblichen Risikoregister.

Dokumentieren Sie für jedes wesentliche Risiko die verantwortliche Person, die Bewertung, die bestehenden Maßnahmen, die Behandlungsentscheidung, das Zielergebnis und die Bewertung des Restrisikos. Mögliche Behandlungsansätze sind die Verringerung des Risikos, der Verzicht auf eine Tätigkeit, die Teilung von Aspekten des Risikos oder dessen Akzeptanz nach festgelegten Kriterien. Versicherung oder Auslagerung beseitigen nicht jede Folge und jede Verantwortung.

Übersetzen Sie die Behandlung in verantwortete Arbeit. „Zugriffssicherheit verbessern“ ist kein umsetzbarer Plan. Benennen Sie die betroffenen Systeme, die erforderliche Änderung, die verantwortliche Person, die Abschlusskriterien und die Art, wie die Wirksamkeit bewertet wird.

Halten Sie diese Dokumente auseinander:

Sie sollten übereinstimmen, ohne Kopien voneinander zu werden. Hängt eine Behandlung von der Lieferantenüberwachung ab, ist die zugehörige Maßnahme aber ohne Erklärung ausgeschlossen, lösen Sie den Widerspruch vor der Auditvorbereitung.

Überprüfen Sie Risiken in geplanten Abständen und bei wesentlichen Änderungen. Ein neuer Supportdienstleister, eine erweiterte Datenerhebung, ein Vorfall oder eine größere Architekturänderung können eine frühere Entscheidung überholen.

Machen Sie Maßnahmen zum Teil des normalen Betriebs

Eine Richtlinie formuliert Erwartungen; ein Verfahren erklärt, wie die Arbeit abläuft; Betriebsaufzeichnungen belegen, was tatsächlich geschehen ist. Die Zertifizierungsvorbereitung braucht, wo relevant, alle drei.

So sollte eine Zugriffsrichtlinie beispielsweise mit einem umgesetzten Eintritts- und Austrittsprozess, stichprobenartig geprüften Zugriffsänderungen und einer Überprüfung von Ausnahmen verbunden sein. Ein Richtliniendokument allein lässt den größten Teil dieser Geschichte unbelegt.

Bauen Sie den Prozess um die tatsächlichen Verantwortlichkeiten herum auf. Klären Sie, wer Zugriff beantragt, wer ihn genehmigt, wer ihn einrichtet, was passiert, wenn sich die Rolle einer Person ändert, und wie Konten entfernt werden. Beziehen Sie Dienstkonten und externe Nutzer ein, soweit sie den Geltungsbereich betreffen.

Wenden Sie denselben Gedanken auf andere wichtige Prozesse an:

• Die Lieferantenbewertung sollte Kritikalität des Dienstes, Zugriff auf Informationen, vertragliche Erwartungen, Prüfergebnisse und offene Bedenken verbinden.
• Das Vorfallmanagement sollte Meldewege, Reaktionsverantwortlichkeiten, Eskalation, Wiederherstellung und Erkenntnisse verbinden.
• Datensicherung und Wiederherstellung sollten geschäftliche Anforderungen, geschützte Systeme, Wiederherstellungsverfahren, Testergebnisse und Folgearbeiten verbinden.
• Das Änderungsmanagement sollte Freigabe, Tests, Bereitstellungsaufzeichnungen, Notfalländerungen und Ausnahmen verbinden.

Physische und personenbezogene Maßnahmen bleiben auch in einer cloudbasierten Organisation wichtig. Mobiles Arbeiten, Geräteschutz, vertrauliche Gespräche, Veränderungen im Beschäftigungsverhältnis und Sensibilisierung lassen sich nicht abtun, nur weil die Server ausgelagert sind.

Legen Sie die Häufigkeit von Maßnahmen nach Risiko und betrieblichem Bedarf fest. Übernehmen Sie kein Versprechen einer vierteljährlichen Überprüfung in eine Richtlinie, wenn die verantwortliche Person sie nicht durchführen und dokumentieren kann. Eine Richtlinie, die einen Prozess beschreibt, dem niemand folgt, schafft eine vermeidbare Lücke zwischen Absicht und Umsetzung.

