Vom Auditprojekt zum Sicherheitsbetrieb

Problem in der Praxis

Vor einer Zertifizierung ist die Organisation oft hoch fokussiert. Es gibt Projektpläne, Workshops, Dokumentation, Nachweise, interne Abstimmungen und externe Beratung. Nach erfolgreichem Audit fällt diese Spannung ab. Das Tagesgeschäft übernimmt, Maßnahmen verlangsamen sich, Rollen werden unscharf und Nachweise bleiben liegen.

Beim nächsten Audit beginnt die gleiche Anstrengung erneut. Das Unternehmen arbeitet in Auditwellen statt in einem stabilen Sicherheitsbetrieb.

Diese Dynamik ist teuer und riskant. Sie erzeugt Stress, schwache Nachvollziehbarkeit und eine Kultur, in der Sicherheit als Prüfungsereignis wahrgenommen wird.

CISO-Einordnung

Ein Auditprojekt hat ein klares Ziel und ein Datum. Ein Sicherheitsbetrieb hat Taktung, Owner und kontinuierliche Entscheidungen. Der Übergang gelingt nur, wenn die Projektartefakte in Betriebsroutinen übersetzt werden.

Das bedeutet: Aus einem Maßnahmenplan wird ein Roadmap- und Backlog-Prozess. Aus Auditnachweisen werden Regelbetriebsnachweise. Aus Risiko-Workshops wird eine wiederkehrende Risikosteuerung. Aus Management Review wird ein echtes Entscheidungsformat. Aus Feststellungen werden Verbesserungsaufgaben. Ebenso werden das Statement of Applicability (SoA) und der Risikobehandlungsplan von Projektartefakten zu gepflegten Betriebsdokumenten: Änderungen an Maßnahmen, Verantwortlichkeiten und akzeptierten Restrisiken sollten laufend nachgeführt werden, statt erst kurz vor dem nächsten Audit.

Der CISO sollte diesen Übergang nicht dem Zufall überlassen. Er ist ein eigenes Arbeitspaket.

Umsetzungsperspektive

In den ersten 90 Tagen nach einem Audit entscheidet sich, ob der Übergang in den Betrieb gelingt. In dieser Phase sollte das Unternehmen:

• offene Maßnahmen und Feststellungen priorisieren,
• Verantwortlichkeiten bestätigen,
• Review- und Reporting-Taktung festlegen,
• Nachweisquellen stabilisieren,
• Verbesserungen in ein Backlog überführen,
• Management über Restrisiken und nächste Entscheidungen informieren.

Behandeln Sie den Auditbericht nicht als Abschlussdokument. Er ist Input für den Sicherheitsbetrieb. Auch positive Rückmeldungen sollten ausgewertet werden: Welche Routinen haben gut funktioniert? Wo waren Nachweise leicht verfügbar? Welche Fachbereiche waren gut vorbereitet?

Typische Fehler

1. Nach dem Audit wird das ISMS-Team reduziert, ohne Betriebsverantwortung zu klären.
2. Feststellungen werden abgearbeitet, aber Ursachen nicht verbessert.
3. Nachweise werden archiviert, statt als laufende Prozessspuren weitergeführt.
4. Management verliert Aufmerksamkeit, weil das Zertifikat erreicht ist.
5. Das nächste Audit wird erst kurz vor dem Termin wieder aktiv vorbereitet.

Risiken und Trade-offs

Ein ständiger Auditmodus kann Teams überlasten und zu formaler Dokumentation führen. Ein zu entspannter Betrieb kann dagegen Nachweise, Risiken und Maßnahmen vernachlässigen. Die richtige Balance ist ein leichter, aber verbindlicher Takt.

Ein weiterer Trade-off betrifft Zentralisierung. Ein kleines ISMS-Team kann den Betrieb koordinieren, darf aber nicht alle Aufgaben selbst tragen. Fachbereiche und IT müssen Verantwortung behalten.

Auch Verbesserungen brauchen Priorisierung. Nicht jede Idee aus einem Audit oder Review ist gleich wichtig. Der CISO muss Verbesserungen nach Risiko, Wirkung und Aufwand ordnen.

Entscheidungspunkte

• Welche Aufgaben aus dem Audit müssen in den Regelbetrieb übergehen?
• Welche Rollen bleiben dauerhaft aktiv?
• Welche Taktung braucht das ISMS für Risiken, Maßnahmen, Nachweise und Management?
• Welche Kennzahlen zeigen, dass das ISMS nicht nur vor Audits lebt?
• Welche Verbesserungen haben in den nächsten 90 Tagen Priorität?

Praktische Empfehlungen

1. Planen Sie den Betriebsübergang bereits vor dem Zertifizierungsaudit.
2. Führen Sie direkt nach dem Audit ein Lessons-Learned mit Management und Kern-Ownern durch.
3. Überführen Sie offene Punkte in ein priorisiertes Verbesserungsbacklog.
4. Legen Sie feste monatliche oder quartalsweise ISMS-Routinen fest.
5. Messen Sie Betriebsstabilität: rechtzeitige Reviews, bearbeitete Maßnahmen, aktuelle Risiken und verfügbare Nachweise.

Relevante Normreferenzen

• ISO/IEC 27001: Referenz für ISMS-Anforderungen und kontinuierliche Verbesserung.
• ISO/IEC 27007: Referenz für ISMS-Audits und Auditpraxis.