🔍 Was beobachte ich?

Einmal im Jahr entsteht ein Sicherheitsbericht: achtzig Seiten, Ampelgrafiken, Kennzahlen. Er geht per Mail an die Leitung, wird bestenfalls zur Kenntnis genommen und abgelegt. Im nĂ€chsten Audit dient er als Nachweis fĂŒr die Managementbewertung.

🎯 Was soll eigentlich erreicht werden?

Die Leitung soll das ISMS bewerten: Passt es noch, wirkt es, wo muss nachgesteuert werden? ISO 27001 fordert das in Abschnitt 9.3 – und meint die oberste FĂŒhrungsebene, nicht das Sicherheitsteam.

⚠ Warum funktioniert das nicht?

Ein Bericht, den niemand liest, bewertet nichts. Die Norm verlangt in 9.3.3 mehr als ein Dokument: Entscheidungen. Und sie schreibt nirgends „jĂ€hrlich", sondern „in geplanten AbstĂ€nden". Der Jahresrhythmus ist keine Anforderung, sondern eine Gewohnheit: das widerwillig erfĂŒllte Mindestmaß, das Auditierende erwarten. Er macht eine zwölf Monate alte Risikolage zur Entscheidungsgrundlage. Die Pflicht ist erfĂŒllt, echte Steuerung findet nicht statt.

💡 Was funktioniert besser?

Ich setze auf kurze, feste Takte: alle drei Monate – oder öfter – neunzig Minuten Dialog mit der Leitung, die Agenda entlang der sieben Pflichteingaben aus 9.3.2: Auditergebnisse, Stand der Risikobehandlung, offene Punkte der letzten Runde. Das Protokoll hĂ€lt fest, was beschlossen wurde, nicht, was vorgetragen wurde. Damit ist auch der Nachweis erbracht. Vor allem aber bringen diese GesprĂ€che die Organisation wirklich voran.

Reden ist besser als Nicht-Lesen.

📚🔍