Vom Befund zum Maßnahmenplan
Lücken entstehen an vielen Stellen: im Assessment, wenn eine Kontrolle mit „keine“ beantwortet wird, im internen Audit, in der Managementbewertung, bei einem Fund im Security Score oder durch die Anfrage eines Kunden. Entscheidend ist, dass jede dieser Lücken an einer Stelle landet und dort nicht mehr verloren geht.
Ein Maßnahmenplan braucht nicht viel. Pflicht sind ein Titel und eine verantwortliche Person. Formulieren Sie den Titel so, dass er ohne Kontext verständlich ist, etwa „Mehrfaktor-Anmeldung für den Fernzugriff einführen“ statt „MFA“. In der Beschreibung halten Sie fest, was genau zu tun ist und woran man erkennt, dass es erledigt ist.
Verknüpfen Sie den Plan dann mit allem, was dazugehört: der Kontrolle aus dem Framework, dem betroffenen Dokument, der Schwachstelle oder der Anfrage. Kontrollen wählen Sie direkt aus dem aktiven Framework aus. So sieht jeder, der die Kontrolle öffnet, dass an der Lücke gearbeitet wird.
Setzen Sie eine Frist, auch wenn sie optional ist. Ein Plan ohne Datum bleibt erfahrungsgemäß liegen. Wählen Sie die Frist realistisch und nach Risiko: Eine kritische Schwachstelle hat Vorrang vor einer Formulierung in einer Richtlinie.
Gute Praxis für Verantwortung und Fristen
Jeder Plan hat genau eine verantwortliche Person. Das ist Absicht. Mehrere Verantwortliche führen dazu, dass sich niemand zuständig fühlt. Die verantwortliche Person muss die Maßnahme nicht allein umsetzen, aber sie sorgt dafür, dass sie umgesetzt wird, und meldet den Stand.
Große Vorhaben teilen Sie in mehrere Pläne. „ISMS einführen“ ist kein Maßnahmenplan, sondern ein Projekt. „Zugriffsrechte für das Buchhaltungssystem überprüfen“ ist einer. Kleine, klar abgegrenzte Pläne lassen sich verfolgen und abschließen. Das zeigt Fortschritt und hält die Beteiligten bei der Sache.
Gehen Sie die offenen Pläne regelmäßig durch, etwa in einer monatlichen Runde mit den Verantwortlichen. Fragen Sie nicht nur nach dem Status, sondern nach Hindernissen. Verschiebt sich eine Frist, passen Sie sie an und halten den Grund in der Beschreibung fest. Ein nachvollziehbar verschobener Termin ist im Audit kein Problem, ein still überschrittener schon.
Schließen Sie einen Plan erst, wenn die Maßnahme wirkt, und verknüpfen Sie den Beleg dafür als Nachweis.
Was Auditoren bei Korrekturmaßnahmen prüfen
Managementsystemnormen wie ISO 27001 und ISO 9001 verlangen, dass Sie auf Abweichungen reagieren, die Ursache ermitteln, Maßnahmen ergreifen und deren Wirksamkeit bewerten. Der Auditor prüft diesen Kreislauf an Beispielen.
Er wählt eine Feststellung aus dem letzten externen oder internen Audit und fragt, was daraus geworden ist. Gute Antworten zeigen einen Plan mit verantwortlicher Person, Frist, Verlauf und einem Beleg für die Umsetzung. Schwache Antworten bestehen aus dem Satz, man habe das besprochen.
Besonders achten Auditoren auf die Ursachenanalyse. Wurde nur das Symptom behoben, oder wurde verhindert, dass das Problem wiederkehrt? Halten Sie in der Beschreibung des Plans kurz fest, worin die Ursache lag und warum die Maßnahme dort ansetzt.
Auch das Aktivitätsprotokoll ist für den Auditor aufschlussreich. Es zeigt, wann ein Plan angelegt, geändert und abgeschlossen wurde und von wem. Mit der Rolle „Auditor extern“ sieht er das selbst, löschen kann er nichts. Im Protokoll ist zudem vermerkt, dass der Zugriff von einer externen Person kommt.
Typische Fehler
Der häufigste Fehler ist der ewig offene Plan. Er wurde vor Monaten angelegt, niemand fühlt sich zuständig, und die Frist ist längst vorbei. Solche Pläne schaden mehr, als sie nützen, weil sie zeigen, dass Lücken bekannt sind, aber nicht bearbeitet werden. Räumen Sie regelmäßig auf: umsetzen, neu planen oder mit Begründung schließen.
Ein zweiter Fehler ist das Abschließen ohne Beleg. Der Status „abgeschlossen“ allein überzeugt keinen Auditor. Verknüpfen Sie den Nachweis, dass die Maßnahme umgesetzt ist, etwa eine geänderte Richtlinie, einen Screenshot der neuen Einstellung oder das Protokoll einer Schulung.
Drittens fehlt oft der Bezug zur Kontrolle. Ein Plan, der nur in einer Liste steht, erklärt nicht, welche Anforderung er erfüllt. Mit der Verknüpfung zur Kontrolle ist der Zusammenhang auch Monate später klar.
Viertens werden technische Funde und organisatorische Lücken getrennt verwaltet. In Sightadel laufen beide in denselben Maßnahmenplänen zusammen. So sieht die Geschäftsleitung an einer Stelle, was offen ist.
