33: ISO 27001 - Sicherheit oder Papiertiger?

[Musik] Herzlich willkommen zur Rechenzeit. Mein Name ist Holger Breitling. Und ich bin Andreas Kornstedt. Und wir sind die Softwarearchitekten vom Dienst. Unser Podcast Rechenzeit beschäftigt sich mit Softwarearchitektur und Softwaretechnik im Spannungsfeld zwischen Harte Informatik und Informatikanwendung bis hinein in gesellschaftliche Themen. Der Podcast wird unterstützt von der WPS Workplace Solutions GmbH für die wir beide tätig sind. Das Thema unserer heutigen Folge ist die ISO-Norm 27001. Da sich in den vergangenen Jahren die Cloud und auch Software-Service als Konzept beispielsweise sehr stark etabliert haben, hat diese Norm stark an Gewicht gewonnen, die sich mit dem Informationssicherheitsmanagement-System eines Unternehmens beschäftigt. Immer mehr Unternehmen erwarten daher von ihren IT-Dienstleistern, dass sie über eine entsprechende Zertifikat verfügen. Und so wollen wir uns in dieser Folge damit beschäftigen, was überhaupt der Inhalt dieser Norm ist, ob unter welchen Umständen ein Unternehmen sich um ein derartiges Zertifikat bemühen sollte und wie man das am besten macht. Andreas und ich freuen uns, dass wir in dieser Episode einmal wieder zwei Gäste begrüßen können. Und zwar unseren guten Freund und externen Datenschutzbeauftragten der WPS, so viel Transparenz muss sein. Matthias Weichmann vom Unternehmen Anmato und Johannes Bumel, der sich in der WPS unter anderem und das Informationssicherheitsmanagement system kümmert. Und es ist sicher eine gute Idee, dass sich unsere Gesprächspartner wie immer an dieser Stelle zunächst einmal vorstellen und wir fangen mit Matthias an. Matthias. Ja, danke Holger. Matthias Weichmann, ich bin Vorstand der Anmato AG. Wir sind ein Hamburger Beratungshausen im Bereichen in Informationssicherheit und Datenschutz und machen daneben sicheren IT-Betrieb, also Datenschutzkonform und sichere Betrieb. Ich selbst mit unterwegs als Trämer, als Berater und als Auditor in Informationssicherheits-Betabenschutz-Betrieb. Und davor habe ich ein Jahrzehnt lang Kattkor-IT-Betrieb gemacht. Und davor habe ich tatsächlich mal einen duuflichen Einstieg, der Qualitätsmanagement in der Informationsverarbeitung, der Kreatizische und Informationsverarbeitung. Das ist in 90er Jahren, da war das ein inövertiver Gedanke. Und heute war ich mal gelaufen, es gibt noch ein Zudem, das war damals auch ein ganz anderer Schnack. Und das war meine Einstieg in das ganze Thema. Ab Ende hatte ich dann wieder verlassen, wie gesagt, dann 10 Jahre IT-Betrieb, die war bevor ich zu dem Thema gekommen bin. Ja, Johannes. Ja, meiner Misshandel ist Bummüller. Ich bin bei der WPS seit etwas mehr als 10 Jahren Software-Entwickler und habe im Grunde schon seit meinem Studium ein sehr großes Interesse an Informationssicherheit. Und hat mich deshalb auch in der WPS schon sehr früh angefangen, mit der Informationssicherheits-Betrieb zu beschäftigen. Und baue jetzt eben in der WPS auch das Informationssicherheitsmanagement-System auf und betreue das eben mit Unterstützung von Matthias. Ich besinne mich noch an die Sache, weil du sagst, eben du hast angefangen, während das Qualitätsmanagement in den 90er Jahren hast du gesagt, ich weiß noch damals ISO 9000 irgendwas. Ich glaube, das war 1987, wann ist das raus? Du kommst, ich weiß es nicht mehr ganz genau. Das war damals ein ganz großes Ding. Das hat ja jeder plakatiert und wir sind jetzt ISO 9000 1. Da bin ich fall, was was? Irgenden nimmer hier noch dran. Zertifiziert. Und jetzt sicher, 27.01. Also offensichtlich sehr mehrfach, so gut dementsprechend dann 3 mal, so gut wahrscheinlich, dann 3 mal 9. Ich weiß nicht, ob ein Zusammenhang besteht, aber das würde ich glaube, ich gerne einmal, wenn du es vielleicht zu Anfang einmal in Orten könntest, weil damals wieder wieder ein Qualität und wie das irgendwie in Pelten sind. Ja, genau. Also das war natürlich die erste Hochzeit, wenn man so will, des Qualitätsmanagement der ISO 9000 1. Die damals noch ganz anders funktioniert, als das heute der Fall ist, in der Informationsverarbeitung in der IT-Stimme, die 9.000 1. Damals auch auch nicht die wurde, sondern es ging tatsächlich mehr um Produkte. Die Sützwerverbindung ist eigentlich einmal eine Qualitätsmanagement, die gab es zumindest an der Stelle, in der Zeit noch nicht, dass sich das alles in Konzied ist, so deutsch gesagt, egal ist, ob man nun ein Automobil herstellt oder soff wäre. Also es ist ja ein komplexes Produkte sind und dass wir selben Konzipien gelben können, die Geselpe herangeben, weil es für die Qualitätssicherung dann auch richtig sein können. Und da war man damals was zu eigen in seinen Bereichen, das man sagt, nee, was wir machen, ist er gleichbar. Du hast da gerade gesagt, nicht, wie sie uns 20 ist, 3x9, so hat es mir dann halt tatsächlich nichts zu tun. Also, ja, da ist also irgendwie was die Qualität angeht, muss man sich nicht gehört, die Nummer raus und besser. Und es ist eine andere Norm Reihe, die ISO nummeriert, also, so ein Norm rein, die es noch eine Nummer haben. Die 9000 sind halt die Qualitätsmanagement, die 27000 sind die Frequemation, Sicherheit und da guppiert es hier oben, also gesagt, 9000 1 sind das immer die 1-Vone sind wir in vielen Monaten, die 1,27000 sind nur die Zertifizierungsnormen. Okay, also dann nochmal auch für mich dann zu mitschreiben, also damals also 9000, aber ich ganz allgemein, die sagste, hätte man auch ein Automat nachbauen, können oder ein Team-Werk betreiben und ich besinn mich auch noch an Sachen wie damals, was war das CMMI, da ging es auch im Prozesse glaube ich, aber es war auch ganz allgemein und nicht auf IT bezogen dann. Ja, das waren halt so Qualitätsmanagement und Reife-Geratenmodelle, die man da gemacht hat. Das wusste dann auch schon, dass ich sagen, wo so erste Schutte gegangen ist, können wir herder Komplizität zu werden und dann, wenn wir das Level aberstes, Level-Alt-Faliktität zu erreichen, davon sehen wir heute vieles anders oder sind da auch einen Schritt weiter. Aber einige Wohnen, so ist es wie 49, auch durchaus auch. Ja, also starten wir mit 3 mal 9, mit der 27. Ich war jetzt schon mehrfach in Kontexten, in denen ganz ausdrücklich eine ISO 27.000 Einsertifizierung verlangt wurde, oder alternativ eine Darstellung, dass das Unternehmen ein Informationsmanagement-System implementiert hat, das gleichwertig ist. Hier ist ja wohl auch der Begriff des Systems ganz wichtig. Kannst du bitte die Norm kurz zusammenfassen und dabei auch umreißen, was mit diesem Systembegriff gemeint ist? Ja, das war es ganz richtig gesagt, es gibt um Systeme, es gibt nicht um Management-Systeme. Das ist dann die ganze Reihe der ISO Management-Systemen normen. Und damit beschäftigt sich das daran, ganz hart drauf, guck eigentlich gar nicht mit Informationssicherheit, genauso wenig wie sich mit Qualität beschäftigt, unschäftigt sich die 9.000 Eins mit Qualitätsmanagement, die sieht man 30.000 Eins mit Informationssicherheit. Also das Ganze sind, und zwar da werden Menschen wenn das Systeme aufgebaut oder viel mehr Anforderungen an Menschen wenn das Systeme beschrieben. Und die sind tatsächlich weitestgehend Deckungsgleichsbeschliusende Systeme, die so nicht das harmonisste Wachscher im Moment, früher hieß das High Level Stwackscher, wenn man sich also die Amforderungen am Schock, die Kapitel nehmen, aneinander liegt, der 9.000 Eins beispielsweise, oder 27.000 Eins, da sind die nahezu bedenntisch die oberste Struktur oder hin, die oberste Struktur und auch da drunter. Und da gibt es noch ganz viele andere mehr Energiemanagement, Umweltmanagement, Sicherheit, Objesunterkader, Arbeiter etc. In Prinzip waren sie nicht viele Unternehmensbereiche, die da abgebildet werden und die alle nach derselben Management-Struktur dann abgebildet werden. Das ist vielleicht ja so die erste Dreh, den man sich da anschauen muss und merken muss, es haben es sich um Werkzeuge für das Management wieder ausgesetzt werden. Also ich frage eigentlich an die Unternehmensbührung, und ihr seid "Ich muss mich helfen mit Informationsjahrt für Schäftigen in uns unternehmen." Wie mache ich denn das eigentlich? Und auf diese Frage geben diese Lohn eine mögliche Antwort und so kann es gehen. So kannst du mit dem Thema umgehen und so kannst du das man nicht. Kann man sich das so ein bisschen so vorstellen, wie wenn man sagen würde, also es gibt für die Bundesrepublik eine Verfassung oder eine demokratische Verfassung, sagen wir mal, die hat eben eine Gewaltenteilung und vielleicht ein Rechtstaat und bestimmte Mechanismen, die dafür sorgen, dass am Ende Gesetze erlassen werden, aber welche Gesetze das dann sind, das ist eben erstmal offen gelassen, so wie auch die konkrete Qualitätssicherungsmarsnahme, die die richtige ist. Erst mal offen gelassen ist, aber das System beschrieben wird, dass diese Maßnahmen erlässt oder hervorbringt. Kann man das so etwa verstehen? Ja, so kann man das sagen. Es gefällt mir, es ist ein schöner Anedite, die ich starten, zunehmend, habe ich es so mal gar nicht gesehen. Also andere starke haben eine andere Verfassung, eine andere Rechtsgeber, gut hier ist zunächst, als man nicht besser, schlechte ist zunächst mal anders. Weil sie führt auch in auch so eine sich