Zwei Direktoren diese Woche. Dieselbe Frage von mir: Erzählen Sie mir von Ihrem letzten Management-Review.
First one: "The what?"
Second one: "I think I signed something in March."
Mein Team bei Cresco Cybersecurity, Teil der Integrity360-Gruppe, begleitet beide Organisationen zur ISO 27001-Zertifizierung. Beide gehen innerhalb des Monats in Stage 2. Beide ISMS sind in gutem Zustand. Anwendungsbereich definiert, Risikobeurteilung abgeschlossen, SoA Zeile für Zeile begründet, internes Audit abgeschlossen und Maßnahmen nachverfolgt. Neun Monate solide Arbeit von Leuten, die wussten, was sie taten.
Und beide waren dabei, ihre ranghöchste Person unvorbereitet mit einem Auditor in einen Raum zu schicken.
Niemand sagt dem Direktor, dass er auf dem Plan steht
Sehen Sie sich Ihren Auditplan an. Das Top-Management hat einen Slot. Er liegt meist früh, oft bevor der Auditor sich irgendetwas anderes angesehen hat, und er existiert, weil ISO/IEC 17021-1 verlangt, dass Stage 2 die Managementverantwortung bewertet. Managementverantwortung lässt sich nicht durch das Lesen einer Richtlinie bewerten. Man muss mit dem Management sprechen.
Der erste echte Eindruck von Ihrem ISMS kommt also von der einen Person im Unternehmen, die noch nie eine Klausel der Norm gelesen hat.
Und hier ist die Rechnung, die niemand aufmacht. Eine fehlende Maßnahme ergibt eine Nebenabweichung. Ein fehlender Verantwortlicher trifft Klausel 5. Das eine schließen Sie mit einem Screenshot. Das andere signalisiert, dass das gesamte System niemandem gehört, und es verändert, wie der Auditor alle weiteren Nachweise für den Rest der Woche liest.
Ihr Direktor muss nicht wissen, was TLS ist. Wenn er beginnt, es zu erklären, ist das schlimmer, nicht besser. Er muss sechs Fragen beantworten.
Die sechs Fragen
"What's the scope of your ISMS?"
The killer answer is "everything we do." The second killer is silence, then a glance at the security manager. Everybody in the room sees that glance.
Klausel 4.3. Abgrenzung in Geschäftssprache. Welche Dienste, welche Teams, welche Standorte. Und eine Sache, die bewusst ausgeschlossen ist, und warum.
Dieser letzte Teil ist wichtiger als der Rest. Jeder kann aufsagen, was enthalten ist. Nur jemand, der beim Gespräch dabei war, weiß, was ausgeschlossen wurde.
"What are your information security objectives?"
"To not get hacked." That's what I got this week. It's honest. It also tells the auditor nobody has ever measured anything.
Klausel 6.2. Zwei oder drei, ungefähr, mit einer Entwicklungsrichtung. Niemand erwartet, dass ein Direktor Zahlen zitiert. Sie erwarten aber, dass der Direktor weiß, was das Unternehmen beschlossen hat zu verbessern, und ob es funktioniert.
"What are your biggest risks?"
Achten Sie darauf. Neun von zehn Mal wiederholt der Direktor, was die IT ihm gesagt hat, und was die IT ihm gesagt hat, ist eine Liste fehlender Maßnahmen. Kein MFA. Patching im Rückstand. Kein DR-Test seit letztem Jahr.
Das sind keine Risiken. Das sind Lücken. Ein Auditor hört das und weiß genau, was passiert ist: Die Risikobeurteilung wurde von einem einzigen Techniker, in einer Tabelle, allein erstellt und hat das Sicherheitsteam nie verlassen.
"What resources have you provided?"
Das ist die Frage, die sie erwischt. Jedes Mal.
"We fully support the programme." That's a sentence, not a resource. Clauses 5.1 and 7.1 want something you can count. A budget line. A hire. A tool you paid for. Days released so someone could actually run the internal audit. Training you signed off.
Wenn Ihr Direktor keines nennen kann, halten Sie inne und stellen sich die unbequeme Frage: Haben Sie je etwas von ihm verlangt? Ein Direktor, der nie gefragt wurde, ist nicht ablehnend. Er ist uninformiert. Und das liegt bei Ihnen.
"Who's accountable for information security here?"
"Our CISO." Wrong, and it's a fast route to a 5.3 finding.
