Kaum jemand führt ISO 27001 ein, weil er will. Es fängt mit einem Fragebogen an, den ein Kunde schickt, oder mit einer Ausschreibung, in der das Zertifikat als Bedingung steht. Dann steht die Frage im Raum, wer das eigentlich machen soll.
Nicht an der Norm. An dem, was zwischen dem Beschluss und dem Audit liegt.
Die Vorlagensammlung aus dem Netz
Sechzig Dokumente, die nichts beschreiben.
Ein gekauftes ISMS-Paket liest sich am ersten Tag wie eine Abkürzung. Im Audit fragt der Prüfer nicht nach der Richtlinie, sondern nach dem Nachweis, dass ihr sie lebt. Ein Dokument, das eure Wirklichkeit nicht trifft, ist im Audit schlechter als keins.
Der Beauftragte ohne Zeit
Die Rolle bekommt jemand, der schon einen Job hat.
Meistens die IT-Leitung. Damit prüft dieselbe Person die Systeme, die sie selbst betreibt, und macht das neben dem Tagesgeschäft. Das hält bis zum ersten größeren Vorfall.
Anhang A.8 bleibt liegen
34 Controls, und jeder einzelne braucht Technik.
Richtlinien schreiben sich vergleichsweise schnell. Protokollierung, Konfigurationsmanagement, Netztrennung, Kryptografie und Schwachstellenverwaltung schreiben sich nicht, die müssen gebaut werden. Genau da bleibt es stehen.
Das Zieldatum aus der Ausschreibung
Der Kunde nennt den Termin, nicht ihr.
Zwischen Kickoff und Zertifikat liegen Stufe 1, Stufe 2 und die Korrektur der Abweichungen. Wer erst anfängt, wenn der Deal schon am Zertifikat hängt, verliert den Deal oder die Qualität.
Nach dem Zertifikat hört es auf
Das Überwachungsaudit kommt nach zwölf Monaten.
Das Zertifikat gilt drei Jahre, aber nur mit jährlichen Überwachungsaudits. Ein ISMS, das nach der Zertifizierung einschläft, fällt im zweiten Jahr auf, und dann ist die Arbeit doppelt.
NIS2 und TISAX kommen dazu
Drei Rahmen, dreimal dieselbe Arbeit.
Wer ISO 27001 aufbaut, ohne die anderen Anforderungen zu kennen, die auf die Firma zukommen, baut sie ein zweites Mal. Die Überschneidung ist groß, und sie lässt sich nur nutzen, wenn man sie vorher kennt.
Die Richtlinie schreibt sich an einem Tag. Anhang A.8 nicht.
Der Anhang A der ISO/IEC 27001:2022 führt 93 Controls in vier Gruppen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Die ersten drei Gruppen sind überwiegend Beschreibung, Zuständigkeit und Nachweis. Die vierte ist Infrastruktur.
A.8 verlangt zentrale Protokollierung mit Aufbewahrung, Konfigurationsmanagement, getrennte Netze, verwaltete Zugriffsrechte, Schwachstellenmanagement, dokumentierte Kryptografie und Schutz vor Schadsoftware auf jedem Gerät. Das sind keine Dokumente, das sind Systeme. Wir bauen sie ohnehin, für Kunden, die nie ein Zertifikat anstreben, und deshalb ist der A.8-Teil bei uns der kürzere und nicht der längere.
Alle 34 Controls aus A.8 auf Werkzeuge und Nachweise abgebildet
Auf Wunsch stellen wir den externen Informationssicherheitsbeauftragten
Die Überschneidung mit NIS2 und TISAX wird einmal gebaut, nicht dreimal
Alle 93 Controls gegen den Ist-Zustand. Am Ende steht eine Liste, in der zu jedem Control steht: erfüllt, teilweise, offen, und was fehlt.
2. SchrittGeltungsbereich und Risiken
Was gehört ins ISMS und was nicht. Der Geltungsbereich ist die wichtigste Entscheidung des ganzen Projekts, weil er über den Aufwand der nächsten drei Jahre bestimmt.
3. SchrittA.8 bauen
Protokollierung, Konfigurationsmanagement, Netztrennung, Berechtigungen, Schwachstellen, Verschlüsselung. Das ist der Teil, den wir selbst umsetzen und nicht nur beschreiben.
4. SchrittDokumentation und SoA
Erklärung zur Anwendbarkeit, Richtlinien, Verfahren, Nachweise. Geschrieben nach eurer Wirklichkeit, nicht nach einer Vorlage.
