🔍 Was beobachte ich?

Ich lese, was IT und Fachbereich miteinander vereinbaren. Verfügbarkeit, Reaktionszeiten und Eskalationsstufen stehen dort auf die Minute genau. Sicherheit taucht hin und wieder auf – als Absichtserklärung. Wer verschlüsselt, wer härtet, wer Schwachstellen beobachtet und wer einen Vorfall bearbeitet, steht nirgends.

🎯 Was soll eigentlich erreicht werden?

Eine belastbare Leistungsbeziehung: Der Fachbereich weiß, was er bekommt, die IT weiß, was sie schuldet. ISO 27001 verlangt das in Clause 5.3 und konkretisiert es in Annex A 5.2: definierte und zugewiesene Rollen und Verantwortlichkeiten.

⚠️ Warum funktioniert das nicht?

Weil wir die Antwort längst kennen – aber nur nach außen. Bei jedem Cloud-Vertrag studieren wir das Shared-Responsibility-Modell. Wir wissen also: Die gefährlichste Stelle eines Systems ist die Lücke zwischen zwei Zuständigkeiten. Nach innen ersetzen wir die Vereinbarung durch Vertrauen. Der Fachbereich hält Sicherheit für inbegriffen, die IT für beauftragt – den Unterschied bemerken beide erst im Vorfall.

💡 Was funktioniert besser?

Ich spiegle das Shared-Responsibility-Modell nach innen: eine Zeile je Sicherheitsleistung, je eine Spalte für IT und Fachbereich – Verschlüsselung, Patch-Fenster, Rechteprüfung, Meldeweg. Die OLA zwischen IT und Fachbereich ist der natürliche Ort dafür – der interne Zwilling des SLA. Wo eine Zelle leer bleibt, ist das kein Formfehler, sondern ein Fund.

📚🔍