Viele glauben, dass es bei ISO 27001 so läuft: „Wir führen ein paar Richtlinien ein, und schon sind wir bereit für die Zertifizierung” – doch in den ersten Wochen stellt sich dann heraus, dass sich der tägliche Betrieb tatsächlich zu verändern beginnt. In diesem Abschnitt beschäftigen wir uns nicht mit Definitionen, sondern mit den Veränderungen, die in der Praxis am schnellsten zutage treten: Wo wird es mehr Abstimmungen geben, was muss plötzlich geklärt werden und warum taucht das Thema Dokumentation immer wieder auf? Das Ziel ist einfach: Sie sollen im Voraus wissen, worauf Sie sich einstellen müssen und wie Sie diese „unangenehmen” Veränderungen zum Vorteil Ihres Unternehmens nutzen können. (Im Hintergrund wirkt dabei stets dieselbe Logik: risikobasierte Entscheidungen + nachweisbare, wiederholbare Abläufe.)
Fangen wir ganz von vorne an
Der Kern der Norm ISO/IEC 27001:2022 besteht darin, dass Sie Ihre Entscheidungen nicht „aus dem Bauch heraus” treffen: Sie legen Ihre Prioritäten auf der Grundlage einer Risikobewertung fest, setzen das, wozu Sie sich verpflichtet haben, konsequent um und überprüfen es von Zeit zu Zeit. Die Dokumentation ist hier keine Aufgabe, die man einfach abhaken kann, sondern ein Instrument: Die dokumentierten Informationen und Aufzeichnungen (Nachweise) zeigen, dass das Unternehmen wiederholbar, kontrolliert und sicher arbeitet.
Drei Veränderungen in den ersten Wochen
1) Zuständigkeitsbereich und Verantwortlichkeiten (nicht nur im IT-Bereich)
Was ändert sich? Eines der allerersten greifbaren Ergebnisse ist der dokumentierte Geltungsbereich (Scope) des ISMS: Man legt fest, auf welche Standorte, Systeme, Prozesse und Informationen sich das System (und später auch das Audit) erstreckt und warum. Parallel dazu werden die Rolle der Geschäftsleitung und die Verantwortlichkeiten im Bereich der Informationssicherheit festgelegt: Wer hat welche Aufgaben, wer entscheidet, wer genehmigt, wer übernimmt die Verantwortung?.
Der „Nachteil”: Es stellt sich schnell heraus, dass einige Dinge bisher „allen gehörten” und daher eigentlich niemandem gehören (z. B. die Genehmigung von Zugriffen, die Verwaltung von Lieferanten, die Kommunikation bei Vorfällen usw.).
Der positive Effekt: Ein klarerer Entscheidungsprozess, weniger Missverständnisse und schnellere Reaktionen. Vor allem dann, wenn es Probleme gibt oder wenn jemand wegen Urlaub oder Krankheit ausfällt.
Hier ist ein konkretes Beispiel dafür, wie das in der Praxis aussieht und welchen Nutzen es hat:
- Entscheidung: das CRM Systemeigentümer (z. B. Vertriebsleiter) entscheidet, welche Rolle der neue Mitarbeiter übernehmen soll (z. B. „Vertriebsmitarbeiter” vs. „Teamleiter”), da er weiß, was für die Arbeit erforderlich ist und was als zu “weit gefasster” Zuständigkeitsbereich gilt.
- Genehmigung: Der Systembetreiber genehmigt den Zugriff; im Falle einer Ausnahme (z. B. Administratorrechte) kann der ISMS-Beauftragte bzw. der Informationssicherheitsbeauftragte als zusätzlicher Genehmiger fungieren (da es sich hierbei um eine risikobehaftete Entscheidung handelt).
- Durchführung: Der IT-/Service-Desk richtet die Berechtigungen entsprechend der angeforderten Rolle ein und hält in einem Ticket fest, wer wann welche Maßnahmen genehmigt hat (die Zuweisung von Rollen/Verantwortlichkeiten und Berechtigungen ist Teil der Logik nach ISO 27001).
Und was bringt das? Die IT-Abteilung muss nicht raten (schnelleres Onboarding), das Risiko einer zu weitreichenden Berechtigungsvergabe ist geringer (das Missbrauchsrisiko sinkt), bei Austritt funktioniert derselbe Ablauf auch rückwärts (schnelleres Offboarding), und im Streitfall oder bei einem Audit lässt sich nachvollziehen, wer die Entscheidung getroffen hat, wer die Einstellungen vorgenommen hat und auf welcher Grundlage.
Das Ergebnis: weniger Risiken, mehr Belege, schnellere Entscheidungsprozesse und weniger Rechtsstreitigkeiten aufgrund von Missverständnissen.
2) Risikomanagement + SoA (endlich gibt es etwas, worauf man zurückgreifen kann)
Was ändert sich? Sie müssen über eine Methodik zur Risikobewertung verfügen (wie Sie messen, auf welcher Skala, wie oft) und die Ergebnisse dokumentieren. Zum Risikomanagement gehört es, dass Sie die Kontrollmaßnahmen auswählen, das „Statement of Applicability“ (SoA – auf Deutsch: Anwendbarkeitserklärung) erstellen und den Risikomanagementplan aufstellen (was Sie tun, bis wann, wer dafür verantwortlich ist).