Gestalten Sie Nachweise für die Prüfung, nicht für die Menge

Gute Nachweise beantworten eine festgelegte Frage zu einer Anforderung oder Maßnahme. Ein großer Ordner voller Screenshots ist nicht grundsätzlich stärker als eine kleinere, gut erläuterte Sammlung verlässlicher Aufzeichnungen.

Legen Sie für jede wichtige Maßnahme Quellsystem, verantwortliche Person, Erhebungsmethode, Abdeckung, erwartete Häufigkeit und prüfende Person fest. Unterscheiden Sie Nachweise der Ausgestaltung von Nachweisen des Betriebs. Eine Identitätskonfiguration kann zeigen, dass Multi-Faktor-Authentisierung aktiviert ist; Genehmigungsaufzeichnungen und Zugriffsüberprüfungen belegen andere Aspekte der Zugriffssteuerung.

Nachweise sollten ihre Bedeutung klar erkennen lassen:

• Welchen Dienst, welches System oder welche Grundgesamtheit decken sie ab?
• Wann wurden sie erstellt und welchen Zeitraum bilden sie ab?
• Sind sie für die zu beurteilende Frage vollständig genug?
• Wer hat sie geprüft und welche Ausnahmen wurden festgestellt?
• Welche Folgemaßnahmen ergaben sich aus diesen Ausnahmen?

Bewahren Sie auch erfolglose Ergebnisse auf. Ein fehlgeschlagener Wiederherstellungstest mit dokumentierter Untersuchung, Behebung und erfolgreichem Wiederholungstest kann zeigen, dass Überwachung und Verbesserung funktionieren. Unbequeme Ergebnisse zu löschen schadet dem Nutzen der Dokumentation.

Schützen Sie Nachweise als eigenständige Informationen. Exporte können Angaben zu Beschäftigten, Kundenkennungen oder sensible Konfigurationen enthalten. Beschränken Sie den Zugriff, entfernen Sie unnötige Inhalte und legen Sie die Aufbewahrung anhand relevanter Pflichten und geschäftlicher Erfordernisse fest. Richten Sie für Auditoren einen kontrollierten Zugang ein, statt umfangreiche Archive leichtfertig zu verteilen.

Prüfen Sie die Bereitschaft mit internem Audit und Managementbewertung

Das interne Audit bewertet, ob das ISMS die anwendbaren Anforderungen erfüllt und wirksam umgesetzt und aufrechterhalten wird. Es sollte das Managementsystem abdecken und nicht bloß technische Einstellungen prüfen.

Planen Sie Auditumfang, Kriterien, Methoden und Berichterstattung. Wählen Sie kompetente Auditoren aus und wahren Sie Objektivität und Unparteilichkeit. Eine kleine Organisation kann externe Unterstützung oder geeignete funktionsübergreifende Regelungen nutzen, statt eine einzelne Person ihre gesamte eigene Arbeit bewerten zu lassen.

Aussagekräftige Audittests verfolgen einen Vorgang durch den Prozess. Wählen Sie den Austritt einer beschäftigten Person aus und prüfen Sie Benachrichtigung, Kontoentfernung, Umgang mit Geräten und Ausnahmen. Wählen Sie einen Lieferanten aus und prüfen Sie, ob seine Risikobeurteilung zu seinem tatsächlichen Zugriff passt. Wählen Sie eine Behandlungsmaßnahme aus und prüfen Sie, ob der gemeldete Abschluss betrieblich belegt ist.

Dokumentieren Sie Feststellungen präzise, einschließlich Anforderung, beobachteter Nachweise und Lücke. Reduzieren Sie das Audit nicht auf einen prozentualen Erfüllungsgrad, der fehlende Managementprozesse verdeckt.

