ISO 27001 und ISO 9001 in SharePoint: was Sie mit integrierten Werkzeugen nachweisen und wo das nicht reicht
Beide Normen verlangen gelenkte dokumentierte Information: genehmigt, in der richtigen Version, verfügbar und geschützt. SharePoint kann das großteils ohne Zukauf. Wie Sie eine Bibliothek dafür einrichten, was Sie dem Auditor zeigen und was SharePoint allein nicht nachweist.
Die Hauptpunkte einfach erklärt
- ISO 27001 und ISO 9001 verlangen, dass Dokumente genehmigt, in der gültigen Version, für die Zuständigen verfügbar, geschützt und für eine festgelegte Dauer aufbewahrt sind.
- Das meiste davon schafft SharePoint ohne zusätzlichen Kauf: Genehmigung, Versionsverlauf, Zugriffsrechte über Gruppen und eine Aufzeichnung, wer was mit einem Dokument gemacht hat.
- Eine eigene Website mit drei Rollen genügt. Autoren schreiben Entwürfe, Genehmigende geben sie frei, und alle anderen lesen nur die genehmigte Fassung.
- Prüfen Sie zwei Dinge sofort. In den Business-Plänen muss ein Administrator die Aufzeichnung der Aktivitäten einmal einschalten, und Aufbewahrung über Jahre braucht eine höhere Lizenz (Business Premium oder E3).
- Eines weist SharePoint allein nicht nach: dass die Mitarbeitenden die Richtlinie kennen. Das Öffnen eines Dokuments heißt nicht, dass es gelesen wurde – und der Auditor fragt danach.
Dritter Teil der Serie Dokumente in SharePoint. Im ersten Teil ging es darum, was SharePoint sofort kann, im zweiten darum, wie Sie Schritt für Schritt vom Server umziehen. Heute konkret: Dokumentation für ISO.
Wenn ein Unternehmen überlegt, womit es beim Umzug der Dokumente nach SharePoint anfangen soll, empfehle ich fast immer dasselbe: mit der Dokumentation für ISO. Sie ist ein kleiner Bereich – Dutzende Dokumente, nicht Hunderttausende. Sie hat einen klaren Besitzer. Und vor allem ist sie die Stelle, an der ein Dateiserver wirklich nicht ausreicht: Der Auditor will keinen Ordner „Gültige Richtlinien“ sehen, sondern einen Nachweis, dass nur die genehmigte Fassung gilt, dass Sie wissen, wer sie geändert hat, und dass diejenigen darauf zugreifen können, die es sollen.
In diesem Teil geht es darum, wie Sie das in SharePoint mit integrierten Werkzeugen einrichten, was Sie davon dem Auditor zeigen – und wo die ehrliche Grenze liegt, über die SharePoint allein nicht hinauskommt.
Was die Normen von Dokumenten verlangen
ISO 9001 und ISO/IEC 27001 haben beide einen Abschnitt zu dokumentierter Information (nach der üblicherweise zitierten Fassung in beiden Normen Abschnitt 7.5) mit derselben Logik. Vereinfacht wollen sie zwei Dinge.
Beim Erstellen und Aktualisieren soll ein Dokument ordentlich gekennzeichnet sein (zum Beispiel mit Titel, Datum, Autor oder Nummer), ein geeignetes Format haben und eine Prüfung und Genehmigung durchlaufen.
Bei der Lenkung soll ein Dokument dort und dann verfügbar sein, wo und wann es gebraucht wird, und angemessen geschützt sein; unter Kontrolle sein sollen außerdem seine Verteilung, der Zugriff, die Ablage, Änderungen (also Versionen) und schließlich Aufbewahrung und Vernichtung.
Beide Normen verlangen außerdem in Abschnitt 7.3, dass sich die Menschen der Politik (der Informationssicherheitspolitik bzw. der Qualitätspolitik) und der Folgen bewusst sind, wenn die Anforderungen des Managementsystems nicht erfüllt werden. ISO/IEC 27001 ergänzt in Anhang A Maßnahmen, die die Dokumentation direkt betreffen. Nach der üblicherweise zitierten Fassung von Maßnahme 5.1 sollen Richtlinien von der Leitung genehmigt, veröffentlicht, den betroffenen Personen mitgeteilt und von ihnen zur Kenntnis genommen und in geplanten Abständen überprüft werden. Anhang A enthält nach derselben Fassung auch Maßnahmen zum Schutz von Aufzeichnungen, zur Zugangssteuerung und zur Protokollierung von Ereignissen.