5. SchrittAudit begleiten
Internes Audit, Managementbewertung, dann Stufe 1 und Stufe 2 beim Zertifizierer. Wir sitzen dabei und beantworten die technischen Fragen.
Womit die Controls belegt werden.
Ein Auditor fragt nicht, ob ihr protokolliert. Er fragt, wo, wie lange und wer hineinsieht. Diese Antworten kommen aus Systemen, die laufen müssen, bevor jemand sie beschreiben kann. Wir betreiben sie im Tagesgeschäft und kennen den Nachweis, den der Prüfer sehen will.
Beratung allein und Beratung mit Umsetzung.
Reine ISMS-BeratungMit uns
Reine ISMS-Beratung
A.8 steht in der Empfehlung, gebaut wird es woanders
Mit uns
A.8 bauen wir selbst, mit denselben Leuten
Reine ISMS-Beratung
Vorlagenpaket, das auf jede Firma passt
Mit uns
Dokumente nach eurem Geltungsbereich
Reine ISMS-Beratung
Zwei Dienstleister, die sich gegenseitig zitieren
Mit uns
Ein Ansprechpartner für Norm und Technik
Reine ISMS-Beratung
Nach dem Zertifikat endet der Vertrag
Mit uns
Die Überwachungsaudits laufen mit
Reine ISMS-Beratung
NIS2 und TISAX sind ein neues Projekt
Mit uns
Die Überschneidung wird von Anfang an mitgedacht
Vier Anlässe, aus denen ISO 27001 plötzlich dringend wird.
01
Der Sicherheitsfragebogen eines Enterprise-Kunden
Vierzig Fragen zu Protokollierung, Zugriffsrechten und Vorfallbehandlung. Mit einem gebauten A.8 sind die meisten davon eine Verweisfrage statt einer Projektfrage.
02
Medizintechnik und regulierte Produkte
Wer Geräte oder Software in ein reguliertes Umfeld liefert, muss den eigenen Entwicklungs- und Betriebsprozess belegen. ISO 27001 ist dort selten Kür und meistens Eintrittskarte.
03
Due Diligence vor der Finanzierungsrunde
Bei der Prüfung wird nach einem Reifegrad gefragt, den man zeigen können muss. Ein laufendes ISMS beantwortet die Frage in einem Termin statt in sechs Wochen Nacharbeit.
04
NIS2 trifft die Lieferkette
Betroffene Unternehmen geben ihre Anforderungen an Zulieferer weiter. Wer dann schon ein ISMS hat, beantwortet die Anfrage. Wer nicht, fängt unter Zeitdruck an.
Für welche Unternehmen sich ISO 27001 lohnt, und für welche nicht.
PasstPasst nicht
Ein Kunde, ein Auditor oder eine Ausschreibung verlangt das Zertifikat
Ihr habt bereits ein eigenes Sicherheitsteam mit ISMS-Erfahrung
Zwanzig bis dreihundert Leute, die IT ist überschaubar gewachsen
Weniger als zehn Leute ohne konkreten Anlass
Der technische Teil ist die eigentliche Baustelle
Ihr sucht nur einen Zertifizierer, keine Umsetzung
NIS2 oder TISAX stehen absehbar auch an
Das Zertifikat soll ohne Änderung am Betrieb entstehen
Ein Kunde, der genau das gemacht hat.
Northh MedicalMedizintechnik, Hamburg
Ausgangslage
Northh Medical baut EKG-Geräte.
Hindernis
In der Medizintechnik sind die Anforderungen an Sicherheit und Nachweise hoch, und sie treffen den eigenen Betrieb genauso wie das Produkt.
Ergebnis
Wir statten Firewalls, Netzwerk und Microsoft 365 aus. Ein Setup. Damit sind sie für die ISO-27001-Zertifizierung aufgestellt.
Die Gap-Analyse zeigt, wie weit ihr wirklich seid.
Die meisten Firmen erfüllen mehr Controls, als sie glauben, und können weniger davon belegen, als sie denken. Genau diese beiden Zahlen kommen im Erstgespräch heraus.
Klauke Enterprises betreibt Informationssicherheit nicht als Beratungsprodukt, sondern im Tagesgeschäft: Firewalls, Verzeichnisdienste, Protokollierung, Sicherung und Endgeräteschutz für über 150 Mittelständler und 3.500 Geräte. Was in der ISO-Begleitung entsteht, ist deshalb keine Empfehlung an einen Dritten, sondern etwas, das wir selbst aufbauen und danach betreiben.