Die Managementbewertung berücksichtigt anschließend die geforderten Eingaben, darunter Leistung, Auditergebnisse, Änderungen, Stand von Risikobeurteilung und -behandlung sowie Verbesserungsmöglichkeiten. Bereiten Sie eine knappe Entscheidungsvorlage vor und halten Sie unterstützende Unterlagen bereit. Erläutern Sie, wo die Leitung zwischen Behebung, zusätzlichen Ressourcen, geänderten Zielen oder einer freigegebenen Risikoakzeptanz wählen muss.

Trennen Sie bei Nichtkonformitäten die sofortige Korrektur von der Korrekturmaßnahme. Die Deaktivierung eines übersehenen Kontos korrigiert das unmittelbare Problem. Die Reparatur des Benachrichtigungsprozesses und die Prüfung späterer Austritte verhindern ein erneutes Auftreten. Dokumentieren Sie Ursache, Maßnahme, verantwortliche Person und Wirksamkeitsbewertung.

Verstehen Sie Stufe 1, Stufe 2 und die Zertifizierungsentscheidung

Die Erstzertifizierung umfasst üblicherweise zwei Auditstufen. Stimmen Sie Rahmenbedingungen, erwartete Unterlagen und Erwartungen an die Bereitschaft früh genug mit der Zertifizierungsstelle ab, um sinnvoll planen zu können.

Stufe 1 prüft Bereitschaft, Geltungsbereich und die Dokumentation des Managementsystems. Sie hilft der Stelle, die Organisation zu verstehen und die Vorbereitung auf Stufe 2 zu beurteilen. Rechnen Sie mit einer genauen Prüfung des Zusammenhangs zwischen Geltungsbereich, Risikobeurteilung, Behandlung, Erklärung zur Anwendbarkeit und Managementprozessen. Klären Sie festgestellte Bedenken, statt Stufe 1 als administrativen Buchungsschritt zu behandeln.

Stufe 2 bewertet Umsetzung und Wirksamkeit. Auditoren nutzen Interviews, Beobachtung und Stichproben, um zu prüfen, ob das ISMS wie beschrieben funktioniert. Mitarbeitende sollten ihre tatsächlichen Verantwortlichkeiten erklären können, statt einstudierte Antworten aufzusagen.

Halten Sie Anfragen während des Audits geordnet. Benennen Sie eine koordinierende Person, erfassen Sie Anfragen, ermitteln Sie die richtige verantwortliche Person und liefern Sie relevante Nachweise mit Kontext. Fehlt etwas, erklären Sie die Lage zutreffend. Erstellen Sie keine nachträglichen Aufzeichnungen, die fälschlich nahelegen, ein Prozess habe stattgefunden.

Eine Nichtkonformität bedeutet, dass eine Anforderung nicht erfüllt wurde. Hauptabweichungen beeinträchtigen die Fähigkeit des Managementsystems, seine beabsichtigten Ergebnisse zu erreichen; Nebenabweichungen haben diese Wirkung nicht. Die Einstufung hängt vom Kontext ab, sodass einer einzelnen fehlenden Aufzeichnung nicht vorab eine allgemeingültige Kategorie zugewiesen werden kann.

Die Zertifizierungsstelle legt Feststellungen, erforderliche Reaktionen, Verifizierungsmodalitäten und die Zertifizierungsentscheidung unabhängig fest. Klären Sie vorab ihre Fristen und Anforderungen an die Nachverfolgung. Die Empfehlung eines Auditors ist noch kein ausgestelltes Zertifikat, und ungelöste Feststellungen können die Entscheidung verzögern.

Nach der Zertifizierung umfasst ein typischer Zyklus Überwachungsaudits in den dazwischenliegenden Jahren und eine Rezertifizierung, bevor das dreijährige Zertifikat abläuft. Bestätigen Sie das konkrete Auditprogramm und die Bedingungen mit Ihrer Stelle. Überwachungsaudits sind keine Erlaubnis, das ISMS zwischen den Besuchen ruhen zu lassen.

