ISMS Beratung für IT-Unternehmen: Leistungen und klare Ergebnisse
Welche Ergebnisse eine ISMS-Beratung liefern sollte
ISMS-Beratung übersetzt eine unübersichtliche Sicherheitsaufgabe in bearbeitbare Entscheidungen. Am Ende einer Bestandsaufnahme sollte ein IT-Unternehmen wissen, welche Bereiche betrachtet werden, wo belastbare Nachweise fehlen und welche Aufgaben intern oder extern übernommen werden. Eine allgemeine Liste von Sicherheitsprodukten reicht dafür nicht aus.
Dr. Eckhardt + Partner GmbH nennt auf seiner Anbieterwebsite eine detaillierte Bestandsaufnahme, die Priorisierung von Handlungsfeldern und eine individuelle ISO-27001-Roadmap als Inhalte eines Assessment-Workshops. Daneben wird eine längerfristige Begleitung des ISMS angeboten. Das sind unterschiedliche Leistungen, deren Umfang im jeweiligen Auftrag festgelegt werden muss.
Ergebnisse vor Beginn konkret vereinbaren
Für die Zusammenarbeit lässt sich beispielsweise festhalten:
- Bestandsaufnahme: betrachtete Dienstleistungen, vorhandene Unterlagen und erkannte Lücken.
- Prioritätenliste: dringliche Risiken, benötigte Entscheidungen und offene Rückfragen.
- Arbeitsplan: Aufgaben, Zuständigkeiten, Abhängigkeiten und überprüfbare Meilensteine.
- Übergabe: nutzbare Dokumente, Erläuterung der Methodik und Regeln für die weitere Pflege.
Ein Ergebnis ist besonders hilfreich, wenn es eine Entscheidung ermöglicht. „Berechtigungen verbessern“ bleibt unklar. „Verantwortliche für privilegierte Konten benennen und deren Zugriffe anhand einer vereinbarten Stichprobe prüfen“ lässt sich dagegen zuweisen und kontrollieren.
Zusammenarbeit im IT-Unternehmen organisieren
Die Beratung benötigt Ansprechpartner aus Geschäftsleitung, IT-Betrieb und den betroffenen Fachbereichen. Diese liefern Informationen, prüfen Vorschläge auf Alltagstauglichkeit und entscheiden innerhalb ihrer Befugnisse. Externe Unterstützung kann die Arbeit vorbereiten und koordinieren; sie kann fehlende interne Entscheidungen nicht ersetzen.
Beispiel: Die Bestandsaufnahme zeigt, dass ausgeschiedene Projektmitarbeiter noch Kundenkonten besitzen. Die Beratung strukturiert den Handlungsbedarf. Das Unternehmen klärt die Berechtigung mit dem Kunden, lässt den Zugang entfernen und dokumentiert die Kontrolle. So wird aus einem Beratungsergebnis eine nachweisbare Verbesserung.
Eine Leistungsbeschreibung vor der Beauftragung prüfen
Die folgenden Prüffragen helfen, ein Beratungsangebot mit dem eigenen Bedarf abzugleichen:
- Welche Dienstleistungen, Standorte und Teams werden untersucht?
- Entsteht nur ein Befundbericht oder auch ein priorisierter Arbeitsplan?
- Wer bearbeitet Richtlinien und Nachweise, wer prüft und genehmigt sie?
- Wie werden offene Punkte zwischen den Terminen verfolgt?
- Welche Übergabe ist vorgesehen, wenn die Beratung endet?
Eine Formulierung wie „Begleitung bis zur Auditfähigkeit“ sollte deshalb mit konkreten Ergebnissen hinterlegt sein. Dazu können ein abgestimmter Geltungsbereich, eine dokumentierte Lückenanalyse und bearbeitete Maßnahmen gehören. Ob diese Leistungen tatsächlich im Angebot enthalten sind, muss daraus hervorgehen. Die Vorbereitung eines Audits umfasst außerdem die interne Verfügbarkeit von Ansprechpartnern und Belegen; sie ist keine Zusage, dass eine Zertifizierungsstelle das Zertifikat erteilen wird.
Ob zunächst eine einzelne Bestandsaufnahme oder eine laufende externe ISMS-Begleitung gebraucht wird, hängt vom vorhandenen System und den internen Kapazitäten ab. Für den Angebotsvergleich sollten Sie die Kostenpositionen eines ISO-27001-Vorhabens getrennt betrachten.
Quellen und fachliche Grundlagen
- ISMS-Leistungen von Dr. Eckhardt + Partner GmbH – Dr. Eckhardt + Partner GmbH
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik