Was ist eine Nichtkonformität in ISO 27001?

Übersicht

Eine Nichtkonformität ist die Nichterfüllung einer Anforderung in Ihrem ISMS. In ISO 27001:2022 verlangt Klausel 10.2 von Organisationen, Nichtkonformitäten zu identifizieren, darauf zu reagieren und sie zu korrigieren, wenn sie auftreten, sowie Korrekturmaßnahmen zu ergreifen, um deren Ursachen zu beseitigen und ein Wiederauftreten zu verhindern.

Nichtkonformitäten werden während interner Audits, Managementbewertungen, externer Zertifizierungsaudits oder im täglichen Betrieb entdeckt – und ihre Behandlung ist entscheidend für die Aufrechterhaltung der Zertifizierung und die Verbesserung Ihres ISMS.

Nichtkonformitäten in der Praxis

Eine Nichtkonformität liegt vor, wenn Ihr ISMS eine Anforderung nicht erfüllt aus:

• ISO 27001:2022 Standardanforderungen (Klauseln 4-10)
• Ihren eigenen dokumentierten ISMS-Anforderungen (Richtlinien, Verfahren, Ziele)
• Geltenden gesetzlichen, behördlichen oder vertraglichen Verpflichtungen

Nichtkonformitäten können von kleinen Dokumentationslücken bis hin zu schwerwiegenden Kontrollfehlern reichen, die die Informationssicherheit gefährden.

Arten von Nichtkonformitäten

Schwerwiegende Nichtkonformität

Ein erheblicher Fehler, der die Fähigkeit des ISMS beeinträchtigt, die beabsichtigten Ergebnisse zu erzielen oder Anforderungen zu erfüllen.

Beispiele:

• Vollständiges Fehlen eines erforderlichen Prozesses (z. B. keine durchgeführte Risikobewertung)
• Systematisches Versagen einer Kontrolle (z. B. wurden seit 18 Monaten keine Zugriffsüberprüfungen durchgeführt)
• Erhebliche Nichteinhaltung gesetzlicher Anforderungen (z. B. wurde die Meldung eines GDPR-Verstoßes nicht befolgt)
• Mehrere zusammenhängende geringfügige Nichtkonformitäten, die auf systemische Probleme hinweisen

Auswirkung: Zertifizierungsstellen verlangen in der Regel, dass schwerwiegende Nichtkonformitäten behoben werden, bevor die Zertifizierung erteilt oder aufrechterhalten wird.

Geringfügige Nichtkonformität

Ein isolierter Vorfall oder ein Versehen, das die Wirksamkeit des ISMS nicht schwerwiegend beeinträchtigt.

Beispiele:

• Fehlende Unterschrift auf einem einzelnen Richtliniendokument
• Ein Mitarbeiter hat die Schulung zur Sensibilisierung für Sicherheit nicht rechtzeitig abgeschlossen
• Unvollständige Dokumentation für eine aktuelle Managementbewertung
• Eine Kontrolle wurde implementiert, aber nicht vollständig dokumentiert

Auswirkung: Muss korrigiert werden, verhindert jedoch in der Regel nicht die Zertifizierung, wenn sie innerhalb eines angemessenen Zeitrahmens behoben wird.

Beobachtung/Möglichkeit zur Verbesserung

Technisch gesehen keine Nichtkonformität, aber ein Befund, der auf mögliche zukünftige Probleme oder Verbesserungsbereiche hinweist.

Beispiele:

• Der Inhalt der Schulung zur Sensibilisierung für Sicherheit ist veraltet (keine aktuelle Anforderung verletzt)
• Der Risikobewertungsprozess funktioniert, könnte aber effizienter sein
• Überwachungsmetriken stimmen nicht gut mit den Zielen der Informationssicherheit überein

Auswirkung: Keine sofortige Korrekturmaßnahme erforderlich, sollte jedoch für die kontinuierliche Verbesserung in Betracht gezogen werden.

Häufige Quellen von Nichtkonformitäten

Interne Audits (Klausel 9.2)

Ihr eigenes Auditprogramm identifiziert Nichtkonformitäten vor Zertifizierungsaudits.

Beispiel: Ein internes Audit stellt fest, dass die Wiederherstellung von Backups seit 14 Monaten nicht getestet wurde, was gegen die Anforderung Ihrer Backup-Richtlinie für vierteljährliche Tests verstößt.

Externe Zertifizierungsaudits

Zertifizierungsstellen bewerten die Compliance während Stage 1, Stage 2 und Überwachungsaudits.

