Dokumente für die Zertifizierung nach ISO 27001

Die Dokumentation stellt eine der wesentlichen Anforderungen des Standards ISO 27001 dar. Wenn eine Zertifizierung nach dieser internationalen Norm angestrebt wird, müssen alle zum ISMS gehörenden Prozesse, Regeln und Verfahren dokumentiert werden, um deren ordnungsgemäße Umsetzung sicherzustellen.

Welche Dokumente sind für eine Zertifizierung nach ISO 27001 erforderlich?

Der Standard verlangt die Dokumentation folgender Aspekte:

Anwendungsbereich des ISMS
Framework mit Informationssicherheitsrichtlinien
Verfahren zur Risikobewertung der Informationssicherheit
Verfahren zur Bewertung und Behandlung von Informationssicherheitsrisiken
Statement of Applicability (SoA, Erklärung zur Anwendbarkeit)
Ziele zur Informationssicherheit
Nachweis der Kompetenz
Informationen, die aus Sicht der Organisation für die Wirksamkeit des ISMS erforderlich sind
Kontrolle und Planung von Tätigkeiten
Ergebnisse der Risikobewertung zur Informationssicherheit
Ergebnisse, die aus der Behandlung der Informationssicherheitsrisiken hervorgegangen sind
Nachweise zur Ergebnisüberwachung und -messung
Verfahrensweise für interne Audits
Nachweise zum Audit-Programm sowie seinen Audit-Ergebnissen
Nachweise zu den Ergebnissen von Management Reviews
Nachweise zu der Art aufgetretener Nichtkonformitäten und aller daraufhin getroffenen Maßnahmen
Nachweise zu den Ergebnissen sämtlicher Korrekturmaßnahmen, die getroffen wurden

Der Standard unterscheidet dabei zwischen Dokumenten, die explizit gefordert sind, zum Beispiel das Statement of Appglicability, und denjenigen, die sinnvoll, aber nur indirekt nötig sind. Verlangt wird nach dem Standard ein Set an Regeln, das den Bedürfnissen eines Unternehmens entspricht. Das ist nichts anderes als eine Aufforderung, sich Gedanken zu machen, eigene Regeln zu überprüfen und das umzusetzen, was notwendig und vernünftig ist.

Gibt es Vorlagen oder Richtlinien für die Dokumente nach ISO 27001?

Der Standard schreibt nichts vor und bietet auch keine Vorlagen zum Download. Es steht den Unternehmen frei, die eigenen Dokumente zu gestalten, etwa im Corporate Design, falls es die Marketingabteilung wünscht.

Die Dokumente sind immer individuell, da jedes Unternehmen, auch innerhalb einer Branche, anders organisiert ist. Jede Struktur fordert andere Richtlinien und damit andere Unterkapitel in der Dokumentation.

Wir bieten Ihnen Vorlagen, allgemeine, dem Standard gemäße, optisch reduzierte Dokumente, die Sie an Ihre Bedürfnisse anpassen können, und beraten Sie gerne.

Was passiert, wenn ich ein Dokument nicht vorweisen kann?

Wie wichtig eine vollständige Dokumentation ist, hängt von der Phase der Zertifizierung ab. Im ersten Teil des Audits, dem Stage One, wird geprüft, ob das ISMS aktiv wird und die erforderlichen Unterlagen generiert. Daraus leitet sich ab, ob das Unternehmen reif ist für die Zertifizierung oder nicht. Im zweiten Teil des Audits, der vor Ort stattfindet, wird nur noch geprüft, ob die Praxis den Regeln entspricht.

Einzelne Dokumente können Sie in der Zeit bis zum zweiten Teil nachreichen. Fehlen jedoch viele oder wichtige Unterlagen, könnte der Eindruck entstehen, dass Ihr ISMS nicht wirksam ist und auch keine Chance hat, jemals wirksam zu werden. Der Auditor könnte Ihnen die Zertifizierung verweigern.

Wir empfehlen Ihnen, sich ausreichend Zeit für die Zusammenstellung der Dokumente nach ISO 27001 zu nehmen.

Wie lange habe ich Zeit dafür?

Zwischen den beiden Teilen des Audits müssen mindestens sechs Wochen liegen, maximal sechs Monate. Das ist die theoretische Vorgabe.

Praktisch hängt es sehr stark davon ab, welches Dokument fehlt. Handelt es sich um eines der Kernelemente, kann dies zu einem echten Problem in Ihrem Unternehmen und schon zu einer Abweichung vom Standard führen. Wenn Sie Risikomanagement betreiben, dies jedoch nicht dokumentieren können, ist die Nachvollziehbarkeit Ihres gesamten Systems infrage gestellt.

