ISO 27001-Reifegrade messen, wie konsequent und wie gut eine Organisation ihre Sicherheitsmaßnahmen verankert hat – nicht nur, ob Dokumentation vorhanden ist. Die meisten Frameworks verwenden eine Fünf-Punkte-Skala von ad hoc bis optimiert oder die kumulative MIL0-bis-MIL3-Struktur aus C2M2. Der praktische Ansatz besteht darin, den Reifegrad je Domäne zu bewerten, Ziele auf Basis des tatsächlichen Risikos statt pauschal „überall hoch" festzulegen und die Bewertung durch strukturierte Fragebögen mit Nachweispflichten – nicht durch offene Interviews – durchzuführen.
Kurzfassung:
- Ein domänenbasierter Fragebogen mit festen Antwortoptionen sorgt für konsistente Bewertungen und verlässliche Reifegradaussagen – unabhängig von Prüfer und Zeitpunkt.
- Ziel-Reifegrade sollten sich am tatsächlichen Risikoprofil jeder Domäne orientieren, anstatt überall hohe Niveaus anzustreben, die in risikoarmen Bereichen Ressourcen verschwenden.
- Nachweispflichten – etwa Protokolle und dokumentierte Reviews – sind entscheidend, um Reifegradscores oberhalb der untersten Stufe zu validieren und subjektive Urteile zu reduzieren.
- Ein Reifegrad-Score ist nur aussagekräftig, wenn verschiedene Prüfer zu ähnlichen Ergebnissen gelangen – erreicht durch Kalibrierung, klare Schwellenwerte und Abstimmung bei Meinungsverschiedenheiten.
- Zu den häufigsten Fehlern bei Bewertungen zählen das Ignorieren von Nachweisen, das selektive Herausgreifen einzelner Maßnahmen und die Verwechslung von Kontrollexistenz mit Implementierungsqualität.
Inhaltsverzeichnis
- Welche ISO 27001-Reifegradskalen sind gängig?
- Wie lässt sich der Reifegrad den ISO 27001 Annex A-Maßnahmen zuordnen?
- Wie führt man eine reproduzierbare ISO 27001-Reifegradbeurteilung durch?
- Wie interpretiert man Reifegradresultate und setzt realistische Ziele?
- Wie verhindert man, dass Reifegrad-Scores zum Ratespiel werden?
- Was läuft in der Praxis schief, wenn Teams Reifegradmodelle einsetzen?
- In wenigen Minuten zu einem benchmarkbasierten Reifegrad-Score
- Quellen
Welche ISO 27001-Reifegradskalen sind gängig?
In der Praxis dominieren zwei Skalen, die leicht unterschiedliche Probleme lösen.
Die erste ist ein Fünf-Stufen-Spektrum, das aus CMMI-ähnlichen Modellen bekannt ist und in US-amerikanischen Behördenvorgaben aufgegriffen wird: ad hoc, definiert, konsistent implementiert, gesteuert und messbar sowie optimiert. Der FY 2024 IG FISMA Metrics Evaluation Guide verwendet genau diese Struktur und betrachtet Stufe 4 – „gesteuert und messbar" – als den Punkt, ab dem Sicherheit typischerweise wirksam ist und nicht nur dokumentiert vorliegt.
Die zweite ist das Cybersecurity Capability Maturity Model (C2M2), das Maturity Indicator Levels von MIL0 bis MIL3 verwendet. Jeder MIL gilt je Domäne, und die Stufen sind kumulativ: Man kann MIL2 in einer Domäne nicht beanspruchen, ohne zuvor alle MIL1-Praktiken in derselben Domäne erfüllt zu haben – so die C2M2-Version-2.1-Dokumentation des US-Energieministeriums. Diese kumulative Regel ist wichtig, weil sie verhindert, dass Organisationen fortgeschrittene Maßnahmen selektiv herausgreifen und dabei die grundlegenden Voraussetzungen überspringen.
