Sie können ISO 27001 ohne Berater umsetzen, und Unternehmen mit zehn bis zweihundert Personen tun das jedes Jahr. Das Auditentgelt ist so oder so dasselbe: Für ein Unternehmen mit 20 Personen grob sieben Auditortage zu je 1.200 € bis 2.000 €, festgelegt von der Zertifizierungsstelle nach ISO/IEC 27006 und nicht danach, wer Ihre Richtlinien geschrieben hat.

Was sich ändert, wenn Sie allein gehen, sind Ihre interne Zeit, die Urteilskraft, die Sie selbst aufbringen müssen, und das Risiko, dass das erste Audit die Dinge findet, nach denen ein Erstling nicht zu suchen weiß. Diese Seite ist die ehrliche Aufteilung, dann die Reihenfolge, dann die Liste dessen, was übersehen wird.

Was eine Beratung wirklich verkauft

Was Sie kaufen Was es ist
Der Geltungsbereich Falsch in beide Richtungen ist teuer.
Eine Risikobewertung, die den Kontakt übersteht Nicht das Register selbst, sondern eine Methode, die ein Auditor akzeptiert, konsistent angewandt, mit Kriterien, die Sie verteidigen können, wenn man fragt, warum eine 3 eine 3 ist.
Zu wissen, was der Auditor fragen wird Das ist Erfahrung, und sie ist aus Lektüre wirklich schwer zu gewinnen.
Jemand zum Streiten Ein Blick von außen darauf, ob eine Maßnahme umgesetzt oder nur aufgeschrieben ist.

Was ein guter Berater tatsächlich verkauft

Nicht die Dokumente. Richtlinienvorlagen gibt es überall, und ein generierter Richtliniensatz bringt Sie ungefähr an dieselbe Stelle. Was ein guter Berater verkauft, ist Urteilskraft an vier Stellen, und es lohnt sich, sie zu benennen, denn es sind die vier Stellen, an denen Sie sie selbst liefern müssen.

Der Geltungsbereich. Falsch in beide Richtungen ist teuer. Zu weit, und Sie zahlen für Auditortage über Systeme, die keinen Kunden interessieren. Zu eng, und das Sicherheitsteam eines Kunden liest das Zertifikat, sieht, dass das Produkt, das es kauft, außerhalb liegt, und lehnt es ab. Die Geltungsbereichserklärung ist ein Absatz; es ist der folgenreichste Absatz im ganzen System.

Eine Risikobewertung, die den Kontakt übersteht. Nicht das Register selbst, sondern eine Methode, die ein Auditor akzeptiert, konsistent angewandt, mit Kriterien, die Sie verteidigen können, wenn man fragt, warum eine 3 eine 3 ist.

Zu wissen, was der Auditor fragen wird. Das ist Erfahrung, und sie ist aus Lektüre wirklich schwer zu gewinnen. Es ist der Unterschied zwischen dem Bestehen der Stufe 2 und der Aufforderung, in drei Monaten wiederzukommen, und drei Monate ohne Zertifikat sind Ausschreibungen, an denen Sie nicht teilnehmen können, und Abschlüsse, die in der Sicherheitsprüfung stecken bleiben. Dieses Warten ist der wahre Preis einer gescheiterten Runde, weit mehr als das Entgelt.

Jemand zum Streiten. Ein Blick von außen darauf, ob eine Maßnahme umgesetzt oder nur aufgeschrieben ist.

Wenn Sie intern jemanden haben, der schon einmal durch ein Audit gegangen ist, haben Sie das meiste davon. Wenn nicht, sagen die Abschnitte unten, wo Sie es bekommen und wo Sie einen Tag davon kaufen.

