Die Umsetzung der Norm ISO 27001 über mehrere Unternehmenseinheiten hinweg ohne Verlust der Governance-Kontrolle

Die Umsetzung der Norm ISO 27001 innerhalb einer einzelnen Organisation ist anspruchsvoll. Die Ausweitung auf mehrere Standorte, Tochtergesellschaften oder Rechtsräume bringt eine ganz andere Komplexität mit sich.

Das Risiko profiliert sich je nach Standort unterschiedlich. Die regulatorischen Rahmenbedingungen variieren je nach Rechtsraum. Die Verantwortung für die Kontrollen verteilt sich auf verschiedene Teams, Regionen und Organisationsstrukturen. Die technologischen Umgebungen unterscheiden sich voneinander, da jede Einheit ihre eigene Infrastruktur, ihre eigenen Cloud-Dienste und ihre eigenen Abhängigkeiten von Drittanbietern entwickelt.

Ohne strukturelle Abstimmung zerfällt das ISMS.

Was als ein einheitlich geregeltes Programm zur Informationssicherheit beginnt, entwickelt sich nach und nach zu einer Vielzahl lokaler Auslegungen desselben. Jede Einheit sorgt zwar für die Einhaltung der technischen Vorgaben, doch die unternehmensweite Sicherheitssteuerung verschlechtert sich dabei still und leise.

Da Unternehmen durch Übernahmen, internationale Expansion und zunehmende betriebliche Komplexität wachsen, wird es immer wichtiger zu verstehen, warum dies geschieht und was erforderlich ist, um dies zu verhindern.

Die Herausforderung der Unternehmensführung an mehreren Standorten

Viele Steuerungsbereiche lassen sich in erheblichem Maße an die lokalen Gegebenheiten anpassen. So können beispielsweise Umweltmanagementprogramme die standortspezifischen Betriebsbedingungen berücksichtigen und gleichzeitig auf Unternehmensebene weitgehend aufeinander abgestimmt bleiben. Programme zur physischen Sicherheit lassen sich an lokale gesetzliche Anforderungen anpassen, ohne dass es dabei zu grundlegenden Unstimmigkeiten in der Steuerung kommt.

Die Informationssicherheit lässt sich auf diese Weise nicht wirksam regeln.

Der Grund dafür ist struktureller Natur. Moderne Informationssicherheitsumgebungen zeichnen sich eher durch gegenseitige Abhängigkeiten als durch Unabhängigkeit aus. Cloud-Dienste werden organisationsübergreifend genutzt. Eine gemeinsam genutzte Infrastruktur verbindet Einheiten, die geografisch und betrieblich voneinander getrennt sein können. Grenzüberschreitende Datenströme führen zu regulatorischen Verpflichtungen, die sich gleichzeitig auf mehrere Rechtsräume erstrecken. Eine Schwachstelle in der Umgebung einer einzelnen Einheit kann innerhalb weniger Stunden zu einer Gefährdung des gesamten Unternehmens führen.

Diese gegenseitige Abhängigkeit bedeutet, dass lokale Verwaltungsentscheidungen in einer Einheit unternehmensweite Sicherheitsauswirkungen haben. Wenn jede Einheit separate Risikoregister führt, kann das Unternehmen standortübergreifende Risikomuster erst dann erkennen, wenn sie sich als Vorfälle manifestieren. Wenn sich die Kontrollbibliotheken zwischen den Standorten unterscheiden, wird die Sicherheitslage des Unternehmens in einer Weise uneinheitlich, die für die zentrale Führungsebene nicht sichtbar ist. Wenn die Auditzyklen standortübergreifend unabhängig voneinander ablaufen, sammelt das Unternehmen zwar Compliance-Nachweise an, verliert jedoch die Fähigkeit, die systemische Sicherheitseffektivität über seinen gesamten operativen Fußabdruck hinweg zu bewerten.

Die Steuerung mehrerer Standorte ist daher nicht nur eine Frage der Koordination. Es handelt sich vielmehr um ein Problem der strukturellen Architektur. Organisationen, die dieses Problem lösen, tun dies, indem sie ihr ISMS von Anfang an auf unternehmensweite Kohärenz ausrichten, anstatt zu versuchen, unabhängig voneinander entwickelte lokale Programme nachträglich aufeinander abzustimmen.