Das „Abenteuer”: Entscheidungen nach dem Motto „Wir machen das so, weil wir es immer so gemacht haben” reichen für sich genommen nicht aus; es bedarf einer Begründung, und manchmal muss man auch offen zugeben, dass man ein gewisses Risiko bewusst in Kauf nimmt und nicht sofort dagegen vorgeht. (Zum Beispiel, weil die Bewältigung dieses Risikos kostspieliger ist als der Schaden, den es verursachen könnte.)
Das Positive: Das SoA und das Risikoregister sind wie eine Landkarte: Bei einem neuen Kunden, einem neuen System, einem neuen Lieferanten, einem Audit oder einer Frage der Geschäftsleitung diskutiert ihr nicht aus dem Gedächtnis heraus, sondern greift darauf zurück, um zu begründen, warum ihr euch so entschieden habt.
Wie sieht das in der Praxis aus?
Nehmen wir einmal an, dass in der MS365-Umgebung des Unternehmens derzeit keine MFA (Multi-Faktor-Authentifizierung) für E-Mail-Konten vorgeschrieben ist. In diesem Fall ist die Wahrscheinlichkeit einer Kontoübernahme höher, was zur Manipulation von Zahlungsgenehmigungen und Überweisungen (BEC) sowie zum Verlust vertraulicher Unternehmensdaten führen kann.
- Risikoverantwortlicher: Finanzleiter (geschäftliche Auswirkungen) und IT-Leiter (technische Verantwortung).
- Entscheidung: Wir gehen mit dem Risiko um (wir akzeptieren es nicht).
- Maßnahme: Innerhalb von 30 Tagen ist MFA für alle Konten verpflichtend; Deaktivierung der alten Authentifizierungsmethode; Aufhebung der gemeinsam genutzten Konten.
- Verantwortlicher / Frist: IT-Leiter, 30 Tage.
Das heißt, wir haben ein konkretes Risiko identifiziert, die Verantwortlichen benannt, eine Entscheidung zu dessen Bewältigung getroffen und einen einfachen Aktionsplan mit Fristen und Verantwortlichen erstellt. Das hilft später, denn wir haben nicht nur „etwas eingeführt”, sondern es lässt sich auch nachvollziehen, warum wir uns so entschieden haben, wann, wer es genehmigt hat und was belegt, dass die Kontrolle tatsächlich funktioniert.
3) „Es muss mehr dokumentiert werden” – ja, aber genau dadurch wird es skalierbar
Was ändert sich? Die Norm 27001 verlangt, dass Sie die dokumentierten Informationen verwalten (z. B. Version, Freigabe, Zugriff, Aufbewahrung) und nachweisen können, dass die erforderlichen Aufzeichnungen vorhanden sind (z. B. Kompetenz, Überwachungsergebnisse, interne Audits, Managementbewertung) vorliegen. In der Praxis führt dies zu einer Logik des „Dokumentenlebenszyklus”: Dadurch lässt sich leicht unterscheiden, was eine Richtlinie, was ein Verfahren, was eine Arbeitsanweisung und was lediglich ein einfacher Beleg (Protokoll, Ticket, Screenshot) ist.
Der „Nachteil”: Anfangs wird es etwas langsamer vorangehen, da Vorlagen, Zuständige und ein minimales Genehmigungsverfahren eingerichtet werden müssen.
Das Positive: Wenn das Unternehmen wächst, neue Mitarbeiter hinzukommen oder jemand das Unternehmen verlässt, bleibt das Wissen nicht nur in den Köpfen der Mitarbeiter; die Veränderungen lassen sich nachvollziehen, und auch das Audit wird kein „Panikprojekt”.
Das sind nur einige Beispiele für die Veränderungen, die im Leben einer Organisation auftreten, wenn sie beginnt, sich mit ISO 27001 auseinanderzusetzen. Wir haben diese Beispiele bewusst allgemein gehalten, hoffen jedoch, dass sie Ihnen dabei geholfen haben, sich ein Bild davon zu machen, mit welchen Veränderungen Sie in etwa rechnen müssen, wenn Sie mit dem Aufbau und Betrieb eines Systems nach ISO 27001 beginnen.
Auf den ersten Blick mag es komplex und schwer nachvollziehbar erscheinen, doch mit der Zeit entwickelt es sich zu einem gut übersichtlichen Rahmenwerk, das Ordnung in die Entscheidungsfindung und den täglichen Betrieb bringt. Dies führt in der Regel nicht nur zu mehr Sicherheit, sondern auch zu schnelleren Abläufen, einem einfacheren Wissenstransfer, einem stabileren Betrieb und einem besser vorhersehbaren Wachstum. Wenn Sie diese Schritte nach und nach umsetzen, kann Ihr Unternehmen auf stabilere Grundlagen gestellt werden, und auch das Wachstum lässt sich deutlich besser steuern.
Wenn Sie diesen Prozess souverän und angepasst an die Größe und die Arbeitsweise Ihres Unternehmens aufbauen möchten, kann Manawize Ihnen auch dabei helfen: dabei, dass die Umgestaltung Ihrer Prozesse nicht nur „auf dem Papier” stattfindet, sondern zu einem tatsächlich funktionierenden, stabilen System wird – und zwar so, dass Sie dabei die kosteneffizientesten und optimalsten Entscheidungen treffen können.
Wenn dir der Artikel gefallen hat oder du die Informationen nützlich fandest, folge uns auch auf unserem Blog und in den sozialen Medien, damit du die nächsten Folgen nicht verpasst.
