Ausgangslage und Aufgabe
Der Klient – ein mittelständischer Spezialist für digitale Energie-Messdaten – war nach ISO/IEC 27001 zertifiziert. Im Februar 2024, drei Monate vor dem geplanten Re-Zertifizierungstermin, lag die Lage so: Sieben dokumentierte Nebenabweichungen der IT mussten geheilt werden, die thematisch quer durch das Regelwerk lagen – von kryptographischen Maßnahmen über Änderungssteuerung und Kapazitätssteuerung bis zur Klassifizierung von Informationen und der Überprüfung von Benutzerzugängen.
Parallel war die IT mit gravierenden technischen Altlasten beschäftigt: eine ausstehende Migration eines geschäftskritischen SQL-Server 2008, Penetrationstest-Befunde, die operativ noch nicht abgearbeitet waren, sowie die strategische Vorbereitung eines selektiven IT-Outsourcings, das die mittelfristige Zielarchitektur betraf. Die Personaldecke der IT war dünn und qualitativ überfordert. In diese Lage hinein war ein fester Audit-Termin im Mai 2024 gesetzt.
Der Auftrag für diesen Arbeitsstrang lautete: gemeinsam mit der IT-Leitung und einem externen ISO-Auditor eine realistische Standortbestimmung erstellen, den Aufwand für die Heilung der Nebenabweichungen schätzen, das Risiko gegenüber der Geschäftsführung transparent machen und einen tragfähigen Weg zur erfolgreichen Re-Zertifizierung empfehlen. Die methodische Grundlage dieser Art der Aufwand-Risiko-Bewertung habe ich an anderer Stelle als Compliance-Risiken realistisch einschätzen (https://interim-cio.eu/praxis-wissen/compliance-risiken-einschaetzen/) ausführlicher beschrieben.
Lösung
Phase 1: Aufwandsschätzung und ehrliche Standortbestimmung
Der erste Schritt war eine nüchterne Aufwandsschätzung. Für die minimal notwendigen Arbeiten in der IT bis zum Audit-Termin wurden rund 62 Personentage Dauer kalkuliert. Dem standen ohne Berücksichtigung von Feiertagen, Krankheitsausfällen und ungeplanten Eskalationen nur 65 verfügbare Tage gegenüber. Hinzu kam, dass mehrere der zu heilenden Nebenabweichungen Vorbedingungen hatten, die selbst noch nicht stabil waren – etwa bei der Änderungssteuerung, die im Tagesgeschäft praktisch nicht praktiziert wurde, oder bei der Kapazitätssteuerung, die ein Mengengerüst voraussetzte, das parallel im Outsourcing-Strang erst noch erarbeitet wurde.
Die Standortbestimmung machte deutlich: Ein „bewusstes Handeln in nicht exakt definierten Grenzen" – wie es der externe Auditor als realistischen Erwartungshorizont formuliert hatte – würde unter den vorhandenen Voraussetzungen nicht erreichbar sein. Auch ohne formalen Fail bestand ein erhebliches Risiko, dass die Re-Zertifizierung zu einer reinen Papierübung würde, die im Folgejahr beim nächsten Überwachungsaudit nicht standhält.
Phase 2: Risiko-Transparenz gegenüber der Geschäftsführung
Auf dieser Basis wurde der Geschäftsführung das Risiko offengelegt – nicht als Klage, sondern als entscheidungsreife Vorlage. Die Konsequenzen eines möglichen Verlusts der Zertifizierung wurden strukturiert dargestellt: Auswirkungen auf das Vertrauen von Kunden, Partnern und Stakeholdern, regulatorische Risiken, mögliche Auswirkungen auf laufende und künftige Geschäftsbeziehungen. Den potenziellen Vorteilen einer voll gelebten ISO-27001-Implementierung – durchgängiges ISMS, strukturiertes Risikomanagement, höhere Resilienz im Tagesgeschäft – wurde der ehrliche Befund gegenübergestellt, dass die ISO bislang kaum im Arbeitsalltag angewandt wurde.
