Verfahrensanweisung · Regeln ausführbar machen
Einen Ausnahmeprozess für Informationssicherheit beschreiben und einführen
Eine Verfahrensanweisung muss auch dann funktionieren, wenn die Person, die sie geschrieben hat, nicht erreichbar ist. Sie sollte daher klare Auslöser, benötigte Angaben, zuständige Rollen und das erwartete Ergebnis jedes Schritts beschreiben.
Direkte Antwort
Was muss eine Verfahrensanweisung zum Ausnahmeprozess klären?
Sie beantwortet, wann eine Sicherheitsabweichung beantragt wird, wie sie bewertet wird, wer entscheiden darf und wie Bedingungen und Fristen nachgehalten werden. Zusätzlich braucht sie Regeln für fehlende Angaben, Ablehnung, Änderungen, Eilfälle und Abschluss. Formulare und eingesetzte Werkzeuge werden dabei konkret zugeordnet.
Mit Zweck, Geltungsbereich und Abgrenzung beginnen
Formulieren Sie den Zweck so, dass Antragsteller ihren Fall wiedererkennen: Das Verfahren behandelt den begründeten Bedarf, von einer definierten Sicherheitsanforderung in einem bestimmten Umfang abzuweichen. Benennen Sie betroffene Bereiche, Systeme oder Regelwerke und den Zeitpunkt, zu dem ein Antrag gestellt werden soll.
Beschreiben Sie ebenso, was nicht über dieses Verfahren abgewickelt wird. Akute Vorfälle, reguläre Änderungen oder allgemeine Fragen zur Richtlinienauslegung benötigen gegebenenfalls andere Eingänge. Ein kurzer Verweis auf den zuständigen Prozess hilft mehr als eine lange Liste abstrakter Definitionen.
Nutzen Sie durchgehend dieselben Rollenbezeichnungen. Wenn im Formular ein „Owner“, in der Anweisung ein „Verantwortlicher“ und im Werkzeug ein „Bearbeiter“ auftaucht, muss deren Zusammenhang erklärt sein. Andernfalls wird Verantwortung bei der ersten Übergabe unklar.
Eine nutzbare Gliederung für die Verfahrensanweisung
Vermeiden Sie doppelte Pflege derselben Regel an vielen Stellen. Wenn die Risikomethodik bereits verbindlich beschrieben ist, referenzieren Sie sie. Die Verfahrensanweisung erläutert dann, wann diese Methode angewendet wird und welches Ergebnis in der Akte vorliegen muss.
| Abschnitt | Zu beantwortende Frage |
|---|---|
| Zweck und Auslöser | Welche Abweichungen werden wann und über welchen Eingang gemeldet? |
| Rollen und Befugnisse | Wer liefert Angaben, prüft, entscheidet, setzt Maßnahmen um und vertritt andere? |
| Mindestinformationen | Welche Angaben sind je Stufe erforderlich und wer ergänzt sie? |
| Ablauf und Ergebnisse | Welche Übergaben gibt es und wie werden Rückgabe, Genehmigung und Ablehnung behandelt? |
| Gültigkeit und Änderungen | Wann endet die Freigabe und welche Änderungen benötigen eine neue Vorlage? |
| Nachweise und Ablage | Wo liegen aktuelle Akte, frühere Entscheidungen und unterstützende Belege? |
| Steuerung und Pflege | Wer prüft den Bestand und wer aktualisiert die Verfahrensanweisung? |
Schritte mit Eingang, Tätigkeit und Ergebnis formulieren
Antrag vorbereiten
Eingang ist ein konkreter Abweichungsbedarf. Der Antragsteller beschreibt Anforderung, Umfang, Begründung und gewünschten Zeitraum im benannten Formular. Ergebnis ist ein eindeutig zugeordneter Entwurf, dessen fehlende Angaben erkennbar sind.
Prüfung durchführen
Die fallverantwortliche Rolle stellt Vollständigkeit her. Fachlich zuständige Personen bewerten Szenario, Maßnahmen und Restrisiko. Ergebnis ist eine entscheidungsfähige Fassung oder eine Rückgabe mit konkreten Fragen.
Entscheidung festhalten
Die befugte Person entscheidet über diese Fassung. Ergebnis sind Genehmigung oder Ablehnung mit Begründung und gegebenenfalls Bedingungen. Das Verfahren beschreibt, wer das Ergebnis erhält und welche Folgeaufgaben daraus entstehen.
Betrieb und Abschluss nachhalten
Benannte Personen verfolgen Maßnahmen und Reviews. Ergebnis sind aktuelle Rückmeldungen sowie ein belegter Abschluss oder eine neue Entscheidungsfassung. Das bestehende Enddatum wird nicht stillschweigend durch eine offene Aufgabe verlängert.
Sonderfälle vor der Einführung klären
Beschreiben Sie, was bei Abwesenheit der entscheidenden Person passiert. Eine Vertretung sollte dieselbe benötigte Befugnis besitzen; eine beliebige Neuzuweisung reicht nicht. Bei Konflikten zwischen Fachbewertung und Betriebsbedarf benötigt das Verfahren eine klar benannte Eskalation mit erwarteter Entscheidung.