Sechs Wochen bis zur Auditreife, für einen Mittelständler mit klar gezogenem Geltungsbereich. Den Termin für das Zertifizierungsaudit setzt der Zertifizierer, nicht wir.
Tag 0Erstgespräch
Anlass, Zieldatum, Geltungsbereich. Eine Stunde.
Woche 1Gap-Analyse
93 Controls gegen den Ist-Zustand, mit Aufwandsschätzung.
Erklärung zur Anwendbarkeit, Richtlinien, Nachweise, Schulung.
Woche 6Internes Audit
Eigene Prüfung und Managementbewertung. Danach seid ihr auditreif.
danachZertifizierungsaudit
Stufe 1 und Stufe 2 beim Zertifizierer. Wir sitzen dabei.
Was Geschäftsführer vor einer Zertifizierung fragen.
Was kostet eine ISO-27001-Zertifizierung?
Es sind zwei Rechnungen. Die eine stellt der Zertifizierer, und sie hängt an der Zahl der Beschäftigten im Geltungsbereich und an der Zahl der Standorte. Die andere ist der Aufbau: Gap-Analyse, Umsetzung, Dokumentation, Begleitung. Der zweite Teil hängt fast vollständig davon ab, wie viel schon steht, und steht nach der Gap-Analyse im Angebot.
Wie lange dauert das?
Unser Teil sind rund sechs Wochen: Gap-Analyse, Anhang A.8 bauen, Dokumentation, internes Audit. Danach seid ihr auditreif. Wie schnell es dann weitergeht, hängt am Terminkalender des Zertifizierers und an der Zeit zwischen Stufe 1 und Stufe 2. Länger wird unser Teil vor allem dann, wenn der Geltungsbereich zu groß gewählt wurde, und das ist der häufigste Grund.
Lohnt sich ISO 27001 für kleine Unternehmen?
Wenn es einen Anlass gibt, ja. Ein Kunde, der das Zertifikat verlangt, eine Ausschreibung oder eine Lieferkette, die unter NIS2 fällt, sind Anlässe. Ohne Anlass ist ein schlankes Sicherheitskonzept ohne Zertifikat meistens das bessere Geschäft, und das sagen wir auch.
Was ist Anhang A.8 und warum redet ihr ständig davon?
Anhang A der ISO/IEC 27001:2022 führt 93 Controls in vier Gruppen. A.8 ist die technologische Gruppe mit 34 Controls: Zugriffsrechte, Authentifizierung, Schadsoftware, Konfigurationsmanagement, Protokollierung, Überwachung, Netzwerksicherheit, Kryptografie und weitere. Diese Gruppe lässt sich nicht beschreiben, sie muss gebaut werden, und genau dort scheitern die meisten Projekte.
Braucht es einen Informationssicherheitsbeauftragten, intern oder extern?
Die Norm verlangt keine Rolle mit diesem Namen, sie verlangt zugewiesene Verantwortung. In der Praxis benennt fast jedes Unternehmen jemanden. Intern funktioniert das, wenn die Person Zeit hat und nicht die Systeme betreibt, die sie prüft. Wo beides nicht gegeben ist, stellen wir den Beauftragten extern.
Wie hängen ISO 27001, NIS2 und TISAX zusammen?
ISO 27001 ist eine Norm mit Zertifikat, NIS2 eine EU-Richtlinie, die über nationales Recht Pflichten auslöst, TISAX ein Prüfverfahren der Automobilbranche auf Basis eines eigenen Katalogs. Die Überschneidung ist groß: ein sauber aufgebautes ISMS deckt einen erheblichen Teil der NIS2-Anforderungen mit ab und ist die übliche Grundlage für TISAX. Dreimal getrennt aufgebaut wird es teuer, einmal gemeinsam geplant nicht.
Wie lange gilt das Zertifikat?
Drei Jahre, mit jährlichen Überwachungsaudits. Fällt ein Überwachungsaudit aus oder werden Abweichungen nicht behoben, kann das Zertifikat ausgesetzt oder entzogen werden. Deshalb endet unsere Begleitung nicht mit Stufe 2.
Müssen wir dafür die IT zu euch geben?
Nein. Wir begleiten auch Unternehmen, deren IT ein anderer betreut. Der A.8-Teil dauert dann länger, weil jede Änderung über einen Dritten läuft, und das sagen wir vorher.
Ein Erstgespräch, eine Stunde, ohne Kosten. Danach wisst ihr, welcher Geltungsbereich zu eurem Anlass passt und wo der technische Aufwand wirklich liegt.
