Diese Fallstudie zeigt, wie ein europäischer B2B-SaaS-Anbieter sein Informationssicherheits-Managementsystem strukturiert hat, um die Erwartungen der ISO/IEC 27001 zu erfüllen und gleichzeitig zusätzlichen Aufwand sowie Unterbrechungen der täglichen Arbeit zu minimieren.
Testen Sie ein ISO 27001 Scorecard-Pilotprojekt
Teilen Sie Ihren bestehenden ISO 27001-Plan oder Ihre Excel-Materialien. Wir besprechen, wie Ihre Sicherheits- und Strategieteams die Nachverfolgung von Kontrollen, KPI-Tracking, Beweise und Reporting im BSC Designer miteinander verbinden können, anstatt diese in separaten Tabellenkalkulationen zu pflegen.
Beginnen Sie mit einer begrenzten Anzahl von Kontrollen und Indikatoren, um den Ansatz zu testen, bevor Sie ihn auf das gesamte ISMS oder ein breiteres Managementsystem ausweiten.
Unternehmensprofil: Europäischer B2B-SaaS-Anbieter für Enterprise-Kunden
Das Unternehmen entwickelt und betreibt eine B2B-Software-as-a-Service-Plattform, die von Organisationen in ganz Europa und Nordamerika genutzt wird. Die Lösung unterstützt zentrale operative Workflows und integriert sich in Kundensysteme, verarbeitet Nutzungsdaten sowie begrenzte personenbezogene Daten.
Die Organisation beschäftigt rund 70 Mitarbeitende, darunter Engineering-, Produkt- und kundennahe Teams, die in einem verteilten Setup arbeiten. Der Jahresumsatz wird auf etwa 8–12 Mio. USD geschätzt, getragen von langfristigen Verträgen mit mittelständischen und Enterprise-Kunden. Mit der Weiterentwicklung der Kundenbasis wurde ein formaler Nachweis der Informationssicherheit zu einer Anforderung in Vertriebs- und Verlängerungsprozessen.
Geschäftskontext: Anforderungen von Enterprise-Kunden führten zu ISO/IEC 27001
Die Entscheidung, eine ISO/IEC 27001-Zertifizierung anzustreben, wurde durch die Erwartungen von Enterprise-Kunden getrieben. Sicherheitsfragebögen, Lieferantenbewertungen und Vertragsverhandlungen erforderten den Nachweis eines strukturierten und gepflegten Informationssicherheitsmanagementsystems.
Zu den wichtigsten an der Initiative beteiligten Stakeholdern gehörten:
- Enterprise-Kunden – erwarteten dokumentierte Kontrollen, Risikomanagement und belastbare Auditnachweise;
- Gründer und CEO – verantwortlich für Governance, vertragliche Verpflichtungen und Vertrauen;
- CTO – verantwortlich für technische Kontrollen, Systemsicherheit und operative Kontinuität.
Mehrere Herausforderungen wurden früh sichtbar:
- Sicherheitsinformationen über Tools verteilt – Richtlinien, Reviews und Nachweise an mehreren Orten gespeichert;
- Begrenzter Überblick – kein zentraler Ort, um Risiken, Kontrollen, Assets und Incidents gemeinsam zu sehen;
- Risiko der Prozessüberlastung – Sorge, dass die ISO-Vorbereitung Aufwand ohne klaren internen Nutzen verursachen könnte;
- Begrenzte ISMS-Erfahrung – starke technische Fähigkeiten, jedoch wenig Praxis mit formaler Sicherheitsgovernance.
Implementierung: ISO/IEC 27001 In Das Laufende Management Integrieren
Bevor der finale Ansatz definiert wurde, prüfte das Unternehmen mehrere etablierte GRC-Plattformen, die üblicherweise für die ISO/IEC 27001-Zertifizierung eingesetzt werden. Diese Tools wurden als geeignet für die Verwaltung von Zertifizierungs-Workflows bewertet, waren jedoch weniger mit den bestehenden Managementpraktiken des Unternehmens abgestimmt.
Gleichzeitig nutzte das Unternehmen bereits BSC Designer, um den strategischen Plan sowie interne Ausführungsprioritäten zu überwachen. Diese bestehende Struktur auf das Informationssicherheitsmanagement auszuweiten, wurde als logischer Schritt angesehen, der es ermöglicht, ISO/IEC 27001 in bereits etablierte Governance- und Review-Zyklen einzubetten.
Auf technischer Ebene bedeutete dies:
- Richtliniendokumentation – interne Richtlinien und Verfahren wurden in einer gesicherten Online-Dateispeicherumgebung konsolidiert;
- ISMS-Governance – Geltungsbereich, Rollen, Review-Taktung und Verbesserungsmaßnahmen wurden in einer dedizierten ISMS-Scorecard gepflegt, während Stakeholder und ihre strategische Absicht aus einer bestehenden Stakeholder-Scorecard verknüpft wurden;
- Sicherheitskontrollen – Kontrollen wurden als Indikatoren mit eindeutigen IDs, Verantwortlichen, Review-Häufigkeit sowie Beweis, der an jede Überprüfung angehängt wurde, modelliert;
- Risikomanagement – Risiken wurden mit der nativen Risiko-Funktionalität von BSC Designer nachverfolgt, wodurch eine separate Bewertung von Wahrscheinlichkeit und Auswirkung sowie inhärenten und Restrisiko-Levels, Behandlungsmaßnahmen, Akzeptanzstatus und verantwortlichen Verantwortlichen möglich war;
- Assets und Anbieter – Assets und Dritte wurden mithilfe von Scorecards dokumentiert, die um benutzerdefinierte Felder erweitert wurden, welche Klassifizierung, Kritikalität und Review-Anforderungen abbildeten;
- Vorfälle und Feststellungen – Sicherheitsvorfälle, Beinahe-Vorfälle und Audit-Feststellungen wurden erfasst und über Korrekturmaßnahmen bis zur Lösung nachverfolgt.