Zuordnung: Anforderung, Funktion, Lizenz
| Was der Auditor sehen will | Womit SharePoint das abdeckt | Lizenz |
|---|---|---|
| Gültige, genehmigte Fassung | Inhaltsgenehmigung und Hauptversionen – Leser sehen nur die genehmigte Fassung | Alle Pläne für Unternehmen |
| Änderungshistorie | Automatischer Versionsverlauf: wer, wann, mit der Möglichkeit, die Version zu öffnen und wiederherzustellen | Alle Pläne für Unternehmen |
| Kennzeichnung des Dokuments | Pflichteigenschaften: Nummer, Besitzer, Revisionsdatum, Typ | Alle Pläne für Unternehmen |
| Zugriffssteuerung | Berechtigungen auf Website und Bibliothek über Gruppen; Autoren bearbeiten, alle anderen lesen | Alle Pläne für Unternehmen |
| Wer was mit dem Dokument gemacht hat | Überwachungsprotokoll von Microsoft 365, Einträge 180 Tage, mit Export als CSV | Alle Pläne für Unternehmen (in den Business-Plänen muss ein Administrator die Überwachung einmal einschalten); ein Jahr mit E5 |
| Schutz vor Verlust | Papierkorb für 93 Tage und Wiederherstellung der gesamten Bibliothek für die letzten 30 Tage | Alle Pläne für Unternehmen |
| Aufbewahrungsdauer und Vernichtung | Aufbewahrungsbezeichnungen | Manuelle Bezeichnung: Business Premium, E3; Standardbezeichnung der Bibliothek und automatische Bezeichnung: E5 |
| Kenntnisnahme durch die Mitarbeiter | SharePoint allein erfasst sie nicht | – |
So richten Sie eine Bibliothek für gelenkte Dokumentation ein
Das ist kein kompliziertes Projekt. Eine Website, eine oder zwei Bibliotheken und ein paar Einstellungen, die man einmal vornimmt.
Eigene Website mit klaren Rollen
Gelenkte Dokumentation gehört auf eine eigene Website, nicht in eine Teambibliothek, in der jeder ablegt. Drei Rollen genügen: Autoren (bearbeiten Entwürfe), Genehmiger (genehmigen Fassungen) und Leser – der Rest des Unternehmens, der die Dokumente nur liest. Alle drei Rollen als Gruppen, nicht als Einzelpersonen; wenn jemand geht oder kommt, ändert sich die Mitgliedschaft in der Gruppe, nicht die Berechtigungen der Dokumente.
Haupt- und Nebenversionen mit Genehmigung
Schalten Sie in den Versionsverwaltungseinstellungen der Bibliothek Haupt- und Nebenversionen und die Inhaltsgenehmigung ein, und legen Sie bei der Entwurfselementsicherheit fest, dass Entwürfe nur Benutzer sehen, die Elemente bearbeiten dürfen. Ein Dokument in Bearbeitung hat die Version 1.1, 1.2, und Autoren und Genehmiger sehen es. Erst mit der Genehmigung entsteht die Hauptversion 2.0, und die sehen die Leser; bis dahin lesen sie die vorherige genehmigte Fassung. Die „gültige Fassung“ ist damit keine Frage des Dateinamens, sondern des Status im System.
Auf diese Einschränkung der Sichtbarkeit von Entwürfen kommt es an: Ohne sie könnten Leser auch Fassungen in Bearbeitung sehen. Sie hat eine Nebenwirkung, die man kennen sollte – eine Bibliothek mit so eingeschränkten Entwürfen lässt sich nicht vollwertig mit dem Windows-Explorer synchronisieren (sie wird nur schreibgeschützt oder gar nicht synchronisiert). Bei gelenkter Dokumentation ist das aber eher ein Vorteil: Gelesen wird im Browser, wo immer die gültige Fassung steht, und nicht in einer lokalen Kopie.
Pflichteigenschaften und Vorlage
Legen Sie für den Dokumenttyp „Richtlinie“ oder „Politik“ Pflichteigenschaften fest – Dokumentnummer, Besitzer, Datum der nächsten Revision, Bereich – und eine Standardvorlage mit dem Briefkopf des Unternehmens. Office speichert das Dokument dann nicht ohne diese Angaben. Bei einer Datei, die per Drag & Drop in die Bibliothek hochgeladen wird, können sie aber leer bleiben. Deshalb gehört die Prüfung, ob sie ausgefüllt sind, zur Genehmigung.
Ansicht „zur Revision“
Die Normen verlangen, dass Dokumente regelmäßig überprüft werden. Eine Bibliotheksansicht, gefiltert nach dem Datum der nächsten Revision, zeigt den Besitzern, was überfällig ist. Wer mehr will, kann darauf Erinnerungen in Power Automate aufbauen; für den Anfang genügen die Ansicht und die Disziplin der Besitzer.
