ISO 27001:2022 im Jahr 2026: das ISMS, die 93 Maßnahmen aus Anhang A und die Zertifizierung

Was ISO 27001 ist: Geschichte und Status

Der vollständige Titel lautet Information security, cybersecurity and privacy protection - Information security management systems - Requirements ^[1]. Das letzte Wort ist hier das wichtigste: Es ist eine Anforderungsnorm und keine Leitliniennorm, jede ihrer Bestimmungen unterliegt also der Prüfung im Audit.

Die Norm entstand aus der britischen BS 7799 von 1995. Ihr erster Teil gelangte 2000 als ISO/IEC 17799 zur ISO, 2005 erschien die erste Ausgabe unter der Nummer 27001. Die Ausgabe 2013 prägte die Gestalt, die die meisten Organisationen kennen: 114 Maßnahmen in vierzehn Kategorien. Die heutige Ausgabe von 2022 baute Anhang A um und ergänzte Attribute.

Einige Eigenschaften gehören geordnet, weil sie verwechselt werden. Sie ist international und wurde gemeinsam von ISO und IEC erarbeitet. Sie ist freiwillig - keine polnische Vorschrift schreibt ihre Anwendung oder eine Zertifizierung vor. Sie ist zertifizierbar, anders als die meisten Normen der 27000er-Reihe, die Leitlinien enthalten. Und sie nutzt die für alle Managementsystemnormen gemeinsame Struktur, sodass sie sich mit ISO 9001, ISO 22301 oder ISO/IEC 42001 verbinden lässt, ohne ein zweites paralleles System zu bauen.

Warum Organisationen sie einführen

Der häufigste Grund ist eine externe Anforderung. In einem Teil der Ausschreibungen und Geschäftsverträge disqualifiziert das Fehlen eines Zertifikats ein Angebot bereits formal, unabhängig vom tatsächlichen Sicherheitsniveau.

Der zweite ist die Beweiserleichterung gegenüber Aufsichtsbehörden. Die polnische KRI-Verordnung räumt in § 19 Absatz 3 einem auf PN-ISO/IEC 27001 gestützten Managementsystem eine Vermutung der Erfüllung ein - die einzige Stelle im polnischen Recht, an der die Norm diese Wirkung hat. Vorsicht vor einer verbreiteten Verkürzung: Weder das KSC-Gesetz noch die NIS2-Richtlinie enthält eine vergleichbare Bestimmung. Eine eingeführte Norm ist dort starkes Beweismaterial in einer Kontrolle, entbindet aber von keiner Pflicht.

Der dritte Grund ist der Prozess selbst. Die von der Norm erzwungene Inventarisierung der Werte, die Risikoanalyse und die Zuordnung von Verantwortung fördern in der Regel Dinge zutage, von denen die Organisation nichts wusste - und zwar unabhängig davon, ob am Ende ein Zertifikat steht.

Änderungen in der Ausgabe 2022

Die Ausgabe 2022 änderte die Managementanforderungen der Kapitel 4 bis 10 nicht wesentlich. Die gesamte Änderung betrifft Anhang A.

Zuvor standen dort 114 Maßnahmen, thematisch in vierzehn Kategorien von A.5 bis A.18 gruppiert: Zugriffskontrolle getrennt, Kryptografie getrennt, physische Sicherheit getrennt. Heute sind es 93 Maßnahmen in vier Gruppen: organisatorisch (37), personell (8), physisch (14) und technologisch (34). Das Einteilungskriterium wechselte vom Thema dazu, wer oder was die Maßnahme umsetzt.

Der Rückgang von 114 auf 93 bedeutet nicht, dass etwas aufgegeben wurde - keine Maßnahme verschwand; ein Teil wurde zusammengeführt, ein Teil neu formuliert.

Elf neue Maßnahmen

Die neuen Positionen antworten auf Veränderungen zwischen 2013 und 2022: A.5.7 Bedrohungsaufklärung, A.5.23 Sicherheit bei der Nutzung von Cloud-Diensten, A.5.30 Bereitschaft der IKT für die Betriebskontinuität, A.7.4 Überwachung physischer Bereiche, A.8.9 Konfigurationsmanagement, A.8.10 Löschen von Informationen, A.8.11 Datenmaskierung, A.8.12 Verhinderung von Datenabfluss, A.8.16 Überwachung von Aktivitäten, A.8.23 Webfilterung und A.8.28 sichere Programmierung.