Normalerweise wird in den Audits die Praxis stärker bewertet als der schriftliche Teil. Die meisten Auditoren kommen aus der IT-Praxis und legen mehr Wert darauf, dass die Dinge laufen, als darauf, dass sie bis auf den letzten Punkt dokumentiert sind.

Aber es ist auch in Ihrem eigenen Interesse, kein Risiko einzugehen und die wichtigsten Dokumente schnellstmöglich nachzuliefern.

Wer ist für die Beschaffung oder Erstellung der Dokumente nach ISO 27001 verantwortlich?

Das hängt stark davon ab, wie Ihr Unternehmen organisiert ist. Der CISO oder der Verantwortliche für Sicherheit zeichnet dafür verantwortlich, aber die Dokumente können auch durch andere Abteilungen oder externe Berater bereitgestellt werden.

In modernen Organisationen hat die Abteilung für Sicherheit drei grundlegende Aufgaben: Governance, Consulting und Audit. Governance bedeutet, Richtlinien zu erlassen und deren Einhaltung zu überprüfen; Consulting heißt, alle Bereiche des Unternehmens in Sicherheitsfragen zu unterstützen; Audit bedeutet, für die Einhaltung der Regeln geradezustehen.

Gibt es auch Dokumente, die nicht notwendig sind?

Streng juristisch interpretiert fordert der Standard nur sieben oder acht schriftliche Dokumente. In der Praxis wird damit aber niemand auskommen, und jedes Unternehmen muss für sich entscheiden, welche Dokumente notwendig sind.

Je größer die Firma ist, desto mehr ist zu dokumentieren. Der Standard bildet das ab, indem er für jedes Element auch den Nachweis fordert, dass es zu kontrollieren ist. Ein kleineres Unternehmen kann Compliance auch mit wenig Dokumentation erreichen. Im Endeffekt kommt es darauf an, dass die Maßnahmen nach ISO 27001 umgesetzt werden.

Was passiert mit den Dokumenten nach der Zertifizierung?

Sie müssen verwaltet werden, das heißt abgelegt, archiviert, upgedatet und nach jedem Update erneut freigegeben – wie alle Dokumente, die einem Managementsystem unterliegen.

Wie sollten die Dokumente nach ISO 27001 nachgewiesen werden?

Digitale Form ist akzeptiert, wichtig ist ein gewisser Grad an Visualisierung. Lösungen wie SharePoint oder Consultants sind gängige Varianten, größere Unternehmen setzen eher auf ein dediziertes Content-Management-System.

Zwei Hauptziele gilt es zu erfüllen:

Jeder Anwender muss zu jeder Zeit wissen, welche Regel gerade gilt.
Es muss sichergestellt sein, dass Regeln nicht plötzlich verschwinden, etwa gelöscht oder manipuliert werden. Rekonstruieren zu können, welche Regel wann gegolten haben soll, kann rechtliche Bedeutung haben.

Was bedeutet „dokumentierte Information“?

Der Begriff ist im Standard festgelegt und beinhaltet unter anderem, dass Dokumente lesbar aufbewahrt und mit einer Rechteverwaltung und Versionierung versehen werden müssen. Aktuell wird darüber gestritten, ob auch statische Information dazu zählt, etwa Papier, Word oder PDF-Dateien. Der Ausgang der Diskussion ist ungewiss, deshalb ist dies im Moment nicht kritisch für die Zertifizierung.

Wie detailliert sollte die Dokumentation sein?

Der Detailgrad hängt vom Risiko und von der Geschäftstätigkeit eines Unternehmens ab. Der Risikomanagementprozess in einer Zehn-Mann-Firma wird sich sehr stark von dem in einem Unternehmen mit tausend oder mehr Mitarbeitern unterscheiden.

Die Dokumentation sollte so detailliert sein, dass sich diejenigen zurechtfinden, die sie verwenden – kurz: so wenig wie möglich und so viel wie nötig.

Fazit

Wer die Zertifizierung nach ISO 27001 meistern will, kommt um einen erheblichen Dokumentationsaufwand nicht herum. Es gilt, den Überblick über Informationsquellen, Verantwortlichkeiten und zu betrachtende Unternehmensbereiche zu behalten.

Holen Sie sich in unserem Artikel Übersicht der notwendigen Dokumentation für eine Zertifizierung nach ISO 27001 ausführlichere Informationen darüber, welche Dokumente Sie bereitstellen müssen, was Sie darunter verstehen und wie viel Aufwand Sie dafür einplanen sollten

Benötigen Sie Vorlagen und Orientierungshilfe für das Erstellen Ihrer Dokumentation nach ISO 27001? Wir helfen Ihnen gerne weiter – wenden Sie sich noch heute an einen unserer Experten für Informationssicherheit.