Zentrale Steuerung, lokale Umsetzung

Das Governance-Modell, das der Komplexität von ISO 27001 bei mehreren Standorten am effektivsten gerecht wird, basiert auf einer klaren Unterscheidung zwischen den Aspekten, die unternehmensweit einheitlich sein müssen, und denen, bei denen berechtigte Abweichungen zwischen den Standorten zulässig sind.

Die zentrale Unternehmensführung legt die unverhandelbaren Elemente fest. Methoden zur Risikobewertung müssen in allen Einheiten einem einheitlichen Modell folgen, damit die Risikopositionen vergleichbar sind und zu einer unternehmensweiten Gesamtübersicht zusammengefasst werden können. Die Überwachung der Wirksamkeit von Kontrollmaßnahmen muss zentral strukturiert sein, damit die Führungsebene die Sicherheitslage im gesamten Unternehmen bewerten kann, anstatt lokal erstellte Compliance-Zusammenfassungen zu prüfen. Die über das CAPA-Management gesteuerten Workflows für Korrekturmaßnahmen müssen in einheitliche Governance-Prozesse einfließen, damit die in einer Einheit gewonnenen Erkenntnisse in operative Entscheidungen in anderen Einheiten einfließen können.

Die lokale Umsetzung trägt den berechtigten Unterschieden Rechnung. Die regulatorischen Anforderungen unterscheiden sich je nach Rechtsraum, und die Umsetzung der Kontrollmaßnahmen muss diesen Unterschieden Rechnung tragen. Die technologischen Umgebungen variieren von Standort zu Standort, und Entscheidungen zum Risikomanagement müssen den lokalen betrieblichen Gegebenheiten Rechnung tragen. Teamstrukturen und Arbeitsrhythmen unterscheiden sich von Unternehmen zu Unternehmen, und Governance-Prozesse müssen so gestaltet sein, dass sie innerhalb dieser Gegebenheiten funktionieren, anstatt überall ein identisches betriebliches Verhalten zu verlangen.

Das Gleichgewicht zwischen zentraler Steuerung und lokaler Umsetzung lässt sich allein durch Koordination nur schwer aufrechterhalten. Wenn es von der Disziplin einzelner Mitarbeiter, planmäßigen Abstimmungssitzungen und der manuellen Zusammenführung von Berichten abhängt, bröckelt es allmählich, sobald der operative Druck im gesamten Unternehmen zunimmt. Die einzelnen Einheiten beginnen, die Steuerungsprozesse eher an lokale Erfordernisse als an unternehmensweite Anforderungen anzupassen. Die Zentrale verliert den Überblick. Lokale Teams verlieren den Bezug zum unternehmensweiten Steuerungsmodell.

Um dieses Gleichgewicht strukturell aufrechtzuerhalten, muss die zentrale Steuerungslogik in die operativen Prozesse eingebettet sein, die die lokalen Einheiten tagtäglich nutzen, und darf nicht über periodische Kontrollmechanismen vermittelt werden, die mit den operativen Prioritäten konkurrieren.

Die konkreten Versäumnisse in der Unternehmensführung, die sich im großen Maßstab verstärken

In ISO 27001-konformen Umgebungen mit mehreren Standorten treten Governance-Mängel häufig nach vorhersehbaren Mustern auf. Es ist wichtig, diese Muster zu verstehen, da sie von einem einzelnen Standpunkt innerhalb der Organisation aus nur schwer zu erkennen sind.

Zersplitterte Risikoregister stellen den häufigsten und folgenschwersten Mangel dar. Wenn jede Einheit ihre eigene Risikobewertung unabhängig durchführt, kann das Unternehmen die standortübergreifenden Schwachstellenmuster nicht erkennen, die das größte systemische Risiko darstellen. Eine wiederkehrende Kontrollschwäche, die sich über fünf Standorte erstreckt, muss deutlich dringender behoben werden als ein einmaliges Risiko mit hoher Schwere an einem einzelnen Standort; doch eine fragmentierte Risikosteuerung macht dieses verteilte Muster unsichtbar, bis es zu einem Vorfall führt.