Vier davon - Bedrohungsaufklärung, Überwachung von Aktivitäten, Datenabflussschutz und sichere Programmierung - werden in Audits am häufigsten übergangen, denn sie verlangen einen laufenden Prozess und kein Dokument.

Attribute der Maßnahmen

Jede Maßnahme trägt nun Attribute in fünf Dimensionen: Typ (vorbeugend, aufdeckend, korrigierend), geschützte Eigenschaft der Information, Funktion im Sinne des NIST CSF ^[15], operative Fähigkeit und Sicherheitsdomäne. Die Attribute sind nicht verpflichtend, erleichtern aber das Filtern des Katalogs und die Berichterstattung über die Abdeckung. Die Einzelheiten beschreibt ISO/IEC 27002 ^[3].

Migration von der Ausgabe 2013

Das International Accreditation Forum legte fest, dass eine Zertifizierung nach der Ausgabe 2022 ab dem 31. Oktober 2022 möglich ist und Zertifikate nach der Ausgabe 2013 am 31. Oktober 2025 ihre Gültigkeit verloren. Die Migration erfolgte meist im Rahmen eines Überwachungs- oder Rezertifizierungsaudits, für die meisten Organisationen also ohne gesondertes Verfahren.

Die Klimaänderung von 2024

Im Februar 2024 brachte die ISO in einem Zug dieselbe Änderung in mehrere Dutzend Managementsystemnormen ein, in ISO/IEC 27001 bezeichnet als ISO/IEC 27001:2022/Amd 1:2024 ^[1]. Sie betrifft die Kapitel 4.1 und 4.2: Die Organisation soll erwägen, ob der Klimawandel für ihren Kontext erheblich ist, und interessierte Parteien können damit verbundene Anforderungen stellen.

Die Umsetzungslast ist gering, doch die Änderung ist auditierbar. In der Praxis läuft sie darauf hinaus, der Kontextanalyse eine erwogene Frage samt Begründung hinzuzufügen - auch dann, wenn das Ergebnis lautet, dass der Klimawandel für diese Organisation kein erheblicher Faktor ist. Fehlt jede Spur dieser Analyse, ist das eine, wenn auch geringfügige, Abweichung. Die polnische Entsprechung erschien als PN-EN ISO/IEC 27001:2023-08/A1:2025-02. Die Norm selbst bleibt in der Ausgabe 2022 und hat im ISO-Katalog den Status veröffentlicht, eine weitere Migration zeichnet sich also nicht ab.

Aufbau der Norm: zehn Kapitel

Die Norm nutzt den für alle Managementsystemnormen gemeinsamen Aufbau. Die ersten drei Kapitel sind informativ: Anwendungsbereich, normative Verweisungen sowie Begriffe, die auf ISO/IEC 27000 ^[9] verweisen. Auditiert werden die Kapitel vier bis zehn, und sie enthalten die Anforderungen.

Kapitel 4, Kontext der Organisation, verlangt, interne und externe Gegebenheiten zu verstehen, interessierte Parteien samt ihren Erwartungen zu bestimmen und - praktisch am wichtigsten - den Anwendungsbereich des Systems festzulegen. Der Anwendungsbereich ist oft die Quelle der größten späteren Schwierigkeiten: zu weit erhöht er die Auditkosten, zu eng deckt das Zertifikat nicht das ab, wonach Kundinnen fragen.

Kapitel 5, Führung, verlangt das Engagement der obersten Leitung, eine genehmigte Informationssicherheitsrichtlinie und die eindeutige Zuweisung von Rollen und Befugnissen. Bei diesem Kapitel treten Abweichungen am häufigsten in Organisationen auf, die das System als Projekt der IT-Abteilung behandeln.

Kapitel 6, Planung, ist der Kern des Systems. Es umfasst Maßnahmen zum Umgang mit Risiken und Chancen, die Bewertung von Informationssicherheitsrisiken (6.1.2), deren Behandlung (6.1.3), Sicherheitsziele (6.2) und die Planung von Änderungen (6.3). In Ziffer 6.1.3 Buchstabe d steckt die Pflicht, eine Erklärung zur Anwendbarkeit zu erstellen, die unten besprochen wird.