Die Erwartung des Kunden war, lebende, strategieausgerichtete Sicherheitskontrollen zu haben:
„Wir wollen keine Sicherheitsdokumentation, die nur für Auditoren existiert. Wenn wir sie nicht selbst überprüfen, aktualisieren und erklären können, ist sie für uns nicht nützlich.“
Diese Erwartung prägte, wie das ISMS aufgebaut und genutzt wurde. So wurden beispielsweise für ISO/IEC 27001 definierte Kontrollen auch als Inputs für Risikoanalysen und Management-Scorecards außerhalb des Audit-Umfangs wiederverwendet und unterstützten operative sowie strategische Entscheidungen.
Ein während der Implementierung angesprochener praktischer Punkt machte ein häufiges Audit-Risiko deutlich:
„Unser größtes Risiko ist, Beweise über verschiedene Orte hinweg zu verlieren, wenn Auditoren danach fragen.“
Um dem zu begegnen, wurde Beweis direkt zu jeder Kontrollüberprüfung hochgeladen und mit dem Aktualisierungsdatum der Kontrolle verknüpft. Jeder Beweis wurde von kurzen erläuternden Kommentaren des Uploaders begleitet, die Kontext dazu lieferten, warum der Beweis relevant war und was er belegte.
Zugriffsrechte wurden so konfiguriert, dass Auditoren für einen definierten Zeitraum Nur-Lesezugriff auf die relevanten Scorecards erhalten konnten. Änderungsrechte waren jederzeit auf autorisierte Rollen beschränkt, wodurch sichergestellt wurde, dass ISMS-Inhalte nicht unbeabsichtigt oder ohne Verantwortlichkeit geändert werden konnten.
Alle Änderungen innerhalb der Plattform wurden automatisch in einem zentralen Audit-Trail aufgezeichnet. Derselbe Audit-Trail konnte gefiltert werden, um die Änderungshistorie spezifischer Elemente wie einzelner Kontrollen, Risiken oder Vorfälle anzuzeigen, sodass Auditoren und Management nachvollziehen konnten, wie sich jedes Element im Laufe der Zeit entwickelt hat, ohne separate Versionshistorien pflegen zu müssen.
Ergebnisse: Zentralisiertes ISMS, Zuverlässige Nachweise, Reduzierte Audit-Reibung
Nach der Implementierung beobachtete das Unternehmen mehrere konkrete Ergebnisse, die sowohl die Audit-Bereitschaft als auch die interne Klarheit verbesserten.
- Zentraler ISMS-Überblick – Risiken, Kontrollen, Assets, Lieferanten und Vorfälle waren an einem Ort sichtbar;
- Konsistentes Nachweismanagement – Nachweise wurden geprüft und zusammen mit den zugehörigen Kontrollen gespeichert;
- Klare Verantwortlichkeiten – Verantwortliche wurden allen zentralen ISMS-Elementen zugewiesen;
- Geringerer Audit-Aufwand – Audit-Daten wurden ohne manuelles Reporting vorbereitet;
- Stärkere Kundengespräche – Antworten auf Enterprise-Sicherheitsfragen wurden klarer und konsistenter.
Das Unternehmen verfolgte außerdem mehrere übergeordnete ISMS-Indikatoren, darunter:
- Abschluss der Kontrollprüfung – Kontrollen, die innerhalb des definierten Zeitrahmens geprüft wurden;
- Offene Vorfälle und Feststellungen – Anzahl und Alter ungelöster Themen;
- Status der Risikoakzeptanz – Risiken, die auf Genehmigung oder Behandlung warten;
- Abdeckung der Lieferantenprüfung – Überprüfungen von Drittanbietern, die wie geplant abgeschlossen wurden.
Um ISO-27001-Kontrollen mit messbarer Verbesserung zu verknüpfen, sehen Sie, wie quality tracking software dabei hilft, KPIs, Korrekturmaßnahmen und Nachweise zu verwalten.
Wie Kann ISO 27001 Mit Weniger Aufwand Implementiert Werden?
Die ISO-27001-Zertifizierung erfordert erheblichen Aufwand, aber bei korrekter Implementierung kann sie (1) zu einem echten Werttreiber werden und (2) mit weniger Aufwand umgesetzt werden:
- Machen Sie ISO-Bereitschaft zu einem Bestandteil bestehender Managementsysteme – nutzen Sie etablierte Strukturen wieder, statt parallele Prozesse zu schaffen;
- Halten Sie Nachweise nahe an den Kontrollen – speichern Sie Kontext und Begründung zusammen mit jeder Überprüfung;
- Wenden Sie Zugriffskontrolle mit vollständiger Nachverfolgbarkeit an – ermöglichen Sie Transparenz, ohne die Integrität zu beeinträchtigen;
- Nutzen Sie eine strukturierte Plattform wie BSC Designer – um Klarheit, Verantwortlichkeit und Audit-Bereitschaft über die Zeit hinweg aufrechtzuerhalten.
BSC Designer ist eine Software für Strategieumsetzung und Leistungsmanagement, die Ziele, KPIs, Initiativen und Risiken teamübergreifend miteinander verbindet. Sie unterstützt die Balanced Scorecard und andere Management-Frameworks und hilft Organisationen dabei, von Tabellenkalkulationen zu einer vernetzten Strategiearchitektur zu wechseln. Unser System zur Strategieimplementierung bietet eine praxisorientierte Methodik, während der Aufbau von Kompetenzen für die Strategieumsetzung Teams dabei unterstützt, die für die Umsetzung erforderlichen Fähigkeiten und Praktiken zu entwickeln.