In diesem Artikel werfen wir einen Blick darauf, was Nichtkonformität bedeutet, den Unterschied zwischen einer großen und einer kleinen Nichtkonformität, wie man Nichtkonformitäten vermeidet und korrigiert, und wir untersuchen zehn Beispiele für Nichtkonformität nach ISO 27001.
Was ist überhaupt eine ISO 27001-Nichtkonformität?
Sie fragen sich vielleicht, was eine Nichtkonformität genau ist. Die Antwort ist recht simpel. Wenn Ihr ISMS (Informationssicherheits-Managementsystem) eine der Anforderungen der ISO 27001 nicht erfüllt, liegt eine Nichtkonformität vor.
Nach Wikipedia tritt eine Nicht-Konformität im Allgemeinen auf durch:
- schlechte Kommunikation (oder Fehlkommunikation)
- Schwache Dokumentation (oder fehlende Dokumentation)
- Mangelhafte oder begrenzte Ausbildung des Personals
- Mangelhafte Motivation des Personals
- Minderwertige Materialien (oder Mangel an geeigneten Materialien)
- Minderwertige Werkzeuge und Ausrüstung (oder Mangel an geeigneten Werkzeugen und Ausrüstung)
- schlechte oder dysfunktionale Betriebsumgebung
Es wird noch etwas komplizierter, denn nicht alle Nichtkonformitäten sind gleich: Es gibt größere und kleinere Nichtkonformitäten. Beide werden während des Audits festgestellt, und eine schwerwiegende Nichtkonformität führt dazu, dass die Zertifizierung nach ISO 27001 nicht erteilt wird.
Was ist der Unterschied zwischen einer geringfügigen und einer schwerwiegenden ISO 27001 Nichtkonformität?
Eine geringfügige Nichtkonformität ist:
- Eine Teilerfüllung einer der Anforderungen der ISO 27001…
- Die Nichterfüllung einer geringfügigen Anforderung oder…
- Eine einmalige Nichterfüllung einer der Anforderungen der Norm.
Eine wesentliche Nichtkonformität ist:
- Eine wiederholte oder unbehandelte Nichterfüllung einer der Anforderungen, oder…
- Ein Problem, das sich auf Ihre Kunden auswirken wird, wenn es nicht behoben wird, und/oder…
- Wenn wesentliche Teile des ISMS fehlen oder nicht implementiert sind.
Anforderungen für ISO 27001
Lassen Sie uns einen kurzen Überblick über die Anforderungen der ISO 27001 geben:
- 4.1 – Verstehen der Organisation und ihres Kontextes
- 4.2 – Verstehen der Bedürfnisse und Erwartungen der Beteiligten
- 4.3 – Festlegen des Umfangs des Informationssicherheits-Managementsystems
- 4.4 – Informationssicherheits-Managementsystem
- 5.1 – Führung & Engagement
- 5.2 – Informationssicherheitspolitik
- 5.3 – Organisatorische Rollen, Verantwortlichkeiten & Befugnisse
- 6.1 – Maßnahmen zur Bewältigung von Risiken und Chancen
- 6.2 – Ziele der Informationssicherheit & Planung zu deren Erreichung
- 7.1 – Ressourcen
- 7.2 – Kompetenz
- 7.3 – Bewusstheit
- 7.4 – Kommunikation
- 7.5 – Dokumentierte Informationen
- 8.1 – Operative Planung & Kontrolle
- 8.2 – Risikobewertung der Informationssicherheit
- 8.3 – Behandlung von Informationssicherheitsrisiken
- 9.1 – Überwachung, Messung, Analyse und Bewertung
- 9.2 – Interne Revision
- 9.3 – Managementprüfung
- 10.1 – Nichtkonformität und Korrekturmaßnahmen
- 10.2 – Kontinuierliche Verbesserung
ISO 27001 Abschnitt 10.1 – Nichtkonformität und Korrekturmaßnahmen
Fehler passieren. Selbst Auditoren wissen das. Natürlich ist es wichtig, dass Sie versuchen, jede einzelne Anforderung der angestrebten Norm zu erfüllen, in diesem Fall ISO 27001. Noch wichtiger ist jedoch, dass Sie alle festgestellten Nichtkonformitäten aufzeichnen und beheben. Dies geschieht durch die Ergreifung von Korrekturmaßnahmen.
>Klausel 10 (10.1 – 10.2) wird Ihnen helfen, Nichtkonformitäten zu finden und die genannten Korrekturmaßnahmen zu ergreifen. Sie sollten nachweisen, wie Sie sicherstellen, dass die von Ihnen ergriffenen Korrekturmaßnahmen das Unternehmen wieder in einen Zustand der Konformität versetzen. Dazu später mehr.
3 Schritte zur Konformität
Sie haben eine Nichtkonformität festgestellt? Dann sollten Sie diese drei Schritte befolgen:
- Der erste Schritt bei der Beseitigung von Nichtkonformität besteht darin, festzustellen, was überhaupt falsch gelaufen ist. Dies erreichen Sie, indem Sie die Ursache eines Problems ermitteln, indem Sie sich die Frage “Warum?” stellen. Dies wird als Ursachenanalyse bezeichnet. In der Praxis sollte die Antwort auf das erste “Warum?” zu einem weiteren “Warum?” führen und die Antwort auf das zweite “Warum?” zu einem weiteren und so weiter. Diese Methode kann Ihnen helfen, die Grundursache einer Nichtkonformität zu ermitteln.
- Als Nächstes müssen Sie sich eine geeignete Korrekturmaßnahme einfallen lassen, um das Problem abzustellen und zu verhindern. Vorbeugende Maßnahmen sind Maßnahmen, die verhindern sollen, dass eine Nichtkonformität wieder auftritt.