die etablierten Demokratie, und man sagt dann, kommst du nicht ganz anders, oder frag mal, du überschaust, ob du sie dir erfassst und wenn du siehst, anders, aber funktiert auch auf den demokratischen Gemeindenwesen aus. Und so ist es auch mit dem Management nur machen, und so sagt dann, die ISO, wenn man will, ein Angebot, wie man sich mit den Thema beschäftigen kann, über uns sie ja aus anderen setzen kann. Es gibt aber natürlich auch die mich viele andere Rahmenbedingungen, wo und Gesetze, Einzriege, Sätze, wenn man so will, die gegen die Mähbarleanforderungen machen und wie das dann ausgefüllt wird auch mal, wo man sich dann da in diesem Draube bewegt. Das ist total nüderll. so genau so wie wir alle unter der selben Rechtsprechung leben, die wir als Unternehmen, aber wir alle in anderen Lebens führen, dass etwas aufgesteilt muss und Freihheiten nehmen, uns eiselbe andere Regeln geben in diesem Rahmen, die von Unternehmen zu Unternehmen ist das der Schienen, von Personen zu Personen, das ist das der Schienen, trotzdem nehmen wir alle in dem seltener. Und so wie das auch mit den Menschen mitgenommen, in der grobe Rahmen ist für alle gleich, aber innerhalb dieses Raps gibt es Hansen, die Freiheit, in dem man sich bewegen kann. Und deswegen, das ist auch der Anspruch dieser Nungen, für alle Organisationsform zu funktionieren, also vom Kleinstpark ab bis zum multinationalen Konzern, und tatsächlich und auch für nicht wirtschaftskutternem Nopf, das jetzt Orientation bewirten, etc. Also, das ist erkenostisch zu sein, gegenüber der Gesellschafts- und Ereitationsform, das ist für alle zu funktionieren. Und wenn man sich das anschaut, geht es auch. Das bedeutet ja gleichzeitig aber auch, dass das sehr abstrakt sein muss, was in dieser ISO-Normen beschrieben ist. Und das wiederum macht es dann für Praktiker häufig schwer verständlich. Warum haben die sich jetzt das ausgedacht? Was soll das eigentlich? Ist dann die Frage? Ja, da hast du aufrecht. Und das ist wieder so, wie das mit der Freiheit ist, also sie ist schon so ein Auftrag zugleich. Und es ist tatsächlich sehr frei. Und an den Einzelnen und die Einzelorganisation, das Einzelunternehmen, ist halt die Verantwortung, wie man sagt, gestaltet dir das in diesem A. Und das sehen wir, dass sich dann Organisationen oder Person aufgeliegen, mich allein gelassen fühlen. Also, sage ich, ich weiß nicht, was ich tun soll. Ich hätte eigentlich lieber, dass mir jemand sagt, was ich tun soll. Etwas genauer, das finales sagt. Und da gibt es verschiedene Möglichkeiten, dass man sich beraten lassen, 90 da holen, oder man suft sich an andere Systemen. Und wenn man sich zum Beispiel den PSI-Grundschutz, vielleicht das ist in Deutschland eine zweite großen Modell für Informationen, die ja anschaut, da wird man feststellen, dass das sehr viel Kunst geht, der von die Zelliter oder Vorgaben macht. Und wie man es jetzt aber auch halten muss, wenn man dem dann voll im Bild, bis hin eben in die einzelnen Vorgehenzweisen. Und das ist dann wieder eine Geschmacksprache, man sagt, ich möchte meine Freiheit sechs gestalten, oder auch man sagt, ich hätte lieber gerne Konflitter. Und dann mache ich halt auch das mir gesagt. Ich besinnere mich noch, ich habe in USA eine Weile verbracht, dann wenn die Studiums und da waren dann auch Präsidentschaftswahlen. Und meine Vermieterinnen hat mir dann auch über die Wahl gesprochen. Und hat sie gefragt, wie sie eigentlich in Deutschland ist. Und sie war Lehrerin, also sie war also durchaus auch wusste, eigentlich auch Bescheid und als sie es erklärt hätte, und sie eben mit dem Verhältnis war recht 5 Prozent Klaus und sonst was gibt es ja in USA alles gar nicht, diese Mischung. Und da kam dann auch bei mir die erste Frage, ist das nur auf Demokratie? Weil sie war eben auf ihr Modell geeigt. Und das war für sie Demokratie. Und dann habt sie aber nachher, ich habe sie es alles erklärt, hat sie nachher auch eingesehen. Aber schon wie du sagst, ich verstehe das genau was du sagst, es ist wirklich einfach nur ein Rahmen, eben das es gewaltenteilung gibt, dass es möglich ist, dass eben die M-Darneubesetz werden aufgrund dessen, was die Bevölkerung und irgendwannerweise von sich gibt. Aber das ist an eben konkret auf zu prüfen. Es ist wahrscheinlich wirklich sehr. Ja, sehr abstrakt oder sehr schwierig oder erfordert, immer wirklich sehr viel Unterhaltung mit den jeweiligen Leuten herauszukriegen, ist es jetzt. Es gibt ja auch dann diese sogenannten Scheindemokratien, die zwar auch dann auf dem Papier zwar demokratisch aussehen. Man sieht dann aber anguckt, wie die Prozesse wirklich laufen, sagt man, ja, theoretisch, ja, hab der tolle Demokratie, aber leider sind die alle nicht zugelassen worden, so war es. Und deswegen ist es eigentlich doch eine Diktatur. Und die Frage ist jetzt, kommt man mit sowas eigentlich auch sozusagen jetzt die ISO-2701-Austrickse, dann waren hier halt auf Papier. Das ist alles super aus. Aber wie es wirklich gelebt wird, also wird auf sowas quasi auf diese Realität, wird da auch abgehoben oder geht es wirklich um das. Papieren-Anhaltungenstrichen dann, wenn ihr sowas certifiziert. Ja, ich verstehe, ich verstehe in die Fragestellung und ja, mir ist es sich so ein bisschen ausschaut, wird das sicherlich genau das sehen. Es gibt die gelebten Systeme, die auch zu guten Ergebnissen führen. Und auf der anderen Seite gibt es die, also, wir gerne Papiertigernen. Und das ist erfüllt die Formalen, so viel Arbeit, viel Papierschwarz gemacht. Man kann auch zu einem etwas hochzueinander, sagt man da steht's doch da, aber es kommt eigentlich nicht an. Wenn man streng ist, nicht wenn man sagt, das ist grundsätzlich geeignet, nicht, also vielleicht wird es auch auf Teilen umgesetzt, also es soll ich es ja nicht wirksam, es da passiert. Aber trotzdem erleben wir natürlich in der Praxis oder sehen wir in der Praxis, dass solche Systeme certifiziert werden und certifizieren, und dass es vielleicht doch analog kann man das sehen, so 9000 Einzwege, das auch man sagt, also wer so Qualitätsmanagement-System hat, heißt das nicht ganz weiß, dass da qualitativ hochwürdige Produkte rauskommt, das heißt, dass sie irgendwie Prozesse haben, womit den Generalen zu gehen. Und auch im Sinne der eigenen Zielsetzungen, und das ist vielleicht dann auch mal die zu sagt, das war all dieser Anforderung, während den Hinblick auf eine Zielsetzung, wir sehen und die Zielsetzung, wir setzen sich die Worte in der Innen Satz. Und nun die Qualitätsmanagement mit der Förderung des Wartier zu bereiten, also wenn eine Zielsetzung ist, mit rotigen Produkten, möglichst die Geldes Kunden vorzuleiern, das man es durch den Mann schöner auszurücken. Aber es ist ja vielleicht eine Strategie, die die meine Macht im Unternehmen sieht, dann ist das im Sinne des Qualitätsmanagement so, wenn man so verbringt, okay, ja, also es ist halt die Zielsetzung, alles was man macht, dient dann diesen Ziel. Es wird ein bisschen schwierig, wenn das auseinanderfällt. Man tann die, die ist hier eine Ansprüche, uns auf die Wolle zum Wohle, uns auf Kunden und so weiter, auch zu fort. Und uns auf die Arbeit ist nicht das, was hier macht. Also das ist das Schied. Und so ist das auch in der Informations-Jahr, also wir haben Wohtschlägen der Worte, wir wollen das alles sicher sind, das ist nicht mal so. Und drei Ruhe ist gut. Und das hat alles so ließ. Und wenn man dann reinschauen, sagt man, das erfüllt das eigentlich nicht. Aber andersrum, wenn man sagt, wir wollen eigentlich nur minimärstandart haben, ist das aus der Sicht dann nur, ist das ja auch okay. Nicht zu sein, wir wollen für keinen Ruß die Wohren. Und wenn man sie jetzt wieder sieht, wenn man jetzt ein Start-Up-Unternehmen anschaut, dann ist deren Mantra vielleicht Chancen nutzen, Chancen nutzen, Chancen nutzen, Hauptproduktor, entweder klappt, so wir sind dieses Jahr weg, oder das ist auch okay für die. Und das liegt dann genauso, wenn ich ein Steppischer Versorg bin, dann heißt das, da tun wir hier am Main-Mantra-Versorgungssicherheit, Versorgungssicherheit, Versorgungssicherheit, das sind die riesigen praktisch gerne, ich vorwiseh'n. Also, und die können das infinzip, die selben Systeme haben, wenn man das so will, die selben Mechanismen antagen. Aber aufgrund einer ganz anderen Zieh, kommt sie zu ganz anderen Maßnahmen. Also das verstehe, ich will das auch jetzt nicht zu sehr. Aber das ist trotzdem finde ich sehr interessant, weil natürlich, wenn der Rahmen sehr weit ist, kann man natürlich auch diese Möglichkeiten, ist man ganz konkretes Beispiel, ich hatte das eben nur angehörtet. Beispiel die der RFi auch Deutsche Demokratie rubik, es gab Wahlen, nein, gab es alle vier Jahre, alle gingen auch irgendwo hin, davor haben wir diese Zettel gefallt, und wenn man dann die Wahlkabine gingen, dann wusste man schon, dann kriegt man Besuch am nächsten Tag. Deswegen, also, sagt er, auch ein Papiert, man sagt, und toll, demokratischer Prozess. Aber eben in der Praxis und die Frage ist jetzt eben, würde zu sagen, das jetzt in der, oder kann man das überhaupt in der Zettivizierung, so was überhaupt berücksichtigen. Das man sagt, oder wir prüfen das jetzt wirklich mal, oder wir versuchen, nicht mit der Wir rauszuhkriegen, wie das wirklich