Zertifiziert ist nicht verifiziert

#

Warum die halbe ISMS-Industrie Dokumente prüft und Sicherheit behauptet — und das GRC-Tool nur die schönere Falle ist.

Es gibt diesen Moment im Audit-Kickoff, in dem drei Dinge gleichzeitig passieren: Der Geschäftsführer merkt, dass er die Norm nie gelesen hat. Der Berater merkt, dass das ein gutes Jahr wird. Und das Kaninchen schaut die Schlange an.

Danach wird ein GRC-Tool gekauft. Das Kaninchen fühlt sich besser. Die Schlange auch.

Das Ärgert mich. Nicht die Norm — die ist besser als ihr Ruf. Sondern das, was die Industrie daraus gemacht hat.

Was auf dem Zertifikat wirklich steht

#

Lies den Wortlaut deines Zertifikats. Da steht nicht „dieses Unternehmen ist sicher". Da steht, sinngemäß: Das Managementsystem entspricht der Struktur der ISO/IEC 27001. Das ist eine Konformitätsaussage, keine Wirksamkeitsaussage.

Das Zertifikat ist ehrlich. Es verspricht exakt das, was es liefert: Du hast ein System, das aussieht wie das, was die Norm beschreibt. Ob eines deiner Controls jemals irgendein Risiko messbar gesenkt hat, sagt es nicht — und behauptet es auch nicht.

Unehrlich ist alles, was drumherum passiert. Das Vertriebs-Badge auf der Website. Der Satz „wir sind ISO-27001-zertifiziert" im Sinne von „bei uns ist eure Sicherheit sicher". Zwischen dem, was das Papier attestiert, und dem, was damit verkauft wird, klafft eine Lücke. In dieser Lücke lebt eine ganze Branche.

Die fehlende Spalte

#

Nimm ein beliebiges Control aus Annex A der 27001. Es ist ein Control-Objective — ein Einzeiler, ein Soll. Was fehlt, ist die Spalte daneben:

• Woran erkennt man messbar, dass es erfüllt ist?
• Messgröße?
• Verifikationskriterium?
• Akzeptanzschwelle?

Steht nicht drin. Steht auch nicht in der 27002, das ist Umsetzungshilfe, nicht zertifizierbar. Für Messung gibt es sogar eine eigene, separate, optionale Norm — die 27004. Genau das ist der Beweisgang: Wäre Messung intrinsischer Teil des Ansatzes, bräuchte man keinen Zusatzstandard dafür, den fast niemand implementiert. Die Messung ist angeschraubt, nicht eingebaut.

Formal verlangt Clause 9.1 sehr wohl, die Wirksamkeit des ISMS zu bewerten. Aber sie überlässt dir, was du misst. Und exakt diese Freiheit wird ausgenutzt, um die Messung bedeutungslos zu machen: „Richtlinie jährlich reviewt: ja." Das ist keine Wirksamkeit. Das ist Existenz mit Datumsstempel.

Nach jeder sauberen Anforderungs-Logik — ISO/IEC/IEEE 29148, §5.2.4 — würde praktisch jedes Annex-A-Control durch die Prüfung fallen: eine Anforderung ohne Verifikationskriterium ist keine Anforderung. Sie ist ein Wunsch mit einer Zahl.

Der Gage-R&R-Test, den das Audit nie bestanden hat

#

Jetzt die unangenehme Frage.

Ein Audit ist ein Messsystem. Der Messwert heißt „konform / nicht konform". Bevor du irgendeinem Messsystem in der Produktion traust, machst du eine MSA 8Messmittelfähigkeitsanalyse)— eine Gage R&R. Du willst wissen: Misst dasselbe System dasselbe Teil zweimal gleich (Wiederholbarkeit)? Messen zwei Prüfer dasselbe Teil gleich (Reproduzierbarkeit)?

Setz zwei zertifizierte Auditoren auf dasselbe ISMS. Bekommst du denselben Findings-Satz? Du weißt die Antwort. Die Streuung ist gewaltig — Prüfer, Tagesform, Auslegung, wie streng gerade auditiert wird……

In der Fertigung würdest du ein Prüfmittel mit dieser Reproduzierbarkeit sofort sperren. In der Zertifizierung rahmst du das Ergebnis und verlängerst in drei Jahren. Du misst „Sicherheit" mit einem Instrument unbekannter Zuverlässigkeit — und nennst die Ausgabe eine Tatsache.

Cui bono

#

Frag bei jedem System, wessen Anreize erfüllt werden.

Der Berater wird pro produziertem Dokument und Beratungstag bezahlt — nicht pro verhindertem Vorfall. Die Zertifizierungsstelle lebt vom Erst-Audit und vom Rezertifizierungszyklus — nicht von deiner Angriffsfläche. Das GRC-Tool verkauft dir Geschwindigkeit beim Häkchensetzen — nicht Wahrheit hinter dem Häkchen.

Niemand in dieser Kette wird dafür bezahlt, dass du tatsächlich sicherer wirst. Das ist keine Verschwörung, das ist schlicht das Anreizsystem. Und Anreizsysteme gewinnen immer gegen guten Willen.

Das GRC-Tool ist nicht die Rettung — es ist der bessere Käfig

#

Hier kommt das Kaninchen zurück. Der Reflex auf die Schlange heißt: Tool kaufen. Endlich Ordnung, endlich ein Dashboard, endlich grün.

Nur: Die meisten GRC-Tools automatisieren genau das Theater. Sie machen das Dokumentieren schneller, das Zuordnen bunter, das Reporting hübscher. Was sie nicht tun: dich zwingen, hinter jedes Control ein prüfbares Kriterium zu schreiben.

Die Schlange ist nicht weg. Du sitzt nur in einem schöneren Käfig — und zahlst jetzt monatlich dafür.

Der Ausweg ist unbequem und billig

#

Es ist kein Tool nötig, um damit anzufangen. Nur eine Regel, und sie ist hart:

Jedes Control bekommt ein Verifikationskriterium — oder es zählt nicht.

Nicht „gibt es die Richtlinie?", sondern: An welchem konkreten Artefakt weist du nach, dass das Control wirkt? Welcher Prozess? Welches Work Product? Welche Rolle trägt es? Wenn du nicht auf das Ding zeigen kannst, das den Nachweis erbringt, ist es kein Control. Es ist eine Behauptung.

Ein Control, das auf nichts zeigt, ist ein dokumentierter Selbstbetrug. Der einzige ehrliche Umgang damit ist, die Leere sichtbar zu machen — nicht sie grün anzumalen.

Zertifizierung beantwortet die Frage „Sieht das aus wie die Norm?". Die Frage, die zählt, ist „Wirkt es, und woran sehe ich das?". Solange die Industrie die erste Frage verkauft und die zweite meidet, ist das Zertifikat an deiner Wand ein teures Möbelstück.

Das Kaninchen kommt nicht aus der Starre, indem es ein Tool kauft. Es kommt raus, indem es aufhört, die Schlange für ein Sicherheitssystem zu halten.

Image by Divya Gupta from Pixabay