Eine uneinheitliche Überwachung der Kontrollmaßnahmen schafft auf Unternehmensebene ein trügerisches Vertrauen. Wenn die Wirksamkeit der Kontrollen lokal anhand unterschiedlicher Kriterien, Methoden und Zeitabstände bewertet wird, erhält die zentrale Führungsebene Compliance-Zusammenfassungen, die sich nicht sinnvoll vergleichen oder aggregieren lassen. Das Unternehmen glaubt, einen Überblick über seine Sicherheitslage zu haben. In der Praxis hat es jedoch lediglich einen Überblick darüber, ob die lokalen Teams ihre Überwachungsmaßnahmen abgeschlossen haben.

Prüfungszyklen, die unternehmensübergreifend unabhängig voneinander durchgeführt werden, lassen naturgemäß systemische Feststellungen außer Acht. Wenn Prüfungsprogramme nicht unternehmensweit durch das Prüfungsmanagement koordiniert werden, erstellt das Unternehmen eine Reihe von Compliance-Bewertungen auf Standortebene, anstatt eine schlüssige Bewertung der Leistung des ISMS im gesamten Unternehmen vorzunehmen.

Die Isolierung von Korrekturmaßnahmen verhindert das organisatorische Lernen. Wenn ein Sicherheitsvorfall an einem Standort zu einer Korrekturmaßnahme führt, die lokal umgesetzt wird, ohne die Risikobewertung oder die Überwachung der Kontrollmaßnahmen in anderen Einheiten zu beeinflussen, arbeitet das Unternehmen an allen anderen Standorten weiterhin unter den Bedingungen, die den Vorfall verursacht haben.

Integration von Sicherheit in das Unternehmensrisikomanagement

Die Norm ISO 27001 sollte nicht isoliert vom übergeordneten Unternehmensrisikomanagement angewendet werden, und in Umgebungen mit mehreren Standorten hat diese Isolation besonders schwerwiegende Folgen.

Risiken im Bereich der Informationssicherheit überschneiden sich zunehmend mit der Betriebskontinuität, der Einhaltung gesetzlicher Vorschriften, der Widerstandsfähigkeit der Lieferkette und strategischen Geschäftsrisiken – und zwar in einer Weise, die sich mit einem eigenständigen ISMS nicht effektiv bewältigen lässt. Ein schwerwiegender Sicherheitsvorfall verursacht nicht nur ein technisches Problem. Er führt gleichzeitig zu Betriebsstörungen, dem Risiko von Verstößen gegen gesetzliche Vorschriften, Reputationsrisiken und potenzieller vertraglicher Haftung.

Wenn Sicherheitsrisiken strukturell in umfassendere Risikomanagementprozesse eingebunden sind, erhält die Unternehmensführung einen unternehmensweiten Überblick, der über die Informationssicherheit allein hinausgeht. Standortübergreifende Sicherheitsmuster werden ebenso sichtbar wie operative und regulatorische Risikotrends. Systemische Schwachstellen können strategisch priorisiert werden, anstatt reaktiv als einzelne Vorfälle behandelt zu werden.

Diese Integration wirkt sich auch auf die Qualität der Entscheidungsfindung in der Führungsetage aus. Wenn Führungskräfte auf Vorstandsebene Zugang zu vernetzten Risikoinformationen haben, die die Bereiche Informationssicherheit, Betriebskontinuität und Einhaltung gesetzlicher Vorschriften abdecken, können sie fundierte Entscheidungen zur Ressourcenzuweisung treffen, die auf den aktuellen Risiken des Unternehmens basieren – und nicht auf punktuellen Compliance-Übersichten aus isolierten Governance-Programmen.