Kapitel 7, Unterstützung, betrifft Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information. Kapitel 8, Betrieb, verlangt Planung und Steuerung der betrieblichen Tätigkeiten sowie die Wiederholung der Risikobewertung und die Umsetzung des Behandlungsplans.

Kapitel 9, Bewertung der Leistung, umfasst Überwachung und Messung - Leitlinien dazu gibt ISO/IEC 27004 ^[11] - internes Audit und Managementbewertung. Die Norm verlangt sie in geplanten Abständen und nennt keine Häufigkeit; in der Praxis erwarten Zertifizierungsstellen einen Jahresrhythmus. Wie ein internes Audit zu führen ist, ordnet ISO 19011 ^[17], in der für Informationssicherheit passenden Fassung ISO/IEC 27007 ^[12].

Kapitel 10, Verbesserung, verlangt fortlaufende Verbesserung sowie den Umgang mit Abweichungen und Korrekturmaßnahmen.

Der PDCA-Zyklus in der Praxis

Die Kapitel 4 bis 10 fügen sich zu einem Zyklus aus Planen, Umsetzen, Prüfen und Handeln. Das ist keine methodische Verzierung, sondern die Antwort darauf, warum das System nicht mit der Ausstellung des Zertifikats endet.

In der Phase Planen entstehen Anwendungsbereich, Richtlinie, Risikobewertung, Behandlungsplan und Ziele; Ressourcen und Kompetenzen werden zugewiesen. In der Phase Umsetzen werden der Behandlungsplan, Betriebsverfahren, die Maßnahmen aus Anhang A und Schulungen umgesetzt. Die Phase Prüfen umfasst Überwachung und Messung, internes Audit und Managementbewertung. Die Phase Handeln umfasst Verbesserung und Korrekturmaßnahmen zu festgestellten Abweichungen.

Entscheidend ist der letzte Pfeil: Jede Korrekturmaßnahme führt zurück in die Planung und zieht eine Fortschreibung der Risikobewertung, der Richtlinien oder der Erklärung zur Anwendbarkeit nach sich. Ein System, in dem diese Rückkehr ausbleibt, entspricht nach einem Jahr nicht mehr der Wirklichkeit, auch wenn es formal weiterbesteht.

Anhang A: 93 Maßnahmen

Anhang A ist der am häufigsten besprochene und zugleich am häufigsten missverstandene Teil der Norm. Er enthält 93 Maßnahmen, jede in einem Satz beschrieben. Er ist keine Pflichtliste - er dient der Prüfung, ob bei der Risikobehandlung nichts übersehen wurde. Ausführliche Umsetzungshinweise stehen in ISO/IEC 27002 ^[3].

Gruppe A.5, organisatorisch, zählt 37 Maßnahmen und umfasst Richtlinien und Rollen, Verwaltung von Werten und Klassifizierung von Informationen, Zugriffskontrolle und Identitätsverwaltung, Lieferantenbeziehungen, Vorfallbearbeitung - wozu ISO/IEC 27035-1 ^[13] Leitlinien gibt - Betriebskontinuität und Einhaltung rechtlicher Anforderungen. Die letzte Position, A.5.34, betrifft den Schutz personenbezogener Daten und ist der natürliche Berührungspunkt zur DSGVO und zu ISO/IEC 27701 ^[14].

Gruppe A.6, personell, zählt 8 Maßnahmen und umfasst den gesamten Beschäftigungszyklus: Prüfung von Bewerbenden, Vertragsklauseln, Schulungen, Disziplinarverfahren, Pflichten nach Ende der Zusammenarbeit, Vertraulichkeitsvereinbarungen, Fernarbeit und die Meldung von Ereignissen.

Gruppe A.7, physisch, zählt 14 Maßnahmen zu Sicherheitsbereichen und Zutrittskontrolle, zur Widerstandsfähigkeit der Räume gegenüber Umgebungseinflüssen, zu Ordnungsregeln am Arbeitsplatz und zum Schutz von Geräten und Datenträgern, auch außerhalb des Standorts.

Gruppe A.8, technologisch, zählt 34 Maßnahmen und steht der täglichen Arbeit der IT-Teams am nächsten: Endgeräte und privilegierte Konten, Schutz vor Schadsoftware und Schwachstellenmanagement, Sicherungen und Redundanz, Protokollierung und Überwachung, Kryptografie, Netzsicherheit und der gesamte Softwareentwicklungszyklus.