Responsibility gets delegated. Accountability doesn't move. The answer is "I am," followed by who runs it day to day and how often they hear from them.
"Tell me about your last management review."
Die aufschlussreichste Frage im gesamten Gespräch, weshalb ich damit eröffnet habe.
Drei Dinge, das ist die Messlatte. Ungefähr wann. Wer im Raum war. Eine Entscheidung, die dabei herausgekommen ist.
Eine Entscheidung. Das ist alles.
Wenn sie keine nennen können, zieht der Auditor denselben Schluss, den Sie an seiner Stelle ziehen würden: Das Management-Review fand auf dem Papier statt, einige Tage vor dem Audit, und niemand hat eine Entscheidung getroffen, weil niemand wirklich dabei war. Dann prüfen sie es nach. Meistens haben sie recht.
Und eine, die niemand kommen sieht. Hat jemand bestimmt, ob der Klimawandel für Ihr ISMS relevant ist? Amendment 1, Februar 2024, hat einen einzigen Satz in Klausel 4.1 eingefügt: Die Organisation soll bestimmen, ob der Klimawandel ein relevantes Thema ist. Auditoren fragen danach, seit Überwachungsaudits das in jenem Jahr aufgegriffen haben.
"We looked at it, it hits availability at our Lisbon site, it's in the context analysis" works fine. So does "we looked at it, it's not relevant to our ISMS, here's where we wrote that down."
Sie dürfen zu dem Schluss kommen: nein. Sie dürfen nicht zu keinem Schluss kommen.
Regeln für den Raum
Beantworten Sie die Frage, und hören Sie dann auf zu reden. Stille ist keine Lücke, die Ihr Direktor füllen muss. Sie ist eine Technik. Direktoren hassen Stille und füllen sie mit Details, und jedes Detail ist eine Tür. Jede Tür ist eine neue Fragestellung, und sie steht jetzt im Protokoll.
"I don't know, [name] does" is a fine answer. Guessing is not. Niemand fällt durch, weil ein Direktor ein operatives Detail nicht kennt. Jeder Auditor verfolgt eine Vermutung, die sich als falsch herausstellt, und nun haben Sie ein Glaubwürdigkeitsproblem on top eines sachlichen.
Never say "always" or "never." Absolutes are an invitation to go sampling. Say "we always revoke access on the leaving date" and the auditor will go and find the one leaver you missed. "The process says X, and we review it quarterly" survives contact. Absolutes don't.
Antworten Sie nicht für andere. "I think IT handles that" is a thread, and it will get pulled. "That sits with [name], who's available this afternoon" is not a thread.
Nichts wird für nach dem Audit versprochen. Anything your director offers to send later goes straight into the notes. If it didn't exist during the audit, it didn't exist. Same trap with "we're working on that." If the work is already logged as an improvement action with an owner and a date, say precisely that. If it isn't, your director has just declared a nonconformity out loud.
Nicht abreagieren. Directors vent. "I ask for budget and never get it" is a Clause 7.1 finding, delivered voluntarily, by the one person in the building whose testimony carries the most weight.
Tricks, die wirklich funktionieren
Schicken Sie drei markierte Zeilen, nicht das gesamte Paket. 48 Stunden vorher gehen die letzten Management-Review-Protokolle mit genau drei markierten Stellen an den Direktor: das Datum, wer anwesend war, eine Entscheidung. Niemand liest am Vorabend ein zwölfseitiges Dokument. Jeder liest drei markierte Zeilen.
Geben Sie ihnen eine Zahl. Direktoren erinnern sich an eine Zahl. Wählen Sie die, die Engagement belegt, und machen Sie sie zu ihrer. Die Budgetposition, die Stellenzahl, die freigestellten Tage für das interne Audit. Eine. Kein Dashboard.
Formulieren Sie den Verantwortlichkeitssatz gemeinsam mit ihnen, in ihren Worten. Wer rechenschaftspflichtig ist, wer es führt, wie oft sie sich treffen. Ihre Formulierung, nicht Ihre. Ein Satz, den ein Direktor selbst aufgebaut hat, übersteht die Nachfrage. Ein Satz, den Sie für ihn geschrieben haben, bricht bei der zweiten Frage auseinander.
Führen Sie die erste Probe ohne den Sicherheitsverantwortlichen im Raum durch. Sie erfahren sehr schnell, was der Direktor tatsächlich weiß, im Gegensatz zu dem, was ihm normalerweise zugespielt wird. Bringen Sie den ISM für Runde zwei wieder dazu.
