ISMS · Anforderungen und Abweichungen
ISMS-Ausnahmen richtig einordnen und nachvollziehbar behandeln
Im ISMS werden Ausnahme, Nichtkonformität und nicht anwendbare Maßnahme gelegentlich gleichgesetzt. Dadurch bleiben wichtige Fragen offen. Eine saubere Einordnung zeigt, welche Entscheidung über den Betrieb nötig ist und welche Aufgabe im Managementsystem zusätzlich bestehen bleibt.
Direkte Antwort
Was sind Ausnahmen im ISMS?
Eine ISMS-Ausnahme beschreibt hier eine bewusst behandelte Abweichung von einer festgelegten Sicherheitsanforderung für einen begrenzten Umfang. Sie ist von der Bewertung der Anwendbarkeit einer Maßnahme und von der Bearbeitung festgestellter Nichtkonformitäten zu unterscheiden. Zwischen diesen Vorgängen können fachliche Bezüge bestehen, ihre Ergebnisse sind jedoch nicht austauschbar.
Vier Begriffe mit unterschiedlichen Fragen
Dies sind praktische Abgrenzungen für die Fallbearbeitung. Ihre Organisation kann andere Bezeichnungen verwenden. Entscheidend ist, dass eine Entscheidung die richtige Frage beantwortet. Eine Unterschrift unter einem Ausnahmeantrag ist keine universelle Antwort auf jede weitere Feststellung im ISMS.
| Begriff | Leitfrage | Typisches Ergebnis |
|---|---|---|
| Sicherheitsausnahme | Darf ein definierter Betrieb vorübergehend von einer Anforderung abweichen? | Begründete Entscheidung mit Umfang, Bedingungen und Überwachung. |
| Risikoakzeptanz | Welches beschriebene Risiko übernimmt eine zuständige Person? | Dokumentierte Risikoentscheidung auf nachvollziehbarer Grundlage. |
| Nichtkonformität | Welche festgelegte Anforderung wird nicht erfüllt und wie wird damit umgegangen? | Bearbeitung der Feststellung einschließlich notwendiger Korrektur und Ursachenbetrachtung. |
| Anwendbarkeit | Welche Sicherheitsmaßnahmen werden für den betrachteten Kontext als erforderlich eingeordnet? | Begründete Einordnung im zuständigen ISMS-Verfahren. |
Die betroffene Anforderung nachvollziehbar referenzieren
Benennen Sie die interne Vorgabe möglichst präzise: Dokument, Abschnitt oder Anforderungskennung und relevanter Versionsstand. „Abweichung von ISO 27001“ ist für eine konkrete Betriebssituation meist zu unspezifisch. Häufig ist zunächst zu klären, welche eigene Sicherheitsregel oder umgesetzte Maßnahme tatsächlich betroffen ist.
Beschreiben Sie den Geltungsbereich der Ausnahme unabhängig davon. Eine Richtlinie kann für viele Systeme gelten, während nur ein Fachverfahren abweicht. Diese Trennung verhindert, dass eine befristete Einzelentscheidung als Lockerung der Regel für alle gelesen wird.
ISO/IEC 27001 beschreibt einen risikobasierten Managementrahmen. Die hier vorgeschlagene Verknüpfung von Einzelakten ist eine praktische Umsetzungshilfe und keine zusätzliche Vorgabe für ein bestimmtes Register oder Werkzeug.
Fachlicher Bezug: ISO: Informationssicherheitsmanagement mit ISO/IEC 27001
Eine Ausnahme beendet nicht automatisch eine Feststellung
Wird bei einer internen Prüfung eine nicht erfüllte Anforderung festgestellt, können mehrere Aufgaben entstehen. Der aktuelle Betrieb benötigt möglicherweise eine befristete Entscheidung. Zugleich kann es erforderlich sein, die Ursache zu untersuchen und eine nachhaltige Korrektur vorzubereiten. Beide Aufgaben sollten sich auf denselben Sachverhalt beziehen, ohne miteinander verwechselt zu werden.
Ein befristeter Weiterbetrieb kann die unmittelbare Situation behandeln, während eine Prozessschwäche weiter offen bleibt. Beispielsweise behebt die Genehmigung eines alten Systems noch nicht den fehlenden Überblick über Support-Enden. Wird die Feststellung allein wegen der Freigabe geschlossen, bleibt diese Ursache unsichtbar.
Nutzen Sie daher eindeutige Referenzen zwischen Ausnahme, Feststellung und Maßnahme. Legen Sie je Vorgang fest, welches Ergebnis ihn tatsächlich beendet. Das technische Upgrade, die Entscheidung über das Restrisiko und die Verbesserung des Inventarisierungsprozesses können unterschiedliche Nachweise erfordern.
ISMS-Bezüge in vier Schritten herstellen
Sachverhalt klassifizieren
Prüfen Sie, welche Anforderung betroffen ist und ob eine aktuelle Betriebsentscheidung benötigt wird. Klären Sie parallel, ob eine Feststellung oder eine Frage zur Anwendbarkeit vorliegt. Unklare Fälle werden fachlich eingeordnet, bevor sie routinemäßig freigegeben werden.
Risiko und Behandlung verbinden
Referenzieren Sie das passende Szenario und die vorgesehenen Maßnahmen. Verwenden Sie die Begriffe und Kriterien des eigenen ISMS. Die Ausnahmeakte sollte verständlich sein, ohne das gesamte Risikoregister zu duplizieren.