Für eilige Fälle kann eine Organisation einen verkürzten Weg festlegen. Dieser sollte einen begrenzten Umfang, erforderliche Mindestangaben und eine nachvollziehbare Entscheidung enthalten. Die spätere Ergänzung von Unterlagen darf nicht vortäuschen, die vollständige Prüfung habe bereits vor Betriebsbeginn stattgefunden.
Regeln Sie außerdem Änderungen nach der Einreichung. Eine wesentliche Erweiterung des Scopes oder eine schwächere Schutzmaßnahme erfordert andere Behandlung als eine korrigierte Schreibweise. Hilfreich sind wenige klare Beispiele, an denen Mitarbeitende diese Grenze erkennen können.
Einführung durch Probeläufe und Feedback
Lassen Sie Personen aus Betrieb, Fachbereich und Security mit der Anweisung einen Fall bearbeiten. Beobachten Sie, an welchen Stellen sie nachfragen oder unterschiedliche Ergebnisse erwarten. Diese Punkte zeigen häufig unklare Regeln, die in einer reinen Dokumentenprüfung unbemerkt bleiben.
Prüfen Sie mindestens einen unvollständigen Antrag, eine Ablehnung und eine Verlängerung. Legen Sie nach dem Pilot fest, wer die Anweisung freigibt und pflegt. Eine Version mit Gültigkeitsdatum hilft, die damals geltenden Regeln später zu verstehen. Änderungen sollten den betroffenen Rollen bekannt gemacht werden.
Fiktives Praxisbeispiel
Ein Probelauf deckt eine unklare Vertretung auf
Ein fiktives ISMS-Team erprobt seinen neuen Prozess mit einer Ausnahme für unvollständige Protokollierung. Die zuständige Prozessleitung ist während des Tests abwesend. Die Anweisung nennt bislang nur „Freigabe durch Management“.
- Risiko und Bedarf
- Änderungen am Fachverfahren sind eingeschränkt nachvollziehbar. Der Weiterbetrieb wird für fünf Wochen benötigt, bis die Protokollschnittstelle ergänzt ist.
- Maßnahmen
- Der Betrieb dokumentiert administrative Arbeiten separat und begrenzt die Berechtigungen. Security prüft die verbleibenden Lücken.
- Erkannte Lücke
- Eine Teamleitung könnte den Antrag technisch übernehmen, besitzt aber nicht das benötigte Mandat zur Risikoentscheidung. Der Vorgang wird deshalb an die vereinbarte befugte Vertretung eskaliert.
- Entscheidung und Review
- Die zuständige Vertretung entscheidet über fünf Wochen unter den dokumentierten Bedingungen. Ein benannter Fallverantwortlicher organisiert nach zwei Wochen den Review.
Die Anweisung wird vor Einführung um die konkrete Vertretungsregel ergänzt. Im echten Betrieb müssen Mitarbeitende die fehlende Befugnis dadurch nicht erst unter Zeitdruck klären.
Verfahrensanweisung und Abweichwerk zusammenführen
Abweichwerk stellt einen strukturierten Ablauf mit Erfassung, Bewertung, Prüfung, Entscheidung und Nachverfolgung bereit. Die eigene Anweisung sollte erklären, wie die organisatorischen Rollen auf die vorhandenen Rollen und Prüfverfahren abgebildet werden.
Nutzen Sie einen Pilot, um beides gemeinsam zu prüfen. Wenn eine Regel im täglichen Ablauf nicht eindeutig ausführbar ist, muss entweder die Regel präzisiert oder ihre Passung zum Produkt geklärt werden. Software allein ersetzt keine verständlichen Entscheidungsbefugnisse.
Den Abweichwerk-Workflow ansehenHäufige Fragen: Ausnahmeprozess Informationssicherheit
Wie lang sollte die Verfahrensanweisung sein?
So kurz wie möglich und so konkret wie nötig. Entscheidend ist, dass Beteiligte ihre Aufgabe ohne zusätzliche Erläuterung ausführen können. Verweisen Sie auf bestehende Risikomethoden und ergänzen Sie praktische Beispiele für die typischen Übergaben und Sonderfälle.
Gehört die Risikomatrix in die Prozessbeschreibung?
Wenn bereits eine gepflegte Methodik existiert, ist ein eindeutiger Verweis meist sinnvoller als eine zweite Kopie. Die Anweisung sollte erklären, wann bewertet wird, wer beiträgt und welcher Bewertungsstand für die Entscheidung verwendet wird.
Wer gibt das Verfahren frei?
Die zuständige Rolle richtet sich nach der Governance Ihrer Organisation. Die Freigabe sollte sicherstellen, dass Mandate, Ressourcen und Schnittstellen tatsächlich getragen werden. Eine rein technische Veröffentlichung des Dokuments bewirkt diese organisatorische Zustimmung noch nicht.
Wann wird die Anweisung aktualisiert?
Bei geänderten Rollen, Werkzeugen, Anforderungen oder wiederkehrenden Problemen im Ablauf. Zusätzlich kann eine regelmäßige Überprüfung sinnvoll sein. Dokumentieren Sie Änderungen und informieren Sie betroffene Personen, damit alte und neue Regeln nicht unbemerkt parallel gelten.
Ihr Verfahren an konkreten Fällen erproben
Prüfen Sie im Abweichwerk-Pilot, ob Rollen, Regeln und tägliche Bearbeitung zusammenpassen.