Nichtkonformitäten und Korrekturmaßnahmen wirksam steuern

Problem in der Praxis

In vielen Organisationen wird eine Nichtkonformität als Schuldfrage behandelt. Die Reaktion ist defensiv: Man beseitigt schnell das Symptom, dokumentiert "erledigt" und hofft, dass das Thema nicht wiederkommt. Genau das ist der häufigste strukturelle Fehler, weil die Trennung zwischen zwei verschiedenen Dingen fehlt. Die unmittelbare Behebung der Abweichung ist eine Korrektur; sie räumt das konkrete Problem weg, sagt aber nichts darüber aus, warum es entstanden ist. Die Korrekturmaßnahme dagegen zielt auf die Ursache und soll verhindern, dass dieselbe Abweichung erneut auftritt. Wer beides verwechselt, schließt Befunde formal ab und produziert dieselben Feststellungen im nächsten Audit erneut.

Hinzu kommt ein Mengenproblem. Interne Audits (9.2), die Leistungsbewertung aus Monitoring und Messung (9.1), Vorfälle und externe Audits erzeugen mehr Befunde, als ein unstrukturierter Prozess verarbeiten kann. Ohne Register, Priorisierung und Wirksamkeitsprüfung entsteht ein Rückstau, der die Glaubwürdigkeit des gesamten Managementsystems untergräbt.

CISO-Einordnung

Aus CISO-Sicht ist Klausel 10.2 das operative Rückgrat der Verbesserung. Ihr Kern ist eine Denklogik, die bewusst über reine Fehlerbehebung hinausgeht: Eine Abweichung wird nicht nur kurzfristig abgestellt, sondern auf ihre eigentliche Ursache hin untersucht, und die eingeleiteten Maßnahmen werden an ihrer Wirkung gemessen. Zudem muss dieser Umgang nachvollziehbar dokumentiert werden, damit er steuerbar und im Audit belegbar bleibt.

Der zentrale Hebel ist die Ursachenanalyse. Sie beantwortet nicht "Was ist passiert?", sondern "Warum konnte es passieren und an welcher Stelle des Systems?". Eine belastbare Analyse unterscheidet zwischen einer einmaligen Panne und einem strukturellen Defekt in Prozess, Rolle, Ressource oder Schnittstelle. Erst diese Unterscheidung entscheidet, ob eine reine Korrektur genügt oder eine Korrekturmaßnahme erforderlich ist. Ebenso wichtig ist die Wirksamkeitsprüfung: Eine Korrekturmaßnahme gilt nicht als abgeschlossen, weil sie umgesetzt wurde, sondern erst, wenn nachgewiesen ist, dass die Ursache beseitigt ist und die Abweichung nicht wiederkehrt. Dieser Schritt verbindet 10.2 mit der kontinuierlichen Verbesserung nach 10.1 und liefert dem Management Review (9.3) verwertbare Trendinformationen.

Eine Praxis-Einordnung, die nicht aus ISO/IEC 27001 stammt: In externen Audits werden Feststellungen üblicherweise nach Schwere eingestuft, gängig in wesentliche (major) und geringfügige (minor) Nichtkonformitäten sowie Verbesserungspotenziale (OFI). Diese Klassifizierung ist anerkannte Zertifizierungspraxis aus der Konformitätsbewertung (Referenzrahmen ISO/IEC 17021-1 und ISO/IEC 27006), nicht Bestandteil der Anforderungsnorm 27001. High-level gilt: Eine wesentliche Abweichung deutet auf ein systematisches Versagen hin, eine geringfügige auf eine Einzelabweichung, ein Verbesserungspotenzial ist eine Empfehlung ohne Abweichungscharakter. Die genauen Regeln, Fristen und Folgen für eine Zertifizierung legt ausschließlich die akkreditierte Zertifizierungsstelle fest; sie werden hier bewusst nicht rekonstruiert.

Umsetzungsperspektive

Ein tragfähiger Korrekturmaßnahmenprozess braucht keine komplexe Software, aber eine klare Mechanik. Bewährt hat sich ein zentrales Register, in dem jede Nichtkonformität von der Feststellung bis zur nachgewiesenen Wirksamkeit geführt wird.

• Quelle und Beschreibung der Abweichung sowie der objektive Nachweis sind erfasst.
• Die Sofortreaktion (Korrektur und Eindämmung der Konsequenzen) ist getrennt von der Ursachenbeseitigung dokumentiert.
• Eine Ursachenanalyse mit angemessener Tiefe ist hinterlegt, deren Aufwand sich nach der Tragweite richtet.
• Jede Korrekturmaßnahme hat einen Owner, eine Frist und einen definierten Wirksamkeitsnachweis.
• Der Bezug zu betroffenen Controls aus Annex A und zur Risikolage (6.1.2/6.1.3) sowie zur Anwendbarkeitserklärung (SoA, 6.1.3 d) ist nachvollziehbar.