auch gelebt wird. Also ist das quasi so sagen, also wenn ich jetzt so einen Zettifikat sehe, 27.01, für mich auch die Frage als Kunde dann, den ich so was habe, das wird für mir gefordert, kann ich dann wirklich davon ausgehen, dass es wirklich auch gelebte Sachen sind, oder dass es wirklich eben nur so ein bisschen, wie du schon sagst, natürlich ich verstehe, auch dass es ein ganz breites Feld sein kann, ob es ein Versorgers oder ein Start-up, das verstehe ich, diese Dimension, aber es ist auch, dass es wirklich auch dann gelebt bedeutet, oder dass eben auch nur mehr so Papier sein kann. In der Praxis muss man leider zugeben, an das Beides sein. Und die Möglichkeit, als Auditor in solche Dinge hineinzuschauen, sind begrenzt, weil wir ja nur mit einem sehr begrenzten Auditor auch mal hineinkommen, Fragen und Schnellen und die Sachen, da natürlich auch mal von den schönsten Seiten dargestellt werden, die Beispiele rausgezwerben werden, wo es gut gelaufen ist und jeder sich auch viele Dinge überhaupt nicht zugesicht bekommen. Also wenn du unternehmen, wenn du bestimmt eine Dinge gar nicht reden, auch gar nicht zeigen, dann wissen wir, wie er als Auditor gleich das ergibt. Und insofern bekommt man mal mal schon eine Ahnung, dann ist es schwierig auch ein Deckel drauf zu machen und zu sagen, es ist tatsächlich unwirksam, wenn da Praxis tatsächlich. Man kommt im Meißensur im Bereich der Rabessung zu möglich zu haben, weil ja auf keiner ins Gesicht sei, dass wir so was für immer, egal, kein Bock dazu. Sondern die sagen, ja, und für Bemühle und so, wir machen das gelingt uns, sich immer in unserer Tänze mit dem Bereich des normalen. Ja, ich glaube, alle Bemühlen sind sicher etwas gelingt, eben ja nicht jederzeit. Und wenn denn die Elemente da sind, eigentlich das sagst du, aber es gibt dann stifferen oder so, was in unserem Bereich des Drollen einberichte ist, ein Fischupbeabläufer zu dem Thema, die sind da halt definiert. Und dann zu sagen, da hat es mal so nicht funktioniert, war das jetzt mal ausmordschauen, was es im Versehen, wie die das unterniebel wird, dann können die auf alle immer irgendwie was trotzheige. Man an natürlich gelegen, dass so bei mir die Tür verlassen hat, dass vielleicht alles nicht mehr so wichtig ist und alles nicht mehr so gilt. Und das war früher im Dienst, also in den alten Managementen, auch mal aufgrund Schlimmen und auch in der 2001 in der Opfase Kettflehrhörter einer der sich Qualitätshandbücher, die es da sogar, und da war ein großem Buch hier aufgeschrieben, das Unternehmen, schon bevor der Auditor kam, und dann noch mal gebliecht, rast da drinsteht. Wenn der Auditor morgen nicht fragt, wie du deine Arbeit machst, dann holst du das Ray Kids, dann holst du da aus dem Schrankhaus und das einen Teil schädt, abseitend 7,90. So mache ich das hier hinter. Und dann überwohnen wir uns wieder machen wir. Also, das ist vielleicht noch einanderlich, aber den ein oder anderen. Die Nomen haben sich da, wenn geändert, sind jetzt also sehr viele, sobald die Namenscharter stellen wir als Abläufe, Abaufaufveränderung. Und das kann man ja auch hinterfragen. Aber den Stab so darüber zu brechen, dass man sagt, das funktioniert definitiv nicht, ist schon schwierig. Aber einzulapäckte finden wir natürlich immer, dass es da so viel nicht konfobilitäten ist, also das finde natürlich immer schlatt, aber zu sagen, das ist ein system, das ist komplett unwirksam, das ist schwierig und, also ich glaube, mich da sind, da sah ich, also wir müssen mir nicht konformitätsfestzustellen, sondern konformität. Vielen Dank aber zu ein Ort, und trotzdem, dass du das so erklärt hast. Und Johannes, ganz kurz, ich möchte auch die ganze Zeit sagen, hat bezogen auf die VPS Entschuldigung. Aber das fand ich eben ganz interessanten Aspekt, da immer hinter die Fassade ein bisschen zu gucken, auch wieder von eurer Sicht sich dann darstellt dann. Nee, das passt perfekt, weil also der Punkt, der mich sozusagen etwas gedanklich, die anzeit beschäftigt, eigentlich schon sehr lange immer wieder beschäftigt ist, du hast jetzt eigentlich so ein bisschen danach gefragt, na wie viel sagt eigentlich so ein ISO 27001 Zertifikat darüber aus, hoch das Sicherheitsniveau in einer Firma wirklich ist, und vor allem wie gut das Informationssicherheitsmanagement in der Firma wirklich funktioniert. Und ohnebeinavor hat Matthias den IT-Grundschutz noch mal ganz kurz angerissen. Der IT-Grundschutz ist ja eine Möglichkeit, ISO 27001 umzusetzen, also eine Konkretisierung würde ich sagen noch mal davon, man bekommt auch dort am Ende ein ISO 27001 Zertifikat mit dem Zusatz auf Basis von IT-Grundschutz. Und der IT-Grundschutz macht ja nochmal deutlich konkrete Aussagen, eben dazu, was denn zu tun ist und mein Sicherheitsniveau zu erreichen. Wenn sehr konkrete Anforderungen für verschiedene Arten von Systemen beschrieben, also beispielsweise was muss ich tun um ein Windows Server geeignet abzusichern, um ein WLAN geeignet abzusichern, welche Gefährdung gibt es, die dort wirken. Und meine Tese, die ich jetzt einfach mal wage ist, zu sagen, ein ISO 27001 Zertifikat auf Basis von IT-Grundschutz hat eine etwas größere Chance sozusagen, wirklich das Sicherheitsniveau nochmal nachzuweisen, dass das zumindest einheitlich ist, das wird das besser unterschreiben. In außer Erfahrung teller, also ich verflieh was du sagen willst, aber ich sage nein, bei das High-Hat eine höhere Chance, also man hat die selbe Chance aus der Nymphdienungszimmern der 27001. In der Praxis werden die Grundschutzsachen auch sehr bürokratisch, also diese Tendenz-Pie-Papier-Schwand zu machen, Listen auszufüllen, irgendwo was einzutragen, Zettel im Kreis rumzuschicken oder so was. Das gibt es da ganz genau so und die Anforderungen sind natürlich konkrete, was jetzt völlig recht, aber am Ende des Tages kann immer geben, dass da wieder das rauskommen, wo es halt funktioniert auch nicht. Und das ist ja so und es ist eine Thai-Meng-Beziehung, also es ist ja drauf, BC, IT-Grund, ISO 20001 auf Basis von IT-Grundschutz sagt, das ist eine Möblichkeit, wenn die ISO 27001 umzusetzen, also wenn man so eine echte Thai-Menge da möglich kacken, die man da hat. Und man kriegt also alles, was man das Arzt hatte, einfach nur eben auf einen bestimmten Weg auf dem man geben muss, man kann die man auch wenn nicht nur eine unverbittliche Anleitung zur Umsetzung, sondern für bündliche Anleitung zur Umsetzung. Und das ist einfach, wenn man in der ISO Welt völlig frei ist, da werden nur Anforderungen spezifiziert sein, aber wenn er fertig bis muss, ist so aussieht, you way. Und insofern gibt es mehr Halt. Und in dieser Halt für Zieleit auch dazu, dass man sich enger orientiert, man wird aber auch schneller anecken. Und dann in sprechen in der Organisation, wo man sagt, "Ja, es ist nicht so viel, es ist map, wenn man es nicht so sich ist, weil es da war, das Halt eingereinkt hat, immer war festgelegt, mit denen sprechen die wieder, weil das produziert und mit den entsprechenden Ausweichbewegungen, die da in der Dochter zu führen, das ist ja doch nicht so richtig lauscht. Ich möchte immer auch da einhaken, das ist, glaube ich, jetzt schon echt 15 Jahre oder so her. Da gab es diese 27 Norm auch schon. Also ich habe kein Aute durchgeführt, aber ich habe mich damit in einem Unternehmen beschäftigt. Hab mir da die Software Entwicklungsprozesse angeschaut und ein Teil Aspekt war zum Beispiel auch Anonymmisierungen oder Pseudonymisierung von Testdaten. Und dann hatten wir das angeguckt und haben festgestellt, dass es alles nicht der Fall, müsste man eigentlich machen, würde so und so viel kosten. Und dann hat das Management das Verantwortliche gesagt, okay, unsere Strategie, unsere Zielsetzung ist aber hier, das war nämlich auch unter der Überschrift MR-Risk. Und da ging es eigentlich um Finanzstabilität, das war mehr so der Gesichtspunkt unter dem man das Ganze auch da betracht, da da unternehmen. Und dann haben die gesagt, na ja, also wir müssen 1,5 Millionen in die Hand nehmen, wenn da hier die ganzen Testdaten zolgnomisieren und wir haben vielleicht 50.000 Euro Strafe zu erwarten, falls jemand merkt, dass wir da was verletzen. Unsere Strategie ist es darauf ankommen zu lassen und das war dann so. Also was ich jedenfalls mitnehme ist ein Stück weit, wenn ich eine 720, wenn ich jetzt so eine ISO-Zertifizierung habe, garantiert das mir, also als Kunde drauf, guck uns, ah, die haben dieses Zertifikat. Garantiert mir das gar nicht eine spezifische Art von Sicherheit oder ein bestimmten Level, sondern nur, dass das Unternehmen seine eigenen Ziele, also bestenfalls garantiert ist mir, dass es seine eigenen Ziele zuverlässig verfolgt, die es sich da definiert hat. Deswegen wäre natürlich schon die Hoffnung gewesen, wenn man das jetzt verpart mit so einem Mindestlevel, der irgendwo beschrieben ist und sagt, das ist jetzt aber hier, das ist Teil unserer Ziele, dass wir diesen Level erreichen, dass das dann verlässlicher wird. Ja, ich möchte ankümpft, was du gesagt hast, also die liegekobasierte Sichtweise ist halt elementar für das ganze Thema. Was das gar gesagt, das Unternehmen überlegt sich das, also, also, wir anderen irgendwie sehen wir nun so in der Kostnung so viel, schrafe Kostnungen so viel, mit