In der Schweiz streben immer mehr KMU, IT-Dienstleister und Akteure im Gesundheitssektor eine ISO-27001-Zertifizierung an – häufig auf ausdrücklichen Wunsch ihrer Kunden und Interessenten oder aufgrund der regulatorischen Anforderungen ihrer Branche. Die Norm ist längst nicht mehr nur ein Governance-Rahmen, sondern zunehmend auch eine kommerzielle Voraussetzung.
Die Erlangung dieser Zertifizierung bleibt jedoch eine grosse Herausforderung. Die Einführung eines ISO-27001-konformen Informationssicherheits-Managementsystems (ISMS) erfordert technische, methodische und organisatorische Kompetenzen, über die nur sehr wenige Schweizer Unternehmen intern verfügen. Daher stellt sich fast zwangsläufig die Frage nach einer Auslagerung: Soll ein eigener Informationssicherheitsbeauftragter eingestellt, das Projekt mit den vorhandenen Ressourcen umgesetzt oder ein spezialisierter Dienstleister beauftragt werden?
Dieser Artikel beleuchtet die konkreten Gründe, die für eine Auslagerung sprechen – insbesondere für Schweizer Unternehmen, die eine Erstzertifizierung anstreben oder ihren bestehenden Ansatz konsolidieren möchten.
Eine Expertise, die sich langfristig nur schwer intern aufbauen lässt
Die ISO 27001 ist keine Norm, die man allein durch das Lesen des Standards vollständig beherrschen kann. Ihre Umsetzung erfordert ein fundiertes Verständnis der Norm, aber auch weiterer relevanter Standards wie ISO 27002 (Leitfaden zur Umsetzung von Sicherheitsmassnahmen), ISO 27005 oder ISO 31000 (Risikoanalyse) usw.
Die Rekrutierung eines Profils mit diesen Kompetenzen ist daher kostspielig und in der Praxis schwierig. Auf dem Schweizer Markt gibt es einen Mangel an erfahrenen CISOs, und Kandidaten, die diese Anforderungen erfüllen, verhandeln häufig hohe Vergütungen. Neben dem Gehalt müssen auch die individuellen Zertifizierungen dieser Kandidaten (ISO 27001 Lead Implementer oder Lead Auditor) finanziert und regelmässig erneuert sowie eine kontinuierliche Beobachtung der Entwicklung der Normen sichergestellt werden.
Ein spezialisierter Dienstleister wie Data Guardians verteilt diese Investitionen auf mehrere Kunden. Die Consultants und auch die internen Auditoren verfügen regelmässig über aktuelle Zertifizierungen und über umfangreiche praktische Erfahrung mit der Norm in unterschiedlichen Kontexten, die ein interner Mitarbeitender in der Regel nicht sammeln kann. Für jede Organisation, die ISO 27001 zum ersten Mal implementiert, ist dieser Erfahrungsvorsprung von entscheidender Bedeutung.
Von zahlreichen Implementierungen profitieren
Ein Consultant, der bereits mehrere ISMS-Implementierungen begleitet hat, kennt die typischen Stolpersteine. Er weiss, welche Dokumente der Auditor tatsächlich eingehend prüfen wird, welche Formulierungen in einer Richtlinie regelmässig Probleme verursachen, welche Schwachstellen in einem Verzeichnis der Bearbeitungstätigkeiten systematisch festgestellt werden und wie das ISMS entsprechend den Bedürfnissen der begleiteten Organisation richtig dimensioniert wird.
Diese Erfahrung führt in der Praxis zu deutlich robusteren Ergebnissen bereits im ersten Entwurf: einer strukturierten Risikoanalyse, Richtlinien, die auf den tatsächlichen Reifegrad der Organisation abgestimmt sind, usw. Ein interner Sicherheitsverantwortlicher, der ein solches Projekt zum ersten Mal durchführt, wird dieselben Fehler machen, die ein Consultant bereits in anderen Organisationen beobachtet hat, und wertvolle Zeit für deren Korrektur verlieren.
Weniger administrativer Aufwand
Die Auslagerung entlastet die Organisation auch vom administrativen Aufwand im Zusammenhang mit der Zertifizierungsstelle. Vorbereitung der Bewerbungsunterlagen, Kommunikation mit dem Auditor, Planung des initialen Audits und der anschliessenden Überwachungsaudits, Bearbeitung von Nichtkonformitäten, Vorbereitung der Rezertifizierung usw.: Diese wichtigen und notwendigen Aufgaben beanspruchen erhebliche interne Ressourcen. Ein Dienstleister wie Data Guardians übernimmt diese Aufgaben und berichtet der Geschäftsleitung direkt über klare Fortschritte und Ergebnisse, anstatt lediglich technische Informationen weiterzugeben.
Die Frage der Rollen und der Unabhängigkeit
Die ISO 27001 unterscheidet mehrere Rollen im Bereich der Risikogovernance: den Risikoeigner, den Verantwortlichen für die Risikobehandlung, den internen Auditor und die Person, die risikobezogene Entscheidungen genehmigt. Wenn diese Rollen auf eine oder zwei interne Personen konzentriert sind, weist der Auditor häufig auf Interessenkonflikte hin, die zu einer Nichtkonformität mit den Anforderungen der Norm führen können.
Ein externer Consultant kann bestimmte dieser Rollen übernehmen, ohne dass ein Interessenkonflikt mit der Geschäftsleitung oder anderen Managementfunktionen entsteht. Er kann den Sicherheitsausschuss moderieren, Massnahmenpläne zur Risikobehandlung vorschlagen und die endgültige Genehmigung dieser Massnahmenpläne der Geschäftsleitung überlassen. Diese Aufteilung macht das System besser auditierbar und verhindert Interessenkonflikte.
Das gleiche Argument gilt für die Rolle eines externen DPO oder CISO. So verlangen sowohl das DSG als auch die DSGVO eine funktionale Unabhängigkeit des DPO: Er darf keine Weisungen bezüglich der Ausübung seiner Aufgaben erhalten und muss direkt an die höchste Führungsebene berichten können. Diese Unabhängigkeit lässt sich mit einem externen Dienstleister deutlich einfacher gewährleisten als mit einem internen Mitarbeitenden, der einer Hierarchie unterstellt ist. Die gleiche Logik gilt für einen externen CISO oder ISMS Manager. Unsere externen DPO-, CISO- und ISMS-Manager-Dienstleistungen erfüllen genau diese Anforderungen.
Fazit
Die Auslagerung einer ISO-27001-Implementierung bedeutet keine Übertragung der Verantwortung: Die Geschäftsleitung muss weiterhin voll und ganz in den Prozess eingebunden sein, damit sich eine Kultur der Informationssicherheit intern verankert und die Mitarbeitenden weiterhin die wichtigsten Akteure des ISMS bleiben. Die Unterstützung durch einen spezialisierten Dienstleister ermöglicht es jedoch, schneller, weiter und mit einer Effizienz voranzukommen, die bei einer vollständigen Internalisierung der Kompetenzen nur schwer zu erreichen ist.
Für ein Schweizer KMU macht dies häufig den Unterschied zwischen einer fristgerecht erlangten Zertifizierung und einem Projekt, das ins Stocken gerät. Für die Geschäftsleitung bedeutet dies zudem die Gewissheit, dass das System langfristig funktioniert, unabhängig von Veränderungen bei den internen personellen Ressourcen.
Wenn Sie über eine ISO-27001-Implementierung in Ihrem spezifischen Kontext sprechen möchten, kontaktieren Sie uns. Wir melden uns schnellstmöglich bei Ihnen.