Beispiel: Ein Zertifizierungsauditor findet keine dokumentierten Nachweise für eine Managementbewertung in den letzten 12 Monaten (Verstoß gegen Klausel 9.3).

Operative Überwachung (Klausel 9.1)

Leistungsmessungen zeigen Abweichungen von den Anforderungen.

Beispiel: Die Überwachung zeigt, dass die Reaktionszeiten bei Vorfällen durchschnittlich 8 Stunden betragen und damit das 4-Stunden-Ziel überschreiten.

Sicherheitsvorfälle

Verstöße oder Beinahe-Vorfälle decken Kontrollfehler auf.

Beispiel: Ein erfolgreicher Phishing-Angriff zeigt, dass Mitarbeiter keine Schulung zur Sensibilisierung für Sicherheit erhalten haben (Nichtkonformität nach Klausel 7.2 und A.6.3).

Feedback von Stakeholdern

Kunden, Aufsichtsbehörden oder Mitarbeiter melden Probleme.

Beispiel: Ein Kundenaudit stellt fest, dass Bewertungen von Drittanbietern nicht dokumentiert wurden (Nichtkonformität nach A.5.19).

Reaktion auf Nichtkonformitäten (Klausel 10.2)

ISO 27001:2022 verlangt eine strukturierte Reaktion, wenn Nichtkonformitäten auftreten:

1. Auf die Nichtkonformität reagieren

• Sofortmaßnahmen ergreifen, um die Situation zu kontrollieren und zu korrigieren
• Mit den Folgen umgehen (Schaden begrenzen, betroffene Parteien informieren)

Beispiel: Eine Nichtkonformität bei der Zugriffskontrolle wird entdeckt. Sofortmaßnahme: Unbefugten Zugriff entziehen, Sicherheitsteam informieren, alle kürzlich erteilten Zugriffe überprüfen.

2. Die Notwendigkeit von Maßnahmen zur Beseitigung der Ursachen bewerten

• Untersuchen, warum die Nichtkonformität aufgetreten ist (Ursachenanalyse)
• Feststellen, ob ähnliche Nichtkonformitäten existieren oder an anderer Stelle auftreten könnten

Beispiel: Ursache: Keine automatische Erinnerung für vierteljährliche Zugriffsüberprüfungen. Ähnliches Risiko: Andere periodische Aufgaben könnten an Erinnerungen mangeln.

3. Korrekturmaßnahmen umsetzen

• Maßnahmen ergreifen, um die Ursache zu beseitigen und ein Wiederauftreten zu verhindern
• Sicherstellen, dass die Maßnahmen der Bedeutung der Nichtkonformität angemessen sind

Beispiel: Korrekturmaßnahme: Automatisierte Aufgabenplanung für alle periodischen ISMS-Aktivitäten implementieren (Zugriffsüberprüfungen, Backup-Tests, Richtlinienüberprüfungen).

4. Wirksamkeit der Korrekturmaßnahme überprüfen

• Überprüfen, ob die Maßnahme die Nichtkonformität behoben und ein Wiederauftreten verhindert hat
• Überwachen, um sicherzustellen, dass das Problem nicht erneut auftritt

Beispiel: Nach 6 Monaten bestätigt ein Audit, dass alle geplanten Aufgaben mit automatischen Erinnerungen termingerecht erledigt werden.

5. Das ISMS bei Bedarf aktualisieren

• Dokumentierte Informationen (Richtlinien, Verfahren, Kontrollen) überarbeiten
• Risikobewertung aktualisieren, wenn neue Risiken identifiziert wurden

Beispiel: Das Änderungsmanagement-Verfahren aktualisieren, um die automatische Aufgabenverfolgung für alle periodischen Aktivitäten einzubeziehen.

Methoden der Ursachenanalyse

Effektive Korrekturmaßnahmen erfordern die Identifizierung der wahren Ursachen, nicht nur der Symptome:

5 Warum

Wiederholt "warum" fragen, um zur Ursache vorzudringen.

Beispiel:

• Warum ist der Vorfall aufgetreten? → Ein Mitarbeiter hat auf einen Phishing-Link geklickt.
• Warum hat er geklickt? → Er hat ihn nicht als verdächtig erkannt.
• Warum hat er ihn nicht erkannt? → Es fehlte an Sensibilisierungsschulung.
• Warum fehlte die Schulung? → Neue Mitarbeiter werden nicht automatisch angemeldet.
• Warum gibt es keine automatische Anmeldung? → Keine Prozessintegration mit dem HR-System.
• Ursache: Die Sicherheitsschulung ist nicht in den Einarbeitungsprozess integriert.

