Software für normpflichtige Unternehmen
Managementsysteme scheitern selten an fehlenden Maßnahmen. Sie scheitern daran, dass niemand mehr sagen kann, welcher Dokumentstand gilt.
Ein Auditor fragt nicht nach Ihrer Ordnerstruktur. Er fragt nach einem Normkapitel. Wer seine Dokumente daran entlang organisiert hat, führt ein Gespräch. Wer es nicht getan hat, führt eine Suche, und zwar vor Publikum.
Das ist der Moment, in dem die meisten Unternehmen merken, dass ihr Problem nicht die Informationssicherheit ist. Die Maßnahmen gibt es. Es gibt eine Passwortrichtlinie, ein Backup-Konzept, eine Liste der Dienstleister. Sie liegen nur an fünf Orten, in unterschiedlichen Ständen, mit Dateinamen, die auf _final_v3_neu enden.
Ein Dokument, das in vier Versionen existiert, ist im Audit nicht ein Dokument. Es ist ein Problem, denn niemand kann sagen, welche Fassung gilt. Und ein Nachweis, dessen Gültigkeit sich nicht bestimmen lässt, ist kein Nachweis.
Woran es in der Praxis hängt
Dieselbe Richtlinie liegt im Laufwerk, im Postfach und auf einem Notebook. Welche gilt, weiß im Zweifel nur die Person, die sie zuletzt angefasst hat.
Alle wissen, dass die Geschäftsführung zugestimmt hat. Nur steht es nirgends, und das ist im Audit gleichbedeutend mit nicht erfolgt.
Die Dokumente sind nach Abteilungen sortiert, geprüft wird aber nach Kapiteln. Jede Frage wird zur Übersetzungsaufgabe.
Prüfungen, Schulungen und Wiedervorlagen leben in Kalendern einzelner Personen. Fällt eine Person aus, fällt der Termin mit.
Bausteine für Managementsysteme
Ein Managementsystem besteht aus wenigen Bausteinen, die zusammenspielen müssen. Diese hier bauen wir am häufigsten, und sie lassen sich einzeln einführen.
Jedes Dokument mit einem gültigen Stand, einem Verantwortlichen, einem Prüftermin und dem Kapitel, zu dem es gehört. Damit wird die Frage nach einem Kapitel zur Abfrage statt zur Suche.
Bindende Verpflichtungen erfasst, bewertet und terminiert. Sichtbar wird, welche Pflicht seit wann nicht mehr geprüft wurde, und genau das fragt ein Auditor.
Wer wurde wann worin unterwiesen, mit Ergebnis und Ablaufdatum. Nachweise entstehen beim Schulen und nicht in der Woche vor dem Audit.
Interne Audits planen, Feststellungen erfassen und Maßnahmen bis zum Abschluss verfolgen. Eine Maßnahme ohne Termin und Verantwortlichen ist ein Vorsatz.
Risiken erfassen, bewerten und mit Maßnahmen verbinden. Die Bewertung bleibt nachvollziehbar, auch wenn sie sich im nächsten Jahr ändert.
Wer verantwortet, wer prüft, wer gibt frei, und wer springt ein. Ohne geregelte Vertretung steht das System still, sobald jemand im Urlaub ist.
Die Zahlen, die das Management-Review braucht, entstehen aus dem laufenden Betrieb statt aus einer Sonderauswertung im Dezember.
Aufbewahrungsfristen je Dokumentart, mit Hinweis, was abgelaufen ist. Zu lange aufbewahren ist ebenfalls ein Verstoß, nur ein selten beachteter.
Wie ein digitales Managementsystem das löst
Der Kern ist unspektakulär und wirkt sofort: Jedes Dokument hat genau einen gültigen Stand, einen Verantwortlichen, ein Datum für die nächste Prüfung und einen hinterlegten Bezug zum Normkapitel. Damit ist die Frage nach einem Kapitel keine Suche mehr, sondern eine Abfrage.
Darauf setzen die Abläufe auf, die heute per E-Mail laufen. Eine Änderung wird beantragt, geprüft, freigegeben und veröffentlicht, und jeder dieser Schritte hinterlässt eine Spur mit Person, Zeitpunkt und Grund. Das ist kein Mehraufwand gegenüber der E-Mail, es ist derselbe Aufwand an einer Stelle, an der man ihn wiederfindet.
Der dritte Baustein sind Schnittstellen. Ein Managementsystem, das nichts von den anderen Systemen im Haus weiß, wird zur Insel und damit zur Pflichtübung. Über APIs lassen sich Stammdaten, Personalien und Nachweise mit den Systemen austauschen, in denen sie ohnehin gepflegt werden.
Genau das haben wir mit Verinorm Cloud gebaut. Normvorlagen, Normkapitel, Kataster sowie Rollen und Rechte liegen an einer Stelle statt in Ordnerbäumen.
Häufige Fragen zu Managementsystemen
- Brauchen wir dafür eine Zertifizierung?
- Nein. Man kann sich an der Struktur einer Norm orientieren, ohne je ein Zertifikat anzustreben. Der Nutzen liegt in der Ordnung, nicht in der Urkunde. Wer später doch zertifizieren möchte, hat den Weg dann zu zwei Dritteln hinter sich.
- Fallen wir unter NIS2?
- Das entscheidet sich an Sektor, Unternehmensgröße und Einstufung. Häufig übersehen wird der Weg über die Lieferkette: Wer ein betroffenes Unternehmen beliefert, bekommt dessen Anforderungen über Verträge und Fragebögen gereicht und erfüllt NIS2 dann faktisch, ohne je einen Bescheid bekommen zu haben.
- Wir haben schon ein Wiki. Reicht das nicht?
- Für Wissen ja, für Nachweise selten. Einem Wiki fehlt in der Regel die Versionsgültigkeit, die dokumentierte Freigabe und der Normbezug. Genau diese drei Dinge fragt ein Auditor ab.
- Wie lange dauert der Aufbau?
- Für ein mittelständisches Unternehmen ohne Vorarbeit sind einige Monate realistisch. Der Aufwand verteilt sich ungleich, die ersten Wochen bestehen fast nur aus Sammeln und Sortieren. Was den Zeitplan zuverlässiger zerstört als jede technische Hürde, ist eine unklare Zuständigkeit.
- Können wir mit einer Norm anfangen und später erweitern?
- Ja, und das ist der übliche Weg. Die Struktur trägt mehrere Normen nebeneinander, weil sich Kapitel, Nachweise und Freigaben gleichen. Wer mit ISO 27001 beginnt, hat für ISO 9001 einen großen Teil schon stehen.