Kundenart: Praxisnahes, anonymisiertes Projektszenario
Branche: Industrielle Produktion
Standorte: 8 Standorte in Europa
Mitarbeitende: 5.800
Leistung: Interne Audits
Praxisnahes, anonymisiertes Projektszenario. Unternehmensmerkmale und Kennzahlen wurden so gewählt, dass keine Rückschlüsse auf einzelne Auftraggeber möglich sind.
Eine international tätige Produktionsgruppe mit 5.800 Mitarbeitenden und acht europäischen Standorten bereitete sich auf das externe Überwachungsaudit ihres Informationssicherheitsmanagementsystems vor. Das zentrale ISMS war etabliert, wurde an den Standorten jedoch unterschiedlich umgesetzt. Dadurch fehlte dem Management eine belastbare, vergleichbare Sicht auf die tatsächliche Wirksamkeit der Kontrollen.
Im Mittelpunkt stand nicht nur die formale Normkonformität. Entscheidend war, ob zentrale Vorgaben in Produktion, IT, Einkauf, Personal und Lieferantensteuerung nachweisbar gelebt wurden und ob kritische Abweichungen vor dem externen Audit zielgerichtet geschlossen werden konnten.
Die Gruppe verfügte über ein zentral gesteuertes ISMS, lokale Verantwortlichkeiten und ein gemeinsames Richtlinienwerk. Frühere Prüfungen hatten jedoch gezeigt, dass Nachweise, Kontrolltiefe und Risikobewertung zwischen den Standorten stark variierten. Teilweise wurden dieselben Anforderungen unterschiedlich interpretiert, obwohl vergleichbare Produktionsprozesse und technische Abhängigkeiten bestanden.
Besonders relevant waren Zugriffssteuerung, Berechtigungsreviews, Schwachstellenmanagement, Datensicherung, Lieferantenkontrollen, Notfallvorsorge sowie die Verzahnung von zentraler IT und lokalen Produktionsbereichen. Einzelne Kontrollen waren dokumentiert, ihre Wirksamkeit ließ sich anhand der vorhandenen Nachweise aber nicht überall eindeutig bestätigen.
Für das Management bestand daher das Risiko, dass standortübergreifende Ursachen erst im externen Audit sichtbar würden. Gleichzeitig sollten lokale Teams nicht mit einer rein formalen Prüfliste belastet werden, sondern konkrete Hinweise erhalten, welche Verbesserungen für den sicheren Betrieb tatsächlich relevant sind.
BlackMount sollte ein unabhängiges internes Audit nach ISO/IEC 27001:2022 durchführen und dabei zentrale Governance sowie die Umsetzung an den acht Standorten risikoorientiert bewerten. Neben der Normkonformität sollten Ursachen, Abhängigkeiten und tatsächliche Geschäftsrisiken transparent werden.
Das Zielbild war ein einheitlicher, nachvollziehbarer Reifegrad über alle Standorte. Feststellungen sollten klar priorisiert, Verantwortlichen zugeordnet und so formuliert werden, dass operative Teams unmittelbar damit arbeiten können. Die Leitung benötigte zusätzlich eine konsolidierte Entscheidungsgrundlage für das anstehende Management-Review.
BlackMount entwickelte zunächst ein Auditprogramm, das den zentralen ISMS-Rahmen mit risikobasierten Stichproben in den Werken verband. Dokumente, Risikobehandlungen, frühere Feststellungen und vorhandene Kennzahlen wurden vorab analysiert. Auf dieser Basis wurden die Schwerpunkte je Standort festgelegt.
In Interviews und Walkthroughs wurden Informationssicherheit, IT-Betrieb, Produktion, Einkauf, Personal, Notfallmanagement und ausgewählte Prozesseigner einbezogen. Neben Richtlinien und Prozessbeschreibungen prüften wir konkrete Nachweise: Berechtigungsfreigaben, Wiederherstellungstests, Patch- und Schwachstellenberichte, Lieferantenbewertungen, Schulungsnachweise sowie die Behandlung operativer Sicherheitsereignisse.