Entscheidung und weitere Aufgaben trennen
Dokumentieren Sie, was die zuständige Person akzeptiert und welche Bedingungen gelten. Halten Sie daneben offene Korrektur- oder Verbesserungsaufgaben fest. Eine erledigte Teilaufgabe darf den Gesamtzusammenhang nicht verdecken.
Erkenntnisse zurückführen
Prüfen Sie bei Reviews, ob der Fall weitere Anforderungen, Methoden oder Prozesse berührt. Wiederkehrende Ausnahmen können eine systematische Verbesserung erfordern. Die zuständige ISMS-Rolle erhält dazu nachvollziehbare Informationen.
Die Erklärung zur Anwendbarkeit nicht als Ausnahmeliste verwenden
Die Erklärung zur Anwendbarkeit, häufig SoA genannt, behandelt die Einordnung von Sicherheitsmaßnahmen im ISMS. Eine Liste einzelner Freigaben hat einen anderen Zweck. Sie zeigt konkrete, meist zeitlich begrenzte Abweichungen und ihre Entscheidungen. Werden beide Aufgaben vermischt, wird weder die allgemeine Einordnung noch der einzelne Fall verständlicher.
Wenn eine Ausnahme grundsätzliche Annahmen verändert, kann eine fachliche Überprüfung der entsprechenden ISMS-Unterlagen sinnvoll sein. Dokumentieren Sie diese Prüfung ausdrücklich. Eine einmalige Schwierigkeit bei der Umsetzung ist dagegen noch kein ausreichender Grund, eine Maßnahme pauschal als nicht anwendbar zu behandeln.
Fiktives Praxisbeispiel
Ein Audit findet eine Lücke bei privilegierten Konten
Eine fiktive interne Prüfung zeigt, dass ein Altsystem keine persönlichen Administrationskonten verwendet. Der Betrieb benötigt für die Umstellung sechs Wochen. Zusätzlich ist unklar, warum das System im bisherigen Kontrollumfang übersehen wurde.
- Ausnahme und Risiko
- Für den begrenzten Weiterbetrieb werden eingeschränkte Nachvollziehbarkeit und mögliche unbefugte Änderungen bewertet. Die betroffene interne Kontenvorgabe wird referenziert.
- Kompensation
- Ein kontrollierter Administrationsweg und dokumentierte Arbeitsaufträge verringern die Lücke. Der Systemverantwortliche hält die Kontenumstellung nach.
- Genehmigung
- Die zuständige Risikoeigentümerin entscheidet nach fachlicher Prüfung über sechs Wochen Betrieb. Ein Review erfolgt nach drei Wochen und bei geänderten Zugriffsrechten.
- Weitere Bearbeitung
- Die ISMS-Verantwortung untersucht unabhängig davon die unvollständige Kontrollabdeckung. Eine Verbesserung des Inventars bleibt als eigene Aufgabe bestehen.
Nach der Kontenumstellung kann die Ausnahme geschlossen werden. Die ursprüngliche Feststellung wird nach ihren eigenen Abschlusskriterien beurteilt, einschließlich der systematischen Ursache.
Abweichwerk für die konkrete Ausnahmeakte
Abweichwerk kann Anforderungen, betroffene Objekte, Risikobewertung und Entscheidungen am einzelnen Fall zusammenführen. Das erleichtert die fachliche Zuordnung zu bestehenden ISMS-Unterlagen und den Blick auf Fristen und Maßnahmen.
Die Anwendung übernimmt nicht die vollständige Steuerung aller ISMS-Aufgaben. Verwenden Sie vorhandene Verfahren für Kontrollauswahl und Feststellungsbearbeitung weiter und stimmen Sie die Referenzen ab. Im Pilot lässt sich prüfen, ob die Zusammenhänge für Ihre Beteiligten klar erkennbar sind.
Den Abweichwerk-Workflow ansehenHäufige Fragen: ISMS Ausnahmen
Ist jede Nichtkonformität eine genehmigungsfähige Ausnahme?
Nein. Zunächst muss fachlich eingeordnet werden, welche Anforderung nicht erfüllt ist und welche Behandlung erforderlich ist. Eine mögliche befristete Betriebsentscheidung ist nur ein Teil dieser Betrachtung und darf die weitere Bearbeitung nicht automatisch ersetzen.
Kann eine Ausnahme ohne Bezug auf eine konkrete Anforderung bestehen?
Dann sollte geprüft werden, ob tatsächlich eine Sicherheitsausnahme oder vielmehr eine allgemeine Risikoentscheidung vorliegt. Für eine Abweichung ist die zugrunde liegende Erwartung entscheidend. Ein klarer Anforderungsbezug macht Umfang und Begründung besser überprüfbar.
Müssen SoA und Ausnahmeregister im selben Werkzeug liegen?
Eine gemeinsame Anwendung ist keine Voraussetzung für verständliche Bezüge. Stabile Kennungen und geregelte Ablage können genügen. Entscheidend ist, dass der jeweilige Zweck erkennbar bleibt und Änderungen nicht zu widersprüchlichen Informationen führen.
Wann sollte eine Ausnahme an das ISMS-Team zurückgemeldet werden?
Wenn sie allgemeine Anforderungen, Bewertungsannahmen oder wiederkehrende Ursachen betrifft. Auch gehäufte Verlängerungen können relevant sein. Die Rückmeldung sollte den konkreten Sachverhalt und den vermuteten übergreifenden Handlungsbedarf erklären, statt nur eine Fallnummer weiterzuleiten.
ISMS-Bezüge am konkreten Ausnahmefall sichtbar machen
Prüfen Sie im Pilot, wie Abweichwerk Anforderungen, Risiken und Entscheidungen zusammenführt.