Fischgrätendiagramm (Ishikawa)

Mögliche Ursachen kategorisieren (Mensch, Prozess, Technologie, Umgebung), um beitragende Faktoren zu identifizieren.

Fehlermöglichkeits- und Einflussanalyse (FMEA)

Systematisch bewerten, wie Prozesse versagen können und welche Konsequenzen dies hat.

Beispiele nach ISO 27001-Klausel

Klausel 5.2 - Informationssicherheitsrichtlinie

Nichtkonformität: Richtlinie nicht von der obersten Leitung genehmigt oder fehlende Verpflichtung zur kontinuierlichen Verbesserung.

Korrekturmaßnahme: Unterschrift des CEO einholen, Klausel zur kontinuierlichen Verbesserung hinzufügen, aktualisierte Richtlinie kommunizieren.

Klausel 6.1.2 - Risikobewertung

Nichtkonformität: Risikobewertung wurde trotz erheblicher Geschäftsänderungen seit 24 Monaten nicht aktualisiert.

Korrekturmaßnahme: Aktualisierte Risikobewertung durchführen, jährlichen Überprüfungsplan mit Kalendererinnerungen erstellen.

Klausel 7.2 - Kompetenz

Nichtkonformität: Keine Aufzeichnungen, die zeigen, dass IT-Mitarbeiter über die erforderlichen Sicherheitszertifizierungen oder Schulungen verfügen.

Korrekturmaßnahme: Aktuelle Kompetenzen dokumentieren, Schulungslücken identifizieren, Mitarbeiter in erforderlichen Kursen anmelden, Schulungsunterlagen führen.

Klausel 9.2 - Internes Audit

Nichtkonformität: Internes Audit wurde von derselben Person durchgeführt, die für die zu prüfenden Kontrollen verantwortlich ist (fehlende Unabhängigkeit).

Korrekturmaßnahme: Auditprogramm überarbeiten, um Auditoren zuzuweisen, die unabhängig von den geprüften Bereichen sind, Schulung der Auditoren zu Unabhängigkeitsanforderungen durchführen.

Anhang A.8.8 - Management technischer Schwachstellen

Nichtkonformität: Kritische Schwachstellen wurden in Scans identifiziert, aber nicht innerhalb des definierten Zeitrahmens gepatcht.

Korrekturmaßnahme: Verwundbare Systeme sofort patchen, automatisierte Patch-Bereitstellung implementieren, SLA-Überwachung für Schwachstellen einrichten.

Dokumentationsanforderungen

Klausel 10.2 verlangt dokumentierte Informationen als Nachweis für:

• Die Art der Nichtkonformitäten und ergriffenen Maßnahmen
• Ergebnisse der Korrekturmaßnahmen

Ihr Nichtkonformitäten-Register sollte enthalten:

• Nichtkonformitäten-ID und Entdeckungsdatum
• Quelle (internes Audit, externes Audit, Vorfall, Überwachung)
• Klassifizierung (schwerwiegend, geringfügig, Beobachtung)
• Detaillierte Beschreibung und betroffene Anforderung
• Ergebnisse der Ursachenanalyse
• Korrekturmaßnahmenplan mit Verantwortlichkeiten und Fristen
• Statusverfolgung (offen, in Bearbeitung, abgeschlossen)
• Ergebnisse der Wirksamkeitsüberprüfung

Präventivmaßnahmen in ISO 27001:2022

Im Gegensatz zu früheren Versionen enthält ISO 27001:2022 keine separate Klausel für "Präventivmaßnahmen". Prävention ist durch folgende Elemente in den Standard integriert:

• Risikobewertung, die potenzielle Probleme identifiziert, bevor sie auftreten
• Kontinuierliche Verbesserung (Klausel 10.1), die das ISMS proaktiv optimiert
• Korrekturmaßnahmen, die Ursachen beseitigen, um ein Wiederauftreten zu verhindern

Verwandte Begriffe

• Internal Audit – Identifiziert Nichtkonformitäten
• Continual Improvement – Geht über die Behebung von Nichtkonformitäten hinaus, um das ISMS zu optimieren
• Management Review – Überprüft Trends bei Nichtkonformitäten und Korrekturmaßnahmen
• ISMS – Was Nichtkonformitäten anzeigen, wenn Anforderungen nicht erfüllt werden