In Umgebungen mit mehreren Standorten ist diese unternehmensweite Risikointegration unverzichtbar. Da Führungskräfte aufgrund der regulatorischen Rahmenbedingungen zunehmend persönlich für Versäumnisse bei der Informationssicherheits-Governance zur Verantwortung gezogen werden, wird die Fähigkeit, ein vernetztes und kontinuierlich verwaltetes Sicherheitsrisikomanagement auf Unternehmensebene nachzuweisen, nicht mehr nur eine bewährte Vorgehensweise, sondern eine Governance-Anforderung.

Von fragmentierten Einheiten zu einer integrierten Sicherheitssteuerung

Der Übergang von mehreren lokal verwalteten ISMS-Implementierungen zu einem integrierten Sicherheits-Governance-Modell auf Unternehmensebene erfordert eine strukturelle Veränderung in der Art und Weise, wie das Unternehmen seine Governance-Prozesse gestaltet und betreibt.

Die Risikobewertung muss unter Anwendung einer einheitlichen Methodik in allen Unternehmenseinheiten erfolgen, damit die Risikostufen vergleichbar und aggregierbar sind und der Unternehmensleitung in Echtzeit zur Verfügung stehen, anstatt erst durch regelmäßige Konsolidierung zusammengestellt zu werden. Die Überwachung der Kontrollmaßnahmen muss zentral strukturiert sein, damit die Daten zur Wirksamkeit in die Governance-Prozesse einfließen und nicht in lokalen Compliance-Aufzeichnungen verbleiben. Die über [Audit Management] koordinierten Auditprogramme müssen die Leistung des ISMS unternehmensweit bewerten, anstatt lediglich die Einhaltung lokaler Verfahren an einzelnen Standorten zu überprüfen.

Wenn diese Prozesse innerhalb einer einheitlichen Governance-Struktur ablaufen, ist das standortübergreifende ISMS nicht mehr nur eine Ansammlung aufeinander abgestimmter lokaler Programme. Es wird zu einem einheitlichen, koordinierten Sicherheits-Governance-Modell für das gesamte Unternehmen, in dem Informationen kontinuierlich zwischen den einzelnen Einheiten, Governance-Ebenen und Führungsebenen fließen.

Dies verändert die Möglichkeiten der Organisation. Standortübergreifende Sicherheitsrisiken werden sichtbar, noch bevor sie zu Vorfällen führen. Durch das CAPA-Management gesteuerte Korrekturmaßnahmen führen zu einem unternehmensweiten Lernprozess und nicht nur zu einer punktuellen Lösung. Die Führungskräfte erhalten einen kontinuierlichen Überblick über die Sicherheitslage des gesamten Unternehmens, anstatt fragmentierte Zusammenfassungen einzelner Einheiten zusammenstellen zu müssen.

Das Ergebnis ist ein ISMS, das mit dem Unternehmen mitwächst, anstatt sich im Zuge seines Wachstums zu zersplittern.

Transparenz in der Führung auf Unternehmensebene

Wenn Unternehmen international expandieren, wird die Sichtbarkeit der Führung zu einer der wichtigsten und zugleich schwierigsten Governance-Kompetenzen, die im Rahmen eines standortübergreifenden ISO 27001-Programms aufrechterhalten werden müssen.

Führungskräfte benötigen mehr als nur zusammengefasste lokale Compliance-Berichte. Sie benötigen einen kontinuierlichen Überblick über standortübergreifende Sicherheitsrisiken, wiederkehrende Schwachstellenmuster, die Wirksamkeit von Korrekturmaßnahmen in den einzelnen Unternehmenseinheiten, Risikotrends bei Drittanbietern und in der Lieferkette sowie die Audit-Leistung im gesamten Unternehmen.

Wenn die Sicherheits-Governance über Unternehmensbereiche hinweg isoliert erfolgt, wird die Aufsicht durch die Geschäftsleitung strukturell fragmentiert. Die Führungsebene erhält lediglich Zusammenfassungen der lokalen Compliance-Maßnahmen, anstatt einen Einblick in die Sicherheitslage des gesamten Unternehmens zu erhalten. Strategische Entscheidungen über Sicherheitsinvestitionen, Risikobereitschaft und die Verbesserung der Governance werden auf der Grundlage unvollständiger Informationen getroffen, die durch manuelle Konsolidierungsprozesse zusammengestellt werden, was zu Verzögerungen, Inkonsistenzen und selektiver Transparenz führt.

