Thema: Zertifizierung von ISMS „Informationssicherheitsmanagementsystemen“ auf Basis der  DIN EN ISO 27001:2015

Aus der Sicht des Auditors

Das Interview wurde geführt von Herrn Klaus Hochmuth, Geschäftsführer der Wisnetz GmbH und Herrn Thomas Welsch, Auditor der MSzert GmbH.

Herr Welsch, welche Managementsysteme werden von der MSzert zertifiziert?

Wir zertifizieren Qualitätsmanagementsysteme DIN EN ISO 9001, Umweltmanagementsysteme DIN EN ISO 14001, Arbeitsschutzmanagementsysteme BS OHSAS 18001 sowie dem SCC-Regelwerk, Energiemanagementsysteme DIN EN ISO 50001 / DIN EN 16247-1 und Informationssicherheitsmanagementsysteme DIN EN ISO 27001 / ISO/IEC 27006.

Wie verläuft der Zertifizierungsprozess?

Es gibt 3 Phasen in dem Zertifizierungsverfahren. Hierzu gehört ein optionales Voraudit.  Voraudits bieten eine optimale Vorbereitung für das spätere Zertifizierungsaudit. Sie wissen frühzeitig um Ihre Schwächen und Stärken und können sich gezielt auf die Zertifizierung vorbereiten. Danach erfolgt die Auditplanung mit einer detaillierten organisatorischen Abstimmung zum Ablauf, den zu begutachtenden Bereichen und den zu interviewenden Mitarbeitern. Schließlich erfolgt das eigentliche Zertifizierungsaudit.

Bitte beschreiben Sie das Zertifizierungsaudit:

Es besteht aus 2 Stufen. In der Stufe 1 erfolgt , soweit es kein Voraudit gab, ein erster Betriebsrundgang zum Kennenlernen der Organisation und Mitarbeiter, eine Dokumentenprüfung sowie die Bewertung zur Reife und Zertifizierungsfähigkeit des Unternehmens. In der Stufe 2 ist das Thema die Wirksamkeit und Umsetzung des ISMS mit Stichproben in den einzelnen Fachbereichen.

Welche Rolle spielt die Größe des Unternehmens?

Wir berücksichtigen beim Zertifizierungsaudit die Größe und die Komplexität der Organisation.

Was sind wichtige Punkte bei der Erstzertifizierung?

Wichtige Punkte sind der Umfang der Dokumentation des Managementsystems, ob die Mitarbeiter ausreichend vorbereitet sind, ob alle notwendigen Informationen über den Geltungsbereich vorliegen, ob interne Audits und Aufzeichnungen belegen, dass der Grad der Umsetzung des Managementsystems ausreichend ist um mit den weiteren Schritten fortzufahren.

Was passiert dann?

Das weitere Audit erfolgt vor Ort. Wichtige Punkte sind z.B. ob die Anforderungen der Normen erfüllt sind und die Sichtung der Nachweise in Bezug auf die Anforderungen der Normen.

Was passiert bei Mängeln?

Wir bezeichnen dies als Abweichungen. Wir unterscheiden Hauptabweichungen und Nebenabweichungen. Die Folge kann ein Nachaudit, die Einreichung neuer Unterlagen, oder nur die Durchführung von Korrekturmaßnahmen beim nächsten Folgeaudit sein.

Neben den Abweichungen gibt es die sog. Empfehlungen. Diese werden auch als Hinweise bezeichnet. Dies sind keine Abweichungen zu den Normforderungen, sondern sie sollen, im Sinne des kontinuierlichen Verbesserungsprozesses Verbesserungsmöglichkeiten aufzeigen.

Wie erfolgt die Erteilung der Urkunde?

Für die Erteilung der Urkunde ist der sog. Zertifizierungsausschuss zuständig. Nach dem Abschluss des Audits reicht der Auditteamleiter die relevanten Informationen bei der Zertifizierungsstelle ein.

Bei einem positiven Zertifizierungsergebnis empfiehlt dann der leitende Auditor dem Zertifizierungsausschuss die Erteilung der Urkunde.

Herr Welsch, wie kam es zum Kontakt zwischen der Wisnetz GmbH und der MSzert GmbH?

Im Jahr 2015 hat die MSzert bei Versorgungsunternehmen das Energiemanagementsystem DIN EN ISO 50001 zertifziert. Diese Unternehmen wurden von der Wisnetz GmbH bei der Einführung des Managementsystems unterstützt.

Wie verlief die Zertifizierung?

Die Unternehmen waren gut vorbereitet und haben die Zertifizierung erfolgreich bestanden.

Herr Welsch, herzlichen Dank für das Gespräch!