ISO-27001-Zertifizierung in nur sechs Monaten
“Wir geben Unternehmen die Sicherheit.”
Mit der ISO-27001-Zertifizierung hat taod einen wichtigen Meilenstein im Bereich Informationssicherheit erreicht. Für Selin Faldetta und Gabriel Erman war es ein Projekt mit großer Verantwortung. Im Interview sprechen sie über Herausforderungen, Teamarbeit und den Weg zur Zertifizierung.
Wie habt ihr reagiert, als klar war: Wir ziehen die ISO 27001 wirklich durch?
Selin: Mein erster Gedanke war definitiv “Wie sollen wir das bitte stemmen?”. Da ich weder einen Informationssicherheits- noch einen technischen Hintergrund habe, war das Thema komplett neu für mich. Gabriel und ich waren uns schnell einig, das Projekt gemeinsam anzugehen. Das war rückblickend die beste Entscheidung.
Gabriel: Normalerweise gehe ich neue Projekte sehr optimistisch an. Bei der ISO 27001 hatte ich anfangs aber durchaus Respekt vor der Aufgabe. Viele Themen liegen dort typischerweise bei Schnittstellen wie Legal, Datenschutz oder IT. Wir mussten uns intensiv in neue Prozesse und Anforderungen einarbeiten. Rückblickend war das zwar viel Arbeit, hat aber auch dazu geführt, dass wir sehr schnell ein gutes Gesamtverständnis für die verschiedenen Facetten der ISO aufgebaut haben.
Was hat den Zertifizierungsprozess rückblickend so anspruchsvoll gemacht?
Selin: Ich glaube, das größte Problem war, dass es bereits intern etablierte Prozesse gab, die man nochmal neu denken musste. Wir mussten deshalb viel “aufräumen”, was teilweise sehr viel Zeit in Anspruch genommen hat. Außerdem waren wir natürlich an vielen Stellen auf Unterstützung aus dem Team angewiesen. Und dort die Sorge vor möglichen Einschränkungen zu nehmen und Motivation für das Thema zu schaffen, war nicht einfach.
Gabriel: Wir mussten zunächst unsere eigenen Prozesse wirklich durchdringen. Dazu gehören auch technische Prozesse, obwohl wir wenig technischen Hintergrund haben. Das war teilweise sehr anspruchsvoll. Gleichzeitig mussten wir bei vielen Prozessanpassungen die Balance zwischen Aufwand und Nutzen finden. Bei der ISO 27001 geht es nicht um 100 % Perfektion, sondern um sinnvolles Risikomanagement. Die zentrale Frage war daher oft: Wie grundlegend verändern wir Prozesse und an welcher Stelle akzeptieren wir bewusst ein Restrisiko?
"ISO 27001 bedeutet eben nicht Einschränkung oder stumpfes Befolgen der Mustervorlagen, sondern ein bewusster Umgang mit den eigenen Risiken."
Die Zertifizierung habt ihr in einer Rekordzeit von rund sechs Monaten erhalten. Wie habt ihr das geschafft?
Gabriel: Wir haben von externen Organisationen immer wieder gehört, dass ein ISO-27001-Zertifizierungsprozess oft bis zu zwei Jahre dauert. Wir haben es letztendlich in unter sechs Monaten geschafft. Ein entscheidender Erfolgsfaktor war für mich unser interner “ISO Day”. Dort haben wir uns gemeinsam mit dem C-Level, Technologie-Experten und Entwicklern zusammengesetzt und sehr konkret definiert, wer welche Themen bis wann übernimmt. Das war der Moment, in dem ich gemerkt habe, wie schnell wir als “ISO-Team” vorankommen können.
Selin: Beim ersten Lesen der Richtlinien-Vorlagen dachte ich mir, dass wir das niemals hier intern so einhalten können. Mit der Zeit haben wir aber gemerkt, dass ISO 27001 eben nicht Einschränkung oder stumpfes Befolgen der Mustervorlagen bedeutet, sondern ein bewusster Umgang mit den eigenen Risiken. Demnach konnten wir mit einem ganz neuen Blick auf die Anforderungen schauen, der uns dabei geholfen hat, unseren eigenen Weg zu gehen.