anderen Worten ist, die haben das Risiko betracht, was da passiert und haben das für sich gewirte und haben irgendwel Menschen, die das entscheiden, drucken, um das zu schienen. Wenn da fast alles machen, ist man da nur nicht wegschauen und sagen, das habe ich nicht betrachtet und sich das genau anzugucken und zu sagen, ja, und das haben bewirte, dass es die Abonnenten, die wir gesehen haben, da haben wir es, muss man auch später da auskommt geben können. Das habe ich denn dazu gebracht, das zu tun. Und das ist in der Tat eine Anordnung nach Gesichtspunkten, eher aus Interpretionssicherheit, sichten mich, wir betrachtet Risiken des Unternehmens. Wir haben da verschiedene Sichtweisen, die wir haben und wenn wir in der Abendscheckschau noch verpflichtet der Gesetzgeber die Unternehmen gibt, der Aspektiveles Betroffenen reinzunehmen. Oder es ist eigentlich das Kostnungszumftigtausendeur, oder sondern muss man sehen, was kann den Betroffenen passiert. Wo das können wir sein, dass das tatsächlich nur geringe Risiken schummert, der Betroffenen war, das relativ begangene Wuse da anzuse, es können aber auch sein, dass es hoch sind, siebliche Daten sind und die wir erfolgen für die Betroffenen, wir haben es, und das muss das unterlegen. Ähnlich gibt eine dritte Gruppe, wenn man so will, das ist ein pfädische Infrastruktur, das ist natürlich allgemeiner für die Sorgen, das unser Leben so alt wie es funktioniert, wie wir uns das vorstellen. Die haben Sinn vom Gesetzgeber auch verpflichtet, die Gewinke ihrer Kunden der Versorgung einzunehmen. Was der Versorgung, der durch eine Woche mit Wasser nicht pur, kann darf nicht sagen, dass du vor eure Weekkoste das Bedeutigkeit, sondern dann muss der Dig wiegel aufnehmen, von ihm auch alle Wochen dann kein Laktungswasser. Das heißt, das heißt, gritis, diese Riechen, die Kürke ist genau, die zittestikette Schnellenverschwecktour. Also es gibt da schon verschiedene Sichtweisen auf das Risiko und je nachdem, zu welcher Gruppe so bakaliert, muss man auf diese verschiedenen Sichtweisen einnehmen. Und das ist ein wesentliches Element, die ist ganz Thema Risiko orientiert. Und für alle ISO-Nor, ich vergescheinte immer Sprenspension, die ich hier seit Schonzen da auf dem großen Sonnen, den wir die Sieben in der Informations- und die Hatschauer uns halt sehr viel Risiken machen. Und wir machen sie explizit. Also das ist ja, die Unternehmen müssen sich mit ihren Risiken beschäftigen, sie müssen sie aktivizieren und alle der ersten Fragen, die wir dann gestellt, wer ist dafür verantwortlich. Es ist ja mein B, das war einfach ein Einheim-Unternehmen, wo es benannt, verantwortlich, Risiko übernehmen. Und dann schaut sich das Unternehmen an, wie geben wir diesen Risiko um? Welche Optionen haben wir denn? Eine Option ist akzeptieren, sondern ich nehme aber so hin. Und tatsächlich ein Dirk-Schauer-Geschäftsführer hat mal in so ein Beratungsgesprägbar gesagt, hab ich das jetzt richtig verschwanden. Ich muss einfach nur mit der Anermann der Risiken schraben, ich akzeptiere, aber auch ich nicht zu tun. Weil da haben sie in gewohne Recht, aber es können sein, dass sie das gerade vom Fallesigkeit zu Vorsatz wechseln. Also ich habe mir in der Liste, wo du raustrittst, das habe ich alles gewusst, wo du ich hab ganz bewusst entschieden, da machen wir das überhaupt nichts. Ob das eine Gewinner schrattet, wie ihr es auf Dauer und ob sie das wollen, weiß ich nicht. Und dann kommen wir zu den anderen möglichkeiten typischerweise eine Versuch, ein Risiko zu verringer und zu vermeiden und zu verlagern, sind sie die anderen, wenn ich verladen, versichern und z.B. das Risiko vermeiden, funktioniert häufig nicht, weil die Risiken an und Artäßigkeiten pängen und die Befrieden sind nur verbieten, wenn wir auch für die Dinge zu tun, dann gehen das nicht meist. Also aber meistens vermindener. Und wir wollten das Risiko irgendwie vermindern. Und dann klar nicht mehr oder minder intensiv und wirksam aufmacht. Und an diesem Risiko dann zu arbeiten. Und das ist auch was dieses Thema machen. Man hat ein Maßdamp mal an. Und mit der irgendwie abgearbeitet. Und der Risiko ohneherkitzende, und sei große Aufschritt. Dann gesagt, okay, das das nicht, der geplant hat, so Risiko beantauen. Das habe ich verstanden. Ich habe auch verstanden, wie sich mein Risiko dann verändern wird. Und das ist okay für mich. Das ist der große D.E. in den ganzen Thema. Danke für die Erläuterung an dieser Stelle noch mal. Kannst du jetzt für uns noch mal einen Überblick geben, über die Inhalte und auch die inhaltliche Struktur der Norm ISO 27001? Ja. Und können wir machen. Und alles, was ich jetzt sage, wird man in all diesen Mehrranschmintenormen, mehr oder mehr da wiederfinden. Also, wenn man jetzt genau hin wird, wird man verstellen, dass ich das mal in Informationen sicherheitswähne in den Mund nehme, sondern ganz allgemein spreche. Und man kann da irgendein anderes Thema anhängen und die funktioniert alle gleich. Und ich funktioniere alle so, dass man sich als mal anguckt. Wir bin ich eigentlich die Funktionier, in welchem Umfeld bin ich dann eigentlich tätig, welche Anfahraucasseln darauf mich ein, welches Stake oder interessieren Pakai, gibt es das, wollen die eigentlich vom Lied. Nicht so in unserem Fall, sondern vielleicht der Kunden, die Beschütte Anforderungen haben, dass die Daten müssen wir verschüsset werden. Das schab man sich immer erst an. Dann kommt man eben dazu, dass Führung verantwortet wird. Manage-Wredsystem ist ein Werkzeug des Mehrranschminten. Und da finden wir eben hier mal, dass die melanchament, die oberste Leitung, Chefsjud, muss sicherstellen. Wenn man so denkt, die Beschütte sind jetzt sicherstellen. Ein Thema ist die Integration in die Prozesse des Unternehmens. Aber dass das wirklich drin ist, mich irgendwie angepasstet, sondern drin ist im Unternehmen. In dem Thema, dann gibt es eben den großen Blog-Visikrom-Meldenschminten, das ist eine riesigen Identifizierung. Wir müssen sie analysieren, bewerten und lässt mir die auch behandeln. Dann müssen wir uns Informationssicherheit Ziele setzen, Ziele setzen, die wir dann auch verfolgen. Das ist doch ein Komponent der kontinuierlichen Verbesserung. Wenn wir sie Anfang des Jahres sinn setzen und sagen, wenn wir zum Ende des Jahres auf das Jahr schauen, was soll sich denn dann verbessert haben? Was Nege uns im Petitischer Vor ist ein wichtiges Element dabei. Dann haben wir das ganze Feld natürlich die Sorcen, wenn immer betrachtet muss, dass wir ja auch wassachen die Sorcen lieben. Kompetenzmanagement ist ein Thema. Wir betrauen unheimlich viele Wenschung mit Aufgaben. Wir können das auch befähig, dass wir es in kompetent. Das ist ein wichtiges Self, gerade für Informationssicherheit. Weitere die Kernrollen der Informationssicherheit hinaus. Jeder an seinem Platz mit seiner Aufgaben. Das muss ein Softwareentwickler wissen, was man mit über Informationen sich ja, was wir um Geschäftsführer wissen, was man mit dem Fangsmitarbeiter ein bisschen, was man muss der Personalabteil in den Wissen und Einkauf ist. Alles unterschiedliche Themen, die wir alle adressieren in den ganzen Bereich. Und dann kommen wir zu, wenn man so viel vielleicht auch den großen Unterschied zwischen der Isosjohnskorzistraucher als den anderen Managementnorm. Da gibt es so ein, das Kapitel 8 für die Fachleute, um das man so besinnen, da schieden wir 27.000, 1 eigentlich nur drin. Das sind die Landhaben, das müssen sie auch machen. Und nur 1,5% mehr, aber steht drin, was man sich vorgenommen hat, muss man auch machen. In den anderen Normen spielt ja die Musik. Also da spielt die inhaltlich, das steht ja 9.000, 1.000 drin, wie ich hier ein Produkt wie Infekte, wie ich Kundenbeziehungpflege und Aufwoll, etc. In der 27.000 meiste Prototyp der generischen Worm, steht da in den Machen, was sie plant haben. So alles, was mit Informationssicherheit im Kern zu tun, ist so ein Anhage ausgenagert. Und vielleicht auch mal sprechen die grünen Nöselanhand. Da steht ja was zur Daten-Sicherung, Schücksverschatz, das wäre, etc. Okay, ist also in den einen abschneiden beschrieben, mit welchem Mechanism und mit welchem Vorgehen gearbeitet werden soll und in den anderen Abschnittsstehen dann die Inhalte und Aufgaben, die bearbeitet werden sollen, die sozusagen in diesen Mechanismus hineingehen sollen. Kann man das so sagen? Das kann man so sagen. Ich würde trotzdem die Bogen noch einmal rund machen, wollen, um die Themen auch anzuschauen. Das Ganze ist ein kontinuieriges Verbesserungssystem, ich würde sagen, ich würde sagen, dass wir in den ersten Jahren die Qualitätsmanagement haben, weil in den Themen und diese Elemente finden wir also in dem System. Wir haben mal Planen gesagt, wir müssen Planen, die sich umgang mit Risiken oder Ereichung verzielen. Wir müssen die Maßnahmen umsetzen und das zu erreichen. Und jetzt kommen die ganzen Kartreulichen, dass wir die beabente checkt. Wir müssen ja auch hauen, ob das funktioniert hat. Und dafür messen, bewerten, analysieren, wir irgendwas, meistens, das, was wir Penzahlen zu tun, in den Bereich in irgendeiner Form. Aber wir sagt, es musst du immer besser fern und der Bitter auch mal besser. Da musst du es irgendwo anfest machen. Das buhle ich die Fühl, das