ISMS Projektbegleitung: Aufgaben und Meilensteine koordinieren

Den Aufbau des ISMS als gemeinsames Vorhaben steuern

ISMS-Projektbegleitung hält Arbeitspakete, Entscheidungen und Beteiligte zusammen. Sie ist besonders hilfreich, wenn Aufgaben aus Geschäftsleitung, IT und Fachbereichen voneinander abhängen. Ihr praktischer Nutzen liegt darin, offene Punkte sichtbar zu machen und die vereinbarten Ergebnisse nachzuhalten.

Auf der Anbieterwebsite von Dr. Eckhardt + Partner GmbH werden die Entwicklung einer Roadmap sowie die Begleitung von Aufbau und Auditvorbereitung beschrieben. Welche Koordinationsaufgaben übernommen werden, ist im konkreten Auftrag festzulegen.

Besprechungen auf Ergebnisse ausrichten

Eine Arbeitsbesprechung sollte nicht nur berichten, was erledigt wurde. Sie sollte klären, welche Entscheidung als Nächstes gebraucht wird und wer sie treffen kann. Dafür werden Aufgaben mit Verantwortlichem, Termin und erkennbarem Ergebnis geführt.

Typische Steuerungsfragen sind:

• Welche Aufgabe ist durch eine andere blockiert?
• Fehlen Informationen, Arbeitszeit oder eine Freigabe?
• Welche Änderungen wirken sich auf den vereinbarten Umfang aus?
• Welche Ergebnisse sind abgeschlossen und welche erst entworfen?

Interne und externe Aufgaben verbinden

Beispiel: Die Beratung bereitet eine Vorlage für die Risikobewertung vor. Die Fachbereiche liefern mögliche Auswirkungen, die IT beschreibt bestehende Kontrollen und die zuständigen Risikoeigner bewerten die Ergebnisse. Erst danach kann eine belastbare Priorisierung erfolgen. Die Projektbegleitung sorgt dafür, dass diese Abfolge eingehalten wird.

Übergabe in den Regelbetrieb vorbereiten

Zum Projektabschluss gehören nicht nur fertige Dokumente. Es muss feststehen, wer die Unterlagen pflegt, offene Maßnahmen betreut und zukünftige Veränderungen bearbeitet. Verbleibende Aufgaben werden mit Zuständigkeit und Termin übergeben.

Eine externe Begleitung ersetzt dabei nicht die internen Entscheidungen. Sie kann den Arbeitsprozess strukturieren und unterstützen; Ressourcen und verbindliche Prioritäten müssen im Unternehmen getragen werden.

So kann ein wirksamer Projektstatus aufgebaut sein

Ein Statusbericht sollte nicht jede Aktivität aufzählen, sondern die anstehenden Entscheidungen erkennbar machen. Eine mögliche Gliederung ist: erreichte Ergebnisse – nächste Abnahmen – Hindernisse – benötigte Entscheidung.

Steht beispielsweise die Risikobewertung still, weil Informationen eines Dienstleisters fehlen, wird nicht nur „in Bearbeitung“ gemeldet. Festgehalten werden die konkret fehlende Auskunft, der zuständige Ansprechpartner und die Auswirkung auf nachfolgende Aufgaben. Die Projektbegleitung verfolgt die Klärung. Sie trifft dadurch jedoch nicht automatisch die Risikofreigabe der Unternehmensleitung.

Diese Trennung schützt auch das Projektbudget: Bereits abgeschlossene Aufgaben bleiben abgeschlossen, Änderungen werden mit ihrem Anlass dokumentiert und zusätzliche Leistungen können vor ihrer Beauftragung bewertet werden.

Der ISMS-Projektplan mit Abnahmekriterien liefert der Begleitung den gemeinsamen Bezugsrahmen. Einzelne Sicherheitsverbesserungen werden im Maßnahmenplan weiterverfolgt, auch wenn das Einführungsprojekt bereits abgeschlossen ist.

Quellen und fachliche Grundlagen

• ISMS-Leistungen von Dr. Eckhardt + Partner GmbH – Dr. Eckhardt + Partner GmbH
• BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik