Informationssicherheit und Business Continuity werden oft als getrennte Projekte aufgesetzt, mit doppelten Dokumenten, doppelten Audits und doppelten Pflegeaufwand. Dabei teilen ISO/IEC 27001 und ISO 22301 dieselbe Grundstruktur.
In einem Unternhemen baut die IT ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 auf, während parallel der Bereich Organisation ein Business-Continuity-Managementsystem nach ISO 22301 einführt. Nach einem Jahr existieren zwei Risiskoanalysen mit unterschiedlichen Skalen, zwei Lenkungsverfahren für Dokumente und zwei Management-Reviews und die Geschäftsführung unterschreibt vieles doppelt, ohne den Zusammenhang zu sehen.
Die beiden Normen sind füreinander gebaut. Beide folgen derselben Grundstruktur, beide steuern über Risiken, und inhaltlich verweisen sie aufeinander, die ISO/IEC 27001 fordert in Anahng A ausdrücklich die Aufrechterhaltung der Informationssicherheit bei Störungen und die Verfügbarkeit von IKT-Systemen, also klassische Continuity-Themen. Dieser Beitrag zeigt, warum ein integriertes Managementsystem der logische Weg ist, wenn beide Zertifikate das Ziel sind.
ISO/IEC 27001 und ISO 22301 folgen beide der Harmonized Structure der ISo Managementsystemnormen. Die Kapitel 4 bis 10 sind identisch aufgebaut, nur das Kapitel Betrieb füllt jede Norm mit ihrer eigenen Fachlichkeit.
Die ISO hat die Managementsystemnormen bewusst so harmonisiert, dass Organisationen ein gemeinsames System betreiben können, statt je Norm ein eigenes aufzubauen. zertifizierungsstellen können ein integriertes System in kombinierten Audits prüfen, ein Systemkern, zwei Zertifikate.
Die Kontextanalyse mit interessierten Parteien und Anwendungsbereich ist für beide Disziplinen dieselbe Übung am selben Unternehmen. Die Politik lässt sich als integrierte Grundsatzerklärung der Geschäftsführung formulieren. Der Risikoprozess nutzt eine integrierte Grundsatzerklärung der Geschäftsführung formulieren. Der Risikomanagementprozess nutzt eine gemeinsame Methodik und Skala, bewertet werden lediglich unterschiedliche Szenarien. Die Dokumentenlenkung, das interne Auditprogramm und das Management-Review sind ohnehin disziplinneutral: Ein Lenkungsverfahren, ein Auditplan, eine Managementbewertung decken beide Normen ab.
Die Automobilindustrie praktiziert ihn mit eigenen Branschenstandards seit Jahren. Neu ist die Breit. Weil NIS2 deutlich mehr Sektoren erfasst als die Vorgängerregelungen, steigt die Zahl der Unternehmen, die Anforderungen weiterreichen müssen, erheblich. Für die Geschäftsführung eines Zulieferers ist das weniger eine Rechtsfrage als eine Marktfrage. Sicherheitsnachweise entwicklen sich zur Voraussetzung für die Teilnahme an Ausschreibungen und für den Erhalt bestehender Rahmenverträge.
Das Asset-Inventar der Informationsswicherheit und die Business-Impact-Analyse des BCM betrachten dieselben Geschäftsprozesse aus zwei Blickwinkeln. Die Risikoanalyse identifiziert Bedrohungen, deren Eintritt genau die Störungen auslöst, für die das BCM Pläne vorhält. Ein Sicherheitsvorfall kann nahtlos in die Notfallbewältigung eskalieren, wenn Vorfall- und Notfallmanagement aufeinanderf abgestimmt sind. Getrennte Systeme zerschneiden diese natürlichen Verbindungen.
Jeder gemeinsame Baustein wird einmal aufgebaut und einmal gepflegt. Das reduziert nicht nur den Aufbauaufwand, sondern vor allem die laufenden Kosten, denn ein Managementsystem lebt von Pflege, Audits und Reviews und diese wiederkehrenden Aufwände fallen bei zwei Insellössungen doppelt an. Auch die Belastung der Fachbereiche sinkt. Eine Befragung zur Kontextanalyse, ein internes Audit statt zwei Auditwellen.
Zwei getrennte Systeme erzeugen früher oder später Widersprüche, unterschiedliche Kritikalitätsbewertungen desselben Prozesses, konkurriende Maßnahmenprioritäten, zwei Berichtslinien an die Geschäftsführung. Ein integriertes System zwingt zu einer konsistenten Sicht. Die Geschäftsführung erhält ein Lagebild statt zweier, die sich womöglich widersprechen. Genau diese Konsistenz prüfen im Übrigen Auditoren mit wachsender Aufmerksamkeit.
Von Asset-Management über Risikomanagement und Compliance bis zum Krisenmanagement. Die gemeinsamen Bausteine existieren genau einmal: eine integrierte politik, ein Risikomanagementprozess, eine Dokumentenlenkung, ein Auditprogramm, ein Management-Review. Jeder Umsetzungsschritt ist so angeordnet, dass Ergebnisse aus einem Faktor die nachfolgenden speisen, etwa die Business-Impact-Analyse das Risikomanagement.
Zertifizierungsreife für ISO/IEC 27001 und ISO 22301 aus einem System heraus. Unternehmen durchlaufen einen Aufbauweg statt zweier Projekte und entscheiden am Ende selbst, ob sie beide Zertifikate gleichzeitig oder nacheinander anstreben. Die Struktur trägt beides, ohne dass etwas doppelt gebaut werden muss.
Kontext, Politik, Risikomanagement, Dokumentenlenkung, Audit und Management-Review müssen nur einmal existieren. Ein integriertes Managementsystem senkt Aufbau- und Betriebskosten, vermeidet widersprüchliche Lagebilder und führt aus einem System zu zwei Zertifikaten. Getrennte Insellösungen sind fast immer der teurere und fehleranfälligere Weg.
Gern zeigen wir Ihnen in einem Gespräch, wie viel Aufwand die Integration in ihrem Fall spart
