Wie man einen ISO® 27001-Berater für Ihr ISMS beauftragt

Wie Sie einen ISO® 27001-Berater für Ihr ISMS beauftragen

Schritt 1: Suchen Sie nach Erfahrung und Relevanz

Zunächst sollten Sie festlegen, welche Art von Erfahrung oder Fähigkeiten Sie von einem ISO® 27001-Berater erwarten. Überlegen Sie sich, welche spezifischen Aufgaben Ihr Berater übernehmen soll – wenn er beispielsweise Risikobewertungen durchführen soll, sollte er Erfahrung mit der Aufdeckung und Behebung von Schwachstellen in Sicherheitssystemen oder Ähnlichem haben.

Hier sind einige Erfahrungen, auf die Sie achten sollten:

• Einschlägige Branchenerfahrung: Es ist von Vorteil, wenn Ihr ISO® 27001-Berater über Berufserfahrung in der gleichen Branche wie Ihr Unternehmen verfügt. Es kann für sie einfacher sein, sich mit Ihrem ISMS vertraut zu machen und Ihren Geschäftsrahmen zu verstehen.

• Erfahrung mit Sicherheitsmanagementsystemen: Vertrautheit mit oder Kenntnisse über Informationssicherheitssysteme sind ein Muss, da die Aufgabe eines ISO® 27001-Beraters darin besteht, Ihr ISMS zu entwickeln oder zu verbessern. Sie sollten wissen, wie diese Managementsysteme funktionieren und wie man mit Sicherheitsverletzungen umgeht oder sie vermeidet. Sie sollten auch prüfen, ob ein Berater über persönliche Erfahrungen mit der Einführung von ISMS oder anderen Managementsystemen verfügt.

• Erfahrung mit der ISO 27001-Norm: Ihr Berater muss über Fachwissen oder Erfahrung mit der Einhaltung von ISO® 27001 verfügen. Ein großer Teil ihrer Aufgabe besteht darin, dafür zu sorgen, dass Ihr ISMS die Norm erfüllt. Daher müssen sie alle Anforderungen der ISO® 27001 vollständig verstehen und wissen, wie sie zu erfüllen sind.

• Fallstudien oder Erfahrungsberichte: Wenn Sie einen Berater suchen, müssen Sie dessen Erfolgsbilanz bei früheren Kunden sorgfältig prüfen. Suchen Sie insbesondere nach Erfahrungsberichten, Bewertungen, Fallstudien und greifbaren Beweisen für frühere Erfolge.

• Akkreditierung der Zertifizierungsstelle: Wenn Sie die ISO® 27001-Zertifizierung anstreben, sollten Sie sich einen Berater suchen, der persönliche Erfahrungen mit akkreditierten Zertifizierungsstellen hat. Das bedeutet, dass sie wahrscheinlich über fundierte Kenntnisse des gesamten Verfahrens verfügen und Ihnen möglicherweise helfen können, die Zertifizierung schneller zu erhalten.

Schritt 2: Maßgeschneiderter Service

Bei der Suche nach dem richtigen ISO® 27001-Berater sollten Sie darauf achten, dass Sie einen Berater finden, der Sie persönlich betreut. Sie sollten in der Lage sein, auf Ihre spezifischen Belange einzugehen und ihre Lösungen auf Ihre geschäftlichen Rahmenbedingungen zuzuschneiden. Vermeiden Sie Berater, die Ratschläge oder Vorlagen kopieren und dann Feierabend machen.

Erkundigen Sie sich bei den ersten Verhandlungen mit einem potenziellen Mitarbeiter nach dessen Leistungen und nach der Art der Arbeit, die er für Ihr Unternehmen leisten kann. Ob sie in der Lage sind, Ihnen eine persönliche Beratung zu bieten, die auf Ihre Bedürfnisse zugeschnitten ist, sollte aus ihrem Kommunikationsstil hervorgehen.

Sie können noch direktere Fragen stellen und sie fragen, wie sie ein bestimmtes Problem lösen würden. Wenn er eine allgemeine Antwort gibt, die auf jedes Szenario oder Unternehmen zutrifft, ist er möglicherweise nicht der beste Berater, den man beauftragen kann. Fragen Sie sich selbst:

• Sind sie in der Lage, sich an unterschiedliche Situationen anzupassen?