Planen Sie Zeitplan und Budget entlang der Abhängigkeiten

Die Dauer hängt von Reifegrad, Geltungsbereich, offenen Risiken, Verfügbarkeit von Nachweisen, interner Kapazität und Terminplanung der Auditoren ab. Es gibt keinen allgemeingültigen Zeitraum für Betriebsnachweise nach ISO 27001, der jede Organisation automatisch bereit macht.

Fragen Sie die Zertifizierungsstelle, welche Stichproben sie in Ihrer Situation benötigt. Ein monatlich durchgeführter Prozess erzeugt andere Aufzeichnungen als eine jährliche Übung. Warten Sie nicht bis zur Auditbuchung, um festzustellen, dass eine wichtige Maßnahme nie durchgeführt wurde.

Trennen Sie Arbeit, die Sie beschleunigen können (Sammlung, Koordination, Entwürfe und Vorbereitung von Prüfungen), von Arbeit, die Umsetzung und nachgewiesenen Betrieb erfordert. Erledigen Sie unabhängige Aufgaben parallel, wahren Sie aber Abhängigkeiten: Eine Erklärung zur Anwendbarkeit lässt sich ohne Begründung der Maßnahmenauswahl nicht glaubwürdig fertigstellen, und Wirksamkeit lässt sich nicht allein anhand einer vorgeschlagenen Richtlinie bewerten.

Arbeiten Sie mit Bereitschaftsschwellen statt mit einem einzigen optimistischen Enddatum:

Budgetieren Sie internen Aufwand, Behebung, Werkzeuge, Schulungen, optionale Beratung und externe Bewertung. Berücksichtigen Sie Überwachungsaudits, Rezertifizierung und laufende Pflege, nicht nur die Rechnung für das erste Audit.

Bitten Sie Zertifizierungsstellen, ihre Annahmen zu Personal, Standorten, Tätigkeiten, Komplexität und Auditmodalitäten zu erläutern. Vergleichen Sie den gesamten Zyklus und die Gebühren für Nachverfolgung. Behandeln Sie ein niedriges Erstangebot nicht als die vollständigen Kosten für den Betrieb eines zertifizierten ISMS.

Rechenbeispiel: ein Dienst, ein tragfähiger Plan

Betrachten Sie als Beispiel ein Unternehmen mit 30 Beschäftigten, das einen gehosteten Dienst zum Teilen von Dokumenten betreibt. Angenommen, es verfügt bereits über Identitätsmanagement, Freigaben für Bereitstellungen und Datensicherungen, doch Lieferantenbewertungen und Aufzeichnungen zu Zugriffsüberprüfungen sind uneinheitlich. Der potenzielle Kunde wünscht eine Bestätigung für den gehosteten Dienst einschließlich des Supportzugriffs.

Die Leitung legt den Geltungsbereich auf den Dienst und die unterstützenden Entwicklungs-, Betriebs- und Supportprozesse fest. Sie dokumentiert die Schnittstellen zu Personalabteilung und gemeinsamer IT, statt deren Auswirkungen auf die Sicherheit auszuklammern. Der CEO ist Sponsor des Programms; eine Umsetzungsleitung koordiniert es; die Führungskräfte im Betrieb verantworten die Maßnahmen.

Das Team identifiziert ein Szenario, in dem übermäßige Supportberechtigungen Kundendokumente offenlegen. Die Behandlung umfasst eingeschränkte Supportrollen, genehmigte vorübergehende Rechteerweiterung, Zugriffsüberprüfungen und eine dem Dienst angemessene Überwachung. Die Erklärung zur Anwendbarkeit dokumentiert die erforderlichen Maßnahmen und ihren Umsetzungsstand.

Die für den Zugriff verantwortliche Person sammelt dann eine Rollenkonfiguration, stichprobenartig ausgewählte Genehmigungsaufzeichnungen, eine abgeschlossene Überprüfung und den Nachweis, dass bei dieser Überprüfung entdeckte übermäßige Berechtigungen entfernt wurden. Diese Aufzeichnungen belegen mehr als die bloße Existenz einer Zugriffsrichtlinie.