Welche Skala sollte man verwenden? Das Fünf-Stufen-Modell lässt sich einfacher gegenüber Führungskräften erklären und eignet sich gut für übergeordnetes Programm-Reporting. Die MIL-Struktur von C2M2 liefert eine feinere Auflösung, wenn sich Domänen stark in ihrer Leistungsfähigkeit unterscheiden – was in durch Akquisitionen gewachsenen Organisationen häufig vorkommt.
| Skala | Stufen | Geeignet für |
|---|---|---|
| Fünf-Stufen (FISMA-Stil) | Ad hoc, Definiert, Konsistent implementiert, Gesteuert & Messbar, Optimiert | Führungskräfte-Reporting, Framework-übergreifende Vergleiche |
| C2M2 MIL | MIL0, MIL1, MIL2, MIL3 (kumulativ je Domäne) | Domänengranularität, ungleichmäßige Leistungsfähigkeit |
| COBIT/CMMI-Stil | Stufe 0 bis Stufe 5 | Erstellung individueller Bewertungsrubrics |
Wie lässt sich der Reifegrad den ISO 27001 Annex A-Maßnahmen zuordnen?
Compliance und Reifegrad sind keine deckungsgleichen Messgrößen, und ihre Verwechslung ist der häufigste Fehler in ISMS-Programmen im ersten Jahr. Compliance fragt, ob eine Maßnahme existiert und die ISO/IEC 27001-Anforderung erfüllt. Der Reifegrad fragt, ob diese Maßnahme konsistent ausgeführt, überwacht und kontinuierlich verbessert wird.
Daraus ergeben sich zwei separate Metriken, die es parallel zu verfolgen lohnt: die Programmbreite – wie viele Annex A-Maßnahmen und -Domänen tatsächlich abgedeckt sind – und die Implementierungstiefe – wie gut jede abgedeckte Maßnahme in der Praxis funktioniert. Ein Programm kann auf dem Papier vollständig wirken, während mehrere Maßnahmen lediglich MIL1-Tiefe aufweisen.
Am Beispiel der Zugriffsüberprüfung: Eine Maßnahme kann als schriftliche Richtlinie existieren (compliant auf dem Papier), während quartalsweise Reviews inkonsistent stattfinden und niemand Ausnahmen protokolliert (niedriger Reifegrad in der Ausführung). Nachweise auf einem höheren Reifegrad würden Review-Protokolle, Ticketverläufe mit Behebungszeiten und einen dokumentierten Eskalationsweg umfassen.
Die Gruppierung von Maßnahmen nach Domänen – anstatt jede der rund 93 Annex A-Maßnahmen isoliert zu bewerten – hält die Bewertung konsistent und handhabbar:
- Maßnahmen zu Zugriffskontrolle, Authentifizierung und Identity Management gemeinsam zu einem Domänen-Score zusammenfassen.
- Maßnahmen zu Incident Response, Logging und Monitoring in eine einzelne Betriebsdomäne gruppieren.
- Maßnahmen zu Lieferantenrisiko, Verträgen und Drittparteien-Audits in eine Lieferantendomäne zusammenfassen, da sich die Nachweistypen stark überschneiden.
Eine gründliche Auseinandersetzung mit den Annex A-Maßnahmen im Detail vor dem Aufbau von Domänengruppen verhindert spätere Inkonsistenzen bei der Bewertung.
Wie führt man eine reproduzierbare ISO 27001-Reifegradbeurteilung durch?
Ein Reifegrad-Score ist nur dann aussagekräftig, wenn ein anderer Prüfer sechs Monate später zu annähernd demselben Ergebnis käme. Die folgende Methode führt dorthin.
- Scope und Domänen definieren. Annex A-Maßnahmen in 10 bis 14 Arbeitsdomänen gruppieren – analog zur Struktur, die Tools wie die domänenbasierte Bewertung des ISMS Calculators verwenden – damit die Bewertung über Teams und Audit-Zyklen hinweg konsistent bleibt.
