Ein ISO 27001-Zertifikat an der Wand bedeutet nicht, dass ein Unternehmen sicher ist. Es bedeutet, dass es an einem bestimmten Tag in einem bestimmten

Ein ISO 27001-Zertifikat an der Wand bedeutet nicht, dass ein Unternehmen sicher ist. Es bedeutet, dass es an einem bestimmten Tag in einem bestimmten Zustand war, der einen bestimmten Standard erfüllte. Was danach passiert, zeigt das Zertifikat nicht. Das ist kein Vorwurf an ISO. Es ist eine Beschreibung davon, was viele Unternehmen mit ISO machen – und was nicht. Der häufigste Fehler bei Zertifizierungen ist nicht technischer Natur. Er ist struktureller Natur: Das Zertifikat wird als Ziel behandelt, nicht als Ergebnis eines lebendigen Systems. Man investiert, man bereitet sich vor, man besteht das Audit, man hängt das Zertifikat auf. Und danach passiert – meistens wenig. Die Prozesse, die für das Audit dokumentiert wurden, werden nicht gelebt. Die Risikoanalyse, die vor dem Audit erstellt wurde, wird nicht aktualisiert. Die Schulungen, die für das Audit stattfanden, finden danach nicht mehr statt. Das System existiert auf Papier. Im Alltag nicht. Das Ergebnis ist ein Zertifikat, das signalisiert, dass ein Unternehmen Informationssicherheit ernst nimmt – ohne dass es das tut. Für Kunden und Partner ist das eine falsche Sicherheit. Für das Unternehmen selbst ist es vergeudetes Geld und vergeudete Zeit, weil die eigentlichen Vorteile eines funktionierenden Sicherheitsmanagementsystems nie realisiert wurden. Was noch hinzukommt: Viele Unternehmen betreiben während des Zertifizierungsprozesses eine selektive Ehrlichkeit. Risiken, die unangenehm sind oder aufwendig zu behandeln wären, werden in der Analyse kleingeredet. Schwachstellen, die man lieber nicht dokumentiert sehen will, tauchen nicht auf. Das funktioniert – bis der Ernstfall eintritt, und das Risiko, das man lieber nicht sehen wollte, konkrete Konsequenzen hat. Dann war das Zertifikat nicht nur nutzlos, sondern hat aktiv dazu beigetragen, ein falsches Sicherheitsgefühl zu erzeugen. Das eigentliche Ziel einer ISO-Zertifizierung ist nicht das Zertifikat. Es ist ein System, das tatsächlich funktioniert – das Risiken identifiziert, bevor sie eintreten, das Prozesse beschreibt, die tatsächlich befolgt werden, und das kontinuierlich verbessert wird, weil sich Bedrohungen und Strukturen verändern. Ein Zertifikat, das dieses System bescheinigt, hat Wert. Ein Zertifikat, das statt dieses Systems existiert, ist teurer Wandschmuck. Die unbequeme Frage für jedes Unternehmen mit ISO-Zertifikat: Würde ein ehrlicher Blick auf den heutigen Zustand das Zertifikat noch rechtfertigen? Oder bescheinigt es einen Zustand, der beim letzten Audit galt und seitdem nicht mehr gepflegt wurde?