ist irgendwie schon besser läuft. Als im letzten Jahr allein soll ich reichen. Soll ich so das irgendwo anfest machen kann. Also was gereifbar ist. Und da soll es noch kein Streit übergeben, was besser ist oder nicht, sondern was festgelegt. Und sollte nichts ist besser. Und das ist eine. Da ist das nächste, dann eben die Audits. Die kennt ihr hier nicht. Also gerade auch die intern Augs. Das heißt, jemand kommt und schaut nach. Eine kontrollierende, überwachende Funktion. Ob sich tatsächlich auch alle ehren, wie an die Regen halten, so machen wir sie. Boah, das ist eine zweite Element. Und das zweite Element ist die sogenannte Management-Bewertung Management-Review. Das wird häufig nüsse bestanden. Das ist mir überprüffende Funktion. Die oberste Leitung, die geschätzt nur die Aufgabe sich über das Thema Information-Sicherheit zu gümmern. Die freie Ziefie mache ich das. In den schließt sich vielleicht eine Information-Sicherheit-Meldschmeldsystem aufbauen zu lassen. Dafür sucht es sich meistens jemandem Unternehmen aus. Das ist ja eine Information-Sicherheit, ob aufgeragt wird oder so etwas und sagt, "Mach das zu mich." Aber das ist keine Feier-Einvergettwaffe, sondern man muss sich darum gümmern. Das heißt, ihr Unterschied zwischen dirigieren und abschieben, ist, dass man sich beim agieren Weiteren für die Ergebnisse interessiert. Und das muss sich für einen tun. Das heißt, ihr muss ja hinschauen und muss bewerben, ob derjenigen, den sie beauftragt hat, damit in ihrem Sinne das auch tut. Eine wertende Sache. Und wenn ihr etwas nicht gefällt, muss sie sagen, wie es gerade aushatte. Das ist die Melderschmeldbewertung. Das ist eine aktive Rolle der Leitung. Wenn man da sieht, sitzen die meinem Bike-Koppel-Fortrat des ISB und konsumieren die, die. Und dann sieht man, warum man eine prokohlenstätige Schestjungen nimmt, in der Bericht des ISB-Zerkenntnissen. Man sagt, das ist zu wenig. Kenntnisnahme ist keine Bewertung. Man sagt, wir haben das gut gemacht. Das finden wir genauso richtig. Oder die, die im Punkt sind wir nicht. Das ist eine Bewertung. Das sind die Überküsse, die wir haben. Und dann kommt den PDC-Arb, wenn man so will, der Eckteil, dann ist das Kapitel 10. Wenn man dann festgestellt hat, dass irgendwas nicht so ist, wie sein soll. Also wie in die eigenen Regeln verstößt, in die Normfrohderung, verstößt, den die Setzt zu verschößt, dann muss man es auch abstellen. Konntüge ihre Verbesserungsmöglichkeiten muss man aufnutzen, also immer dran drehen an dem System immer ein bisschen besser werden. Hab ich da schon mal einer gefragt, sagte, ja, irgendwann ist das was wirtschaftlich, die sinnvolle nicht. Also irgendwo haben wir dann zu bis das durchschaftliche Optimum erreicht, das ganze Thema ist, ich sage, das ist theoretisch richtig. Aber praktischerhin noch keinen Unternehmen gesehen, dass das Äquenz auch nur so unnarkommt, es ist so, was zu denken. Also, zumal in einer dynamischen Wett, wenn das all gestartig schwerer dann kommt man da vielleicht hin, wenn man unsere Bildsinnersicher dauert. Man kann das natürlich für Einzelfragen so sehen, dass man sagt, das ist jetzt, was sich unsere Schließanlage ist, jetzt wirklich sicher genug. Das ist richtig. Dass man halt nicht noch Lichtschranken einbaut, oder? Keine Ahnung, man kann ja immer noch mehr machen. Genau, also das ist vielleicht auch konntügereg, ich würde besser und dann falsch verstanden. Das ist neben nicht so, dass man an jeder einzelnen Stellspot noch ein bisschen nachdreht, sondern dass man sich die Dinge sucht, auch möglicherweise vielleicht risiko-basiert. Und sich die irgendwo im grünsten Effekt vielleicht mit dem grünsten Mittel und den größten Effekt richten. Wenn man uns das anschauen und den Schun-Noten ausdrücken, dann haben wir die Dinge, die sind 5 oder 6. Das ist dadurch gefallen, also das heißt, das sind Dinge, die dürfen nicht so bleiben. Die müssen verändert werden. Und dann gibt es vier oder besser, und dann sagt vier aus ausreichend, das reicht aus. Kann keiner sagen, man hat seine Fliecht nicht getönt, das sei nicht überhaupt. Aber natürlich gibt es verbessern uns gut uns ja. Ich habe mir überlegen, ich aus der vier oder drei oder zwei, weil wir so eine eins machen kann. Eine Frage hat er eingefallen. Ich muss zu denken, wir machen ja auch, da haben wir auch schon drüber gesprochen. Wir machen ja auch unter anderem Ausbildung zur Zertifizierung für Software-Architekten. Und da gibt es ja auch diese ISO 2510, glaube ich, ist das? Also 25.000, 010 Software-Dualitätskriterien. Und da ist es teilweise auch so, es gibt ganz viele Kriterien, verschiedene unterschiedlichen Oberkategorien, da nehmen wir den Sprächen. Und da gibt es teilweise auch Sachen, die sich auch widersprechen. Wo Leute sagen, ich muss dann alle Sachen harken, dann habe ich alles erfüllt, wie du schon gerade sagst, das braucht eine Praxis quasi nicht auf. Und da sind aber auch Sachen, bei diesen wirklich widersprüchlich. Also Sachen, wo man sagen kann, also zum Beispiel ist ja einmal teilweise Einfachheit verlangt. Und einfach ein anderes Geteer ist ein Performance, das das Performance ist. Nur ich kann eben ein System, was super Performance ist, ist wahrscheinlich nicht super einfach. Wenn der Stell ist, heißt also oft muss man eben wirklich auch diese in dieser Abdehung dann treffen an der Stelle. Also gut, ich kann nicht beides 100 Prozent umsetzen an der Stelle. Also muss ich jetzt ein vernünftigen Kompromiss finden. Und weil die eben von der Schließanlage sprach. Jetzt, wenn du die Frage an meiner Stelle ist es denn überhaupt möglich, jetzt abgesehen davon, dass es wirtschaftlich wahrscheinlich möglich ist, der ist dann zumindest theoretisch möglich, dieses Ideal zu erreichen. Oder sind der wirklich auch so Anforderungen bei, die bei der 2025 10, wo ich sagen soll, will also, wenn ich das eine beim einen hochgehe, ich automatisch mal anderen runter, dass ich also sagen, eine Abdehung treffen muss. Ich bin natürlich auch immer in den Shausenkuckungenz. Und wenn man so will, ist das Information sich halt so ein nebem Thema, an den meisten Unternehmen, wie andere Themen auf redagenschutz, wie Komplanz, Rang, Umweltschutz, Energiemanagement, Sicherheit der Gesundheit bei der Arbeit nicht. Also es sind also alles Themen, hier entwickelt Software und Schul und trainiert. Das ist euer Kern-Besinn. Und jede Minute, die sich irgendeiner oder ein Mitarbeiter mit anderen Täken beschäftigt, macht da seinen Kern thematisch. Oder irgendwann kann ich mich nur noch mit solchen Nebenthemen beschäftigen, da mach ich halt nichts mehr als unternehmen, ich funktioniere. Dann ist es gut genug. In dem Sinne, auf der eigene Ziel setz ich es. Und wenn man die Tür mit Taffer oder das Türbeispy weiter teiben wollen, dann würde ich jetzt auch als Auditor niemals die Tüschließlösung als solche Bemerkeln, es sei denn, die es wirklich unterschreitet, alles was man heute macht. Ich würde mich sagen, ist das die Irginiöser, ich würde mich jetzt mal nie dazu bekommen. Also welche Gedanken haben euch dabei geleitet, diese Schließlösung zu finden, aber unglaublich, hier, dass das die richtige ist. Und wenn mir das close Sie mir erklärt werden kann, dann bin ich als Auditor. Geh ich damit, sagt ja, wie das für die Sequenze am Absorben. Das können nicht mehr auf diesem Planeten erzählen, dass es eine veröffentliche Löhrer mehr ist. Aber es geht nicht darum, dass das meine Löse um wäre, dass ich das vergleichbar machen, dass es gut oder für die Echtigkeit ist, was geht darum, dass ich sag, wir haben von dem Fingersatz vorhin nicht verstanden, wir dazu gekommen sind, ich verstanden, welche Abonnentie ihr abgewogen haben, ihr die zueinander gewährt haben, und das hat zu dieser Löse geführt. Und das kann man nachvollziehen. Das ist das, was ich mir immer noch haben. Genau, also Reuge hat ja das Beispiel mit der Schließlösunglage gebracht. Das kann ja auch genauso wie Matthias das gerade hergeleitet hat sein, dass genau zu dem Schluss kommen, die ist jetzt gut genug, das passt so. Ich habe es durchaus auch vor, dass man das immer wieder auch überprüft. Also ist das überhaupt noch gültig, diese Tesen, die ich jetzt zugrunde gelegt habe. Und der L-Veränderung meines Geschäfts kann natürlich dazu führen, dass hier meiner Schließlös-Anlage dann doch wieder, weil ich besonders werde, vielleicht in den Räumenlager, was vorher nicht der Fall war oder so. Und dann muss ich eben doch eine Ändererung herbeiführen. Die kommt halt nicht einfach so. Ich habe schon gesagt, ich weiß es nicht perfekt, das ist ein Thema, aber es reicht für mich. Und dann irgendwann kommen eben diese besonderen Werte und dann veränder ich die Entscheidung und sage, ob ich jetzt brauche, ich doch noch eine weitere Hörte dabei. Das ist ja auch was, was eben beispielsweise der IT-Grundschutz, ja ganz am Anfang auch deutlich macht. Der sagt, ich kann kein 100% des Sicherheitsniveau erreichen, sondern ich kann eben mit relativ wenig Aufwand schon gewisse Maßenhose, sowieso fiktiv, sei es 80% reingeschrieben, sowieso symbolisch, kann ich erreichen. Und dann steigt der Aufwand massiv an, eben ein weiteres Sicherheitsniveau zu erreichen. Und ich glaube, das ist genau das, was man machen muss, für sich abzuwähigen, wie