- Fragebogen-Items mit festen Antwortoptionen erstellen. Freitextfelder vermeiden. Antwortoptionen wie „Nicht durchgeführt", „Teilweise implementiert", „Weitgehend implementiert" und „Vollständig implementiert und messbar" verwenden, damit zwei Prüfer, die dieselbe Frage beantworten, zu ähnlichen Ergebnissen gelangen.
- Bewertungsregeln mit kumulativen Schwellenwerten festlegen. Im Voraus festlegen, dass eine Domäne MIL2 oder Stufe 3 erst dann erreichen kann, wenn alle Praktiken der jeweils niedrigeren Stufe in dieser Domäne erfüllt sind. Die Schwellenwertregeln schriftlich fixieren – vor Beginn der Bewertung, nicht danach.
- Nachweise für jede Antwort oberhalb der niedrigsten Stufe verlangen. Eine Aussage wie „vollständig implementiert" erfordert einen exportierten Log, eine unterzeichnete Richtlinie mit Überprüfungsdatum oder einen Ticketbericht als Anhang. Prüfernotizen neben jedem Score festhalten, damit Prüfer die Begründung später nachvollziehen können.
- Peer-Review bei Meinungsverschiedenheiten einsetzen. Wenn zwei Prüfer dieselbe Maßnahme um mehr als eine Stufe unterschiedlich bewerten, einen dritten Prüfer hinzuziehen und den finalen Konsens-Score sowie die Ursache der Abweichung dokumentieren.
Praxis-Tipp: Vor der vollständigen Bewertung sollten Prüfer gemeinsam 2 bis 3 Beispielmaßnahmen kalibrieren. Scores vergleichen, Abweichungen offen besprechen und Fragebogenformulierungen anpassen, wo unterschiedliche Interpretationen aufgetreten sind. Das Überspringen der Kalibrierung ist der schnellste Weg zu einem Reifegradbericht, dem niemand vertraut.
Wie interpretiert man Reifegradresultate und setzt realistische Ziele?
Ein Reifegradreport ist erst nützlich, wenn jemand entscheidet, was mit den Zahlen geschieht – und der Instinkt, überall Stufe 5 anzustreben, ist in der Regel falsch. Der FY 2024 IG FISMA Metrics Evaluation Guide stellt fest, dass „gesteuert und messbar" – Stufe 4 auf der Fünf-Punkte-Skala – für Bundesbehörden typischerweise bereits wirksame Sicherheit darstellt. Jede Domäne auf „optimiert" zu treiben, verbrennt Budget für Maßnahmen, die von vornherein ein geringes Risiko tragen.
Ziel-Reifegrade sollten dem tatsächlichen Risiko einer Domäne folgen, nicht einem einheitlichen Anspruch:
- Risikoarme Domänen (z. B. Zugriffssteuerung für interne Wikis): Ziel Stufe 2 bis 3, jährlich überprüft.
- Mittelrisiko-Domänen (Lieferantenmanagement, HR-Offboarding): Ziel Stufe 3 bis 4, halbjährlich überprüft.
- Hochrisiko-Domänen (privilegierte Zugriffe, Incident Response, Kundendatenverarbeitung): Ziel Stufe 4 bis 5, quartalsweise überprüft.
Ziele an Geschäftszielen und tatsächlicher Exposition auszurichten – statt an einem pauschalen Reifegradanspruch – empfiehlt das Reifegradmodell-Research des CRF, und dieser Ansatz hält einer Audit-Prüfung besser stand als ein Einheits-Zielwert. Die Integration dieses Rahmens in den Implementierungszeitplan ergibt zudem einen natürlichen Review-Rhythmus, gegen den man steuern kann.
Wie verhindert man, dass Reifegrad-Scores zum Ratespiel werden?