Die Tiefe der Analyse sollte zur Bedeutung passen. Nicht jede geringfügige Abweichung rechtfertigt eine formale Methode. Bei strukturellen oder wiederkehrenden Befunden lohnen sich dagegen disziplinierte Verfahren, etwa eine mehrstufige Warum-Frage oder eine Betrachtung der beitragenden Faktoren. Die Analyse muss auch ähnliche, noch nicht aufgetretene Fälle in den Blick nehmen, statt nur den konkreten Einzelfall.

Typische Fehler

1. Korrektur und Korrekturmaßnahme werden gleichgesetzt; das Symptom wird behoben, die Ursache bleibt.
2. Der Befund wird auf "erledigt" gesetzt, ohne dass die Wirksamkeit geprüft wurde.
3. Die Ursachenanalyse endet bei der erstbesten Erklärung, meist "menschliches Versagen".
4. Maßnahmen haben keinen Owner oder keine Frist und versanden im Tagesgeschäft.
5. Wiederkehrende geringfügige Befunde werden nicht aggregiert und als systematisches Muster übersehen.
6. Externe Audit-Einstufungen werden übernommen, ohne den eigenen, von 10.2 geforderten Prozess dahinter zu betreiben.

Risiken und Trade-offs

Zu viel Formalismus ist ebenso schädlich wie zu wenig. Wer jede Bagatelle durch eine vollständige Ursachenanalyse zwingt, überlastet den Prozess und erzeugt Schein-Sorgfalt. Wer umgekehrt nur korrigiert, spart kurzfristig Aufwand und zahlt langfristig mit Wiederholbefunden und sinkender Glaubwürdigkeit.

Ein zweiter Trade-off betrifft Geschwindigkeit gegen Gründlichkeit. Eine schnelle Eindämmung ist bei akuten Sicherheitsabweichungen richtig und notwendig, ersetzt aber nicht die spätere Ursachenbeseitigung. Beides muss nebeneinander laufen, nicht nacheinander als Ausrede.

Ein dritter Punkt ist die Versuchung, den externen Auditbefund als alleinigen Maßstab zu nehmen. Die Schwere-Einstufung einer Zertifizierungsstelle ist eine Außenperspektive. Sie ersetzt nicht die eigene Bewertung des Handlungsbedarfs, die das Unternehmen unabhängig von einem Audit treffen muss.

Entscheidungspunkte

• Genügt für diese Abweichung eine Korrektur, oder ist eine Ursachenbeseitigung erforderlich?
• Welche Analysetiefe ist angemessen, gemessen an Tragweite und Wiederholungsrisiko?
• Wer ist Owner der Korrekturmaßnahme, und woran wird ihre Wirksamkeit gemessen?
• Betrifft der Befund nur den Einzelfall oder ein strukturelles Muster mit ähnlichen Stellen?
• Wann ist ein Befund wirklich abgeschlossen, und wer bestätigt das?

Praktische Empfehlungen

1. Trennen Sie im Register sichtbar zwischen Korrektur (Symptom) und Korrekturmaßnahme (Ursache).
2. Machen Sie die Wirksamkeitsprüfung zur Pflichtstation; kein Befund schließt ohne sie.
3. Skalieren Sie die Ursachenanalyse nach Bedeutung statt nach Schema F.
4. Aggregieren Sie kleine, wiederkehrende Befunde und behandeln Sie das Muster als eigene Nichtkonformität.
5. Speisen Sie Trends aus 10.2 regelmäßig in das Management Review (9.3) und in die kontinuierliche Verbesserung (10.1) ein.
6. Behandeln Sie externe Schwere-Einstufungen als Input, nicht als Ersatz für Ihren eigenen Prozess.

Relevante Normreferenzen

• ISO/IEC 27001: Referenz für Nichtkonformität und Korrekturmaßnahme (10.2) sowie kontinuierliche Verbesserung (10.1) im ISMS-Kontext.
• ISO/IEC 17021-1: Allgemeiner Referenzrahmen für die Konformitätsbewertung und damit für die Praxis der Befund-Einstufung.
• ISO/IEC 27006-1: Referenz für Anforderungen an Stellen, die ISMS auditieren und zertifizieren.