Drei Organisationen, drei Branchen, ein Ziel: die erfolgreiche Zertifizierung nach ISO/IEC 27001. Mit BIN-Control, der Handwerkskammer Südwestfalen und der Gleich-IT GmbH haben wir drei sehr unterschiedliche Organisationen beim Aufbau ihres Informationssicherheits-Managementsystems (ISMS) begleitet – und alle drei haben das Zertifizierungsaudit bestanden. Zeit für einen Blick darauf, was diese Projekte gemeinsam hatten, was sie unterschied und welche Erkenntnisse sich auf andere Unternehmen übertragen lassen.
Die ISO 27001 ist der international anerkannte Standard für Informationssicherheits-Managementsysteme. | Bildquelle: von Montri | Bild Nr.: 551606081
Was die ISO 27001 verlangt
Die ISO/IEC 27001 beschreibt die Anforderungen an ein Managementsystem für Informationssicherheit. Im Kern geht es darum, die Werte einer Organisation – Informationen, Systeme, Prozesse, Menschen – zu kennen, die Risiken für diese Werte systematisch zu bewerten und angemessene Maßnahmen zu ergreifen. Die Norm gibt dabei keinen festen Maßnahmenkatalog vor, sondern verlangt, dass die Organisation ihre Maßnahmen aus der eigenen Risikobewertung ableitet und in der Erklärung zur Anwendbarkeit (Statement of Applicability) begründet.
Genau darin liegt die Stärke der Norm: Ein ISMS nach ISO 27001 passt sich der Organisation an, nicht umgekehrt. Es ist aber auch der Grund, warum eine Körperschaft des öffentlichen Rechts, ein IT-Dienstleister und ein Industrieunternehmen drei unterschiedliche Wege zur Zertifizierung gehen.
Drei Organisationen, drei Ausgangslagen
Handwerkskammer Südwestfalen: Sicherheit im öffentlichen Auftrag
Die Handwerkskammer Südwestfalen verarbeitet Daten von tausenden Mitgliedsbetrieben, Auszubildenden und Prüflingen und steht als öffentliche Einrichtung unter besonderer Beobachtung. Für eine Körperschaft des öffentlichen Rechts gelten eigene Rahmenbedingungen: Gremienstrukturen, Vergaberecht, Personalvertretung, gewachsene Fachverfahren. Wir haben das ISMS so aufgebaut, dass es in diese Strukturen passt, statt sie zu überfahren. Das Ergebnis ist ein Managementsystem, das die Hauptgeschäftsführung trägt, das die Fachabteilungen verstehen und das sich mit den Anforderungen aus NIS-2 und dem Datenschutz verzahnen lässt.
Gleich-IT GmbH: Sicherheit als Dienstleistung
Als IT-Dienstleister betreut die Gleich-IT GmbH die Systeme ihrer Kunden und muss Sicherheit nicht nur für sich, sondern für andere garantieren. Der Kundennutzen war von Anfang an Treiber des Projekts: Das Zertifikat ist ein Argument im Vertrieb und eine Antwort auf die Lieferantenanforderungen, die Kunden im Zuge von NIS-2 zunehmend stellen. Der Scope umfasste deshalb die Dienstleistungsprozesse gegenüber Kunden. Besonderes Augenmerk lag auf der sauberen Trennung von Kundenumgebungen, dem Berechtigungsmanagement, der Protokollierung und dem Umgang mit privilegierten Zugängen – Punkte, die Auditoren bei Dienstleistern genau prüfen.
BIN-Control: Office-IT und Produktion in einem System
Bei BIN-Control galt es, Office-IT und produktionsnahe Systeme in einem gemeinsamen Managementsystem zu betrachten. Die Risikobewertung musste beide Welten abbilden, ohne die Produktion mit Anforderungen zu überziehen, die dort nicht umsetzbar sind. Wir haben einen pragmatischen Weg gefunden, der die Norm erfüllt, die Kundenanforderungen an den Schutz von Prozess- und Produktdaten adressiert und den Betrieb nicht behindert.
Unser Vorgehen: Vom Gap zum Zertifikat
So unterschiedlich die Organisationen waren, so ähnlich war die Methodik. Jedes Projekt folgte fünf Schritten:
- Gap-Analyse. Wo steht die Organisation heute gegenüber den Anforderungen der Norm? Daraus entsteht ein realistischer Projektplan mit klaren Meilensteinen.
- Scope-Definition. Der Geltungsbereich wird so gewählt, dass er die geschäftskritischen Prozesse abdeckt, aber beherrschbar bleibt. Ein zu großer Scope ist einer der häufigsten Gründe, warum ISMS-Projekte ins Stocken geraten.
- Risikomanagement und Erklärung zur Anwendbarkeit. Werte identifizieren, Risiken bewerten, Maßnahmen aus Anhang A auswählen und begründen – verständlich genug, dass die Fachbereiche mitarbeiten können.
- Umsetzung mit angepassten Vorlagen. Wir arbeiten mit einem bewährten Vorlagenpaket, das wir für jede Organisation anpassen. Eine Richtlinie, die aus einer Vorlage stammt, aber die Organisation nicht abbildet, überzeugt keinen Auditor.
- Internes Audit und Managementbewertung. Vor dem Zertifizierungsaudit prüfen wir das System selbst – und beheben, was wir finden, bevor es die Zertifizierungsstelle findet.
Drei Zertifikate – und was danach kommt
Alle drei Organisationen haben das Zertifizierungsaudit erfolgreich bestanden. Für uns ist das eine Bestätigung unseres Vorgehens, aber nicht das Ende der Zusammenarbeit. Ein ISMS lebt von internen Audits, Managementbewertungen und kontinuierlicher Verbesserung; die jährlichen Überwachungsaudits prüfen genau das. Wir begleiten unsere Mandanten auch in dieser Phase – als externer Informationssicherheitsbeauftragter oder als Coach für das interne Team, das die Aufgaben schrittweise selbst übernimmt.
Wir gratulieren BIN-Control, der Handwerkskammer Südwestfalen und der Gleich-IT GmbH herzlich zur Zertifizierung und bedanken uns für die vertrauensvolle Zusammenarbeit.
Sie planen Ihre eigene ISO-27001-Zertifizierung oder möchten wissen, wie weit Ihre Organisation davon entfernt ist? Unsere Coaches von itsecuritycoach begleiten Sie von der Gap-Analyse bis zum Zertifikat – mit Erfahrung aus Industrie, öffentlicher Verwaltung und IT-Dienstleistung. Nehmen Sie Kontakt auf und vereinbaren Sie ein unverbindliches Beratungsgespräch.
ISO 27001 – planbar, zertifiziert, ohne Projektrisiko
In 15 Minuten klären wir Ihren aktuellen Stand und zeigen Ihnen den 4-Schritte-Plan zur ISO-27001-Zertifizierung – pragmatisch und auf den Mittelstand zugeschnitten.
