Die Norm beginnt nicht bei Anhang A

Fragt man in einem Unternehmen nach dem Stand der ISO 27001, bekommt man oft eine Tabelle mit 93 Zeilen: die Maßnahmen aus Anhang A, jede mit einem Status. Die Tabelle ist wichtig. Sie ist aber nicht die Norm.

Die Anforderungen, gegen die zertifiziert wird, stehen in den Kapiteln 4 bis 10. Anhang A ist eine Referenzliste von Maßnahmen. Die Norm verlangt im Abschnitt zur Risikobehandlung, die selbst gewählten Maßnahmen mit dieser Liste abzugleichen, damit keine notwendige fehlt, und das Ergebnis in der Erklärung zur Anwendbarkeit festzuhalten, mit Begründung für jede Aufnahme und jeden Ausschluss. Anhang A ist also das Werkzeug einer Anforderung aus Kapitel 6, nicht ihr Ersatz.

Was in den Kapiteln 4 bis 10 steht

Sinngemäß, denn der Normtext ist nicht frei verfügbar: Kapitel 4 verlangt, den Kontext der Organisation und die interessierten Parteien mit ihren Anforderungen zu kennen und den Geltungsbereich festzulegen, einschließlich seiner Grenzen und Schnittstellen. Kapitel 5 legt die Verantwortung der obersten Leitung fest, die Informationssicherheitspolitik und die Rollen. Kapitel 6 enthält Risikobeurteilung, Risikobehandlung, Erklärung zur Anwendbarkeit und messbare Ziele. Kapitel 7 regelt Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information, Kapitel 8 den Betrieb. Kapitel 9 fordert Überwachung und Messung, ein internes Auditprogramm und die Managementbewertung, Kapitel 10 Korrekturmaßnahmen und fortlaufende Verbesserung.

Diese Abschnitte lassen sich nicht ankreuzen. Sie verlangen Entscheidungen, die jemand trifft und dokumentiert, und Vorgänge, die sich wiederholen: ein Audit, das tatsächlich stattgefunden hat, eine Managementbewertung, die tatsächlich bewertet hat. Wer nur Anhang A pflegt, hat eine gute Maßnahmenliste, aber kein Managementsystem, das sie trägt.

Umgesetzt heißt nicht belegt

Die zweite Lücke ist feiner. Ein Abschnitt steht auf „umgesetzt“, weil es irgendwann eine Leitlinie gab, ein Audit, eine Managementbewertung. Ob die Leitlinie noch gilt, ob das Audit im letzten Jahr lag, ob die Bewertung freigegeben ist, sagt der Status nicht. Er sagt, was jemand einmal eingetragen hat.

Wie isidaten das abbildet

Die Kapitel 4 bis 10 sind in isidaten ein eigener Katalog mit 30 prüfbaren Abschnitten, getrennt von Anhang A, jeder mit Stand, verantwortlicher Person, Frist und Begründung. Den Normtext enthält er bewusst nicht, nur Nummer und Überschrift. Ein Cockpit führt in elf Schritten durch den Aufbau, vom Geltungsbereich über Kontext, Leitlinie, Risiken, Erklärung zur Anwendbarkeit und Risikobehandlungsplan bis zur Vorbereitung der Zertifizierung.

Nachweisprüfungen vergleichen den eingetragenen Stand mit den Fachobjekten. Ist die Erklärung zur Anwendbarkeit in den letzten zwölf Monaten freigegeben worden? Liegt das interne Audit innerhalb von zwölf Monaten? Ist die Managementbewertung freigegeben und aktuell? Gibt es eine freigegebene, gültige Leitlinie? Steht ein Abschnitt auf umgesetzt, aber eine dieser Prüfungen findet den Beleg nicht oder nur einen veralteten, erscheint am Abschnitt der Hinweis „Nachweis fehlt“. Die Zertifizierungsreife zählt entsprechend nur die dokumentationspflichtigen Abschnitte, die umgesetzt sind und bei denen keine Prüfung eine Lücke meldet, angezeigt als „x von 14 belegt“.

Für Kapitel 4 gibt es Register für Kontext-Themen, interessierte Parteien und Ziele, die Parteien auf Wunsch verknüpft mit dem Rechtskataster. Die Managementbewertung zeigt, welche Kontext-Themen und Parteien sich seit der letzten Bewertung geändert haben, denn genau danach fragt sie. Und der Risikobehandlungsplan entsteht aus den Risikoanalysen, mit Maßnahmen, Terminen, Budget, Restrisiko und Akzeptanz je Risiko.

Eine Grenze gehört dazu: Die Prüfungen zeigen, ob ein Beleg vorhanden und aktuell ist. Ob er inhaltlich trägt, entscheidet weiterhin das Audit.

Die Prüffrage

Wann war Ihre letzte Managementbewertung, und welche Änderungen bei interessierten Parteien standen darin?

Wenn die Antwort mit „wir haben ja Anhang A“ beginnt, ist das Managementsystem noch eine Maßnahmenliste.

Quellen

ISO/IEC 27001:2022, deutsche Fassung DIN EN ISO/IEC 27001:2024, Kapitel 4 bis 10 und Anhang A, insbesondere Abschnitt 6.1.3 (sinngemäß wiedergegeben, der Normtext ist urheberrechtlich geschützt und nicht frei verfügbar).