Wer eine ISO-Zertifizierung plant, denkt meistens zuerst an das Zertifikat. Was er bekommt und wann. Was er für die Zertifizierung braucht und wie er

Wer eine ISO-Zertifizierung plant, denkt meistens zuerst an das Zertifikat. Was er bekommt und wann. Was er für die Zertifizierung braucht und wie er das Audit besteht. Das sind die falschen ersten Fragen. Nicht weil das Zertifikat unwichtig ist, sondern weil es das Ergebnis eines funktionierenden Systems sein sollte – nicht der Grund, warum das System aufgebaut wird. Wer mit dem Zertifikat anfängt, baut ein System, das für den Auditor funktioniert. Wer mit dem System anfängt, bekommt am Ende auch das Zertifikat – aber zusätzlich etwas, das tatsächlich Wert hat. Was vor einer ISO-Einführung auf der Reihe sein muss, ist weniger technisch als die meisten denken. Das Wichtigste zuerst: Commitment der Führung. Nicht als Lippenbekenntnis, nicht als delegierte Aufgabe an die IT oder einen externen Berater. Wenn die Geschäftsleitung nicht versteht, warum das Thema relevant ist, und nicht bereit ist, Ressourcen, Zeit und Unannehmlichkeiten zu investieren, scheitert die Einführung – nicht beim Audit, sondern lange vorher, wenn die ersten schwierigen Entscheidungen anfallen und niemand bereit ist, sie zu treffen. Das zweite Problem ist Ehrlichkeit. Viele Unternehmen starten eine Risikoanalyse mit dem impliziten Ziel, keine allzu großen Probleme zu finden, weil große Probleme großen Aufwand bedeuten. Das Ergebnis ist eine Risikoanalyse, die das zeigt, was man zeigen will – nicht was tatsächlich vorhanden ist. Eine solche Analyse schützt vor nichts. Sie dokumentiert nur, was man bereit war zu sehen. Das dritte Problem ist die Verwechslung von Dokumentation mit gelebten Prozessen. Ein Handbuch zu schreiben, das beschreibt wie Sicherheitsprozesse funktionieren sollen, ist etwas anderes als Prozesse zu etablieren, die tatsächlich funktionieren. Beides ist notwendig. Nur eins davon schützt das Unternehmen. Und schließlich: ISO ist kein Projekt mit einem Enddatum. Wer die Zertifizierung als abgeschlossenen Vorgang betrachtet, hat das Grundprinzip nicht verstanden. Bedrohungen ändern sich. Strukturen ändern sich. Mitarbeiter kommen und gehen. Was heute gilt, gilt morgen möglicherweise nicht mehr. Ein Sicherheitsmanagementsystem, das nicht kontinuierlich überprüft und angepasst wird, veraltet – leise, ohne Warnung, bis das nächste Audit zeigt, dass es nicht mehr dem entspricht, was es bescheinigen soll. Das klingt nach viel. In der Praxis bedeutet es vor allem eines: von Anfang an ehrlich sein – mit sich selbst, mit dem was man hat, mit dem was fehlt, und mit dem Aufwand, den das wirklich kostet. Wer das tut, baut etwas, das hält. Wer es nicht tut, baut etwas, das aussieht als würde es halten.