Aufbewahrung
Wenn Sie Business Premium oder E3 haben, erstellen Sie Aufbewahrungsbezeichnungen nach Ihrer internen Richtlinie – zum Beispiel „5 Jahre ab der letzten Änderung aufbewahren“. Die Bezeichnung stellt sicher, dass das Dokument für die festgelegte Dauer aufbewahrt wird, auch wenn es jemand löscht, und nach deren Ablauf automatisch gelöscht werden kann. Mit diesen Lizenzen weist eine Person die Bezeichnung jedem Dokument manuell zu; sie als Standard für die gesamte Bibliothek festzulegen oder automatisch zuzuweisen, ermöglicht erst E5. Bei Dutzenden gelenkter Dokumente ist die manuelle Zuweisung machbar – sie muss nur Teil der Genehmigung sein. Ohne diese Lizenzen bleibt die Aufbewahrung bei Regeln und beim Papierkorb samt Wiederherstellung der Bibliothek, die aber nur Tage abdecken, nicht Jahre.
Was der Auditor sieht
Wenn die Bibliothek so eingerichtet ist, beantworten Sie die typischen Fragen des Auditors an einer Stelle:
- „Zeigen Sie mir die gültige Version der Sicherheitsrichtlinie.“ Öffnen Sie die Bibliothek als Leser – Sie sehen nur die genehmigte Fassung.
- „Wann wurde sie genehmigt?“ Der Versionsverlauf zeigt, wann die Hauptversion entstanden ist, und der Genehmigungsstatus enthält den Kommentar des Genehmigers. Wer für das Dokument verantwortlich ist, steht in der Pflichteigenschaft „Besitzer“.
- „Was hat sich gegenüber der vorherigen Version geändert?“ Öffnen Sie die ältere Version aus dem Verlauf neben der aktuellen.
- „Wer hat Zugriff darauf?“ Berechtigungen der Bibliothek über drei Gruppen statt eines Baums von Ausnahmen.
- „Wer hat sie im letzten Quartal geöffnet oder heruntergeladen?“ Ein Export aus dem Überwachungsprotokoll von Microsoft 365.
Das alles sind Fragen, die man beim Dateiserver mit einer manuell geführten Tabelle, mit Dateinamen oder mit der Suche in einem Protokoll beantwortet.
Wo SharePoint allein nicht reicht
Ehrlich gesagt: Eine wichtige Sache weist SharePoint allein nicht nach. Dass die Mitarbeiter die Richtlinie zur Kenntnis genommen haben – wer, welche Version und wann, und wer noch nicht. Das Überwachungsprotokoll zeigt, dass jemand das Dokument geöffnet hat, aber Öffnen ist keine Kenntnisnahme. Und bei Sicherheitsrichtlinien steht nach der üblicherweise zitierten Fassung von Maßnahme 5.1 „mitgeteilt und zur Kenntnis genommen“ direkt in der Anforderung.
Weitere Dinge, die die integrierten Werkzeuge nur teilweise abdecken:
- Mehrstufige Genehmigung (Besitzer, dann Sicherheitsbeauftragter, dann Leitung). Die integrierte Inhaltsgenehmigung ist einstufig, und die neueren Genehmigungen in Bibliotheken können mehrere Genehmiger gleichzeitig einbinden (einer genügt, oder alle müssen zustimmen), aber nicht nacheinander; ein mehrstufiger Prozess wird in Power Automate gebaut.
- Regelmäßige Wiederholung der Kenntnisnahme – etwa eine jährliche Erinnerung an die Sicherheitsrichtlinie für alle Mitarbeiter.
- Übersicht über die Erfüllung – wie viel Prozent der Menschen die aktuelle Version bestätigt haben, nach Teams.
Wie sich das lösen lässt – manuell, in Power Automate oder mit einer spezialisierten Anwendung –, ist das Thema des letzten Teils.
Das Wichtigste in Kürze
- ISO-Dokumentation ist der ideale erste Schritt. Kleiner Umfang, ein klarer Besitzer und ein Nutzen, der schon beim nächsten Audit sichtbar ist.
- Genehmigung, Versionen, Berechtigungen und Überwachung haben Sie in der Lizenz. Eine gut eingerichtete Bibliothek genügt; Aufbewahrung über Jahre braucht Business Premium oder E3/E5.
- Öffnen ist keine Kenntnisnahme. Nachzuweisen, dass die Menschen die Richtlinie kennen, ist der einzige Teil, den SharePoint allein nicht abdeckt – und der Auditor fragt danach.
Bei EP365 helfen wir Unternehmen, SharePoint für gelenkte ISO-Dokumentation vorzubereiten – vom Entwurf der Website, der Rollen und Bibliotheken über Aufbewahrungsbezeichnungen bis zur Schulung der Dokumentbesitzer. Meist als Teil des Governance-Entwurfs. Wenn Ihnen ein Audit bevorsteht, schreiben Sie uns – wir gehen mit Ihnen durch, was Sie haben und was fehlt.
Im letzten Teil: wie Sie dem Auditor nachweisen, dass die Menschen die Richtlinie zur Kenntnis genommen haben, und was das neue tschechische Gesetz über die Cybersicherheit dazu sagt. Wir vergleichen eine Anwesenheitsliste, eine Lösung in Power Automate und spezialisierte Anwendungen.