Legen Sie die Unterlagen auf den Tisch. Policy, scope statement, objectives, last management review minutes. Reading from a record isn't cheating, it's the entire point. A director who says "let me check the minutes" and then checks the minutes has just proven the minutes get used.
Vereinbaren Sie einen angemessenen Zeitslot. Nicht eingeklemmt zwischen zwei Board-Calls. Ein Direktor unter Zeitdruck gibt knappe Antworten, knappe Antworten wirken desinteressiert, und der Auditor verlängert die Sitzung, um herauszufinden warum. Zwanzig ruhige Minuten sind kürzer als zehn gehetzte.
Weisen Sie ihn darauf hin, dass der Auditor Sie möglicherweise bittet, den Raum zu verlassen. Manche tun es, und sie haben das Recht dazu. Wenn Ihr Direktor dabei die Miene verliert, ist das eine Information, die der Auditor jetzt kostenlos hat.
Was auch immer die Probe zutage fördert: dokumentieren Sie es
Das ist der Schritt, den die meisten übersehen.
Sie proben eine Woche vorher und decken drei echte Lücken auf. Der Instinkt sagt, sie still zu beheben, damit sie nie passiert sind.
Tun Sie das Gegenteil. Tragen Sie sie noch am selben Tag mit Verantwortlichem und Termin in das Verbesserungsprotokoll ein.
Eine Lücke, die der Auditor findet und die Sie bereits protokolliert, zugewiesen und terminiert hatten, ist ein Nachweis dafür, dass Klausel 10 funktioniert. Dieselbe Lücke, nicht protokolliert, ist eine Nichtkonformität. Sie dürfen wählen, was daraus wird, und diese Wahl verfällt in dem Moment, in dem der Auditor Platz nimmt.
Sie briefen Ihren Direktor nicht. Sie auditieren sich selbst.
Fünfundvierzig Minuten, eine Woche vorher. Ich präsentiere nichts. Ich stelle die sechs Fragen laut, der Reihe nach, und lasse sie schlecht antworten.
Dann schauen wir uns an, was sie nicht beantworten konnten, und da hört es auf, ein Briefing zu sein.
Keine Entscheidung aus dem Management-Review nennen können? Das Management-Review ist nicht real.
Keine Ressource nennen können? Niemand hat sie je um eine gebeten.
Den Anwendungsbereich nicht beschreiben können? Der Anwendungsbereich gehört dem, der ihn formuliert hat, und das waren sie nicht.
Sie haben kein schlechtes ISMS gebaut. Sie haben es neben dem Unternehmen gebaut, nicht darin. Die Dokumente sind in Ordnung. Das System läuft nur nicht durch die Personen, von denen die Norm sagt, dass es durch sie laufen soll. Das ist eine Klausel-5-Nichtkonformität, und ein Auditor hätte recht, sie zu schreiben.
Besser, Sie finden es als der Auditor. Eine Woche reicht, um es real zu machen. Sie reicht bei Weitem nicht, um es vorzeigbar zu machen.
Wenn Ihr Audit am Montag ist
Drei Dinge, in dieser Reihenfolge.
Eine Entscheidung aus dem letzten Management-Review. Eine Zahl, die eine Ressource belegt. Ein Satz darüber, wer rechenschaftspflichtig ist.
Haben Sie diese drei, geht Ihr Direktor mit etwas Realem in den Raum. Alles andere auf dieser Seite ist für das nächste Mal.
Beide Unternehmen, mit denen ich diese Woche zusammensaß, haben in den darauffolgenden Tagen etwas geändert. Bei keiner der Änderungen handelte es sich um ein Dokument.
Stellen Sie Ihrem Direktor heute also eine Frage. Nennen Sie eine Entscheidung aus dem letzten Management-Review.
Was auch immer zurückkommt, das ist Ihre Antwort.
Christophe Mazzola ist Head of GRC Practice Development bei Cresco Cybersecurity, Teil der Integrity360-Gruppe, und praktizierender CISO.
Unsere ISO/IEC 27001 Lead Implementer- und Lead Auditor-Kurse behandeln Klausel 5 und Klausel 9.3 so, wie sie auditiert werden, nicht so, wie sie zusammengefasst werden. Fünf Tage, PECB-Zertifizierung, 2.499 €. Wenn Sie die Prüfung zweimal nicht bestehen, erhalten Sie Ihr Geld zurück.