Warum hat das “ISO-Team” so gut funktioniert?
Gabriel: Der wichtigste Faktor war für uns die enge Zusammenarbeit im Team. Selin und ich haben sehr gut zusammengearbeitet, uns bei vielen Themen gegenseitig unterstützt und gleichzeitig klare Verantwortungsbereiche gehabt. Gleichzeitig war das Projekt viel größer als nur wir beide. Je nach Thema haben uns Technologie-Experten, Entwickler und das C-Level eng begleitet. Gerade der direkte Austausch und die schnelle Unterstützung aus verschiedenen Bereichen haben dafür gesorgt, dass wir als Team sehr effizient arbeiten konnten. Ohne diese Unterstützung hätten wir viele technische Prozesse niemals sinnvoll anstoßen können. Dafür brauchte es Kollegen, die täglich mit den jeweiligen Systemen und Tools arbeiten und genau verstehen, wie diese funktionieren.
Was musste sich im Unternehmen konkret verändern, damit die Anforderungen der ISO 27001 erfüllt werden konnten?
Gabriel: Viele unserer bestehenden Prozesse und Ansätze waren bereits sehr gut aufgestellt, allerdings oft nicht ausreichend dokumentiert. Ein großer Teil der Arbeit bestand deshalb darin, bestehende Abläufe sauber festzuhalten und nachvollziehbar zu machen. Natürlich mussten wir an einigen Stellen auch neue Prozesse ergänzen oder bestehende anpassen. Die vielleicht wichtigste Veränderung war aber eine andere: Mit der Zeit hat das gesamte Unternehmen verstanden, wie wichtig das Projekt ist. Es musste erst klar werden, dass die ISO 27001 kein Projekt von Selin und mir allein ist, sondern ein Thema, das das gesamte Unternehmen betrifft und nur gemeinsam erfolgreich umgesetzt werden kann.
"Das war der Moment, in dem ich gemerkt habe, wie schnell wir als 'ISO-Team' vorankommen können."
Was hat euch im Projekt am meisten Zeit und Energie gekostet?
Selin: Die Erstellung der ISMS-Richtlinien. Ich habe diese 28 internen Richtlinien unzählige Male durchgearbeitet, überarbeitet und immer wieder angepasst, bis sie inhaltlich konsistent und auf die von uns definierten Anforderungen abgestimmt waren.
Gabriel: Besonders viel Energie hat mich definitiv das Aufräumen unseres Intune-Setups und anderer Plattformen gekostet. Dabei musste ich vielen Kollegen häufig auf die Nerven gehen und gleichzeitig selbst erst einmal verstehen, welche Anforderungen wir konkret erfüllen müssen und wie wir diese technisch sauber umsetzen können.
Wie liefen die Vorbereitungen auf die Audits ab?
Selin: Für die Zertifizierung mussten wir zwei voneinander getrennte Stufen durchlaufen. Rückblickend war die Vorbereitung auf die erste Stufe deutlich chaotischer, da niemand von uns wusste, was auf uns zukommt und wie das Audit abläuft. Doch wir konnten nach der ersten Stufe viel lernen und uns auf die zweite Stufe mit sehr strukturierten Prozessen bestens vorbereiten, was uns natürlich sehr geholfen hat.
Gab es während des Audits einen Moment, der euch besonders im Kopf geblieben ist?
Gabriel: Mein erster Interview-Slot im Audit. Es ging um sichere Entwicklungsumgebungen, also ein sehr technisches Thema, von dem ich selbst wenig Ahnung habe. Zum Glück konnten unsere Technologie-Experten die fachlichen Fragen perfekt beantworten. Das hat mir gezeigt, dass man nicht jedes technische Detail selbst verstehen muss, um trotzdem einen wichtigen Beitrag leisten zu können.
Selin: Man ist während der Audits natürlich dauerhaft angespannt. Als wir am Ende des ersten Tages gehört haben, dass der Auditor bisher noch nichts Gravierendes festgestellt hat, haben wir nochmal einen großen Motivationsschub bekommen und uns gedacht “Okay, wir können das wirklich schaffen”. Den Moment werde ich nicht vergessen.
Was bedeutet die ISO-27001-Zertifizierung heute konkret für taod und für unsere Kunden?