Die Erklärung zur Anwendbarkeit

Die Erklärung zur Anwendbarkeit ist das einzige Dokument, dessen Inhalt die Norm ausdrücklich verlangt (6.1.3 Buchstabe d). Für jede der 93 Maßnahmen ist darin anzugeben, ob sie anwendbar ist, diese Entscheidung zu begründen, die Umsetzung zu beschreiben und auf den Nachweis zu verweisen.

Der häufigste Fehler besteht darin, alle 93 Positionen als anwendbar zu kennzeichnen, um sich Ausschlüsse nicht erklären zu müssen. Die Wirkung ist die gegenteilige: Die Organisation erklärt Maßnahmen, die sie nicht hat, und genau diese prüft die Auditorin.

Ein Ausschluss ist zulässig und normal, sofern er aus der Risikoanalyse oder dem Kontext folgt und nicht aus Unbequemlichkeit. Eine Organisation ohne eigenen Serverraum schließt zu Recht einen Teil der physischen Maßnahmen aus und weist darauf hin, dass der Dienstleister sie erbringt; eine Organisation, die keine Software entwickelt, schließt die Maßnahmen zum Entwicklungszyklus aus. Begründungen wie "teuer" oder "unbequem" halten nicht stand.

Die Erklärung ist ein lebendes Dokument - sie wird nach jeder wesentlichen Änderung des Anwendungsbereichs, nach einer neuen Risikoanalyse und nach einem Audit fortgeschrieben. Sie wird auch Geschäftspartnern zugänglich gemacht, weshalb viele Organisationen eine gekürzte Fassung ohne Konfigurationsdetails pflegen.

Zertifizierung im Dreijahreszyklus

Das Zertifikat wird für drei Jahre erteilt, das bedeutet aber nicht drei Jahre ohne Kontakt zur Zertifizierungsstelle.

Das Zertifizierungsaudit hat zwei Stufen. Die erste ist eine Dokumentendurchsicht: Richtlinie, Erklärung zur Anwendbarkeit, Risikoanalyse, Behandlungsplan sowie Berichte aus internem Audit und Managementbewertung. Sie endet mit einer Bereitschaftsbewertung und einer Liste zu behebender Punkte. Die zweite, meist ein bis drei Monate später, prüft die tatsächliche Umsetzung: Gespräche mit Beschäftigten, Stichproben von Nachweisen, Prüfung der Kapitel 4 bis 10 und der als angewandt erklärten Maßnahmen.

Im ersten und zweiten Jahr nach der Zertifizierung finden Überwachungsaudits statt, kürzer und stichprobenbasiert. Sie prüfen, ob das System aufrechterhalten und verbessert wird und ob die Korrekturmaßnahmen umgesetzt wurden. Nach drei Jahren folgt die Rezertifizierung über das gesamte System, die mit einem Zertifikat für den nächsten Zeitraum endet.

Abweichungen gliedern sich in drei Kategorien. Eine schwere bedeutet einen erheblichen Verstoß und hält die Ausstellung bis zur Behebung auf, die meist durch ein zusätzliches Audit bestätigt wird. Eine leichte verlangt einen Korrekturplan mit Frist und blockiert das Zertifikat nicht. Eine Feststellung ist ein Verbesserungshinweis und beeinflusst das Ergebnis nicht.

Wahl der Zertifizierungsstelle

Zertifikate stellen Stellen aus, die PN-EN ISO/IEC 17021-1 ^[7] erfüllen. In Polen erteilt die Akkreditierung das Polnische Zentrum für Akkreditierung ^[8], und ihre Anerkennung im Ausland folgt aus multilateralen Vereinbarungen auf europäischer und internationaler Ebene.

Die erste Frage bei der Wahl lautet daher: Ist die Stelle für ISO/IEC 27001 akkreditiert? Die Akkreditierung allein genügt nicht, denn sie erfasst bestimmte Bereiche - die aktuelle Liste führt die Akkreditierungsstelle, und sie ist zu prüfen, nicht das Werbematerial.

Danach zählen drei praktische Dinge. Die Anerkennung des Zertifikats bei denen, für die es erworben wird - verlangt es eine bestimmte ausländische Kundin, fragen Sie direkt, welche Stellen sie akzeptiert. Die Branchenerfahrung der Auditierenden, denn wer die Besonderheiten der Branche versteht, stellt sinnvollere Fragen. Und die Verfügbarkeit von Terminen, die gegen Jahresende zur echten Einschränkung wird.

