Eine Grenze ziehen, die zum tatsächlich verkauften Service passt.
Geltungsbereich und Kontext
Eine gepflegte Erklärung des Geltungsbereichs, Verantwortliche und verknüpfte Kontextdokumente halten die Grenze sichtbar.
Montag, 08:45 · Eine überfällige Massnahme
Eine überfällige Massnahme ist selten nur eine Massnahme.
Es ist Montag. Eine ISO-Massnahme ist seit sechs Wochen offen. Als Lea fragt, wer sie verantwortet, schauen sich drei Personen an. Die Zertifizierungsstelle wird irgendwann kommen und eine härtere Fassung derselben Frage stellen. Eine Zertifizierung vergibt nur eine unabhängige akkreditierte Zertifizierungsstelle.
Montag, 08:45 · Überfällig, und niemand weiss genau, wem sie gehört
Was die Sitzung klären musste
Eine Richtlinie kann bestehen und trotzdem den nötigen Nachweis vermissen lassen.
Gap-Analyse
Eine strukturierte Prüfung verbindet jede Lücke mit Verantwortlichem, Massnahme und Quelldokument.
Risiken, Kontrollen und Begründungen driften in getrennten Tabellen auseinander.
Risikobehandlung und SoA
Ein geplanter Risiko- und SoA-Bereich verbindet Entscheidungen mit Kontrollen und Nachweisen.
Zeigen, dass Kontrollen funktionieren und nicht nur beschrieben sind.
Umsetzung und Nachweise
Versionierte Dokumente, Massnahmen, Verantwortliche und Nachweise schaffen eine nachvollziehbare Arbeitsakte.
Feststellungen und Korrekturmassnahmen brauchen sichtbare Nachverfolgung.
Internes Audit und Management-Review
Geplante Audit- und Management-Review-Abläufe halten Feststellungen, Entscheide und Massnahmen zusammen.
Der externe Auditor verlangt präzise Nachweise im vereinbarten Geltungsbereich.
Stage 1 und Stage 2
Lea bereitet kontrollierte Nachweispakete vor und kann begrenzten Prüferzugang geben.
Nach der Zertifizierung ändern sich Prüfungen, Risiken und Kontrollen weiter.
Kontinuierliche Verbesserung
Prüfdaten, Änderungshistorie und Massnahmen halten das ISMS zwischen Überwachungsaudits aktiv.
Also bucht sie den Raum und arbeitet es einmal durch.
Geltungsbereich, Lücken, Risiken, Kontrollen, Nachweise, Audit. Nicht als Checkliste zum Anschauen, sondern als Entscheide, die je einen Namen brauchen. Das Flipchart wird unordentlich. Zwei Punkte werden gestrichen und neu geschrieben. Eine Frage bleibt offen und sichtbar, statt still zu verschwinden.
Heute im Bestand verfügbar
- Versionierte, verknüpfte Dokumente
- Register für Rollen, Regeln und Prozesse
- Massnahmen mit Verantwortlichen und Fristen
- Belegte Antworten und kontrollierte Exporte
Bauumfang vor dem ersten Kundeneinsatz
- Geführte Gap-Analyse für Klauseln und Annex A
- Risikoregister und Behandlungsplan
- Strukturierte Erklärung zur Anwendbarkeit
- Internes Audit, Feststellungen und Korrekturmassnahmen
- Management-Review und Erinnerungen für Überwachungsaudits
Der Gewinn ist keine saubere Wand. Es ist eine Spur.
Was der Raum hervorgebracht hat, ist ein Nachweis: was entschieden wurde, wer die nächste Massnahme trägt, bis wann sie fällig ist und welche Belege die nächste Prüfung einsehen kann. Fragt der Auditor in vier Monaten, beginnt die Suche nicht von vorn, und niemand rekonstruiert am Wochenende vor Stage 2 ein ganzes Jahr.
iquerion kann Vorbereitung und Nachweise unterstützen. Es kann kein Unternehmen zertifizieren und kein Auditergebnis garantieren.