Subjektivität ist der stille Versagensmodus jedes Reifegradprogramms. Fünf Personen, die den Reifegrad einer Maßnahme ohne Rubric einschätzen sollen, liefern fünf unterschiedliche Scores. Empirische Forschung zu Prüferbewertungen stellte konsistente Varianz bei Selbsteinschätzungen fest und identifizierte strukturierte Fragebögen sowie Prüfer-Kalibrierung als wirksame Gegenmittel – so eine Studie zu Bewertungskompetenzen von Praktikern bei der Beurteilung von Informationssicherheitsmaßnahmen.
Vier Praktiken reduzieren diese Varianz in realen Bewertungen:
- Fragebogen-Aussagen als präzise, prüfbare Behauptungen formulieren, statt vage Fragen wie „Wird der Zugang gut verwaltet?" zu stellen.
- Dokumentierte Nachweise für jeden Score oberhalb der niedrigsten Stufe verlangen – nicht nur für die oberste Stufe.
- Strittige oder Grenzfall-Scores vor der Finalisierung einem zweiten Prüfer vorlegen.
- Den Fragebogen selbst versionieren, damit Scores aus verschiedenen Quartalen tatsächlich vergleichbar sind.
Strukturierte Tools ergänzen einen guten Fragebogen: Modell-Referenzvergleiche, die zeigen, wo ähnlich große Organisationen stehen, konsistente Domänenabdeckung über Bewertungszyklen hinweg und exportierbare Berichte, die einer Audit-Prüfung standhalten. Diese Lücke schließt die Reifegradbeurteilung des ISMS Calculators: Sie bewertet die vier Annex A-Kontrollthemen anhand fester Kriterien, vergleicht die Ergebnisse mit Modell-Referenzwerten und exportiert die Erkenntnisse als teilbaren Bericht – statt als Tabelle, die nur die erstellende Person versteht.
Was läuft in der Praxis schief, wenn Teams Reifegradmodelle einsetzen?
Die meisten Reifegradprogramme scheitern leise, nicht laut. Teams übertreiben Scores, weil niemand Nachweise angefordert hat, oder sie jagen Stufe 5 in Domänen, bei denen das tatsächliche Risiko kaum Stufe 3 rechtfertigt. Meine ehrliche Einschätzung: Messen Sie, was echtes Risiko trägt, verlangen Sie Nachweise, bevor Sie irgendeinen Score über „teilweise implementiert" akzeptieren, und berichten Sie Programmbreite und Maßnahmen-Tiefe stets als separate Zahlen. Wenn Sie nach diesem Artikel eine Maßnahme ergreifen, führen Sie vor Ihrem nächsten Audit-Zyklus eine domänenweise Readiness-Prüfung durch – nicht danach.
— Martin
In wenigen Minuten zu einem benchmarkbasierten Reifegrad-Score
Zu raten, wie Ihr ISMS im Vergleich zur Modellreferenz dasteht, kostet Zeit, die Sie vor einem Audit nicht haben. Der kostenlose 2-Minuten-Readiness-Check des ISMS Calculators liefert sofort einen Score mit zugeordnetem Reifegrad – basierend auf Ihren Antworten auf einen kurzen Satz fester Fragen, ohne Registrierung.
Für Teams, die domänengenaue Tiefe benötigen, bewertet die vollständige ISO 27001-Readiness-Beurteilung alle vier Kontrollthemen der ISO/IEC 27001:2022 anhand des Modell-Referenzwerts, erstellt aus Ihren Lücken einen Gantt-ähnlichen Implementierungszeitplan und exportiert alles als teilbares PDF, das Ihr Auditor tatsächlich verwenden kann. Starten Sie zunächst mit dem Mini-Check und entscheiden Sie dann, ob die vollständige Beurteilung die tiefere Analyse wert ist.
Quellen
- C2M2 Version 2.1 (Juni 2022) — US-Energieministerium
- FY 2024 IG FISMA Metrics Evaluation Guide (CISA)
- Maturity level assessments of information security controls: An empirical analysis of practitioners assessment capabilities (ScienceDirect)
- ISO/IEC 27001-Norm — ISO