ISO 27001 ergänzen, wenn Sie ISO 9001 bereits haben

Wer das lesen sollte: ein Hersteller, ein Ingenieurbüro oder ein Zulieferer, der bereits ISO 9001 hält, möglicherweise auch ISO 14001, ISO 45001, AQAP 2110 oder TISAX, und von dem nun ein Kunde, ein Generalunternehmer oder eine Ausschreibung ISO 27001 verlangt.

Das ist eine bessere Ausgangslage als bei den meisten Unternehmen, und sie wird Ihnen von denen, die die Arbeit anbieten, regelmäßig kleingeredet. Sie haben bereits bewiesen, dass Sie ein Managementsystem betreiben können: Dokumentenlenkung, ein internes Auditprogramm, eine Managementbewertung, die Entscheidungen erzeugt, Korrekturmaßnahmen, die geschlossen werden. Genau das fällt Unternehmen ohne Zertifikat am schwersten, und Sie haben es vor Jahren erledigt.

Was folgt, ist eine ehrliche Aufstellung dessen, was sich überträgt, was nicht, und wo der eigentliche Aufwand liegt.

Warum es diese Überschneidung gibt

Seit 2012 wird jede ISO-Managementsystemnorm nach einer gemeinsamen Vorlage geschrieben, ursprünglich Annex SL, heute Harmonisierte Struktur. Sie legt dieselben zehn Abschnitte in derselben Reihenfolge für ISO 9001, ISO 14001, ISO 45001, ISO 22301 und ISO 27001 fest.

1. Anwendungsbereich
2. Normative Verweisungen
3. Begriffe
4. Kontext der Organisation
5. Führung
6. Planung
7. Unterstützung
8. Betrieb
9. Bewertung der Leistung
10. Verbesserung

Das ist keine Marketing-Ähnlichkeit. Der Anforderungstext der Abschnitte 4, 5, 7, 9 und 10 ist zwischen den Normen nahezu identisch und unterscheidet sich vor allem darin, ob der Gegenstand Qualität oder Informationssicherheit ist. Erfüllen Sie sie für die eine, erfüllt die vorhandene Mechanik sie für die andere.

Was sich tatsächlich überträgt

In den Bewertungen, die wir für Unternehmen in dieser Lage durchführen, kommt Folgendes nahezu unverändert herüber:

• Dokumenten- und Aufzeichnungslenkung. Ihr System für Versionierung, Freigabe und Aufbewahrung funktioniert unverändert. Informationssicherheitsrichtlinien fügen sich ein.
• Das interne Auditprogramm. Gleiches Programm, gleiche Auditoren, sofern fachlich kompetent, neuer Anwendungsbereich. Abschnitt 9.2 ist dieselbe Anforderung.
• Die Managementbewertung. Die Eingaben nach Abschnitt 9.3 unterscheiden sich inhaltlich, nicht strukturell. Eine Sitzung kann beide Systeme bewerten, wenn die Tagesordnung beide Eingabemengen sauber abdeckt.
• Korrekturmaßnahmen und Nichtkonformitäten. Abschnitt 10.2 ist derselbe Prozess. Sie betreiben ihn bereits.
• Kompetenz, Bewusstsein und Schulung. Abschnitte 7.2 und 7.3. Sie haben Einarbeitung, Schulungsnachweise und eine Kompetenzmatrix. Sicherheitsbewusstsein wird ein weiterer Strang.
• Führung und Politik. Abschnitt 5 verlangt Engagement der obersten Leitung und eine dokumentierte Politik. Sie haben die Gewohnheit und den Freigabeweg.
• Interessierte Parteien und Kontext. Abschnitt 4. Die Analyse existiert, sie braucht die Informationssicherheitsperspektive.
• Das Verhältnis zur Zertifizierungsstelle. Sie wissen, wie ein Audit abläuft, wie Abweichungen eingestuft werden und wie man sich vorbereitet. Das ist mehr wert, als es klingt.

Für ein Unternehmen mit reifem Qualitätssystem ist damit der Großteil der Managementsystemarbeit tatsächlich erledigt.

Was sich überhaupt nicht überträgt

Drei Dinge. Sie sind die gesamte Arbeit.

Abschnitt 6.1.2, Informationssicherheits-Risikobeurteilung. Risikodenken nach ISO 9001 betrifft, was die Konformität von Produkt und Prozess bedroht. ISO-27001-Risiko betrifft Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, beurteilt anhand von Werten, Bedrohungen und Schwachstellen, mit definierten Kriterien und Risikoeigentümern. Das sind nicht dieselben Übungen, und eine 9001-Risikotabelle wird dafür nicht akzeptiert. Was dieser Nachweis enthalten muss, steht in dem Risikoregister, das ein Audit übersteht.

Abschnitt 6.1.3 und Anhang A. Dreiundneunzig Maßnahmen in vier Themen, jede zu betrachten und dann anzuwenden oder begründet auszuschließen. Nichts in einem Qualitätssystem bereitet darauf vor. Das ist der Teil, der Monate dauert, weil etliche dieser Maßnahmen technische Fähigkeiten beschreiben, die Sie derzeit möglicherweise nicht haben. Die Gruppierung, die das handhabbar macht, steht in den 93 Anhang-A-Maßnahmen, gruppiert für die tatsächliche Arbeit.