Die Reihenfolge, denn außer der Reihe geht die Zeit verloren

  1. Geltungsbereich und Kontext (Abschnitte 4.1 bis 4.3). Welche Teile des Unternehmens, welche Standorte, welche Systeme, welche Kundendaten. Interessierte Parteien und was sie verlangen. Aufschreiben und freigeben lassen.
  2. Politik und Rollen (Abschnitt 5). Eine Informationssicherheitspolitik, freigegeben und datiert, und benannte Verantwortliche für das ISMS, das Risikoregister und das interne Audit.
  3. Risikobewertung und -behandlung (6.1.2, 6.1.3). Ihre Methode, Ihre Kriterien, Ihr Register und ein Behandlungsplan, der für jedes Risiko, das Sie behandeln wollen, eine Maßnahme nennt.
  4. Die Erklärung zur Anwendbarkeit (6.1.3 d). Für jede der 93 Maßnahmen des Anhangs A: anwendbar oder nicht, warum, und ob sie umgesetzt ist. Das ist das Dokument, das der Auditor zuerst liest, und das, nach dem das Sicherheitsteam eines Kunden nach dem Zertifikat fragt.
  5. Umsetzen und betreiben (Abschnitt 8). Die Maßnahmen tatsächlich in Betrieb, mit datierten Nachweisen.
  6. Messen, auditieren, bewerten (Abschnitt 9). Überwachungsergebnisse, ein internes Audit, eine Managementbewertung, alles aufgezeichnet.
  7. Zertifizierungsaudit. Stufe 1 prüft die Dokumente und die Bereitschaft; Stufe 2 prüft, dass das System funktioniert. Dann jedes Jahr ein Überwachungsaudit und alle drei Jahre eine Rezertifizierung.

Schritte außer der Reihe werden wiederholt. Die häufigste Variante ist, Richtlinien zu schreiben, bevor der Geltungsbereich feststeht, und dann festzustellen, dass die Hälfte davon Systeme beschreibt, die jetzt ausgeschlossen sind.

Die zwei Stellen, an denen Sie trotzdem einen Tag kaufen

Ohne Berater heißt nicht ohne Hilfe. Zwei konkrete Dinge lohnt es sich tageweise zu kaufen, und sie sind teuer, wenn sie schiefgehen.

Das interne Audit (Abschnitt 9.2). Es muss vor der Zertifizierung stattfinden, und der Auditor darf nicht seine eigene Arbeit auditieren. In einem Unternehmen mit zehn Personen, in dem die Person, die das ISMS gebaut hat, die einzige ist, die es versteht, ist das wirklich schwierig, und es ist der häufigste Grund, warum man jemanden für einen Tag holt statt für ein Programm. Ein beauftragter interner Auditor für ein oder zwei Tage im Jahr ist normal, akzeptiert und ein Tag Arbeit statt eines Programms.

Eine Generalprobe für Stufe 1. Eine Stunde mit jemandem, der auf der Seite des Auditors gesessen hat, der Ihren Geltungsbereich, Ihre SoA und Ihre Risikomethode durchgeht, vor der echten Stufe 1. Diese Person findet den Ausschluss, den Sie nicht begründen können, und die Kriterien, die Sie nicht erklären können. Diese Stunde ist der nützlichste Teil eines Beratungsmandats, und Sie können sie einzeln kaufen.

Was Erstlinge übersehen

Das ist die Liste, wegen der der Leser eigentlich hier ist. Sie stammt aus der Durchsicht von Fragebögen und Entwürfen von SoAs kleiner Unternehmen, und dieselben fünf Dinge tauchen fast jedes Mal auf.

Richtlinien, die existieren, aber nie freigegeben wurden. Eine Richtlinie ohne Freigebenden und Datum ist ein Entwurf, und ein Entwurf ist eine Feststellung. Jede Richtlinie braucht einen Namen und ein Datum, und danach ein Überprüfungsdatum.

Überwachung und Protokollierung im Futur beschrieben. „Wir werden Protokolle zentralisieren" ist eine Lücke. Die Maßnahmen A.8.15 und A.8.16 wollen Protokolle, die existieren und geprüft werden, mit dem Nachweis, dass jemand hingesehen hat.

Lieferanten aufgelistet, aber nie bewertet. Fast jeder kann seine Unterauftragsverarbeiter auflisten. Fast niemand kann zeigen, dass er einen vor der Unterschrift bewertet hat. Die Maßnahmen A.5.19 bis A.5.23 wollen die Bewertung, die Vereinbarung und die regelmäßige Überprüfung, datiert.

„Nicht anwendbar" ohne Begründung. In einem Kundenfragebogen ist das in Ordnung. In einer Erklärung zur Anwendbarkeit ist ein unbegründeter Ausschluss eine Feststellung, und die Begründung muss ein Argument sein, keine Vorliebe. „Wir sind acht Personen und haben kein physisches Büro" ist ein Argument. „Nicht relevant" ist keines.

Nachweise, die einmal funktioniert haben. Eine Maßnahme, die vor achtzehn Monaten lief, ist nicht in Betrieb. Auditoren ziehen Stichproben nach Datum, und ein Screenshot aus dem Monat vor dem Audit sagt ihnen genau, wann das System zuletzt angefasst wurde.

