Wenn ein Unternehmen zum ersten Mal die Anforderungen von NIS2 durchgeht, entsteht fast immer derselbe Eindruck. Die Liste ist lang, die Formulierungen sind abstrakt, und irgendwo zwischen Risikoanalyse und Lieferkettensicherheit verliert man den Faden. Was dabei selten auffällt: Diese Liste ist nicht neu. Sie deckt sich in weiten Teilen mit dem, was ein Informationssicherheits-Managementsystem nach ISO 27001 seit Jahren verlangt.
Das ist keine Zufälligkeit. Beide beschreiben denselben Gegenstand, nur aus unterschiedlicher Richtung. Die Norm beschreibt, wie man Informationssicherheit organisiert. Die Richtlinie beschreibt, was dabei herauskommen muss.
Was ein ISMS eigentlich ist
Der Begriff schreckt ab, weil er nach Software klingt. Ein Informationssicherheits-Managementsystem ist aber kein Programm, sondern eine Arbeitsweise. Es beantwortet vier Fragen und hält die Antworten so fest, dass sie überprüfbar sind. Was müssen wir schützen? Was kann passieren? Was tun wir dagegen? Und woran erkennen wir, dass es wirkt?
Der Vergleich, der in Gesprächen am besten funktioniert: Ein ISMS ist für Informationen das, was die Instandhaltung für Maschinen ist. Niemand würde eine Produktionsanlage betreiben, ohne zu wissen, welche Teile verschleißen, wann sie geprüft werden und wer im Störungsfall gerufen wird. Bei Informationen halten viele Unternehmen genau das für ausreichend, was in der Instandhaltung als fahrlässig gälte.
Zertifizierung ist nicht der Punkt
An dieser Stelle winken viele ab. Zertifizierung sei zu teuer, zu aufwendig, nichts für hundertzwanzig Mitarbeiter. Das mag stimmen und ist trotzdem nicht der Punkt. Man kann sich an der Struktur der Norm orientieren, ohne je ein Zertifikat anzustreben. Der Nutzen liegt in der Ordnung, nicht in der Urkunde.
Wer später doch zertifizieren möchte, etwa weil ein Großkunde danach fragt, hat den Weg dann schon zu zwei Dritteln hinter sich. Wer es nie tut, hat trotzdem eine belastbare Antwort, wenn ein Kunde einen Nachweis verlangt oder eine Behörde nachfragt.
Die Frage im Ernstfall lautet nie, ob man etwas getan hat. Sie lautet, ob man es zeigen kann.
Wo es in der Praxis hakt
Nach unserer Erfahrung scheitern diese Vorhaben fast nie an der Technik und fast immer an der Ablage. Die Maßnahmen existieren. Es gibt eine Passwortrichtlinie, ein Backup-Konzept, eine Liste der Dienstleister. Nur liegen sie an fünf Orten, in unterschiedlichen Ständen, mit Dateinamen wie Sicherheitsleitlinie_final_v3_neu_JK.docx.
Beim Audit ist das kein Schönheitsfehler. Wenn ein Dokument in vier Versionen existiert, kann niemand sagen, welche gilt. Und ein Nachweis, dessen Gültigkeit sich nicht bestimmen lässt, ist kein Nachweis. Der Prüfer sieht dann nicht ein Unternehmen mit Lücken, sondern eines ohne Übersicht, und das ist der schlechtere Eindruck.
Was Ordnung konkret bedeutet
Die Anforderungen an ein gepflegtes Managementsystem lassen sich erstaunlich knapp aufschreiben. Sie sind nur mit Dateiablagen schwer einzuhalten.
- Jedes Dokument hat genau einen gültigen Stand, und der ist ohne Rückfrage erkennbar.
- Jede Änderung ist nachvollziehbar, mit Datum, Person und Grund.
- Jedes Dokument hat einen Verantwortlichen und einen Termin für die nächste Prüfung.
- Freigaben sind dokumentiert und nicht nur mündlich erfolgt.
- Der Bezug zur Norm ist hinterlegt, damit im Audit die Frage nach einem Kapitel in Sekunden beantwortet ist.
Der letzte Punkt ist der, den Unternehmen am meisten unterschätzen. Ein Auditor fragt nicht nach Ihrer Ordnerstruktur. Er fragt nach Kapiteln. Wer seine Dokumente an den Normkapiteln entlang organisiert, führt ein Gespräch. Wer es nicht tut, führt eine Suche.
Wie das aussieht, wenn man es baut
Genau an diesem Punkt entstehen digitale Managementsysteme. Nicht als Ersatz für Fachwissen, sondern als Struktur, die das Fachwissen an einer Stelle hält. Bei Verinorm Cloud haben wir das für ISO-bezogene Prozesse gebaut. Normkapitel, Kataster, Rollen und Rechte, Freigaben und Nachweise liegen an einer Stelle statt in Ordnerbäumen, und über Schnittstellen lassen sich Informationen mit anderen Unternehmenssystemen austauschen.
Der Effekt, den Anwender zuerst nennen, ist selten der, den man erwartet. Es ist nicht die Zeitersparnis im Audit. Es ist, dass die Diskussion darüber aufhört, welcher Stand gilt.
Wie lange das dauert
Die ehrliche Antwort lautet: länger, als man hofft, und kürzer, als man befürchtet. Für ein mittelständisches Unternehmen ohne Vorarbeit sind einige Monate realistisch, bis die Struktur steht und die wichtigsten Nachweise gepflegt sind. Der Aufwand verteilt sich dabei sehr ungleich. Die ersten Wochen bestehen fast nur aus Sammeln und Sortieren, und das ist der Teil, den niemand gern übernimmt.
Was den Zeitplan zuverlässiger zerstört als jede technische Hürde, ist eine unklare Zuständigkeit. Solange Informationssicherheit die Aufgabe von allen ist, ist sie die Aufgabe von niemandem. Eine benannte Person mit ein paar Stunden pro Woche bringt mehr voran als ein Projekt mit fünf Beteiligten und ohne Verantwortlichen.
Ein realistischer Einstieg
- Eine Liste der schützenswerten Informationen erstellen. Nicht vollständig, sondern die zwanzig wichtigsten. Kundendaten, Konstruktionsdaten, Kalkulationen, Zugangsdaten.
- Für jede Position notieren, wo sie liegt, wer darauf zugreift und was bei Verlust passiert. Diese Tabelle ist bereits die halbe Risikoanalyse.
- Die vorhandenen Regelungen einsammeln und an einen Ort bringen, egal welchen. Der Ort lässt sich später ändern, die Vollständigkeit nicht nachholen.
- Erst danach über Werkzeuge sprechen. Wer mit dem Werkzeug beginnt, füllt ein System mit Unordnung und wundert sich, dass es nicht hilft.
Der letzte Satz gilt übrigens für jede Software, die wir je gebaut haben. Ein gutes System macht einen geordneten Prozess schneller. Einen ungeordneten macht es sichtbar, und das ist auch etwas wert, nur selten das, was man sich erhofft hatte.