Der Preis unterscheidet sich zwischen den Stellen, und es lohnt sich, mehrere Angebote einzuholen; vergleichen sollte man aber die Zahl der Personentage und nicht die Summe - Angebote unterstellen bei gleichem Umfang mitunter unterschiedlichen Aufwand.

Kosten von Einführung und Zertifizierung

Die folgenden Spannen stammen aus unserer Einführungspraxis und aus Verhandlungen mit Zertifizierungsstellen in Polen. Sie sind keine Preisliste und kein Ergebnis einer Marktstudie - nehmen Sie sie als Größenordnung für eine erste Budgetierung.

Die Kosten gliedern sich in drei Teile. Die Einführung, also Beratung und Erstellung der Dokumentation, kostet in einer kleinen Organisation bis fünfzig Personen meist 30 000 bis 80 000 PLN, in einer mittleren 80 000 bis 250 000 PLN und in einer großen ab 250 000 PLN. Das Audit liegt meist bei 15 000 bis 50 000 PLN für beide Stufen, 10 000 bis 30 000 PLN je Überwachungsaudit und 15 000 bis 40 000 PLN für die Rezertifizierung.

Die dritte Position ist oft die größte und wird am häufigsten im Budget vergessen. Fehlen in der Organisation Mehr-Faktor-Authentisierung, Endgeräteschutz, ein System zur Ereignisüberwachung und ein funktionierender Sicherungsprozess, kommen die Kosten der Werkzeuge und Dienste selbst hinzu - bei unseren Kundinnen meist in der Größenordnung von 100 000 bis 500 000 PLN. Bemerkenswert ist allerdings, dass es sich um Ausgaben für Sicherheit handelt und nicht für ein Zertifikat: Eine Organisation ohne Zertifizierungsabsicht trägt sie genauso.

Für eine mittlere Organisation ohne frühere Umsetzungen schließt das erste Jahr meist mit 200 000 bis 500 000 PLN, die Aufrechterhaltung in den Folgejahren mit 50 000 bis 100 000 PLN jährlich.

Auf der Nutzenseite ist der Zugang zu Verfahren am leichtesten zu benennen, in denen das Zertifikat formale Bedingung ist - dort ist die Rechnung einfach und eindeutig. Das Zertifikat verkürzt auch die Lieferantenbewertung durch Großkunden und die Prüfung bei Transaktionen. Ein Einfluss auf die Prämie einer Cyberversicherung wird oft genannt, hängt aber so stark von Angebot und Risikoprofil ab, dass sich keine einzelne Kennzahl dafür angeben lässt.

Die übrigen Normen der 27000er-Reihe

ISO/IEC 27001 ist die einzige Norm der Reihe, die zertifiziert wird. Die übrigen enthalten Leitlinien und ergänzen sie in bestimmten Bereichen.

ISO/IEC 27002:2022 ^[3] entfaltet jede Maßnahme aus Anhang A zu einer vollständigen Umsetzungsanleitung. Ohne sie bleibt eine Beschreibung in einem Satz, aus der sich schwer etwas entwerfen lässt.

ISO/IEC 27005:2022 ^[4] ordnet das Management von Informationssicherheitsrisiken, also das, was Kapitel 6.1.2 verlangt. ISO/IEC 27003 ^[10] gibt Leitlinien zur Einführung selbst.

Für die Cloud sind zwei Normen einschlägig. ISO/IEC 27017:2026 ^[5] ergänzt die Maßnahmen um cloudspezifische Fragen, darunter die Aufteilung der Verantwortung zwischen Anbieter und Kunde. ISO/IEC 27018:2025 ^[6] betrifft den Schutz personenbezogener Daten in öffentlichen Clouds und richtet sich vor allem an Anbieter in der Rolle des Auftragsverarbeiters.

Zu kennen lohnt auch ISO/IEC 27701:2025 ^[14], die seit der Ausgabe 2025 eigenständig ist - die Zertifizierung eines Datenschutz-Managementsystems setzt kein ISO/IEC-27001-Zertifikat mehr voraus.

