ISO 27001 – das Schreckgespenst vieler Unternehmen: Teuer – Kompliziert – schränkt den Betrieb ein. Wo sind hier die Vorteile und der Mehrwert für ein Unternehmen? Wird wirklich der komplette betriebliche Ablauf verändert?

Die DSGVO-Konformität ist für jedes Unternehmen vorgeschrieben. Aus diesem Grund müsste jedes Unternehmen bereits ein stabiles Grundgerüst an Datenschutz implementiert haben. Oft ist dieses Grundgerüst über die Jahre gewachsen und nicht immer an neue Anforderungen angepasst worden. Nicht selten ist so im Laufe der Zeit ein richtiggehendes Bürokratiemonster entstanden.

Vereinfachung durch klare Richtlinien

Genau hier setzt die Zertifizierung an und strukturiert mit ISMS (Informations Sicherheits Management System) alle Datenschutzthemen zentral und nachhaltig. Ziel ist es, alle Datenschutz-relevanten Prozesse zu erfassen und DSGVO konform zu definieren. Darüber hinaus werden Zuständigkeiten und Verantwortlichkeiten klar definiert. Je nach Unternehmensgröße ist es sinnvoll, hierfür eine dedizierte Person oder eine Abteilung für diesen Bereich einzurichten.

Den Anfang zur ISO 27001 Zertifizierung macht eine Auflistung aller DSGVO relevanten Prozesse, erst im Anschluss daran folgt eine IST Analyse. Im ersten Moment denken wir hier an die IT Abteilung. Die bessere Variante wäre, eine abteilungsneutrale Person oder ein Team zu implementieren. Diese kann offene Punkte und Risiken unabhängig bewerten und dann mit den Fachabteilungen Lösungen erarbeiten.

Bei einem bestehenden DSGVO konformen Grundgerüst werden alle relevanten Prozesse überprüft, entsprechend angepasst und dann auf einen aktuellen Stand gebracht. Sehr oft wird dabei festgestellt, dass manche Prozesse wegfallen und andere klarer definiert werden können.

Was verändert sich nach der Zertifizierung?

Ganz klar: Es wird für alle Mitarbeiter eine kleine Veränderung bedeuten, die Transparenz ist jedoch wesentlich klarer. Zuständigkeiten und Verantwortungen sind fest definiert, womit Rechtssicherheit für alle Mitarbeiter gegeben ist. Dies sollten wir als Chance sehen: Die Vorteile überwiegen die wenigen Prozesse, die angepasst werden müssen, bei weitem.

Diese Veränderungen kann man erwarten:

• Kosten, speziell in der ITK, werden durch klarere Prozesse besser definiert. Dadurch sind Ausfälle und Datenpannen minimiert, die von externen und internen Angriffen bis hin zu menschlichem Fehlverhalten rühren können. Das spart sehr viel Zeit und Geld.
• Neben der Steigerung der Sicherheit wir die tägliche Arbeit erleichtert. Prozesse und Verantwortlichkeiten sind klar definiert und für alle Mitarbeiter einfacher zu erfassen. Alle Mitarbeiter sind Bestandteil dieser Zertifizierung und durch die Integration mit mehr Verantwortungsbewusstsein ausgestattet.
• Die gesetzlichen Anforderungen (Compliance) sind nachweislich erfüllt. Mit der Zertifizierung kann die Haftung deutlich reduziert werden. Würde es zu einer haftungsrechtlichen Gerichtsverhandlung kommen, kann nachgewiesen werden, dass der Stand der Technik und die verkehrsübliche Sorgfaltspflicht eingehalten wurden.
• Die Zertifizierung stellt auch einen wichtigen Wettbewerbsvorteil für das Unternehmen dar. Gerade bei Kunden aus dem öffentlichen Bereich, oder bei Großunternehmen, wird diese Zertifizierung in der Regel angefordert. Ohne diese wird man schlechtestenfalls als nicht qualifiziert angesehen und aus dem Bewerberkreis ausgeschlossen wird.

Gibt es auch Nachteile?

• Für die Einführung sind Zeit, Geld und Personal notwendig. Dieses führt jedoch mittelfristig zu einer klareren und optimierten Unternehmensstruktur, womit langfristig Geld eingespart wird.
• Der Prozess zur Zertifizierung dauert zwischen 6 Monaten und mehreren Jahren, abhängig von der Struktur und Größe des Unternehmens. Dies ist aber keine verschwendet Zeit sondern der Weg zum Ziel. Allein die Tatsache, dass ein Unternehmen diesen Weg geht, zeigt das Verantwortungsbewusstsein der Unternehmensführung.

Fazit

Nur durch klare Kommunikation und Aufklärung, wird das Top Management und die Mitarbeiter motiviert aktiv zum ISMS beizutragen. Ziele und Vorteile einer ISO 27001 Zertifizierung müssen klar definiert und kommuniziert werden, um ein Managementsystem für Informationssicherheit zu gestalten und aufzubauen. Damit verändert sich der betriebliche Ablauf zum Positiven, dem Schreckgespenst ISO 27001 wird das Laken weggezogen und es entpuppt sich als vollkommen harmlos.