Dann das sechste, das keine Maßnahme ist, aber darüber entscheidet, ob das Zertifikat sein erstes Jahr überlebt: Die Aufzeichnungen hören nach dem Audit auf. Die Zertifizierung ist nicht das Ziel. Überwachungsaudits kommen jedes Jahr, und der Auditor erwartet, dass das Register, die Bewertungen und die Nachweise dazwischen Daten tragen. Unternehmen, die sich allein erfolgreich zertifizieren, sind die, die Aufzeichnungen laufend geführt haben, statt sie vor jedem Besuch zusammenzustellen.

Was werde ich übersehen? Lesen Sie das Register

Die Frage unter all dem lautet „Was werde ich übersehen?", und die ehrliche Antwort ist, dass jedes Werkzeug, jede Vorlage und jeder Berater manche Abschnitte vollständig abdeckt und andere weniger, und der Unterschied wird selten aufgeschrieben. Wir haben unseren aufgeschrieben.

Das Abdeckungsregister für ISO 27001 listet jeden Abschnitt der Norm, was das Produkt dafür vorhält und wo ein Eintrag nur teilweise abgedeckt war und seither geschlossen wurde, in klarer Sprache, mit erhaltener Historie. Es existiert, weil „Was werde ich übersehen?" eine Liste verdient und keine Beruhigung, und weil ein Register, das uns schmeichelt, nicht lesenswert wäre.

Nutzen Sie es als Checkliste, ob Sie das Produkt nutzen oder nicht. Jeder Abschnitt darauf ist ein Abschnitt, nach dem der Auditor fragen wird.

Die Kosten, die sich nicht ändern

Das Audit. Auditortage ergeben sich aus den Tabellen der ISO/IEC 27006 nach Geltungsbereich und Personalstärke, also liegt ein Unternehmen mit 20 Personen bei rund sieben Tagen, ob ein Berater beteiligt war oder nicht, zu einem Tagessatz, den die Zertifizierungsstelle festlegt. Die Rechnung, mit durchgerechneten Beispielen. Es selbst zu tun ändert Ihre internen Kosten und die Urteilskraft, die Sie aufbringen. Es ändert nicht das Auditentgelt, und wer Ihnen sagt, die Software mache das Audit billiger, verkauft Ihnen die leichte Hälfte.

Die Empfehlung

Es selbst zu tun ist eine vernünftige Wahl, besonders wenn intern jemand es schon einmal getan hat oder der Geltungsbereich klein ist. Das meiste selbst zu tun und das interne Audit sowie eine Generalprobe für Stufe 1 zu kaufen, ist das, was viele Unternehmen tatsächlich tun, und es ist die Anordnung mit dem besten Verhältnis von gekaufter Urteilskraft zu ausgegebenem Geld. Ein vollständiges Mandat zu vergeben ist vernünftig, wenn intern niemand die Verantwortung übernehmen kann und das Zertifikat jetzt Umsatz blockiert.

Was nicht vernünftig ist, ist die Entscheidung anhand der Software. Kein Werkzeug ersetzt die vier Urteile oben. Was ein Werkzeug tun sollte, ist die wiederkehrende Hälfte überlebbar machen: Richtlinien mit Datum und Verantwortlichen, Nachweise nach Zeitplan aus den Systemen gesammelt, in denen sie ohnehin liegen, eine SoA, die ein lebendes Dokument ist, und ein Kalender, der zwischen dem Zertifikat und dem ersten Überwachungsbesuch nicht verstummt.

Aufzeichnungen, die an dem Tag, an dem der Auditor sie verlangt, vollständig, datiert und unverändert sind. Das ist die ganze Aufgabe, und sie dauert das ganze Jahr.

Quellen

  • ISO/IEC 27001:2022, Abschnitte 4 bis 10, 6.1.3 d) (Erklärung zur Anwendbarkeit), 9.2 (internes Audit; Objektivität und Unparteilichkeit), Maßnahmen des Anhangs A 5.1, 5.19 bis 5.23, 8.15, 8.16.
  • ISO/IEC 27006-1:2024, Anhang C (Auditzeit), über Wie viele Auditortage braucht ISO 27001.
  • ISO/IEC 17021-1:2015, Abschnitt 9.6 (Überwachung mindestens einmal pro Kalenderjahr; Rezertifizierungszyklus).
  • Die Liste „Was Erstlinge übersehen": die Methode unserer kostenlosen Fragebogenprüfung, angewandt auf SoAs und Fragebögen kleiner Unternehmen.