Wie Sie ein ISMS im Unternehmen einführen

Ein Projekt zur Einführung eines Managementsystems benötigt einen erkennbaren Auftrag. Darin stehen der Anlass, das erwartete Ergebnis und die verantwortliche Leitung. „Mehr Sicherheit“ ist als Ziel zu unbestimmt. Beschreiben Sie stattdessen, welche Entscheidungen künftig verlässlich möglich sein sollen. Das kann die Bewertung wichtiger Betriebsrisiken oder die nachvollziehbare Steuerung von Schutzmaßnahmen sein. Wenn eine externe Prüfung den Anlass bildet, wird deren geplanter Umfang ebenfalls festgehalten.

Klären Sie früh, welche Zeit die beteiligten Personen tatsächlich aufbringen können. Eine zusätzliche Aufgabe ohne verfügbare Kapazität führt schnell zu Unterlagen, die nach der ersten Erstellung liegenbleiben. Die Verantwortung für das Gesamtvorhaben und die fachliche Mitarbeit werden deshalb getrennt benannt. Fachbereiche liefern Informationen zu ihren Prozessen. Die IT erklärt technische Abhängigkeiten. Die Leitung entscheidet über Prioritäten und Ressourcen.

Der Auftrag sollte auch den Umgang mit offenen Entscheidungen regeln. Wenn Fachbereiche unterschiedliche Anforderungen stellen, braucht es einen benannten Entscheidungsweg. Damit werden Konflikte bearbeitbar, bevor sie die gesamte Einführung verzögern.

Der Geltungsbereich beschreibt, welche organisatorischen Einheiten, Prozesse und Informationen betrachtet werden. Beginnen Sie mit einer verständlichen Beschreibung Ihrer Leistungen. Welche Abläufe müssen funktionieren, damit Sie Ihre Verpflichtungen erfüllen können? Anschließend werden die dafür benötigten Anwendungen, Personen und externen Leistungen zugeordnet. Eine reine Serverliste erklärt diesen Zusammenhang noch nicht. Sie wird erst im Bezug zu den Geschäftsprozessen aussagekräftig.

Achten Sie besonders auf Schnittstellen. Ein ausgelagerter Dienst kann außerhalb Ihrer direkten technischen Kontrolle liegen und trotzdem für einen betrachteten Prozess entscheidend sein. Seine Bedeutung verschwindet nicht durch die Auslagerung. Ebenso können gemeinsam genutzte Personalprozesse oder zentrale Anmeldedienste mehrere Bereiche verbinden. Beschreiben Sie solche Abhängigkeiten ausdrücklich, damit die Grenze des Vorhabens keine wesentlichen Risiken unsichtbar macht.

Ein zunächst überschaubarer Umfang kann sinnvoll sein, wenn er fachlich zusammenhängend und ehrlich beschrieben ist. Dokumentieren Sie, was er umfasst und welche Bereiche später hinzukommen sollen. Ergebnisse aus diesem Umfang dürfen anschließend nicht als Nachweis für ungeprüfte Teile des Unternehmens verwendet werden.

Sammeln Sie zunächst, was bereits vorhanden ist. Dazu können Systemübersichten, Richtlinien, Verträge, Notfallkontakte und frühere Prüfberichte gehören. Notieren Sie zu jeder Unterlage, wer sie fachlich verantwortet und ob sie den aktuellen Stand beschreibt. Ein alter Dateiname oder ein jüngeres Speicherdatum sagt darüber wenig aus. Entscheidend ist, ob der Inhalt mit den tatsächlich genutzten Verfahren übereinstimmt.

Trennen Sie drei Arten von Lücken. Manchmal fehlt nur ein Beleg für eine vorhandene Maßnahme. Manchmal gibt es eine Vorgabe, die noch nicht umgesetzt wurde. In anderen Fällen ist überhaupt keine Regelung vorhanden. Diese Fälle benötigen unterschiedliche Arbeitsschritte. Eine vollständige Neufassung aller Dokumente wäre ebenso wenig zielführend wie die pauschale Übernahme ungeprüfter Vorlagen.

Besprechen Sie ausgewählte Abläufe direkt mit den ausführenden Personen. Lassen Sie beispielsweise erklären, wie ein neuer Zugriff beantragt oder ein ausgeschiedener Beschäftigter abgemeldet wird. Der Abgleich zwischen Beschreibung und tatsächlichem Ablauf liefert eine brauchbare Ausgangsbasis und zeigt, welche Informationen noch fehlen.

