Wie Sie mit einem Entwurf arbeiten
Eine Vorlage ist ein Ausgangspunkt, kein Ergebnis. Lesen Sie den Entwurf zuerst vollständig, bevor Sie einzelne Sätze ändern. So erkennen Sie, ob Aufbau und Umfang zu Ihrem Unternehmen passen. Ein Betrieb mit vierzig Beschäftigten braucht keine Richtlinie, die drei Gremien und fünf Freigabestufen beschreibt.
Gehen Sie dann Abschnitt für Abschnitt vor. Streichen Sie, was bei Ihnen nicht vorkommt, und ergänzen Sie, was fehlt. Wo Sie nur Stichpunkte haben, etwa aus einem Gespräch mit der IT, lassen Sie sich von der KI beim Formulieren helfen. Prüfen Sie jeden Vorschlag darauf, ob er stimmt. Eine gut klingende Formulierung, die nicht gelebt wird, ist im Audit ein Risiko.
Die markierten Stellen bearbeiten Sie zuletzt und bewusst. Dort stehen Leitfragen, die bei der Entscheidung helfen. Beziehen Sie die Personen ein, die tatsächlich entscheiden, meist die Geschäftsleitung. Halten Sie fest, wann und von wem entschieden wurde.
Am Ende geben Sie das Dokument frei und verknüpfen es als Nachweis mit den passenden Kontrollen. Ab dann gilt es als Vorgabe, und das Gültigkeitsdatum erinnert an die nächste Überprüfung.
Was ein Dokument prüffähig macht
Auditoren lesen Richtlinien nicht auf Stil, sondern auf Substanz. Sie prüfen, ob das Dokument zu Ihrer Organisation passt, ob es freigegeben ist und ob es gelebt wird. Einige Merkmale helfen dabei.
Jedes Dokument braucht einen klaren Zweck und Geltungsbereich, eine verantwortliche Stelle, ein Freigabedatum und eine Versionsangabe. Begriffe sollten so verwendet werden wie im Rest Ihrer Dokumentation. Spricht die Leitlinie vom Informationssicherheitsbeauftragten und die Rollenbeschreibung vom IT-Sicherheitsverantwortlichen, fragt der Auditor nach.
Vorgaben sollten überprüfbar sein. „Passwörter müssen sicher sein“ lässt sich nicht prüfen. Eine Vorgabe zu Mindestlänge, Mehrfaktor-Anmeldung und Umgang mit kompromittierten Passwörtern schon. Gleichzeitig darf ein Dokument nichts versprechen, was Sie nicht einhalten. Wer eine vierteljährliche Überprüfung festschreibt, muss vier Protokolle im Jahr vorlegen können.
Schließlich zählt die Verbindung zur Praxis. Eine Richtlinie wird im Audit fast immer zusammen mit einem Beleg betrachtet: Schulungsnachweis, Protokoll, Screenshot. Verknüpfen Sie deshalb Richtlinie und Nachweise an derselben Kontrolle.
Warum bestimmte Stellen offen bleiben
Managementsystemnormen verlangen Entscheidungen, die nur die Organisation selbst treffen kann. Dazu gehören die Ziele, die Kriterien für die Akzeptanz von Risiken, die Zuweisung von Verantwortung und der Geltungsbereich. Diese Entscheidungen sind der Kern des Systems. Werden sie aus einer Vorlage übernommen, fehlt die Grundlage für alles Weitere.
Im Audit zeigt sich das schnell. Der Auditor fragt die Geschäftsleitung, warum ein Ziel so gewählt wurde oder ab welcher Schwelle ein Risiko akzeptiert wird. Steht im Dokument eine Formulierung, die niemand im Haus erklären kann, ist das eine Feststellung. Deshalb füllt die KI diese Stellen bewusst nicht aus.
Stattdessen sind sie markiert und mit Leitfragen versehen. Die Fragen helfen, die Entscheidung vorzubereiten: Welche Werte sind für das Geschäft entscheidend? Welche Ausfallzeit ist tragbar? Wer darf ein Restrisiko akzeptieren? Fällt die Antwort schwer, ist das kein Fehler der Vorlage, sondern genau der Punkt, an dem echte Beratung hilft. Berater lassen sich in Sightadel als Paket dazubuchen, und eigene externe Berater laden Sie mit eigener Rolle ins Konto ein.
Häufige Fehler mit Vorlagen
Der häufigste Fehler ist, eine Vorlage unverändert freizugeben. Sie mag gut formuliert sein, beschreibt im Zweifel aber Abläufe, die es bei Ihnen nicht gibt. Der Auditor findet die Lücke spätestens in der zweiten Stufe, wenn er nach dem gelebten Ablauf fragt.
Ein zweiter Fehler ist Überregulierung. Vorlagen enthalten oft mehr, als ein kleines Unternehmen braucht. Jede zusätzliche Vorgabe ist eine weitere Pflicht, die Sie belegen müssen. Wenige, dafür eingehaltene Regeln sind besser als ein umfangreiches Werk, das niemand liest.
Drittens werden Dokumente geschrieben und vergessen. Eine Richtlinie sollte mindestens jährlich geprüft werden und immer dann, wenn sich Organisation, Systeme oder Vorgaben ändern. Setzen Sie ein Gültigkeitsdatum am Nachweis, dann erinnert Sightadel rechtzeitig.
Viertens gehören Normtexte nicht in Ihre Dokumente. ISO-Normen sind urheberrechtlich geschützt. Beschreiben Sie, was Sie tun, statt die Norm abzuschreiben. Genau das will der Auditor ohnehin sehen.