viel Brauche ich. Wie wird es jemand bereit überhaupt töten, noch zu übergehen, um mich beispielsweise anzugreifen, um dann eben ein geeignetes Niveau zu finden, was eben hatte Quart für mein Geschäft auch als. Also ich finde, ja, an diesem Beispiel der Stießanlage noch einen weiteren Aspekt ganz schön, weil man auch dieses Bild aufmachen kann. Also, man möchte ja nicht den Zustand erreichen, dass man an der Vordertür den supersicheren Balken dreimal und 20 Schlösser usw. und die Hintertür hängt aber in den Angeln. Also, ich denke, insofern sollte er auch ein wichtiges Ziel bei diesem systematischen Vorgehen sein, halt nicht überzuinvestieren, wo der Grenzen nutzen, gering ist in irgendeinem Bereich und einen anderen straflich zu vernachlässigen, gerade für konkrete technische Systeme kann das ja heißen. Ja, das dann eben, also mein Sicherheitsniveau ist ja letztendlich so hoch wie das Schrechtsglied in der Kette. Ein Stück weit. Also, muss ich sehen, dass ich schon eine gleichmäßige Erhöhung der Sicherheitsniveau ist, oder? Ja, das bekommt wir ja auch aus der Risiko- und Betrachtung. Also, wir machen den Schauen, dass das Risiko passiert haben. Das ist genau das, was Johannes gerade gesagt hat, dass er vielleicht ändern sich meine Visikorelle gesagt hat, wir haben andere Bertheplastischen in den Räumlichkeiten. Vielleicht haben wir auch ein anderes, das alles umfällt. Das wäre noch mühe, ein Trissbarscheinlich, gerade für einen Brüche, und wir werden da möglich. Und wir schauen immer auf die Risiken, die diese Werte bedrohen. Und so werden die ja vielleicht nicht nur durch ein Buch bedroht, sondern vielleicht auch durch Feuer, durch Diebstahl, durch die Ertum, also eher typischer, versehnliche Vernichtungen, miterweiter Lusche ausbesehen, irgendwas. Das ist natürlich irgendwas. Und all das betrachte ich natürlich. Und Treffe da, trinken meine Maßnahmen, werde ich dann sagen, ja, also das physische Einbruchs Risiko, nicht das ist ja nicht so groß, das ist eine sich gegen, für andere Dinge, die hier passieren, und wir haben keine so richtigen Wert-Restgaben, der nicht so. Aber das nicht gestohen wird, sondern das miterweiterweise sehe ich jetzt das Löschen. Das finden wir viel höher, das Physikor. Und deswegen machen wir jetzt nicht so eine Schließanlage, sondern stattdessen wir Schule, wo diverse mit unseren Mitterreiter haben, damit sie das nicht machen und investieren, sondern auch in unserer Back-Up-Löse, der mit uns, und die da nicht entbüren, die abhanden kommen. Das ist eine Risiko-Bewertung, die man macht. Und die werden schon entküsst, man sorg, oder so. Ich habe immer das mal. Fürst du selbst eigentlich auch Zertifizierungen durch? Ich meine neben dem, dass du Kunden unternehmen berätst, und welchen Fahrt gibt es für die Unternehmen eigentlich Zertifizierungen? Also kann man von 0 auf 100 in einem einzigen optimierten Schritt kommen? Oder sollte ein Unternehmen lieber in mehreren kleinen Schritten und inhaltlich arbeiten, seinen Informationssicherheitsmenschen mit System aufbauen und erst, wenn es einen bestimmten Level erreicht hat, dann in die Ziel gerade Zertifizierungen einbiegen. Ich bin unter anderem tätig als Auditor für ein, für eine akkreditierte Zertifizierungs-Nesaint-Lak. Die deutsche Akkreditierungstelle in Deutschland akkreditiert Zertifizierer, wie zum Beispiel die großen Tüffgesellschaften in Tüff-Ballad, Tüff-Mord, Vanidikus-Zertra. Da gibt es also so um die 30-Momente, das glaube ich, die unser 72-Kauf-Mal als Inderschaft zertifizieren. Das sind akkreditiert Zertifizier. Und die brauchen halt Auditoren zum Lassmau-Ditoren. Das heißt, ich erstelle Rockbecker-Sertifid-Glatte, was wir Auditoren machen, ist ein auditiven Scheiben ein Beicht und geben eine Entfehlung zur Zertifizikats-Au-Dur-Re-E-Mord-Zunicht-Au-Dur. Und die Zertifigate von der Zertifizierungstelle aufgrund der Basis-Dekt des Autos oder Empfehlung des Auditors ausgestellt oder eben auch nicht. Das einmal so zum Verfahren. Und wo ich da dann reinkomme, "Nü, ist das andere? Was kann man da machen?" Und wo ist man da? Also, ich wüsste uns mal festhalten von 0 auf 100, der ihn nübert schnastet bei 0. Also, ich habe ich zu vieles lang nicht mehr gesehen, muss ich irgendwie eigentlich alle haben irgendwie irgendwas. Und da sind mir oder minder aufgestaltet, mal hier sind sie Leute. Erst bei 10, andere bei 20 oder bei 80 oder so was nicht. Und da gehen wir entsprechend, da kann man ja auf dem zu tun. Mein erster Schönt wäre eigentlich immer tatsächlich, dass es Management System ist ein Werkzeug des Management und dann ist die erste Frage, wo will die Geschäftsführung damit hin? Und sich da mal in einer Vertrauenszeulen atmosphäreelig zu machen. Und die Spanne vereicht von "Dead ist mir alles egal, der Zettel muss an die Band, weil mal ihr Kunden das wollen, weil der Gesetzgeber das will, was sonst irgendetwas, ich brauche die Zertifikatten ab Ort." So, aber es soll möglichst wenig verändern. Und ich war schon nicht auch ein Rhinimass. Soll ich nichts verändern. Dann kann man, also wenn man schon mal so einen ehrlichen Anzut aufgebracht hat, dann kann man überlegen, ob man einen billigen Kapitio, das soll ich es aus Koalata. Also, als Zettel-Bizierungser, wie ich das natürlich unter der Arsch-Aprats-Korate, sei ich, wenn man sich der ehrlich gemacht hat, dann weiß man, wie geht es man auf meinen Händen aus. So am anderen Ende hat man natürlich viel Wohl, was tatsächlich auch was tun würde, die Informationen Sicherheit. Und es gibt auch diejenigen, die die auch völlig auspeigenden Stunden entscheiden. Weil es sich auch geliehen, wenn man eben auch die Unterlebensführung hat, ich habe echt ein schlechtes Gefühl. Also, ich weiß, ich muss mich um dieses Thema kümmern. Aber ich weiß, an Europa, ich habe mich vorgestellte als Attalähe. Ich bin da auf Stäubungsunfähig. Ich habe das mal in einem Ohn-It-Aleb, da er saßte Geschäftsführung die ganze Zeit. Also am Anfang sind die ja immer dabei, sondern auch mit dem Olet. Und da guckst du jetzt, dass ich da von der Köln-Jäte gehend bin. Und dann geht es dann wieder in die Faktigkeit rein. Und dann hat es dann mal so den Weg. Und die Köln, natürlich gerne bleiborts, klingelt es hier, dann sind die nicht. Und zwei Tage Aude, da saht er, ich habe noch nie zwei Tage freigehalten. Da haben wir jetzt sehr viele Arme, Tomü, hier rein gesteckt. Ich möchte wissen, was sie dazu denken. Da sah es auch das mal ein Unternehmen, das eine IT-Geschütze heißt und brachte. Und ich habe völlig die Steuerungsfähigkeit, wenn man eine IT verloren hat. Da sah es ja und über diesen Umweg der Informationssicherheit, habe ich wieder die Steuerungsfähigkeit gewonnen zu dem ganzen Thema. Ich bekomme jetzt Fragen vorgelegten einer Sprache, die ich verstehe. Ich treffe Entscheidung, wenn ich das Gefühl habe, ich kann das echt entscheiden. Und ich kann nicht mehr ja oder ja am Kreuz. Irgendwann wollen Menschen nie mehr sagen, das sei unabwendbar die Entscheidung. Das soll ich treffe echte Entscheidung. Und ich bin wie eine Steuerungsfähigstehung des Thema. Und das ist so ein Antritt, wenn man den vielleicht auch verstanden hat, und ich möchte das Thema steuern. Und dass man dann auch sagt, dann machen wir es jetzt auch ordentlich. Oder das nächste, weil man sich mit mir jetzt eigt lässt, Integration und die Prozessor, als er halt wie läuft, was bei uns. Wie machen wir denn andere Dinge wie läuft das? Und das bedeutet natürlich, dass man mit viel mehr Menschen im Unternehmen redet, ist es sehr viel mehr abgleich, wenn man auf welcher Art und Weise man Dinge macht, das heil nicht ich, ich zudere ja Polistische oder sowas, sondern so, dass wir eben mal mit dem Beispiel Kompetenz Management, die alten des IBM-Mine-off zu einem anderen Themen, da wird wir jetzt überlegen, können wir kann dieser Teil Aspekt Informationssicherheit am Stadtchen. Wie machen wir denn die Verwandulstere, wo ganz eigenes Main umzügelegen, die eine Informationssicherheit an die Leute Projektmanagement bei uns, die läuft in Changemanagement bei uns, das braucht dann eben auch Zeit. Hat dann aber auch die Chance, dass man wirklich für sich das Eigenunternehmen, alle wirklich gute Lesung findet, die hinterher auch lebt und von allen auch gerne benutzt und bedient wird, also es ist denen, weil man sagt, dass es einmal uns selbst aufgedacht hat, und das passt für uns tatsächlich. Und ja finde ich jetzt auch Informationssicherheit ansteht, so wie andere Themen oder am Stadtfingen. Und das dauert einfach länger. Und wird aber besser, es ist ein bisschen maßanzug, und auf das mehr Geld kosten weiß ich nicht mal unbedingt. Also, weil ich glaube, diese Reibungsverluste, die in diese Papiertigerin entstehen, also das ist total agarlich das Geld, weil man eigentlich sehr wenig dafür bekommt, dass wir uns als mehr gemacht haben müssen. Ja, das ist für mich nochmal der natürliche Punkt, wo ich auch nochmal ja Hannes fragen kann. Du bist ja auf unserer Seite jetzt jemand, der im Rundrum an dem Informationssicherheitsmanagementsystem, ich hoffe ich habe das jetzt richtig gesagt, sozusagen schraubt und arbeitet, so dass das immer größer und schöner wird, um es jetzt mal ein bisschen naiv vielleicht zu formulieren. Was sind denn da deine