Beim internen Audit wird ein aktives Konto eines ausgeschiedenen externen Mitarbeiters gefunden. Das Team deaktiviert es, untersucht die versäumte Benachrichtigung von der Personalabteilung an die IT, ergänzt einen ausdrücklichen Beendigungsschritt für externe Mitarbeitende und prüft spätere Austritte, um die Wirksamkeit zu bewerten. Die Managementbewertung befasst sich mit der Feststellung, den verbleibenden Risiken und den Ressourcen für laufende Überprüfungen.

Nehmen Sie allein für die Budgetplanung an, dass acht Beteiligte zwölf Wochen lang jeweils zwei Stunden pro Woche aufwenden. Das sind 192 interne Stunden, noch vor fachlicher Behebung und Teilnahme am Audit. Dies ist eine beispielhafte Kapazitätsrechnung, keine Marktschätzung und kein Zertifizierungsversprechen.

Die Lehre betrifft die Führung: Weisen Sie Arbeit Menschen mit Befugnissen zu, reservieren Sie Kapazität und machen Sie die Bereitschaft von Nachweisen abhängig. Bestehende technische Schutzvorkehrungen verringern einen Teil der Umsetzungsarbeit, ersetzen aber weder Risikoentscheidungen noch internes Audit oder Managementbewertung.

Automatisieren Sie wiederholbare Arbeit und bewahren Sie das Urteil

Automatisierung kann Inventaraktualisierungen, Nachweissammlung, Erinnerungen, technische Prüfungen und Berichte unterstützen. Priorisieren Sie wiederkehrende Arbeit mit verlässlichen Quelldaten und einer klar benannten prüfenden Person, statt einen unklaren Prozess zu automatisieren.

Eine automatisierte Prüfung braucht eine festgelegte Abdeckung und Fehlerbehandlung. Wenn eine Anbindung keine Daten mehr sammelt, unterscheiden Sie „kein Problem festgestellt“ von „keine aktuellen Daten“. Bestätigen Sie, dass die Quelle die relevanten Systeme, Konten oder Standorte abdeckt, bevor Sie sich auf das Ergebnis verlassen.

Halten Sie menschliches Urteil ausdrücklich fest bei Risikoakzeptanz, Anwendbarkeit von Maßnahmen, Schlussfolgerungen aus Nachweisen und Entscheidungen der Leitung. Eine Konfigurationsprüfung kann zeigen, dass Verschlüsselung aktiviert ist; sie belegt nicht, dass Schlüsselzugriff, Wiederherstellung und außergewöhnliche Datenwege angemessen gesteuert werden.

Ebenso kann Workflow-Automatisierung Anfragen und Feststellungen des internen Audits ordnen, liefert aber weder Auditkompetenz noch Unabhängigkeit. KI-generierte Zusammenfassungen und Zuordnungen sollten Entwürfe bleiben, bis eine prüfende Person die Quellen kontrolliert und die Schlussfolgerungen freigegeben hat.

Messen Sie sowohl Effizienz als auch Wirksamkeit: Zeitaufwand für die Nachweisvorbereitung, überfällige Korrekturmaßnahmen, unvollständige Abdeckung, wiederholte Fehler und die Zeit bis zur Klärung wichtiger Ausnahmen. Unser Leitfaden zu ISMS-Kennzahlen erklärt, wie Kennzahlen für Entscheidungen der Leitung nützlich werden.

Halten Sie die Verantwortung nach der Zertifizierung lebendig

Legen Sie den Pflegekalender fest, bevor das Zertifikat eintrifft. Praktische Empfehlungen sind regelmäßige Kontrollen durch die Verantwortlichen, durch wesentliche Änderungen ausgelöste Risikoüberprüfungen, geplante Bewertungen von Maßnahmen, interne Audits, Managementbewertungen und die Vorbereitung externer Bewertungen. Wählen Sie die Häufigkeiten nach Prozess und Risiko, statt jede Tätigkeit monatlich anzusetzen.