Betrachten Sie wichtige Informationen hinsichtlich Offenlegung, Veränderung und Nichtverfügbarkeit. Die Fachbereiche beschreiben die möglichen Folgen. Anschließend wird untersucht, welche Gefährdungen und Schwächen für den jeweiligen Prozess relevant sind. Daraus entsteht eine begründete Bewertung. Es geht dabei nicht darum, möglichst viele dramatische Szenarien zu sammeln. Die Analyse soll helfen, angemessene Entscheidungen über konkrete Schutzmaßnahmen zu treffen.

Formulieren Sie Aufgaben so, dass ihre Erledigung überprüft werden kann. Eine Maßnahme enthält ein Ergebnis, eine verantwortliche Person und einen vorgesehenen Termin. Ergänzen Sie, welche Information den Abschluss belegen soll. Bei einer Berechtigungsprüfung kann das eine freigegebene Übersicht der geprüften Konten und bearbeiteten Abweichungen sein. Bei einer Wiederherstellung ist ein dokumentierter Test geeigneter als die bloße Bestätigung eines Sicherungslaufs.

Abhängigkeiten gehören in den Plan. Wenn eine Aufgabe erst nach einer Systemumstellung möglich ist, wird dies sichtbar gemacht. Für die Zwischenzeit wird geprüft, ob ein zusätzlicher Schutz notwendig ist. So entstehen keine stillschweigend akzeptierten Lücken zwischen zwei Projekten.

Das Managementsystem benötigt einen Betriebsrhythmus. Legen Sie fest, wann Maßnahmen besprochen, Richtlinien überprüft und Änderungen bewertet werden. Ergänzen Sie Auslöser außerhalb dieses Kalenders. Eine neue zentrale Anwendung, ein erheblicher Vorfall oder ein Wechsel des Dienstleisters kann eine frühere Prüfung erforderlich machen. Die betroffenen Rollen sollten diese Auslöser kennen und wissen, wie sie eine Neubewertung anstoßen.

Halten Sie Besprechungen entscheidungsorientiert. Statt jede erledigte Kleinigkeit vorzulesen, betrachten Sie wesentliche Risiken, überfällige Aufgaben und notwendige Freigaben. Das Protokoll dokumentiert Entscheidungen und deren Gründe. Dadurch kann die nächste Runde prüfen, was sich seitdem verändert hat. Ein fortlaufend gepflegter Maßnahmenstand ist hierfür nützlicher als immer neue, voneinander abweichende Präsentationen.

Auch die Dokumentenpflege wird als reguläre Aufgabe verteilt. Jede zentrale Vorgabe erhält eine verantwortliche Stelle. Änderungen werden fachlich geprüft und den betroffenen Personen verständlich vermittelt. So bleibt der Sicherheitsprozess mit dem Arbeitsalltag verbunden und hängt weniger vom Wissen einer einzelnen Person ab.

Eine hohe Zahl erstellter Dokumente beweist noch keinen wirksamen Schutz. Prüfen Sie stattdessen, ob wichtige Entscheidungen getroffen wurden und Maßnahmen im vereinbarten Umfang funktionieren. Können Sie für einen ausgewählten Prozess den Schutzbedarf, die maßgeblichen Risiken und den aktuellen Bearbeitungsstand erklären? Sind die zuständigen Personen erreichbar und kennen sie ihre Aufgaben? Solche Fragen zeigen den Fortschritt greifbar.

Eine interne Überprüfung sollte auch widersprüchliche Nachweise erkennen. Wenn die Richtlinie eine regelmäßige Kontrolle fordert, muss nachvollziehbar sein, wann sie tatsächlich durchgeführt wurde. Fehlt dieser Beleg, wird der Punkt offen benannt. Die Einführung ist dadurch nicht wertlos. Sie liefert gerade dann Nutzen, wenn Unklarheiten rechtzeitig sichtbar und bearbeitbar werden.

PrivIQ unterstützt die strukturierte Arbeit mit Richtlinien, Risikoanalysen, Maßnahmen und Dokumentation. Operative Begleitung kann dabei helfen, den Einstieg mit vorhandenen Ressourcen zu organisieren. Für eine unabhängige Zertifizierung ist zusätzlich ein eigener Prüfprozess erforderlich. Ein brauchbares ISMS entwickelt seine Wirkung jedoch bereits durch verlässliche Entscheidungen und nachweisbar umgesetzte Aufgaben.