ISO 27001, NEN 7510 und mehr: Warum ein einziges Managementsystem die klügere Wahl ist

Jeder neue Standard fühlt sich wie ein neues Projekt an. Das muss aber nicht sein, denn den Großteil der Arbeit haben Sie bereits erledigt.

Sie benötigen ISO 27001, weil ein wichtiger Kunde danach fragt. Ein Jahr später verlangt eine Ausschreibung die ISO 9001. Dann tritt das niederländische Cybersicherheitsgesetz (Cyberbeveiligingswet) in Kraft und Ihr Kunde aus dem Gesundheitswesen erkundigt sich nach der NEN 7510. Ehe Sie sich versehen, führen Sie vier Compliance-Programme parallel. Jedes mit seiner eigenen Tabelle, seiner eigenen Risikobewertung und einer leicht abweichenden Version derselben Richtlinie.

Das ist keine Ausnahme. Für wachsende Unternehmen ist das der Alltag. Dabei ist ein Großteil dieser Arbeit doppelt.

Die Standards ähneln sich mehr, als Sie denken

Wenn Sie ISO 27001 und ISO 9001 nebeneinanderlegen, erkennen Sie sofort dieselbe Struktur. Beide erfordern Führung und Management-Engagement. Beide verlangen Dokumentenkontrolle, interne Audits, Managementbewertungen und Korrekturmaßnahmen. Das ist kein Zufall, denn alle modernen ISO-Managementsystem-Standards teilen sich dieselbe übergeordnete Struktur.

Die Überschneidung bei den tatsächlichen Anforderungen ist ebenso groß. Sie benötigen eine Risikobewertung für ISO 27001, NEN 7510, NIS2 und ISO 42001. Eine MFA-Kontrolle zählt für die Informationssicherheit, aber auch für die DSGVO und die Sorgfaltspflicht gemäß dem Cybersicherheitsgesetz. Awareness-Schulungen finden sich in fast jedem Rahmenwerk wieder.

Wenn Sie jeden Standard als separates Projekt behandeln, erledigen Sie die Arbeit immer wieder aufs Neue. Schlimmer noch: Die Versionen driften auseinander. Die Richtlinie, die der ISO 27001-Auditor gesehen hat, ist nicht mehr dieselbe wie die, die beim NEN 7510-Audit auf dem Tisch liegt.

Die Rahmenwerke, denen Sie heute begegnen

Die Standards, mit denen niederländische Organisationen am häufigsten zu tun haben, sind:

• ISO 27001 (Informationssicherheit) und ISO 27701 (Datenschutz)
• ISO 9001 (Qualität), ISO 14001 (Umwelt) und ISO 45001 (Arbeitsschutz)
• NEN 7510 für das Gesundheitswesen und BIO für Behörden
• NIS2, umgesetzt in den Niederlanden durch das Cybersicherheitsgesetz
• AVG/DSGVO
• ISO 42001 für KI-Managementsysteme
• SOC 2 für Organisationen mit amerikanischen Kunden

Darüber hinaus stellen Kunden, Investoren und Branchenverbände zunehmend ihre eigenen Anforderungen. Dies sind zwar keine offiziellen Standards, aber Sie müssen dennoch nachweisen, dass Sie diese erfüllen.

Hören Sie auf, Arbeit zu duplizieren, und nutzen Sie die Überschneidungen zwischen den Standards

Ein integriertes Managementsystem dreht sich um ein Prinzip: Sie richten eine Kontrolle einmal ein und verknüpfen sie mit jeder Anforderung, die sie erfüllt. Die Nachweise, die Sie sammeln – wie ein MFA-Bericht, ein Schulungsprotokoll oder das Protokoll einer Managementbewertung –, zählen dann für jeden Standard, für den sie relevant sind.

Das spart mehr, als Sie vielleicht erwarten. Unserer Erfahrung nach sparen Organisationen, die einen zweiten Standard in dasselbe System integrieren, 30 bis 40 % des Implementierungsaufwands im Vergleich zu einem separaten Programm. Der größte Vorteil liegt oft in der Konsistenz: eine einzige Version der Wahrheit, und genau diese zeigen Sie jedem Auditor.

Eine neue Version eines Standards ist kein Neuanfang

Standards ändern sich. Mit der Umstellung auf ISO 27001:2022 mussten viele Unternehmen ihr gesamtes Kontrollset erneut durchgehen, einschließlich der Teile, die unverändert geblieben sind. Wenn Sie Ihre Standards in einem System verwalten, müssen Sie sich nur mit dem befassen, was tatsächlich neu ist. Der Rest bleibt bestehen.

So geht ISOPlanner™ damit um

ISOPlanner™ unterstützt mehr als 40 Frameworks in einer Umgebung, und Sie können auch Ihre eigenen Frameworks hinzufügen. Überschneidungen werden automatisch gehandhabt: Eine Kontrolle erfüllt Anforderungen aus mehreren Standards gleichzeitig, und Nachweise sind überall dort sichtbar, wo sie zählen. Wenn eine neue Version eines Standards erscheint, wird alles, was sich nicht geändert hat, automatisch übernommen. Tochtergesellschaften oder Standorte erhalten jeweils ihr eigenes Set an Standards innerhalb desselben Systems. Da die Plattform in Microsoft 365 läuft, arbeitet Ihr Team einfach direkt aus SharePoint, Teams und Outlook heraus.

‍