Weisen Sie Verantwortlichkeiten neu zu, wenn Mitarbeitende wechseln oder ausscheiden. Überprüfen Sie Geltungsbereich und Anwendbarkeit von Maßnahmen, wenn sich das Geschäft verändert. Verfolgen Sie wiederkehrende Ausnahmen: Wiederholt verspätete Zugriffsentzüge deuten auf ein Prozessproblem hin, auch wenn jeder Einzelfall irgendwann abgeschlossen wird.

Secani unterstützt diesen Ablauf, indem es Anforderungen, Maßnahmen, Nachweise, Verantwortliche, Aufgaben und Prüfentscheidungen in einem gemeinsamen Arbeitsbereich verbindet. Beginnen Sie mit einem repräsentativen Dienst, modellieren Sie dessen Systeme und Abhängigkeiten, verknüpfen Sie vorhandene Nachweise mit dem, was sie belegen, und machen Sie Lücken zu zugewiesenen Aufgaben. Prüfen Sie KI-gestützte Vorschläge anhand ihrer Quellen und bewahren Sie menschliche Freigaben und die Entscheidungshistorie. So behält das Team auch bei sich ändernden Systemen, was es während der Zertifizierung gelernt hat; die Zertifizierung bleibt die Entscheidung der unabhängigen Stelle.

Fragen, die den Umsetzungsplan verändern

Verlangt ISO 27001 einen Penetrationstest?

Es gibt keinen allgemeingültigen Abschnitt der ISO 27001, der jede Organisation zu einem Penetrationstest verpflichtet. Welche Tests erforderlich sind, hängt von Risikobehandlung, anwendbaren Maßnahmen, Eigenschaften des Dienstes und vertraglichen Anforderungen ab. Wo Tests nötig sind, legen Sie Abdeckung, Behebung und Wiederholungstests fest, statt nur einen Bericht aufzubewahren.

Sollten wir stattdessen SOC 2 anstreben?

Fragen Sie, was Kunden verlangen und welchen Umfang sie erwarten. SOC 2 führt zu einem Prüfbericht (Attestation Report); ISO 27001 führt zur Zertifizierung eines Managementsystems. Manche Betriebsnachweise lassen sich wiederverwenden, doch keines von beiden lässt sich automatisch in das andere überführen. Bewerten Sie die jeweiligen Anforderungen, bevor Sie sich auf beides festlegen.

Brauchen wir eine externe Beratung?

Nicht unbedingt. Externe Unterstützung kann bei Auslegungsfragen, Kapazitätsengpässen oder speziellem Fachbedarf helfen. Behalten Sie die Verantwortung intern und stellen Sie sicher, dass Verfahren auch nach Ende des Auftrags nutzbar bleiben. Eine Qualifikation als Implementierer oder Auditor zertifiziert nicht den Arbeitgeber der betreffenden Person.

Beginnen Sie mit einer Entscheidung und einer Nachweiskette

Geben Sie einen kurzen Umsetzungsauftrag frei, der den geschäftlichen Bedarf, den beabsichtigten Geltungsbereich, Sponsor, Umsetzungsleitung, Maßnahmenverantwortliche, Kapazität und Bereitschaftsschwellen festhält. Nehmen Sie dann einen wichtigen Dienst und verfolgen Sie eine Maßnahme von der Anforderung über Risikobehandlung, Umsetzung und Nachweis bis zur Überprüfung.

Diese erste Nachverfolgung deckt unklare Verantwortlichkeiten und fehlende Aufzeichnungen auf, bevor sie sich vervielfachen. Nutzen Sie unsere ISO-27001-Checkliste, um die übrige Arbeit zu ordnen, und halten Sie dabei die Anforderungen an das Managementsystem und die Anwendbarkeit von Maßnahmen auseinander.

Ein dauerhaftes ISMS macht Sicherheitsentscheidungen überprüfbar und wiederholbar. Die Zertifizierung erkennt das System innerhalb seines Geltungsbereichs an; die Leitung hält es in Betrieb, wenn das Auditteam gegangen ist.