Wer das lesen sollte: wer mit dem Zertifizierungsauditor im Raum sitzen wird und vorher wissen möchte, welche Fragen eine richtige Antwort haben und welche nur eine ehrliche.
Das Zertifizierungsaudit besteht aus zwei Besuchen mit unterschiedlichen Aufgaben. Diesen Unterschied zu übersehen ist der häufigste Grund, weshalb eine Erstzertifizierung verrutscht, denn die Vorbereitung, die durch den ersten Besuch trägt, ist nicht die, die durch den zweiten trägt.
Stufe 1 fragt, ob das System entworfen ist
Stufe 1 ist eine Dokumentenprüfung. Der Auditor stellt fest, ob ein ISMS auf dem Papier existiert, ob es abdeckt, was die Norm verlangt, und ob sich Stufe 2 terminieren lässt. Sie kann remote, vor Ort oder gemischt stattfinden.
Was er verlangt:
- Die Beschreibung des Anwendungsbereichs und die Abgrenzung, und ob sie vertretbar ist
- Die Erklärung zur Anwendbarkeit, mit Begründung für jede aufgenommene und jede ausgeschlossene Maßnahme
- Die Methode der Risikobeurteilung und die Beurteilung selbst
- Das Regelwerk
- Nachweis, dass Auditprogramm und Managementbewertung als Prozesse existieren, nicht dass sie bereits stattgefunden haben
- Die Rollen, die Verantwortlichkeiten und wer in der Leitung das Thema trägt
Geprüft wird in Wahrheit, ob die Dokumente ein zusammenhängendes System beschreiben. Ein Anwendungsbereich, der eine Sache sagt, eine Risikobeurteilung, die weiter reicht, und eine Erklärung zur Anwendbarkeit, die Maßnahmen ausschließt, die der Anwendungsbereich offensichtlich braucht, ist das klassische Scheitern in Stufe 1. Steht die Abgrenzung nicht, kann der Auditor nicht bestimmen, was er in Stufe 2 prüfen soll, und dort endet alles. Deshalb verdienen Anwendungsbereich und Erklärung zur Anwendbarkeit mehr Aufmerksamkeit als das Regelwerk, in das die meisten Teams ihre Zeit stecken.
Feststellungen der Stufe 1 werden meist als Hinweise statt als förmliche Abweichungen formuliert, verbunden mit der Erwartung, sie vor Stufe 2 zu schließen. Beratungen können Dokumente produzieren, also läuft Stufe 1 gut. Genau deshalb sagt sie wenig über Stufe 2 aus.
Stufe 2 fragt, ob das System gelaufen ist
Stufe 2 ist das eigentliche Audit. Der Auditor liest nicht mehr, was Sie geschrieben haben, er prüft, ob es geschehen ist. Er befragt Menschen, zieht Stichproben aus Aufzeichnungen und verfolgt Spuren.
Die Form:
- Stichproben. Er wählt Maßnahmen und verlangt Nachweise über einen Zeitraum. Nicht eine Zugriffsüberprüfung, sondern eine Reihe davon mit Daten. Nicht die Sicherungsrichtlinie, sondern den letzten Rückspieltest und sein Ergebnis.
- Interviews. Er fragt die in Ihren Regelwerken benannten Personen, was sie tatsächlich tun. Ein von außen verfasstes Regelwerk scheitert hier, weil die benannte Person etwas anderes beschreibt.
- Nachverfolgung. Er nimmt einen Faden und verfolgt ihn durchgängig. Ein Risiko im Register, seine Behandlung, die umsetzende Maßnahme, der Nachweis ihres Laufens, die Bewertung ihrer Wirksamkeit.
- Abschnitte 9 und 10. Ergebnisse interner Audits, Protokolle der Managementbewertung, erhobene Abweichungen und geschlossene Korrekturmaßnahmen mit Ursachenanalyse und Wirksamkeitsprüfung. Hier zahlt sich die Abfolge aus Internes Audit und Managementbewertung aus, oder eben nicht.
Allgemein wird erwartet, dass das Managementsystem vor Stufe 2 einen Zeitraum in Betrieb war, typischerweise etwa drei Monate, denn Stichproben brauchen Historie. Das ist Kalenderzeit und nicht komprimierbar, die Randbedingung im Zentrum von Wie lange ISO 27001 wirklich dauert.
Schwer, leicht, und die, die keine Feststellung sind
Drei Ausgänge mit sehr unterschiedlichen Kosten.
Eine schwere Abweichung ist ein systemisches Versagen: ein erforderliches Element des Managementsystems fehlt, oder eine Maßnahme ist so zusammengebrochen, dass das System untergraben wird. Ein fehlendes Auditprogramm ist schwer. Ein Risikobehandlungsplan ohne jeden Verantwortlichen ist schwer. Schwere Abweichungen blockieren die Zertifizierung. Sie beheben, Sie weisen nach, und je nach Schwere muss der Auditor erneut kommen. Rechnen Sie mit Wochen, nicht Tagen, und möglicherweise einem zweiten Besuch.
Eine leichte Abweichung ist ein einzelner Aussetzer in einem sonst funktionierenden System. Eine ausgelassene Zugriffsüberprüfung in einem Jahr. Eine nicht abgelegte Lieferantenbewertung. Leichte Abweichungen blockieren die Zertifizierung meist nicht. Sie reichen einen Korrekturmaßnahmenplan ein, typischerweise binnen weniger Wochen, und die Schließung wird beim nächsten Überwachungsaudit oder vor Ausstellung des Zertifikats auf dem Papier geprüft.