Eine integrierte Governance verändert diese Dynamik. Wenn Risikobewertung, Überwachung der Kontrollmaßnahmen, Vorfallmanagement und Korrekturmaßnahmen innerhalb einer einheitlichen Governance-Architektur über alle Unternehmenseinheiten hinweg ablaufen, erhält die Unternehmensleitung einen zuverlässigen, aktuellen und systematisch generierten Überblick über die Sicherheitslage des Unternehmens. Die Berichterstattung an den Vorstand spiegelt die operative Realität wider und beschränkt sich nicht auf periodische Compliance-Zusammenfassungen.

An diesem Punkt gewinnt die Verantwortung der Führungskräfte für die Informationssicherheit operative Bedeutung. Die Führungsebene kann auf Sicherheitsrisiken reagieren, anstatt sie lediglich zur Kenntnis zu nehmen. Governance-Entscheidungen basieren auf unternehmensweiten Erkenntnissen und nicht auf lokal gewonnenen Informationen.

Die Reife der Sicherheitsmaßnahmen auf Unternehmensebene hängt von der Architektur ab. Nicht von der geografischen Lage.

Kontinuierliche Compliance in großem Maßstab

Die kontinuierliche Einhaltung der ISO 27001-Norm über mehrere Unternehmenseinheiten hinweg erfordert ein grundlegend anderes Governance-Modell als das, das innerhalb eines einzelnen Standorts funktioniert.

Eine regelmäßige Abstimmung reicht nicht aus. Wenn Unternehmen ihre Governance-Aktivitäten im Rahmen festgelegter Überprüfungszyklen synchronisieren, ist das Unternehmen in der Zeit zwischen diesen Zyklen ständig Risiken ausgesetzt. Bedrohungen entwickeln sich weiter. Die Betriebsumgebungen ändern sich. Regulatorische Auflagen verschieben sich. Ein Unternehmen mit mehreren Standorten, das sich auf eine regelmäßige Abstimmung verlässt, um die Kohärenz der Governance aufrechtzuerhalten, steuert stets die Sicherheitslage, die zum Zeitpunkt der letzten Synchronisierung bestand, und nicht die aktuelle.

Eine kontinuierliche Compliance setzt voraus, dass Governance-Prozesse auf operative Ereignisse reagieren und nicht auf Prüfungspläne. Wenn bei einer Einheit eine neue Schwachstelle identifiziert wird, muss die Risikobewertung unternehmensweit aktualisiert werden. Wenn über [Audit Management] ein Prüfungsergebnis generiert wird, muss dies die Priorisierung der Kontrollen in allen betroffenen Einheiten beeinflussen und darf nicht nur lokal behoben werden. Wenn eine Korrekturmaßnahme abgeschlossen ist, muss ihre Wirksamkeit im Laufe der Zeit überprüft werden und darf nicht bereits bei Abschluss als gegeben vorausgesetzt werden.

Ein derart hohes Maß an kontinuierlicher Kohärenz der Unternehmensführung über mehrere Einheiten hinweg lässt sich nicht allein durch Koordination erreichen. Es erfordert eine integrierte Governance-Architektur, bei der die von lokalen Einheiten genutzten Prozesse strukturell und in Echtzeit mit der Unternehmensführung verknüpft sind, anstatt nur in regelmäßigen Abständen über manuelle Mechanismen nach oben gemeldet zu werden.

Sobald diese Architektur etabliert ist, lässt sich die Governance skalieren, ohne dass die Anzahl der Systeme zunimmt. Die Compliance wird kontinuierlich aufrechterhalten und nicht nur in regelmäßigen Abständen nachgewiesen. Die Sicherheitsreife wird zu einem strukturellen Merkmal der Organisation und hängt nicht mehr davon ab, wann das letzte Audit durchgeführt wurde.

Die Reife im Bereich Sicherheit hängt von der Architektur ab, nicht von der geografischen Lage.