Woran hängen TISAX-Vorbereitungen?
An drei Mustern, die ich in meiner eigenen Projektarbeit gesehen habe: Etwas wird gemacht, ist aber nicht geregelt. Etwas ist geregelt und gemacht, lässt sich aber nicht belegen. Ein Plan liegt vor, wurde aber nicht geübt. Das ist eine Beobachtung aus der Praxis und keine Statistik. Technische Lücken kann es bei Ihnen genauso geben, welche offen sind, zeigt erst die Selbsteinschätzung.
Warum reicht es nicht, die Dinge einfach zu tun?
Weil die VDA ISA Reifegrade bewertet und für jede Frage den Soll-Reifegrad 3 setzt. Reifegrad 1 heißt: Ein nicht oder unvollständig dokumentierter Prozess wird gelebt. Bei Reifegrad 2 sind Prozessdokumentation und Durchführungsnachweise vorhanden. Reifegrad 3 verlangt außerdem, dass der Prozess in das Gesamtsystem eingebunden ist und Nachweise eine aktive Nutzung über einen längeren Zeitraum zeigen.
Werte über dem Soll gleichen Werte darunter nicht aus. In der Selbsteinschätzung sind Umsetzungsbeschreibung und Referenzdokumentation Pflichtfelder. Auch Anforderungen der Stufe „sollte“ müssen grundsätzlich umgesetzt werden, eine Abweichung ist nachvollziehbar zu begründen. Laut ENX kann ein Assessment trotz einzelner Werte unter dem Soll gelingen, wenn kein relevantes Risiko besteht. Darauf würde ich aber nicht planen.
Muster 1: Es läuft, aber es ist nicht geregelt
Was über Zuruf funktioniert, erreicht in der ISA keinen Reifegrad 3. Diese Stellen sehe ich mir bei der Vorbereitung früh an, die Anforderungen stehen so im öffentlichen Katalog:
- Änderungen: Werden Sicherheitsanforderungen bei Änderungen an Organisation, Abläufen und IT-Systemen ermittelt und umgesetzt?
- Mobiles Arbeiten: Ist das Verhalten im Home-Office und unterwegs geregelt, einschließlich Diebstahlschutz und gesichertem Zugang?
- Informationsträger: Ist der Umgang bei Transport, Aufbewahrung, Reparatur, Verlust, Rückgabe und Entsorgung festgelegt?
- IT-Dienstleister: Ist klar, wer für welche Sicherheitsanforderung verantwortlich ist?
- Lieferanten: Gibt es Risikobewertung und vertragliche Vereinbarungen zur Informationssicherheit?
Wie viel Dokumentation ist nötig?
Papierberge helfen nicht. Eine kurze, freigegebene Regelung, die beschreibt, was tatsächlich passiert, ist aus meiner Sicht mehr wert als eine Vorlage, die niemand kennt. Die ENX weist darauf hin, dass Anforderungen im Sinn ihres Ziels zu lesen sind: Auch wer eine Anforderung wörtlich erfüllt, hat damit noch keine Bestätigung des Prüfers. Bei AL2 fordert der Prüfer genauere Dokumentation als bei AL3, weil er nicht vor Ort beobachtet.
Muster 2: Es wurde gemacht, aber niemand kann es belegen
Hier ist die Arbeit getan und nur der Beleg fehlt. Die ISA erwartet zum Beispiel, dass die Teilnahme an Schulungen dokumentiert wird, dass Ergebnisse technischer Überprüfungen rückverfolgbar gespeichert und an das Management berichtet werden und dass Zugriffsrechte regelmäßig überprüft werden.
Fragen Sie für jede wiederkehrende Aufgabe: Wo entsteht der Beleg, wer legt ihn ab, und wo findet man ihn in einem Jahr? Weil Nachweise über einen längeren Zeitraum gefragt sind, lassen sie sich kurz vor dem Prüftermin nicht nachholen. Wo es geht, lohnt es sich, Belege automatisch aus vorhandenen Systemen zu erzeugen, etwa aus Fernwartung oder Microsoft 365.
Muster 3: Der Plan liegt vor, die Übung fehlt
Ein Krisenplan im Ordner beantwortet nicht, ob er im Ernstfall trägt. Die ISA verlangt bei hohem Schutzbedarf für die Verfügbarkeit stichprobenartige Prüfungen der Krisenplanung, etwa als Simulation oder Planübung mit dem Schlüsselpersonal, und bei sehr hohem Schutzbedarf regelmäßige Krisenübungen mit allen relevanten Personen und Entscheidungsträgern.
Eine Planübung braucht wenig: Szenario wählen, Verantwortliche an einen Tisch holen, durchspielen, Protokoll schreiben, Maßnahmen festhalten. Üben Sie die Szenarien, die Sie selbst als relevant eingestuft haben, und belassen Sie es nicht beim bequemsten.
Was passiert, wenn das Assessment Lücken findet?
Ein negatives Ergebnis ist laut ENX nicht endgültig, Sie können beliebig oft antreten. Schwere Abweichungen schaffen ein erhebliches unmittelbares Risiko oder stellen die Wirksamkeit des ISMS infrage, geringfügige tun das nicht. Für die Abweichungen schreiben Sie einen Maßnahmenplan mit Feststellung, Ursache, Maßnahme und Termin, und der Prüfer bewertet, ob die Maßnahme die Ursache behebt.
Ab dem Abschlussgespräch des Erstassessments haben Sie bis zu neun Monate Zeit. Mit genehmigtem Plan und dem Gesamtergebnis „minor non-conform“ erhalten Sie vorläufige Labels. Ohne genehmigten Plan führt jede Abweichung zu „major non-conform“. Wer die Frist verfehlt, beginnt mit einem neuen Erstassessment.
Wie gehen Sie die Vorbereitung an?
Diese Punkte empfehle ich:
- Füllen Sie die Selbsteinschätzung früh und ehrlich aus. Laut ENX zeigt sie, ob Sie bereit sind.
- Planen Sie Zeit ein. Zwischen Kick-off und Abgabe der Selbsteinschätzung liegen laut ENX typischerweise ein bis drei Monate, auch sechs sind nicht ungewöhnlich.
- Legen Sie für jede wiederkehrende Aufgabe Verantwortliche, Takt und Ablageort des Nachweises fest.
- Führen Sie Schulung und Planübung vor dem Assessment durch und protokollieren Sie beides.
- Lassen Sie sich nicht vom späteren Prüfdienstleister beraten, das schließt ihn als Prüfer aus.
Lohnt sich eine Probeprüfung?
Die ENX rät davon ab, bei einem Prüfdienstleister ein Pre-Assessment oder eine Gap-Analyse zu bestellen, weil Sie dann zwei volle Assessments bezahlen, und empfiehlt, direkt zu starten. Dieses Argument betrifft Probeprüfungen. Die Selbsteinschätzung und der Aufbau von Regelungen und Nachweisen müssen trotzdem davor stehen, und dabei setzt mein TISAX-Check an. Er ist keine Prüfung und ersetzt kein Assessment.