- Sobald die Korrekturmaßnahmen eingeführt sind, beginnen Sie mit der Überwachung und Überprüfung des Prozesses.
Es ist wirklich so einfach wie 1, 2, 3.
10 Beispiele für kleinere und größere Abweichungen von ISO 27001
Es kann schwierig sein, zwischen geringfügigen und schwerwiegenden Nichtkonformitäten zu unterscheiden, aber denken Sie daran, dass vieles von der Nichterfüllung und der Häufigkeit der Nichterfüllung abhängt sowie davon, ob die Nichterfüllung wiederholt oder unbehandelt auftritt.
Minor non-conformities
- Ein paar unbeaufsichtigte Laptops auf den Schreibtischen der Mitarbeiter gefunden, die nicht mit einem Kabelschloss gesichert waren.
- Fehlfunktion der Videoüberwachungsanlage (CCTV) während der Prüfung.
Schwerwiegende Nichtkonformitäten
- Fehlen einer vorgeschriebenen Dokumentation.
- Internes Audit wird innerhalb der Organisation nicht durchgeführt.
- Der Leiter der Organisation bezieht das ISMS nicht ein oder schenkt ihm keine Aufmerksamkeit (z.B. keine Teilnahme an wichtigen ISMS-Sitzungen, Beteiligung an wichtigen/allgemeinen Richtlinien); stellt keine Ressourcen für die Umsetzung des ISMS zur Verfügung.
- Keine Bewertung der Leistung des ISMS.
- Kein Nachweis, dass die Vermögensverwaltung ordnungsgemäß gepflegt wird.
- SOA-Inhalt nicht begründet oder inkonsistent.
- Risikobewertungsprozess nicht eingehalten oder unzureichend.
- Missbräuchliche Verwendung eines Zertifizierungszeichens, wodurch Kunden in die Irre geführt werden.
Was ist der Unterschied zwischen Nichtkonformität und CAPA?
Ein Prozess der Nichtkonformität und ein Prozess der Korrektur- und Vorbeugungsmaßnahmen sind für Ihr QMS (Qualitätsmanagementsystem) unerlässlich.
Auch wenn sie sich ähneln, ist es wichtig zu erkennen, dass einige Nichtkonformitäten CAPA erfordern und andere nicht.
CAPA ist ein Prozess, bei dem Korrektur- oder Vorbeugungsmaßnahmen ergriffen werden, wenn ein Problem von einem Kunden, der Geschäftsleitung oder einem (internen oder externen) Prüfer festgestellt wird
Der CAPA-Prozess verläuft in fünf Schritten:
- Ermittlung und Bewertung
- Voruntersuchung
- Untersuchung
- Planung und Durchführung
- Überprüfung und Verifizierung
Leiten Sie diese Schritte nur ein, wenn die Abweichung kritisch oder systemisch ist.
Nach Intelex müssen Sie sich drei Fragen stellen, um festzustellen, ob das Problem in eine CAPA überführt werden muss:
- Kann das Problem im Prozess behoben werden?
- Hat das Problem zu Abfall, Ausschuss, erheblicher Nacharbeit oder Unzufriedenheit des Kunden geführt?
- Ist die Nichtkonformität ein Anzeichen für ein systemischeres Problem, oder ist es wahrscheinlich, dass es wieder auftritt?
ISO 27001 Nicht-Konformitätsbericht Beispiel und Beispielszenario
ISO 27001 Leitfaden gibt einen klaren Überblick über den Unterschied zwischen einem Nichtkonformitätsbericht und einem Bericht über Korrekturmaßnahmen in ISO 27001.
Lassen Sie uns unser eigenes Szenario einer Nichtkonformität in Aktion erstellen, indem wir die oben erwähnte erste Hauptnichtkonformität, d.h. das Fehlen einer obligatorischen Dokumentation, verwenden.
Nicht-Konformität
ISMS-Bereichsangabe fehlt
Ursachenanalyse (Warum?)
Warum? Auf Nachfrage zeigte das Team ein mangelndes Verständnis dafür, welche Dokumente obligatorisch sind.
Warum? Das Management bestand darauf, dass das Team versuchte, die Zertifizierung ohne die Hilfe eines Online-Tools oder einer dritten Partei zu erreichen.
Warum? Das Management will keine “unnötigen Mittel” ausgeben
Das Problem liegt auf der Hand – fehlende Investitionen in den ISO 27001-Zertifizierungsprozess.
Vorgeschlagene Korrekturmaßnahmen
Es ist nun klar, wie die Korrekturmaßnahme aussehen sollte: Ein Drittanbieter (wie Compleye) oder ein Online-ISO 27001-Zertifizierungstool oder eine Plattform (wie Compleye Online) sollte genutzt werden, um herauszufinden, welche Dokumentation verpflichtend ist und wie eine ISMS-Umfangsbeschreibung zu erstellen ist.
So würde die Dokumentation für diese Nichtkonformität aussehen:
Lassen Sie sich durch Nicht-Konformität nicht davon abhalten, Compliance (fast) zum Spaß zu machen!
Die von uns aufgeführten Beispiele für ISO 27001-Konformitätsabweichungen sind nur einige von vielen, die für Organisationen, die eine ISO 27001-Zertifizierung anstreben, Stolpersteine darstellen können.
Wenn Sie mehr darüber erfahren möchten, was Sie tun müssen, um Ihren Erfolg bei der ISO 27001-Zertifizierung zu garantieren, und um herauszufinden, wie wir die Einhaltung der Vorschriften (fast) zum Vergnügen machen, besuchen Sie Compleye oder buchen Sie unten eine Demo.
