IT und das ISMS: Freund oder Feind

Oft ist zu hören, daß die IT-Teams wenig von einem ISMS halten, so werden Governance und Compliance oft als Overhead ohne Mehrwert gesehen. Diese Ablehnung finden die ISMS-Vertreter wiederum nicht nachvollziehbar.

Warum ist das so?

Das Spannungsfeld lässt sich gut so beschreiben: IT liefert Fakten, Technik und Umsetzung; Governance liefert Richtung, Risikoentscheidungen und Nachvollziehbarkeit. Wird Governance aber nur als "Bürokratie" erlebt, liegt es meist nicht an ISO/IEC 27001 selbst, sondern an einer falschen Rollenverteilung – etwa wenn Dokumentation die Facharbeit ersetzt statt sie steuerbar zu machen.

Man muss das Spannungsfeld präzise benennen, es liegt an dem Ziel und den Perspektiven. So erleben IT-Fachleute häufig das Ziel, Systeme sicher, stabil und effizient zu betreiben. Die Governance - Seite wird Risiken erkennen, Entscheidungen treffen, Verantwortung nachweisen wollen.

Die Sprache ist eine andere, die einen reden von CVEs, Patches, Architektur, Betriebsdaten, die anderen von Risiko, Restrisiko, Verantwortlichkeit, Wirksamkeit, Nachweisen.

Das führt mitunter zu Frustration, die IT sieht keine technischen Aussagen, die ihr helfen könnten, sondern viel „Papier ohne technischen Mehrwert“, das Governance-Team sieht "Technische Maßnahmen ohne Risiko- und Steuerungskontext“.

Auch das Risiko wird anders gesehen. Wenn die IT die Governance ignoriert, sind Entscheidungen für diese teils nicht nachvollziehbar. Negativ ist auch, wenn Governance die IT zu einem reinen Umsetzer degradiert, obwohl sie die beste Faktenbasis hat.

Jeder hat also seine Rolle, die IT kann Faktenlieferant, Gestalter und Umsetzer sein, Governance kann Richtung geben, priorisieren und Risikoakzeptanz festlegen.

Die ISO/IEC 27001 verlangt gerade nicht „Dokumentation STATT Technik“, sondern ein risikobasiertes Managementsystem: Kontext, Risiken, angemessene Maßnahmen, messbare Wirksamkeit und kontinuierliche Verbesserung. Governance bedeutet dabei, zu bewerten, zu steuern, zu überwachen und zu kommunizieren – nicht, technische Aussagen zu treffen oder Entscheidungen an der IT vorbei zu treffen.

Die Kernaussage

Ohne IT gibt es keine belastbaren Fakten. Ohne Governance gibt es keine belastbaren Entscheidungen. Die IT weiß am besten, welche Schwachstellen, Konfigurationen, Abhängigkeiten und Betriebsrisiken real bestehen. Governance muss diese Fakten in Geschäftsrisiken, Prioritäten, Budgets, Risikoakzeptanz und verbindliche Verantwortlichkeiten übersetzen. ISO 27001 verlangt genau diese Verbindung: Führung setzt Ziele und Ressourcen, während IT und Security die fachliche Umsetzung und die Wirksamkeitsnachweise liefern.

So kann man die Gegensätze auflösen

1. Gemeinsame Sprache etablieren

Nicht über „Compliance“ oder „Patching“ getrennt diskutieren, sondern über konkrete Szenarien: „Welches Geschäftsrisiko entsteht, wenn diese Schwachstelle nicht innerhalb von X Tagen behoben wird?“ Das macht aus einer Kontrollfrage eine gemeinsame Risikofrage. Wenn die IT die Sprache der Governance versteht - und umgekehrt - wird viel gewonnen.

2. IT als Faktenquelle, nicht als Bittsteller

IT liefert technische Befunde, Schwachstellendaten, Systemkritikalität, Betriebsauswirkungen und Umsetzungsaufwand. Governance entscheidet darüber, welches Restrisiko akzeptabel ist und welche Maßnahmen priorisiert werden.

3. Governance als Entscheidungsfunktion definieren

Der ISMS-Gremien- oder Management-Review-Prozess sollte nicht Dokumente abnicken, sondern drei Fragen beantworten: Welche Risiken sind relevant? Welche Maßnahmen haben Vorrang? Welche Ressourcen und Entscheidungen folgen daraus?

4. Nachweise automatisiert aus dem Betrieb gewinnen

Patch-Status, MFA-Abdeckung, Backup-Erfolge, Log-Abdeckung, Incident-Kennzahlen oder Ausnahmen sollten möglichst direkt aus IT- und Security-Tools stammen. Das reduziert den Eindruck von „Papier-Security“ und macht die Wirksamkeit von Controls sichtbar.

5. Verantwortung klar trennen

IT verantwortet technische Umsetzung und Betriebsresilienz; der CISO bzw. die Security-Funktion vermittelt zwischen Technik, Risiko und Geschäft; das Top-Management verantwortet Richtung, Ressourcen und Risikoakzeptanz. Diese Aufteilung entspricht dem ISO-Verständnis von Leadership, Management und Governance.

6. Wenige, entscheidungsrelevante Metriken verwenden

Statt dutzender KPIs reichen wenige Fragen: Sind kritische Schwachstellen zeitnah behoben? Sind Backups wiederherstellbar? Werden Vorfälle wirksam erkannt und eskaliert? Sind Ausnahmen befristet und verantwortet? Das schafft Fakten ohne Berichtsballast.

Fazit

IT macht Security wirksam. Governance macht Security entscheidbar und verantwortbar.

Das Spannungsfeld löst sich nicht durch mehr Dokumentation, sondern durch eine klare Arbeitsteilung: Fakten aus dem Betrieb, Entscheidungen aus dem Risiko, Nachweise aus beiden Welten.