• Können sie gut kommunizieren?

• Wie verfügbar sind sie, und wie schnell können sie ein Problem lösen?

• Wie gut sind sie für Ihr Unternehmen geeignet?

• Werden sie gut mit Ihren Mitarbeitern zusammenarbeiten?

Schritt 3: Preisgestaltung und Zeitplan

Ein weiterer wichtiger Faktor, der bei der Beauftragung eines ISO® 27001-Beraters zu berücksichtigen ist, ist die Preisgestaltung, die stark vom Projektumfang und dem Zeitplan abhängt. Dies bezieht sich darauf, wie lange sie brauchen werden, um die von Ihnen vorgegebene Arbeit zu erledigen.

Wenn Sie eine Zertifizierung anstreben, sollten Sie sich erkundigen, wie lange es dauern würde, bis sie Ihnen helfen, die Zertifizierung zu erhalten. Die Fristen können je nach Größe Ihres Unternehmens und dem Arbeitsaufwand, der zur Einhaltung der Vorschriften erforderlich ist, variieren.

Wenn Sie beispielsweise noch gar kein ISMS haben oder ein neues benötigen, muss Ihr Berater zusätzlich zu anderen Aufgaben ein ISMS für Sie entwerfen, aufbauen und einführen. Je größer das Projekt ist, desto höher sind die Kosten.

Notieren Sie sich alle an dem Projekt beteiligten Tätigkeiten, um die Verhandlungen zu erleichtern. Denken Sie daran, die Kosten für Schulungen, Audits, Vorabgebühren usw. zu berücksichtigen, wenn Sie mit Ihrem potenziellen Arbeitgeber über die Preise sprechen.

Schritt 4: Unternehmensstruktur

Berücksichtigen Sie die Geschäftsstruktur der Beratungsagentur, die Sie beauftragen. Wie ist ihre Arbeit organisiert? Gibt es Garantien dafür, dass Ihr Projekt abgeschlossen werden kann? Auf diese Weise können Sie mögliche Fallstricke in Ihrem Projekt vermeiden.

Sie sollten auch prüfen, wie die Preisgestaltung strukturiert ist, um zu sehen, ob Sie Sicherheit für Ihr Geld erhalten – gibt es beispielsweise ein Rückerstattungssystem oder eine Möglichkeit, um sicherzustellen, dass Sie das bekommen, wofür Sie bezahlen? Wie viel Kontrolle haben Sie über deren Arbeit, und was passiert, wenn Sie mit den Ergebnissen nicht zufrieden sind?

Schritt 5: Kommunikation und Aufbau von Kontakten

Die regelmäßige Kommunikation mit Ihrem ISO® 27001-Berater ist entscheidend. Dazu gehören die Erörterung von Strategien, die Durchführung interner Audits, die Überprüfung Ihres ISMS und die Behandlung dringender Probleme. Sie müssen jemanden einstellen, der schnell verfügbar und zu ausführlichen Gesprächen bereit ist, um eine effektive Lösung von Problemen zu gewährleisten.

Sie sollten auf das Fachwissen Ihres Beraters vertrauen und mit ihm bei verschiedenen Aktivitäten zusammenarbeiten können. Es ist besonders hilfreich, eine Beziehung zu Ihrem ISO® 27001-Berater aufzubauen, falls Sie seine Dienste bei der Erneuerung Ihrer Zertifizierung (die alle drei Jahre erneuert werden muss) wieder benötigen.

Stellen Sie sicher, dass Sie Ihren Berater problemlos erreichen können – am besten richten Sie mehrere Kommunikationskanäle ein, damit Sie einen Ersatz haben, falls ein Kanal nicht funktioniert. Sie und Ihr Berater sollten sich über die zu verwendenden Methoden einig sein, aber wenn möglich, ist es am besten, einen Kanal zu wählen, der bereits von Ihren Mitarbeitern genutzt wird.

Obwohl es sich bei Ihrem Berater um einen externen Mitarbeiter handelt, sollten Sie ihn als Teil Ihres Unternehmens behandeln, da er eng in die Abläufe eingebunden ist und möglicherweise sogar mit anderen Mitarbeitern interagiert (z. B. bei Schulungsprogrammen zum Sicherheitsbewusstsein).