Von der Anforderungsliste zum Framework
Am Anfang steht meist ein Dokument: eine Konzernrichtlinie, eine Sicherheitsanlage zum Kundenvertrag oder ein Fragebogen, den ein Kunde jedes Jahr schickt. Aus diesem Dokument wird ein eigenes Framework, indem Sie die einzelnen Anforderungen in Prüfpunkte übertragen.
Bewährt hat sich, eine Anforderung je Prüfpunkt zu erfassen. Enthält ein Absatz mehrere Pflichten, etwa zu Verschlüsselung, Protokollierung und Aufbewahrung, teilen Sie ihn auf. Nur so lässt sich später für jede Pflicht ein eigener Stand und ein eigener Nachweis zeigen. Übernehmen Sie die Nummerierung der Quelle als Kennung. Dann sprechen Sie und Ihr Kunde über dieselbe Anforderung.
Formulieren Sie jeden Prüfpunkt als prüfbare Frage. Aus der Pflicht, angemessene Sicherheit zu gewährleisten, wird zum Beispiel die Frage, ob Kundendaten bei der Übertragung verschlüsselt sind. Unklare Anforderungen klären Sie mit dem Kunden, bevor Sie sie beantworten.
Liegt die Anforderungsliste bereits als Tabelle vor, müssen Sie nicht abtippen. Sightadel unterstützt den Import aus Excel- und Word-Dateien. Prüfen Sie die übernommenen Punkte danach einzeln auf Aufteilung und Formulierung.
Vorhandene Arbeit wiederverwenden
Der größte Nutzen eines eigenen Frameworks entsteht durch Verknüpfung. Viele Kundenanforderungen verlangen Dinge, die Sie für ISO 27001, NIS2 oder die DSGVO bereits umsetzen: Zugriffskontrolle, Datensicherung, Schulung, Umgang mit Vorfällen, Auftragsverarbeitung. Die Belege dafür liegen schon im Nachweis-Archiv.
Gehen Sie das eigene Framework deshalb zuerst mit Blick auf Vorhandenes durch. Wo eine Anforderung durch einen Nachweis belegt ist, verknüpfen Sie ihn. Der Nachweis wird an einer Stelle gepflegt, und läuft er ab, sehen Sie es in allen Frameworks zugleich.
Prüfen Sie dabei genau, ob der Nachweis die Kundenanforderung wirklich erfüllt. Kunden formulieren oft strenger oder konkreter als eine Norm. Verlangt ein Vertrag etwa eine bestimmte Frist, in der Sie den Kunden über Vorfälle informieren, reicht ein allgemeiner Prozess zur Behandlung von Vorfällen nicht aus. Dann ergänzen Sie Prozess und Nachweis.
Was danach offen bleibt, sind die echten Lücken. Sie beantworten sie im Assessment ehrlich und legen Maßnahmenpläne an. So entsteht ein klares Bild, was Sie für diesen Kunden zusätzlich tun müssen.
Eigene Frameworks gegenüber Kunden und Prüfern
Ein eigenes Framework ist keine Norm, nach der zertifiziert wird. Es ist ein Arbeitsinstrument, mit dem Sie gegenüber Kunden, der Konzernmutter oder der eigenen Leitung zeigen, wie weit Sie bestimmte Anforderungen erfüllen.
Fragt ein Kunde nach, zeigen Sie für jede seiner Anforderungen den Stand, die Antwort und den Beleg. Für ein Lieferantenaudit beim Kunden ist das eine gute Vorbereitung, weil die Struktur seiner eigenen Liste folgt. Belege, die Sie weitergeben möchten, prüfen Sie vorher auf vertrauliche Inhalte.
Auch im Zertifizierungsaudit kann ein eigenes Framework eine Rolle spielen. ISO 27001 verlangt etwa, die Anforderungen interessierter Parteien zu berücksichtigen, und dazu gehören vertragliche Vorgaben von Kunden. Mit der Rolle „Auditor extern“ sieht und kommentiert der Auditor die Inhalte, auch eigene Frameworks.
Für interne Prüfkataloge, etwa ein jährliches Self-Assessment der Standorte, gilt dasselbe. Sie legen das Assessment mit verantwortlicher Person und Fälligkeitsdatum an, die Beteiligten beantworten die Prüfpunkte, und der Fortschritt ist an einer Stelle sichtbar.
Typische Fehler beim Aufbau
Der häufigste Fehler ist ein eigenes Framework für etwas, das es schon gibt. Prüfen Sie vor dem Anlegen die Liste der Standard-Frameworks. Sightadel bringt ISO 27001, ISO 9001, ISO 42001, NIS2, DSGVO, BSI C5, DORA, NIST CSF 2.0, SOC 2, HACCP, § 390 SGB V und den EU AI Act mit.
Ein zweiter Fehler ist eine zu grobe Gliederung. Ein Prüfpunkt, der fünf Pflichten bündelt, lässt sich nur als Ganzes beantworten. Ein Teil ist erfüllt, ein Teil nicht, und die Antwort wird unscharf. Teilen Sie lieber auf.
Drittens fehlt oft die Pflege. Kundenanforderungen ändern sich mit jedem neuen Vertrag, Konzernvorgaben mit jeder neuen Fassung. Legen Sie fest, wer das Framework aktuell hält, und halten Sie fest, auf welcher Fassung der Quelle es beruht.
Viertens ist nicht für jeden Kunden ein eigenes Framework sinnvoll. Ähneln sich die Anforderungen mehrerer Kunden stark, kann ein gemeinsames Framework mit den jeweils strengsten Anforderungen übersichtlicher sein. Die Zahl der eigenen Frameworks hängt zudem von Ihrer Edition ab.