Feststellungen wurden standortübergreifend kalibriert. Dadurch ließ sich unterscheiden, ob eine Abweichung lokal entstanden war oder auf eine gemeinsame Ursache in Vorgaben, Rollen, Werkzeugen oder Steuerungsprozessen zurückging. Für wesentliche Punkte wurden Ursachenanalysen und realistische Korrekturmaßnahmen mit den Verantwortlichen entwickelt.
Zum Abschluss wurden Sofortmaßnahmen, Maßnahmen bis zum externen Audit und strukturelle Verbesserungen getrennt priorisiert. Jede Maßnahme erhielt einen Verantwortlichen, einen erwarteten Nachweis und einen realistischen Termin. So entstand keine isolierte Finding-Liste, sondern ein steuerbarer Verbesserungsplan.
Das Audit lieferte einen konsolidierten Bericht für die Unternehmensleitung und umsetzbare Detailberichte für die Standorte. Besonders wichtig waren folgende messbare Ergebnisse:
Die Ergebnisse wurden im Management-Review nach Geschäftsrisiko, Umsetzungsaufwand und verbleibendem Restrisiko eingeordnet. Damit konnte die Leitung gezielt entscheiden, welche Verbesserungen kurzfristig erforderlich waren und welche in die reguläre ISMS-Roadmap aufgenommen wurden.
Die Produktionsgruppe erhielt erstmals eine vergleichbare Sicht auf die Wirksamkeit ihres ISMS über alle Standorte. Wiederkehrende Schwächen konnten an der gemeinsamen Ursache behoben werden, statt an jedem Werk einzeln ähnliche Maßnahmen zu entwickeln.
Die lokalen Teams profitierten von klaren, verständlichen Arbeitspaketen und eindeutigen Nachweisanforderungen. Dadurch reduzierten sich Rückfragen und Doppelarbeiten. Gleichzeitig gewann die zentrale Informationssicherheit eine belastbare Grundlage, um Fortschritt, Risiken und Unterstützungsbedarf gegenüber der Geschäftsführung zu berichten.
Vor dem externen Audit waren wesentliche Abweichungen adressiert, Verantwortlichkeiten bestätigt und erforderliche Nachweise verfügbar. Das senkte das Risiko überraschender Feststellungen und stärkte die Akzeptanz des ISMS in den operativen Bereichen.
Entscheidend war die Kombination aus konsequenter Unabhängigkeit und Verständnis für industrielle Abläufe. Die Prüfung orientierte sich an ISO/IEC 27001:2022, bewertete Kontrollen jedoch immer im Kontext von Produktion, Lieferfähigkeit und tatsächlichen technischen Abhängigkeiten.
Die standortübergreifende Kalibrierung verhinderte unterschiedliche Bewertungsmaßstäbe. Gleichzeitig wurden lokale Besonderheiten berücksichtigt. So entstand ein Ergebnis, das sowohl für Auditoren belastbar als auch für Management und operative Teams praktisch nutzbar war.
Die Unternehmensgruppe verfügt heute über eine konsolidierte Wirksamkeitssicht, klar priorisierte Maßnahmen und belastbare Nachweise für das externe Audit. Kritische Themen werden nicht mehr als voneinander getrennte Einzelabweichungen behandelt, sondern über gemeinsame Ursachen und zentrale Verantwortlichkeiten gesteuert.
Das interne Audit wurde damit vom formalen Pflichttermin zu einem wirksamen Steuerungsinstrument. Management und Standorte können Fortschritt nachvollziehen, Restrisiken bewusst entscheiden und die Weiterentwicklung des ISMS gezielt planen.
Das Projektszenario zeigt: Ein internes ISO-27001-Audit entfaltet den größten Nutzen, wenn es Normanforderungen, gelebte Praxis und Geschäftsrisiken zusammenführt. Genau diese Verbindung schafft belastbare Entscheidungen und verhindert Überraschungen im externen Audit.
Vereinbaren Sie ein unverbindliches Erstgespräch und lassen Sie uns gemeinsam klären, wo Ihr Unternehmen steht und welche nächsten Schritte sinnvoll sind.
Lernen Sie die gemeinsamen Erfolgsgeschichten mit unseren Kunden kennen.
Schildern Sie uns Ihre Ausgangslage. Unser Senior-Team prüft persönlich, wie BlackMount sinnvoll unterstützen kann und welche nächsten Schritte Substanz haben.