Die Erklärung zur Anwendbarkeit. Ein einzelnes Dokument, das alle dreiundneunzig Maßnahmen auflistet, ob sie gelten, warum, und ihren Umsetzungsstand. ISO 9001 kennt kein Gegenstück. Es ist das Dokument, das eine ISO-27001-Auditorin zuerst öffnet, und es bestimmt die Form des restlichen Audits. Wie man sie schreibt, ohne darin unterzugehen, steht in Anwendungsbereich und Erklärung zur Anwendbarkeit, ohne Fachjargon.

Die Falle: anzunehmen, der vorhandene Risikoprozess decke das ab

Das ist die teuerste Annahme, die uns begegnet, und sie zeigt sich meist in Stufe 1.

Eine Qualitätsleitung schließt nachvollziehbar, dass die ISO-27001-Anforderung mit erfüllt sei, weil das Qualitätssystem einen Prozess für Risiken und Chancen nach ISO 9001 Abschnitt 6.1 hat. Ist sie nicht. ISO 9001 schreibt bewusst keine formale Risikomethode vor. ISO 27001 tut es: definierte Kriterien, ein wiederholbarer Prozess, benannte Risikoeigentümer, ein Behandlungsplan, dokumentierte Akzeptanz des Restrisikos.

Unternehmen, die das in Stufe 1 entdecken, verlieren einen Monat. Unternehmen, die es in Stufe 2 entdecken, bekommen eine Hauptabweichung. Behandeln Sie die Informationssicherheits-Risikoarbeit vom ersten Tag an als eigenen Aufbau, und das Problem entfällt.

Was ein kombiniertes Audit wirklich spart

Zertifizierungsstellen auditieren mehrere Normen gemeinsam, und die gemeinsamen Abschnitte werden einmal bewertet. Weniger Tage als zwei getrennte Audits, ja. Die Hälfte, nein.

Der Grund: Die Auditorin muss Anhang A weiterhin abdecken, und Anhang A macht den Großteil eines ISO-27001-Audits aus. Kombinierbar sind die Abschnitte 4 bis 10. Nicht kombinierbar sind die dreiundneunzig Maßnahmen, die Risikobeurteilung und die Erklärung zur Anwendbarkeit. Rechnen Sie mit einem spürbaren, nicht mit einem dramatischen Abschlag gegenüber zwei eigenständigen Audits, und lassen Sie sich die Tagesanzahl schriftlich geben, bevor Sie eine Zahl unterstellen. Die Größenordnung der Kosten steht in was ISO 27001 ein KMU wirklich kostet, der Zeitrahmen in wie lange ISO 27001 wirklich dauert.

Ein praktischer Punkt: Dieselbe Zertifizierungsstelle für beides zu nutzen, lohnt sich meist auch bei leicht höherem Tagessatz, weil ein kombiniertes Audit die Akkreditierung für beide Normen und nur einen Besuch verlangt.

Was Ihre Zertifikatswand einem Kunden sagt

Das gehört klar gesagt, denn es schneidet in beide Richtungen.

Fünf Zertifikate und kein ISO 27001 sagt der Sicherheitsprüfung eines Kunden zweierlei zugleich. Dass Sie eine Organisation sind, die ein auditiertes System dauerhaft trägt, was beruhigend ist und Sie vor die meisten geprüften Zulieferer stellt. Und dass Informationssicherheit die einzige Disziplin ist, die Sie keiner externen Prüfung unterzogen haben, was in einer Ausschreibung zur Informationssicherheit genau die falsche Lücke ist.

Deshalb kommt die Anforderung aus dem Einkauf und nicht von einer technischen Stelle, und deshalb kommt sie mit Datum. Wie sich diese Pflicht fortpflanzt, steht in NIS2 Lieferkettensicherheit und Lieferantenrisiko, das Verhältnis von Zertifikat und Richtlinie in NIS2, Zertifizierungsnormen und ISO 27001.

Die technische Realität: Ein zertifiziertes Qualitätssystem beweist Prozess, nicht Abwehr

Hier der Teil, den man jemandem, der seit zehn Jahren ein zertifiziertes System betreibt, klar sagen sollte.

Ihr Qualitätszertifikat beweist, dass Sie einen Prozess definieren, befolgen, auditieren und bei Abweichung korrigieren können. Diese Kompetenz ist real und übertragbar. Sie sagt Ihnen nicht, ob ein Administratorkonto einer im März ausgeschiedenen Person noch funktioniert, ob ein aus dem Internet erreichbarer Dienst mit Patches im Rückstand ist, ob Ihre Sicherungen je wiederhergestellt wurden, oder ob ein Lieferant unter einem im Vorjahr beendeten Vertrag weiterhin Netzzugang hat.

ISO 27001 wird von Ihnen die Erklärung verlangen, dass diese Dinge gesteuert werden. Sie sagt Ihnen allein nicht, ob sie diese Woche zutreffen. Das ist die Lücke zwischen einem auditierten und einem verteidigungsfähigen System, und deshalb müssen Zertifikat und Sicherheitslage als ein Vorhaben entstehen und nicht als zwei. Die ausführliche Begründung steht in zertifiziert ist nicht sicher, der praktische Weg ohne Sicherheitsteam in ISO 27001 ohne Sicherheitsteam.

Wenn Sie diese Lücke ausgehend von Ihrem bereits zertifizierten System gemessen statt geschätzt haben wollen, setzt ein unabhängiges Sicherheitsaudit genau dort an, und die ISO-27001-Seite beschreibt den weiteren Weg.