Phase 3: Empfehlung zur Verschiebung
Auf dieser Grundlage erfolgte die Empfehlung an die Geschäftsführung, den Audit-Termin zu verschieben, statt eine durchgehetzte Heilung mit hohem Fail-Risiko zu erzwingen. Die Argumentation hatte drei Säulen: erstens die quantitative Aufwand-Kapazitäts-Lücke, zweitens das qualitative Risiko einer Papier-Compliance ohne gelebte Umsetzung, drittens die strategische Wechselwirkung mit dem parallel laufenden Outsourcing-Strang, bei dem mehrere zu heilende Punkte ohnehin im Rahmen der Provider-Auswahl und Vertragsverhandlung in eine belastbarere Struktur kämen.
Die Geschäftsführung folgte der Empfehlung. Der Termin wurde verschoben.
Phase 4: Strukturierte Heilung der Nebenabweichungen
Die durch die Verschiebung gewonnene Zeit wurde genutzt, um die sieben Nebenabweichungen strukturiert zu heilen. Statt parallel an allen Punkten zu arbeiten, wurden sie nach Abhängigkeiten geordnet: Erst die organisatorischen Grundlagen für Änderungssteuerung und Klassifizierung von Informationen, dann die technische Umsetzung der kryptographischen Anforderungen, parallel die Überarbeitung der Benutzerzugangs-Reviews. Die Heilungsmaßnahmen wurden so geplant, dass sie nicht nur Audit-Punkte schlossen, sondern auch im Tagesgeschäft tatsächlich anwendbar blieben. Wo Wechselwirkungen zum Outsourcing-Strang bestanden, wurden die ISO-Anforderungen in die Vertragsgrundlagen eingearbeitet – Kapitel zur Unterstützung bei der ISO-27001-Re-Zertifizierung, zu Audit-Rechten und zu Compliance-Berichten wurden Bestandteil des späteren Provider-Vertrags.
Phase 5: Re-Zertifizierung
Mit dem überarbeiteten Stand erfolgte die Re-Zertifizierung im weiteren Verlauf des Jahres erfolgreich. Die Heilungen waren zu diesem Zeitpunkt nicht nur dokumentiert, sondern in den Arbeitsroutinen verankert.
Ergebnis
- Realistische Aufwandsschätzung als Grundlage: Die nüchterne Gegenüberstellung von 62 PT Bedarf und 65 verfügbaren Tagen machte das Risiko entscheidungsreif sichtbar. Die Geschäftsführung konnte auf einer belastbaren Faktenbasis entscheiden, statt unter Termindruck zu agieren.
- Verschiebung als bewusstes Risikomanagement: Die Empfehlung zur Verschiebung wurde von der Geschäftsführung übernommen. Damit wurde ein vermeidbares Fail-Risiko ausgeschlossen und Raum geschaffen, die Heilung nachhaltig statt papierhaft umzusetzen.
- Sieben Nebenabweichungen strukturiert geheilt: Die geplante Heilung folgte einer Abhängigkeits-Logik statt parallelem Aktionismus. Maßnahmen wurden so umgesetzt, dass sie im Tagesgeschäft anwendbar blieben.
- ISO-Anforderungen in Outsourcing-Vertrag verankert: Die Wechselwirkung mit dem parallel laufenden Outsourcing-Strang wurde produktiv genutzt – die Vertragsgrundlagen für den späteren Managed-Service-Partner enthielten explizite Klauseln zu ISO-27001-Unterstützung, Audit-Rechten und Compliance-Berichten.
- Erfolgreiche Re-Zertifizierung im weiteren Jahresverlauf: Die Re-Zertifizierung wurde mit dem überarbeiteten Stand erfolgreich abgeschlossen – mit Maßnahmen, die nicht nur Audit-Konformität herstellten, sondern das ISMS auch im operativen Alltag verankerten.
Eingebrachte Kompetenzen
- Realistische Aufwandsschätzung und Risikobewertung von Compliance-Vorhaben unter Termindruck
- Entscheidungsreife Aufbereitung kritischer Empfehlungen gegenüber der Geschäftsführung
- Heilungsplanung für ISO-27001-Nebenabweichungen mit Fokus auf Tagesgeschäfts-Tauglichkeit
- Verzahnung von Compliance-Anforderungen mit parallelen Sourcing- und Architektur-Entscheidungen
- Zusammenarbeit mit internen IT-Verantwortlichen und externen ISO-Auditoren auf Augenhöhe