TISAX & ISO 27001 · EVERGREEN
Wer zum ersten Mal in den ISA-Katalog schaut, stolpert über die
Reifegrade: Jede Anforderung wird nicht mit “erfüllt/nicht erfüllt”
bewertet, sondern auf einer Skala von 0 bis 5. Genau dieses Modell
entscheidet über Bestehen oder Nachbesserung – und es wird regelmäßig
missverstanden.
Kurzantwort
TISAX bewertet jede Anforderung mit einem Reifegrad von 0
(unvollständig) bis 5 (optimierend). Das geforderte Zielniveau liegt in
der Regel bei Reifegrad 3: Ein Prozess ist definiert, dokumentiert, in
der Organisation etabliert und nachweisbar gelebt. Entscheidend ist der
Unterschied zwischen “Dokument existiert” (das allein ist etwa Reifegrad
2) und “Prozess wird nachweislich gelebt” – ohne Nachweise aus der
Praxis gibt es kein Zielniveau, egal wie gut die Richtlinie formuliert
ist.
Die sechs Stufen im Klartext
- 0 – Unvollständig: Es passiert nichts oder nur
zufällig Punktuelles. - 1 – Durchgeführt: Es wird gemacht, aber
undokumentiert und personenabhängig. Fällt der Wissensträger aus, fällt
der Prozess. - 2 – Gesteuert: Es gibt Dokumentation und
Zuständigkeiten, aber die Umsetzung ist lückenhaft oder frisch. - 3 – Etabliert: Prozess definiert, dokumentiert,
organisationsweit gelebt, mit Nachweisen. Das übliche Zielniveau. - 4 – Vorhersagbar: Der Prozess wird zusätzlich
gemessen (Kennzahlen) und gesteuert. - 5 – Optimierend: Kontinuierliche Verbesserung auf
Basis der Messwerte ist selbst ein gelebter Prozess.
Für das Assessment gilt: Höher als gefordert bringt keine Extrapunkte
– Lücken unter dem Zielniveau kosten dagegen das Ergebnis. Die Energie
gehört also in die Breite (alle Anforderungen auf Niveau), nicht in
Leuchtturm-Exzellenz einzelner Themen.
Der
klassische Denkfehler: Dokumente sammeln statt Prozesse leben
Der häufigste Vorbereitungsfehler ist eine Ordnerstruktur voller
frisch geschriebener Richtlinien. Das erreicht bestenfalls Reifegrad 2.
Reifegrad 3 verlangt gelebte Praxis mit Spuren: Schulungsnachweise mit
Teilnehmerlisten, dokumentierte Zutrittskontrollen, Protokolle der
Managementbewertung, Tickets aus dem Patch-Prozess,
Onboarding-Checklisten mit Unterschrift. Auditoren fragen nicht “Haben
Sie eine Richtlinie?”, sondern “Zeigen Sie mir die letzten drei
Fälle.”
Praktisch heißt das: Nachweisführung beginnt am ersten Projekttag,
nicht drei Wochen vor dem Assessment. Wer sechs Monate gelebte Historie
zeigen kann, diskutiert im Audit nicht über Reifegrade.
Häufige Fragen (FAQ)
Reicht Reifegrad 3 wirklich überall? Das Zielniveau
ergibt sich aus dem Prüfziel; Reifegrad 3 ist der Standardfall.
Wichtiger als Einzelwerte ist das Gesamtergebnis über alle Anforderungen
– ein Ausreißer nach unten zieht mehr, als einer nach oben hilft.
Wie streng wird zwischen 2 und 3 unterschieden? Sehr
streng – genau dort verläuft die Grenze zwischen “aufgeschrieben” und
“gelebt”. Fehlende Nachweise sind der häufigste Grund für
Abwertungen.
Können wir Reifegrade selbst einschätzen? Ja, das
Self-Assessment entlang des ISA-Katalogs ist sogar Pflichtbestandteil.
Kalibrieren Sie die Selbstbewertung aber ehrlich – zu optimistische
Einschätzungen fliegen im Assessment auf und kosten Vertrauen.
Fazit
Reifegrade messen nicht Papier, sondern Praxis. Wer von Tag eins
Nachweise sammelt, Zuständigkeiten lebt und die Breite vor der Kür
priorisiert, erreicht das Zielniveau ohne Drama. Die Selbsteinschätzung
entlang des Katalogs ist dabei Ihr wichtigstes Steuerungsinstrument –
und der Punkt, an dem erfahrene Begleitung wie durch UBESAFE im TISAX-Projekt die meiste
Zeit spart.
Unsicher, wo Ihre Prozesse wirklich stehen? UBESAFE kalibriert
Ihre Reifegrad-Selbsteinschätzung im kostenlosen
Erstgespräch.