Erfahrungen aus dem Maschinenraum? Es ist die Maschinenraum, also einmal natürlich genau, dass was Matthias eben ausgeführt hat, der Interessenkonflikt, der Ressourcenkonflikt, mit dem ich umgehen muss. Also, ich muss die Dinge, die ich etablieren möchte, eben irgendwo im Wettbewerb unterbringen, zum täglichen Geschäft, zum operativen Geschäft. Das würde ich sagen, ist eine sehr große Herausforderung. Und dann das Ganze geeignet und nachvollziehbar zu dokumentieren. Also, dass es sicher was, wo ich auch ich sehr lange daran gerungen habe, was es in geeignet ist, das Mittel, um gut zu dokumentieren, wo steht man eigentlich? Ich glaube, ich habe jetzt mit dem Software Werkzeug auch ein geeignetes Werkzeug gefunden, was mir wirklich gut hilft, die Dokumentation zu machen und das auch dauerhaft nachzufeubar zu machen. Wie haben wir uns eigentlich weiterentwickelt? Das finde ich, sind die zwei größten Herausforderungen. Okay, wenn man an einem solchen Informationsmanagement-System als Unternehmen dann arbeitet und das ja zu voller Blüte führt und an die Norm eben so weit angenehert hat, also vielleicht hat man schon drei, vier Jahre sich damit beschäftigt. Wie groß ist dann eigentlich der Aufwand, wenn man sagt, so, okay, und jetzt würde ich wirklich in die Zertifizierung einsteigen. Was muss ich dann noch machen? Und zweite Frage wie ist das, wenn ich dann auch sage, ich möchte also nicht nur 27.01 sondern dann anschließend vielleicht auch noch diese Qualitätsnorm 9.11 mich dagegen zertifizieren lassen. Mit welchem Aufwand muss ich denn da dann noch zusätzlich rechnen? Also eigentlich, wenn man so will, sollte dicht an der Null im Mir sein, was die Frage der eigenen Veränderung angeht, denn wir sich drei, vier Jahre tatsächlich intensiv oder haben wir ordentlich, also halbwegs nicht, also nicht mit, hat wieder ein Jahr umgelegen und das müssen wir mal direkt etwas machen und dann drehen wieder 100 oder lang raus und einsch. Also das ist kontinuierlich, in einem verdünftigen Maß, das Sonntel so ein Glangzeitraum muss man tatsächlich ein Stagepair schon sehr lang, sich damit beschäftigt, dann sollte der sein, dann ist man auch fertig. Also der besten Fall, wenn man wird es ja auch mal tun mit Hinblick auf eine gewisse Norm, wird er reinschockt, man wird ja nicht irgendwie irgendwas machen und dann dafür Jahren zu gucken, da fühlt es eigentlich die Sonorm oder selber in dem Bereich komplett falsch aufgestellt, sondern man wird ja immer schon mal eine Einschauen und dann werden wir auch fertig. Was das angeht. Aber ich müsste das ja auch nachweisen, dem Auditor und Vermitteln irgendwie alles. Ja, natürlich dieser Aufwand bleibt, also den, die man an den Zertifizierer, also der Aufwand des Zertifizierers, den man natürlich dann auch vergüten muss, der bleibt, die Hauptdeterminante für den Aufwand, wenn der Zertifizierung sind die Anzahl der Mitarbeiter eben skop, da gibt es eine Tabelle gestachen, ein Norm für, da steht das drin, also was so der Regel sacks ist, wie viele Tage audit entstehen und bei welcher Mitarbeiter zahlen, da gibt es seine Regeln, wie man da ein bisschen und ein bisschen auf dem Abfall kann, aber das ist ein bisschen wesentlich in der Sache. So, und wie jetzt ja so vielleicht, um jedes mit drei Tagen News, mich das so ein typischer Bewahrt, um es zu ersetzt, dann ist das nur und das vor Ort auch ein bisschen vor dem Nachbarweitung ein, wie so dazu ist, so dass man so in der Start eigentlich dann so ist, man so ein klanschen, frümmschöningen, betrag, da gibt es so ein bisschen los und dann gibt es auch mein gar nicht erzeln. Ja, ja, das glaube ich. Und da müsste das wahrscheinlich auch zertifizieren lassen nach einer Zeit, ne? Ja, also die Zertifikat läuft drei Jahre und es ist läuft und dann schiegt eine Rätzertifizierung an. Da zwischenkommen jedes Jahr, der Auditorz und so wieder eine Überachungsaulid, also man hat jedes Jahr Besuch von sagt, Auditorz, es sind so kleine da Audits, wo man sagt, das ist aus der Bearbeitung von nicht konfermuteken geworden, ja, sich natürlich verbessert und so allgemein zu sehen, dass mich allzu weit vom Vater tun, abgewichen ist. Und die sind dann aber ungefähr ungefähr, mich größer oder so ein Drittel des Zertifizierungsaufhands, auch so eine LZertifizierung, und ist nur mit der Zertifizierung der 1. Zertifizierung, das sind so die größer Orten, die man da so hat. Aber es ist ein dauerthema, weil man natürlich, also konnten, und das heißt, regelmäßig hierlich, wenn man überwacht wird, ja, und überprüft wird. Also es ist nichts, dass man sagt, ich habe den Zertifizierung jetzt an der Wanto, der es blebe, es ist mein gültig und ich brauche nie, was es tun, sondern man hat beständig, wie man im Auto, und eigentlich da muss man nur alle zwei Jahre zum Türf und jetzt. Es ist kein, ist das nicht wie beim Führerschein, die für ewig gilt, sondern es ist wie beim Auto. Ja, genau. Was ich ausdring wollte, Holger, genau, wunderbar. Ja. Welchen Startvorteil habe ich, wenn ich dann auch noch sozusagen, du hast es ja gesagt, die Kapitel sind alle ähnlich und so weiter. Jetzt will ich eben eine andere Subject-Matter, jetzt will ich eben, dass die Qualitätsthemen da reinholen, wie leicht ist das dann. Ich würde sagen, jetzt will ich was gesagt, sehr leicht, aber dann scheinend da draußen, natürlich, welche sagen, Gott, das will, ne schwieriges Thema, das stimmt natürlich. Was gleich ist, ist die Melderschmenschützung, dass diese Synagien-Effekte, die man hat, dass die Art des Meldschwindes-Themas in exakt der gleichen Weise stattfindet, man hat genau diese Elemente. Das macht das insbesondere der Führung, der Geschäftsführung gleich dieses neue Thema aufzugelaufen, weil sie nicht immer überlegen mussten, die Melderschützung, Qualitätsmelderschmensch, die sie in Menschen, die ich da im Schutz, die Menschen, die ich effektionssicherheit, die Menschen, die Arbeit, das würde alles gleich funktionieren. In die gleichen Elemente, der Überprüfung, so, das wird finde ich alles wieder. Deswegen gibt es diese Bereitschaft, ob das Meldenschmensch, wenn sich auf diesen Meldenschmenschmenschmenschmin ansatz einzulassen, sozusagen, ja, das ist dann auch ein Stück weit, oder zumindest diese Kernalimente, sind dann integriereinander bestandteilbar, da Meldenschmentiertigkeit, das ist nichts, was ich aus und irgendwie am Flan schode, nur dafür macht. Es ist halt wichtig, weil sonst nicht man die Synergie-Effekte nicht. Dann führt man dann ein Rest des Unternehmens, oder das Unternehmen auf jeden Fall, eine bestimmte Art und Weise und in die Informationssicherheit funktioniert anders. Und Qualitätsmeldfunk-Sicherheit findet man noch mal an, dass die beiden werden relativ ähnlich funktionieren, wenn man den ISO-Management mal zurück und damit hat man auch diesen Synergie-Effekt, also dann wird immer wieder ein Romana bei der ersten Mal vielleicht noch sagen, was wie funktioniert das, was heißt das, was müssen wir da machen? Wenn man einen zweiten mal sagen, Ach ja, das funktioniert genauso wie, ja, und man kennt es schon, wie es ablaufricht, und das ist natürlich ein gewaltiger Vorteil. Aus an Landersessen muss man sich natürlich nicht die Möglichkeit haben, wenn es die Qualitätsmeldungsbildung ist, da fahre ich ja die 440 einzigen von Produkten geht, das kriegen von Kundenbeziehungen, inhaltlich muss man sich aber raus an der anderen setzen, das ist ein bisschen prima. Der Programm muss das auch den Meldenschment haben. Okay, jetzt hätte ich noch mal so eine kleine agile Bonusfrage, weil man versucht ja beispielsweise, wenn man einen Scrum-Projekt hat, alle möglichen Aktivitäten über das Back-Law laufen zu lassen, oder zum Beispiel auch so andere Aspekte, die so ein bisschen querschnittlich sind über die sogenannte Definition of Dann. Beispielsweise sage ich dann, jede neue Funktion muss dokumentiert sein, wir haben vielleicht ein Handbuch oder eine automatisch generierte Hilfe oder irgendwas, und dann sagen wir immer, ein Produkt-Inkrement ist nur dann wirklich vollständig, wenn auch für jede neue Funktion dann die Dokumentation angepasst worden ist. Ist für mich jetzt nur ein Beispiel dafür, wie man bestimmte Dinge in diesem agilen Prozess verangang kann. Nun ist natürlich ein agiler Prozess, so wie Scrum, der SER-Projekt bezogen und wir reden hier über eine Organisation und über Ansitionsfunktionen, die in der Regel nicht über Scrum abgebildet werden, aber wir sind ja sehr, also viele Software-Entwicklungsunternehmen sind sehr agil aufgestellt, heutzutage. Und beispielsweise ein Prozess, wie kann man es ja kontinuierlich wird, beispielsweise von Administratoren in Betrieb und Wahl. Verwendet. Und meine Frage an dich, Matthias, du hast ja viele Unternehmen draußen gesehen. Wird zum Beispiel im Rahmen dieses Management Systems zum Teil dann auch, werden da auch Teile verankert in so, zum Beispiel kann man einigen Systemen. Diese Systeme sind völlig frei und offen wie man sich nicht der Frage der inneren Gestaltung und der Mutzung konkrete Methoden. Um das Projektmehl schon mal zu sagen, da gibt es ein Kontrolle und das heißt, Informationen Sicherheit ist im Projekt schon integriert. Enden der Metall. Das sind wir mal so Einsatzkontrollen. Das sag, null wie du da die