Hinweise und Verbesserungsmöglichkeiten sind keine Abweichungen. Sie erfordern keine Korrekturmaßnahme. Teams überreagieren regelmäßig darauf, investieren Aufwand in ihre Schließung und erscheinen zum nächsten Audit, nachdem sie einen Rat als Anweisung behandelt haben.
Der praktische Punkt: die Zahl der Feststellungen zählt weit weniger als ihre Art. Eine Stufe 2 mit sechs leichten und keiner schweren Abweichung ist ein gutes Audit. Eine schwere und sonst nichts ist ein schlechtes.
Was Auditoren akzeptieren und was nicht
Drei Muster treten wiederholt auf.
Sie akzeptieren eine Maßnahme, die Sie bewusst nicht umgesetzt haben, wenn die Entscheidung dokumentiert und begründet ist. Dafür existiert die Erklärung zur Anwendbarkeit. Nicht akzeptiert wird eine Maßnahme, die als anwendbar markiert, in einem Regelwerk beschrieben und nicht in Betrieb ist.
Sie akzeptieren unvollkommene Nachweise, die zeitnah entstanden sind, gegenüber perfekten Nachweisen, die nachträglich erzeugt wurden. Eine Patch-Aufzeichnung mit erklärbaren Lücken ist besser als eine ordentliche rückwirkende Tabelle. Auditoren haben sehr viele ordentliche rückwirkende Tabellen gesehen, und Dateimetadaten sind nicht subtil.
Sie akzeptieren „wir wissen davon, es steht im Register, hier ist die Behandlung und das Datum“. Ein offenes Risiko mit Verantwortlichem und Plan ist ein funktionierendes Managementsystem. Dasselbe Risiko undokumentiert ist eine Feststellung.
Der Reflex, Probleme zu verstecken, ist verkehrt herum. Abweichungen, die Ihr eigenes internes Audit gefunden und geschlossen hat, belegen, dass das System funktioniert. Genau das wird zertifiziert.
Was tatsächlich schiefgeht
Nach Häufigkeit:
- Für das Stichprobenfenster existieren keine Nachweise. Maßnahmen wurden entworfen, nichts hat ihren Betrieb aufgezeichnet.
- Der Anwendungsbereich war schlecht gezogen und ein Teil der Arbeit muss wiederholt werden.
- Regelwerke beschreiben ein Unternehmen, das es nicht gibt. Interviews legen das in Minuten offen.
- Abschnitt 9 ist dünn. Internes Audit zu spät, Managementbewertung ohne ihre verpflichtenden Eingaben.
- Korrekturmaßnahmen ohne Ursachenanalyse geschlossen oder ohne Prüfung, ob die Behebung gewirkt hat.
Jeder dieser Punkte ist ein Vorbereitungsfehler, kein Sicherheitsfehler. Das ist bemerkenswert. Keiner bedeutet, dass das Unternehmen unsicher ist. Sie bedeuten, dass die Aufzeichnung die Behauptung nicht trägt.
Nach Stufe 2
Der Auditor empfiehlt die Zertifizierung, er erteilt sie nicht. Die eigene Prüfung und Entscheidung der Zertifizierungsstelle folgt, danach wird das Zertifikat ausgestellt. Planen Sie diese Lücke ein, statt einem Kunden das Zertifikat für die Woche nach dem Audit zu versprechen.
Danach läuft das Zertifikat im Dreijahreszyklus: Überwachung in den Jahren zwei und drei, Rezertifizierung am Ende. Die Kosten des vollen Zyklus stehen in Was ISO 27001 einen Mittelständler wirklich kostet.
Wer wissen will, was eine Stufe 2 finden würde, bevor er eine bucht: genau das erzeugt ein strukturiertes Audit vor dem Programm, dieselbe priorisierte Lückenliste, ohne dass das Zertifikat auf dem Spiel steht.
Die technische Realität: was ein bestandenes Stufe-2-Audit nicht aussagt
Stufe 2 prüft Konformität, nicht Sicherheit. Diese Unterscheidung ist keine Spitzfindigkeit, sie ist die ganze Lücke.
Der Auditor prüft stichprobenartig, ob eine Maßnahme wie beschrieben lief. Er prüft nicht, ob sie wirkt. A.8.8 verlangt die Handhabung technischer Schwachstellen, und ein monatlicher Scan mit Bericht erfüllt das, auch wenn die kritischen Feststellungen darin acht Monate alt sind. A.8.15 verlangt Protokollierung, und Protokolle auf einer Platte, die niemand abfragt, erfüllen das. A.8.16 verlangt Überwachungstätigkeiten, und hier ist die Lücke am größten, denn eine dokumentierte Vorgehensweise erfüllt die Maßnahme, während tatsächlich nichts beobachtet.
Ein sauberes Stufe-2-Audit sagt einem Kunden also, dass Ihr Managementsystem läuft. Es sagt ihm nicht, und war nie dafür gedacht, ob Sie einen Einbruch bemerken würden. Das sind zwei Fragen, und die zweite beantwortet Werkzeug, das laufend Feststellungen erzeugt und sie in derselben Nachweisführung ablegt, kein besser vorbereitetes Audit. Ausführlich steht das in Die Maßnahmen aus Anhang A, gruppiert für die tatsächliche Arbeit, wo Maßnahmen, die Arbeit aufzeichnen, von Maßnahmen getrennt werden, die Arbeit sind.
