Es gibt Themen, die ziehen sich jahrelang unauffällig durch den Alltag einer IT-Abteilung, bis sie plötzlich zur Bedingung werden. ISO 27001 ist so ein Thema. Was lange als Kür für besonders sicherheitsbewusste Unternehmen galt, ist inzwischen in vielen Branchen zur Voraussetzung geworden, um überhaupt Geschäftspartner zu bleiben. Automobilzulieferer verlangen sie von ihren Dienstleistern, Konzerne von ihren Mittelständlern, öffentliche Auftraggeber von ihren IT-Partnern. Wer sie nicht vorweisen kann, füllt stattdessen endlose Sicherheitsfragebögen aus, Anfrage für Anfrage und verschiebt damit nur, was ohnehin ansteht.
Bevor wir darauf eingehen, wie wir dabei unterstützen, lohnt sich ein kurzer Blick auf die Begriffe selbst, denn sie werden oft synonym verwendet, meinen aber nicht dasselbe.
Ein Information Security Management System, kurz ISMS, ist die organisatorische Struktur, mit der ein Unternehmen Informationssicherheit systematisch steuert. Welche Risiken gibt es, welche Richtlinien gelten, wer ist wofür verantwortlich, wie wird das Ganze regelmäßig überprüft und verbessert.
Die ISO 27001 ist die internationale Norm, die genau festlegt, wie ein solches ISMS aufgebaut sein muss, damit es diesen Namen auch verdient. Man kann also ein funktionierendes ISMS betreiben, ohne sich zertifizieren zu lassen, aber man kann sich nicht zertifizieren lassen, ohne ein ISMS zu haben.
Genau hier setzt weSystems an
Genau hier setzt unser Security Consulting an. Wir unterstützen Unternehmen sowohl beim Aufbau und der Weiterentwicklung eines ISMS als auch bei der Vorbereitung auf die ISO 27001 Zertifizierung selbst, inklusive Risikobewertung, Richtlinienerstellung und laufender Bewertung. Beides lässt sich bei uns auch unabhängig voneinander buchen. Manche Kunden wollen in erster Linie ein belastbares ISMS, ganz ohne Zertifizierungsziel, andere brauchen beides zusammen, weil ein Auditor vor der Tür steht.
Dafür schauen wir uns gemeinsam mit Ihnen die komplette Sicherheitslandschaft an, also die Infrastruktur, die eingesetzten Tools, bestehende Sicherheitsmechanismen und die Metriken, mit denen deren Wirksamkeit gemessen wird. Dazu gehören bei uns auch die Themen, die im Tagesgeschäft oft liegen bleiben, etwa die Optimierung von Firewall-Konfigurationen, ein strukturiertes Schwachstellen-Management oder die Integration neuer Sicherheitstools in bestehende Umgebungen.
Warum Prozesswissen allein nicht reicht
Am Markt gibt es viele ISO 27001 Beratungen und die meisten kommen aus der Prozesswelt. Das ist wichtig, deckt aber nur eine Seite ab. Ein ISMS lebt nicht von Dokumenten allein, sondern davon, dass die beschriebenen Maßnahmen auch technisch so umgesetzt sind, wie es das Papier behauptet. Deshalb sitzen bei uns Consultants am Tisch, die aus beiden Welten kommen. Sie kennen die Anforderungen der Norm im Detail, schauen aber genauso tief in die Systeme selbst hinein, in Berechtigungskonzepte, Netzwerksegmentierung, Logging und Monitoring. Sie stellen die unangenehmen Fragen, bevor es der Auditor tut.
Dass wir wissen, wovon wir sprechen, zeigt sich am ehesten daran, dass wir es selbst tun. weSystems durchläuft aktuell bereits die dritte Re-Zertifizierung zur ISO 27001:2022. Wir kennen die Norm also nicht nur aus der Beraterperspektive, sondern haben sie dreimal am eigenen Unternehmen durchlebt, mit allem, was dazugehört, internen Audits, Managementbewertungen, der Frage, wie man ein ISMS nicht nur einmal aufsetzt, sondern dauerhaft am Leben hält, statt es nach der Zertifizierung in der Schublade verschwinden zu lassen.
Zwei Situationen, die uns oft begegnen
Wie unterschiedlich der Ausgangspunkt für ein ISMS sein kann, zeigen zwei Kunden aus der jüngeren Vergangenheit. Der eine, ein Unternehmen mit weniger als 20 Mitarbeitern, sah sich kurzfristig einem umfangreichen Audit durch mehrere große Automobilhersteller gegenüber, ausgelöst durch bestehende Lieferbeziehungen in diesem Umfeld. Die personellen Ressourcen für ein Audit dieser Größenordnung waren knapp, das nötige Spezialwissen nicht in dem Umfang vorhanden, den die Auditoren erwarteten. Wir haben uns gemeinsam mit dem Kunden durch den gesamten Prozess gearbeitet, von der Risikobewertung bis zur lückenlosen Dokumentation der Sicherheitsmaßnahmen. Am Ende hat das Unternehmen erfolgreich bestanden und kann die Geschäftsbeziehungen zu den geforderten Standards fortsetzen. Ohne diese Unterstützung wäre ein gescheitertes Audit vermutlich gleichbedeutend mit dem Ende dieser Zusammenarbeit gewesen.
Der zweite Fall kommt aus dem Produktionsumfeld und zeigt die andere Seite. Der IT-Leiter kam mit einem klaren Bedarf auf uns zu, nämlich langfristig ein ISMS aufzubauen und sich an der ISO 27001 zu orientieren. Aktuell umgeht sein Team diesen Schritt noch, indem es bei jeder neuen Kundenanfrage aufwendige Sicherheitsfragebögen ausfüllt, Seite für Seite, statt die Zertifizierung anzugehen, die genau diese Arbeit überflüssig machen würde. Der Grund ist nachvollziehbar. Knappe personelle Ressourcen und das Wissen, dass ein ISMS-Aufbau Zeit und Budget bindet. Noch funktioniert der Weg über die Fragebögen, doch sobald ein neuer Kunde die Zertifizierung zur Bedingung macht, kippt die Rechnung. Diesen Endkunden gibt es heute noch nicht, aber die Entscheidung, mit wem man dann zusammenarbeiten würde, ist längst gefallen.
Der richtige Zeitpunkt ist vor dem Ernstfall
Beide Geschichten stehen exemplarisch für die häufigsten Situationen, in denen wir gerufen werden: akuter Druck durch ein bevorstehendes Audit auf der einen Seite, klar erkannter Bedarf mit noch etwas zeitlichem Spielraum auf der anderen. In beiden Fällen zahlt es sich aus, sich frühzeitig einen Partner zu holen, der nicht nur die Prozessanforderungen der Norm kennt, sondern auch versteht, was technisch tatsächlich dahintersteckt und wie man ein ISMS so aufbaut, dass es im Alltag trägt statt nur auf dem Papier zu existieren.
Wer sich fragt, ob sich eine ISO 27001 Beratung für das eigene Unternehmen lohnt, muss dafür nicht erst auf den Ernstfall warten. Ein strukturierter Blick auf Infrastruktur, Tools und Sicherheitsmechanismen zahlt sich unabhängig davon aus, ob am Ende ein Zertifikat steht oder ein ISMS, das einfach zuverlässig funktioniert.