Crowd-Mentorien aufwahrt. Und wenn du sagen, wir machen das Gamm, wir sind unsere Projekte, dann ist das die Methode. Dann würden wir fragen, wo finde ich denn die Aspekte der Informationen sich an? Ja, wo habt ihr das gebildet? Was Fügbarkeit, Fertigkeit und ETH. Und dann werden sie wahrscheinlich fischendes, die in Art, Parliens, Thema, bestimmte Vorgaben für die Programmierung gehabt, das Dones oder irgendwelche Dinge, Kodribi-U-S, Testpuffern, Settelansohnen. Wir müssen sagen, weil das deswegen der Bestandteil und so abläufe, das finden wir das. Also wir haben vorhin eine Definition, Anforderungs-Manage, wenn ich das auch nicht sagen, das ist funktioniert. Das sind man mühlos alle Aspekte wiederfinden, weil die halt da geguckt haben, die schalt und weil ich frei sei. Und ich finde das immer alle, da unsinnigst, naushaga, aber daneben mal sprechen, dann sagst du eine, ne, also dieser Isokram, das ist nichts für uns, die ist so agil. Das ist ja mal eine question. Also nur wenn man actualität in dem Sinne falsch versteht, das man sagt, das ist nie gegen die Ferne der Region, aber das ist damit nicht so. Während seiner Lichtigkeit versteht, denn die haben seit der Schritt die Regen an, die sich auch so gehalten wird und viel mehr wird auch gar nicht gefroren haben. Jetzt traue ich mich nochmal eine Teeseran. Vorher hat es du an Matthias öfter das Thema der Ziele auch noch mal adressiert, was ja auch in der ISO 27.0001 adressiert wird. Die Idee ist ja, dass ich sozusagen fortlauf und also immer wieder sozusagen Ziele definiere, die typischerweise dann auch einen Zeitpunkt haben, man nicht sehr erreicht haben möchte. Und das immer wieder prüfe, habe ich sie dann erreicht und das sagen dann auch protokolliere. So richtig weit entfernt von einem Sprint und einem Sprintwerk-Lock ist das gar nicht. Also natürlich ist die Laufzeit weit aus länger als das Sprint in unsere Software-Entwicklung sind, also vielleicht Quartalsweise oder auch eine andere Zügelus, aber dann habe ich sie erreicht oder habe ich sie nicht erreicht. Das wird zwar nicht so benannt, aber eigentlich ist so etwas schon vorgesehen an der Stelle. Vielleicht ist sie fertig. Ja, aber ja. Also auch auch sagen diese Vegan aus den ISO-Normen sind ja auch nicht schon irgendwie gefahren. Ich dachte, sie hat ja auch keiner frei von jedem Weltwissen, bis eine Kamera eingeschlossen hat das gemach. So ja ganz im Gegenteil, also diese enormen Gremien, die Gremien stehen aus einer 3-stelligen Anzahl, die dann die Überwiegende aus der Praxis kommen und wir auch aus der Wissenschaft auch aus der Behördenwelt, wo die einigen sich auf ihre Welt machen und normal, also dieser Ansatz nur dich frei zu sein, dass sich jeder oder andere wiederfinden kann, also jeder sein Ding mache kann, wenn man dann zu wöhlt und trotzdem so ein Minimal da zu setzen wie zum Beispiel die Muschund-Zieler. Ja, also alles andere wäre jetzt gut ableziert zu den Themen. Wo ist für sich ja schon auch Zieler setzen? Und die können natürlich auch von bis zu einem Reich. Das finden wir natürlich auch noch ein paar anderen Modellen, ein paar Vorgehens, weil es ja nicht so exklusiv ist, für die ISO-Modelle-Ziel-Bennetschmänziesitzung, Zielerreichung, finden wir in allen Systemen. Ganz kurz fällt mir noch eine Sache ein, jetzt war gerade, ich war jetzt, ja, ich habe keine Kart-Pabai-Rot gekriegt, das war ja Meister-Singer, dies war die Premiere. Und da gibt es auch, ich weiß nicht, ob sich einer davon auskennt von euch, da gibt es auch jemanden, die man kommt nach Nürnberg, da gibt es in diesen archaischen Kompositionsverein dieser Meister-Singer, die nach ganz interessanten Regeln sozusagen so, so muss es um etwas komponiert werden, und anders geht es nicht. Da kommen jetzt eben ein junger Reihen und wir dann eben damit machen. Und dann fragte einen, der ihn dann so anleitet und er sieht auch als ganz kurz, das ist ja alles ganz kompliziert, wie mache ich das dann, stellt ihm quasi die Frage, wie fangen Sie nach der Regel an und er sagt dann eben auch, der das genau so in diesem weiten Rahmen sieht wie du es auch gerade gestellt hat, und sagt, also, frag mal, wie fang ich nach der Regel an und er sagte, ihr setzt sie selbst und folgt ihr dann. Also eben genau das fand immer mal, sagt so, du musst einfach sagen, was ist dein Ziel und dann musst du es aber auch versuchen umzusetzen an der Stelle. Und deswegen glaube ich eben, wie du schon sagst, es ist also nichts Neues oder nichts Bezifisches. Und jetzt werden Leute sagen, es haben schon die richtigen Flussofen, so gesagt, das stimmt welcher auch alles. Aber das sind ja wirklich ganz allgemeine Prinzipien sich. Aber das fand eben diese und das verstehe ich jetzt auch immer mehr. Das fand eben einfach nur einfach diesen gerade der Verbindlichkeit, einfach damit auch zertifiziert und sagt, so wir machen hier nicht irgendein Rennen, sondern wir haben ein Prozess und welches Ziel der jetzt hat, das hängt vom Ungewallung Unternehmen jetzt ab. Aber es gibt eben einen geordnen Prozess und es gibt Verantwortung dafür und das wird auch dann regelmäßig überprüft. Das ist so flüssig, ziemlich gut. Ich habe noch eine letzte Frage oder ich sage jetzt mal, es ist meine letzte Frage zumindest. Wenn man jetzt ein IT-Unternehmen ist, ein Software-Entwicklung-Unternehmen wie wir und man möchte in diesen Prozessen einsteigen, worauf sollte man vielleicht achten, wenn man sich da der Beratung oder ein Auditor sucht? Ja, also wenn man Beratung sucht zu dem ganzen Thema ist natürlich, wie in eigentlich allen angebieten so die Frage, welcher Haum hat denn so eine Beratung? Was bringen denn die eigentlich mit? Und die ISO 27.000 Einz oder das ganze Thema Informationseher ist hierbei noch so der stürmische Fachsendesthema. Hier in Spanck gibt es eben auch viele, die unterwegs sind, die das auch nicht so früchte, die ich leider machen. Und dann kann man natürlich schon mal schauen, was sind denn so hart für Thierry-Rennen und dann sage ich vielleicht auch so aus eigener Pfarrung, dass es sicherlich sehr, sehr viel freich ist, wenn das beratende Unternehmen an den eigenen Reihen auf Zertifizierungsauditorn hat. Also diejenigen, die das Ganze auch von der anderen Seite vom Parallelende aussehen. Ich weiß, ob es denn ausdauerlich weiß, ob ich hier fragen, ob er ein Auditor stellen wird. Und das finde ich auch, wie das so sagen darf, wenn Spannend an dem, was ich mache, oder der Training Auditierung und Zertifizierung, das Training Auditierung und Beratung, so ist es richtig niedrig, weil die sich gegenseitig gefuchten. Weil ich auch immer wieder auf unanseiten Beschreibtssitzung, und ich bin als Auditor, muss ich sein, dass ich das als Grund nicht machen. Aber auf der anderen Seite zu sitzen, sich selbst Auditieren zu lassen, anseist eben nur der Kunde, machen demütig für bestimmte Dinge und älten Blick, hoffen für das, was in der Praxis tatsächlich auch funktioniert, und das handvorwarten kann, was man nicht vorwärkern. Wenn nur noch Prüf wird, vergiert irgendwann die so bezug zu dieser Wirklichkeit. So und genauso wie das Training, die Fragen, die Teilnehmer stellt über ein Loch, wo ich sich zwei sind, da eröffnen und immer, wenn ich denkt, "Jetzt habe ich alles gesehen, wie man problem lösen kann, kommt irgendwann ein Praktor, kann man das auch so machen?" oder, da wird ja, so geht es auch. Ich glaube, wir haben jetzt einen ganz guten Überblick über das Thema gewonnen. Was meinst du Andreas? Das glaube ich auch. Ich muss sagen, ich hatte ja zu Anfang an den Fragen, die ich gestellt habe, ich auch ein anderes Bild gehabt oder eine Vorstellung. Also das freut mich sehr, dass wir das gesprächbar wirklich das Haus gekriegt haben. Und ich sehe auch für die Parallehen, die war man vorher auch nicht klar. Ich hatte ja erzählt, wie gesagt, dass wir auch diese Software-Achtik-Turse machen. Und da ist genau das Gleiche. Ich hatte auch mal eine Schulung gehabt, bei dem Unternehmen, was wirklich nur Schulung gemacht hat. Man wusste wirklich, der hat das wirklich runtergespult, seine Schulung. Und wenn man dann irgendwas gefragt hat, dann war keine Ahnung, dann wusste er nicht. Und es ist ja genauso, wir machen ja auch das. Aber die Leute sind eben, ich bin ja sonst auch ein Projektgeschäft drin und sonst singen Sachen. Und es ist ja etwas ganz anderes, ob man eben nur so was macht, oder eben wirklich das von allen Seiten betrachtet. Und das geht genau was, du eben sagst auch für eure 27.01-Settifizierung, dass man eben wirklich dran bleibt, an dem was aktuell vorsicht geht. Und dann zwar eben auch eine Perspektive hat, was es jetzt eben was ist, was ist realistisch, was geht, was geht nicht. Und ich finde das schön, dass eben so allgemeine Grundprinzipin da sind, die dann bronchend übergreifen, oder heißt, bronchend, die dann auch schwerpunkt übergreifen, dann auch gelten, dann wenn man das wieder erkennt. Dann bedanke ich mich zum Abschluss herzlich bei euch, Matthias und Johannes, dass ihr uns Reden und Antwort gestanden habt zu diesem Thema. Und freue mich darauf, euch in einem anderen Podcast mit einem anderen Thema gegebenenfalls bald wieder zu hören. Vielen Dank fürs Zuhören an unsere Höhren und Höhre und bis zum nächsten Mal. Bis bald, vielleicht, tschüss. [Musik]