Gabriel: Die ISO-27001-Zertifizierung steht für Qualität und Sicherheit im Umgang mit Daten. Sie zeigt, dass wir uns intensiv mit Informationssicherheit auseinandergesetzt haben und entsprechende Prozesse nachhaltig etabliert haben. Gleichzeitig ist die Zertifizierung auch ein wichtiges Signal an unsere Kunden. Für viele Unternehmen spielt Informationssicherheit inzwischen eine zentrale Rolle bei der Auswahl von Partnern, und dieser Anspruch wird weiter wachsen. Mit der ISO 27001 haben wir uns deshalb nicht nur organisatorisch nachhaltig aufgestellt, sondern auch ein wichtiges Argument für die Kundengewinnung geschaffen.
Selin: Wir geben Unternehmen die Sicherheit, dass sensible Daten und Prozesse nach international anerkannten Sicherheitsstandards geschützt werden. Gleichzeitig profitieren sie von reduziertem Risiko und einer besseren Erfüllung von Compliance- und Datenschutzanforderungen.
Was habt ihr persönlich aus dieser intensiven Zeit mitgenommen?
Selin: Durchhaltevermögen und harte Arbeit zahlen sich definitiv aus. Die letzten Monate waren wirklich nicht einfach, aber haben mir gezeigt, dass man sich in jedes Thema einarbeiten kann, wenn man es wirklich möchte. Ich habe gelernt, wie ein anderer Blickwinkel auf Themen die eigene Motivation verändern kann und wie wichtig es ist, nie zu vergessen, wieso man das, was man gerade tut, auch wirklich tut und was es für einen Nutzen für taod hat. Außerdem habe ich mitgenommen, dass man sich hohe Ziele setzen muss und jeden kleinen Schritt in Richtung Ziel als Erfolg sehen muss.
Gabriel: Ich habe aus dieser Zeit vor allem mitgenommen, dass man sich auch in Themen einarbeiten kann, die man am Anfang überhaupt nicht versteht. Gerade bei der ISO 27001 gab es viele Bereiche, die komplett neu für uns waren. Außerdem hat mir das Projekt noch einmal gezeigt, wie wichtig das richtige Team ist. Die passenden Kollegen einzubinden und Verantwortlichkeiten sinnvoll aufzuteilen, ist am Ende der Schlüssel dafür, ein Projekt erfolgreich umzusetzen.
War der Aufwand die Mühe wert?
Selin: Definitiv. Wir haben die ISO 27001 nie als reines Zertifikat gesehen. Wir haben sie als Möglichkeit der Verbesserung gesehen und dadurch auch unsere internen Prozesse nochmal überarbeitet und verbessert. Schon alleine das hat uns als Unternehmen einen großen Mehrwert gebracht. Das Zertifikat ist aber natürlich ein schöner Zusatz und die Bestätigung, dass wir alles richtig gemacht haben.
Wie habt ihr den Moment erlebt, als feststand, dass taod die Zertifizierung erhält?
Selin: Ich kann gar nicht genau beschreiben, wie sich dieser Moment angefühlt hat. Es war zum einen pure Erleichterung, weil man in den letzten Monaten so viel Zeit und Mühe investiert hat und nun wusste, dass sich das alles gelohnt hat. Aber für mich war es mehr als das. Die ISO 27001 war mein erstes großes eigenes Projekt. Die Zertifizierung war für mich in meiner beruflichen Laufbahn ein Meilenstein, auf den ich sehr stolz bin.
Gabriel: Ich habe mich in dem Moment natürlich sehr gefreut. Nach all der Arbeit war es einfach schön zu sehen, dass wir das Projekt erfolgreich abgeschlossen haben und die Zertifizierung tatsächlich erreicht wurde. Stolz war natürlich auch dabei. Gleichzeitig war es aber auch schön zu realisieren, dass wir ein so großes und intensives Projekt endlich abgeschlossen haben. Und ehrlich gesagt kam ein paar Tage später dann auch schon die Vorfreude auf neue Themen dazu, denn Datenschutz und Informationssicherheit sind zwar enorm wichtige, auf Dauer aber nicht unbedingt die abwechslungsreichsten Themenfelder.
Vielen Dank für das Gespräch!