Verhältnis zu Vorschriften und anderen Modellen

Ein ISO-27001-Zertifikat ersetzt keine Rechtspflicht, erleichtert aber deren Nachweis erheblich. Es lohnt sich zu verstehen, wo genau diese Grenze verläuft.

Das polnische KSC-Gesetz ^[16] verlangt von wesentlichen und wichtigen Einrichtungen die Einführung eines Informationssicherheits-Managementsystems (Artikel 8 Absatz 1), verweist aber auf keine Norm und kennt keine auf einem Zertifikat beruhende Konformitätsvermutung. Ein eingeführtes ISO 27001 entbindet also von nichts - es ist jedoch sehr gutes Beweismaterial im Audit nach Artikel 15, weil es die meisten der in Artikel 8 Absatz 1 Nummer 2 aufgezählten Bereiche abdeckt. Siehe Artikel zum KSC und Artikel zu NIS2.

Die KRI-Verordnung wirkt anders und ist der einzige polnische Rechtsakt, der der Norm rechtliche Wirkung verleiht: § 19 Absatz 3 sieht die Anforderungen als erfüllt an, wenn das System auf PN-ISO/IEC 27001 beruht, die Maßnahmen nach PN-ISO/IEC 27002 festgelegt und Risiken nach PN-ISO/IEC 27005 gesteuert werden.

Bei der DSGVO überschneiden sich die technischen und organisatorischen Maßnahmen aus Artikel 32 weitgehend mit Anhang A, doch die Norm erfasst nicht die rein rechtlichen Pflichten: Rechtsgrundlagen der Verarbeitung, Bearbeitung von Betroffenenanträgen oder das Verzeichnis der Verarbeitungstätigkeiten. Auch ist das Zertifikat keine Zertifizierung im Sinne von Artikel 42 DSGVO.

Gegenüber DORA taugt die Norm als dokumentarische Grundlage für die Anforderungen an das IKT-Risikomanagement, deckt aber weder das Register der Dienstleisterverträge noch die Vorfallmeldung oder bedrohungsgeleitete Tests ab.

Unter den Modellen, die keine Vorschriften sind, wird die Norm am häufigsten dem NIST CSF ^[15] gegenübergestellt, das allgemeiner arbeitet und sich besser für ein Gespräch mit der Leitung eignet, sowie NIST SP 800-53, einem weit umfangreicheren Maßnahmenkatalog. Beide bilden sich auf Anhang A ab, und keines ersetzt ihn.

Die häufigsten Umsetzungsfehler

Die folgenden Probleme zeigen sich in Audits unabhängig von Größe und Branche.

1. Anwendungsbereich nach Auditbequemlichkeit gewählt. Ein enger Bereich senkt die Kosten, doch ein Zertifikat über eine Abteilung beantwortet die Frage einer Kundin nach der Sicherheit des gekauften Dienstes nicht.
2. Alle 93 Maßnahmen als anwendbar gekennzeichnet. Die Erklärung zur Anwendbarkeit wird dann zur Liste von Zusagen, die die Organisation nicht einhält - und genau die prüft die Auditorin.
3. Risikoanalyse auf ein vorbestimmtes Ergebnis geschrieben. Ein Register, in dem jedes Risiko bei den bestehenden Maßnahmen akzeptabel herauskommt, ist keine Analyse, sondern eine Rechtfertigung des Vorgefundenen.
4. Das System als Projekt der IT-Abteilung. Ohne Engagement der Leitung bleibt Kapitel 5 unerfüllt, und die Managementbewertung wird zur Unterschrift unter ein von anderen erstelltes Dokument.
5. Internes Audit durch die für den geprüften Bereich zuständige Person. Ein Verstoß gegen die Unabhängigkeit, den externe Auditierende fast immer bemerken.
6. Dokumentation nur vor dem Audit aktuell. Ein zyklischer Dokumentationsschub einen Monat vor dem Besuch ist an den Änderungsdaten der Dateien leicht zu erkennen.
7. Die 2022 ergänzten Maßnahmen übergangen. Bedrohungsaufklärung, Überwachung von Aktivitäten, Datenabflussschutz und sichere Programmierung verlangen einen Prozess, keinen Satz in einer Richtlinie.
8. Das Zertifikat als Selbstzweck. Ein allein für das Audit gebautes System hört in der Woche danach auf zu wirken, und beim ersten Vorfall stellt sich heraus, dass die Personen, die es ausführen sollten, es nicht kennen.