Die ISO/IEC 27001 ist zu einer geschäftlichen Anforderung geworden. Sie wird nicht von einem Auditor verlangt, sondern von dem großen Kunden, der Sie beauftragen will, oder von der Ausschreibung, an der Sie teilnehmen möchten. Das ist fast immer der ehrliche Grund für eine Zertifizierung.
Was sie ist und was nicht
Sie ist keine Liste technischer Maßnahmen, die man installiert. Sie ist ein Managementsystem: eine Methode, um zu bestimmen, welche Informationen Sie haben, welchen Risiken diese ausgesetzt sind, was Sie dagegen tun und wie Sie prüfen, dass es auch weiterhin getan wird. Der technische Teil ist die Folge, nicht der Ausgangspunkt.
Was das in der Praxis bedeutet
- Festlegen des Geltungsbereichs: welcher Teil des Unternehmens zertifiziert wird. Mit allem auf einmal anzufangen ist meist ein Fehler.
- Un Risikoanalyse die echt ist und nicht aus einer Vorlage kopiert wurde.
- Richtlinien und Verfahren, die auch eingehalten werden. Die, die nicht eingehalten werden, fallen im ersten Audit auf.
- Die Maßnahmen umsetzen, die sich aus der Analyse ergeben: Zugänge, Sicherungen, Protokollierung, Lieferantenmanagement, Schulungen.
- Internes Audit, Managementbewertung und Zertifizierungsaudit durch eine akkreditierte Stelle.
- Und danach: jährliche Überwachungsaudits. Ein System, das in der Schublade liegt, bricht von allein zusammen.
ISO 27001, ENS und NIS2: wie sie zusammenhängen
- ISO 27001 ist freiwillig und dient in jeder Branche als Verkaufsargument.
- ENS (das spanische Esquema Nacional de Seguridad) ist Pflicht, wenn Sie für die spanische Verwaltung arbeiten wollen.
- NIS2 ist die europäische Richtlinie, und sie betrifft mehr Unternehmen als es scheint: Für viele gilt sie, weil sie ein anderes Unternehmen beliefern, das selbst darunterfällt.
Ein großer Teil der Arbeit ist bei allen dieselbe. Wenn Sie wissen, dass Sie zwei davon brauchen werden, sollten Sie sie von Anfang an gemeinsam angehen, statt denselben Aufwand zweimal zu treiben.
Die nützliche Frage lautet nicht „Soll ich mich zertifizieren?“, sondern „Wie viel Geschäft verliere ich, weil ich nicht zertifiziert bin?“. Mit dieser Zahl trifft sich die Entscheidung von selbst.
