Der Readiness-Check zeigt, wie weit Ihr ISMS für eine Zertifizierung nach ISO/IEC 27001:2022 ist, der Reifegrad bewertet je Anforderung, wie reif die Umsetzung ist. Beides ist eine Selbsteinschätzung aus Ihren Daten, kein Audit: Die Konformität bestätigt nur eine Zertifizierungsstelle. Dieser Artikel richtet sich an ISMS-Verantwortliche und an die oberste Leitung.

Bevor Sie beginnen

  • Readiness-Check und Reifegrad gibt es ab Paket Pro. In Free und Starter ist der Menüpunkt gesperrt; früher abgeschlossene Checks bleiben lesbar.
  • Den Readiness-Check ansehen dürfen standardmässig die ISMS-Verantwortlichen, die Oberste Leitung und „Revision & Audit (nur lesen)“. Fragen beantworten und den Check abschliessen dürfen die ISMS-Verantwortlichen.
  • Den Reifegrad bewerten dürfen Personen, die Anforderungen verwalten, standardmässig die ISMS-Verantwortlichen.
  • Je mehr Ihrer Arbeit in Varmo steht (Geltungsbereich, Risiken, Erklärung zur Anwendbarkeit, Audits, Managementbewertung), desto aussagekräftiger ist das Ergebnis.

Readiness-Check durchführen

  1. Öffnen Sie ISMS-Steuerung › Readiness-Check und klicken Sie auf Check starten.
  2. Varmo prüft die Kapitel 4–10 der Norm und den Anhang A aus Ihren Daten. Sie sehen den Gesamtstand, den Stand je Kapitel und die Lücken mit dem voraussichtlichen Befund eines Auditors: Hauptabweichung, Nebenabweichung oder Hinweis.
  3. Der Kasten „Wie geht es weiter?“ nennt die wichtigste Lücke. Mit dem Knopf daneben gelangen Sie direkt dorthin, wo Sie sie schliessen.
  4. Unter Selbsteinschätzung beantworten Sie die Punkte, die Varmo nicht aus Ihren Daten erkennt, etwa zu Chancen (6.1.1), zu geplanten Änderungen (6.3) oder zur Kommunikation (7.4). Klicken Sie auf Beantworten, wählen Sie Ja, Teilweise oder Nein und begründen Sie kurz. Ein Dokument als Nachweis ist freiwillig.
  5. Mit Erneut prüfen rechnen Sie den Stand nach Änderungen neu.
  6. Wollen Sie den Stand festhalten, etwa vor dem Audit, klicken Sie unter Abgeschlossene Checks auf Check abschliessen und optional eine Notiz. Der Bericht lässt sich mit Drucken / PDF ausgeben.

Reifegrad bewerten

Der Reifegrad reicht von 0 bis 4, wie im Assessment-Tool zum IKT-Minimalstandard (Schweiz): 0 „Nicht umgesetzt“, 1 „Partiell, nicht definiert“, 2 „Partiell, definiert und abgenommen“, 3 „Umgesetzt“ und 4 „Dynamisch, überprüft und verbessert“.

  1. Beim Katalog IKT-Minimalstandard (Schweiz) ist der Reifegrad immer eingeschaltet. Bei anderen Katalogen schalten Sie ihn auf der Katalogseite mit Reifegrad einschalten ein.
  2. Öffnen Sie Anforderungen › Reifegrad und wählen Sie den Katalog.
  3. Öffnen Sie eine Kategorie und klicken Sie bei einer Anforderung auf Bewerten. Wählen Sie die Stufe und begründen Sie sie; die Begründung ist Pflicht.
  4. Varmo schlägt je Anforderung eine Stufe vor, gestützt auf Umsetzung, Nachweise, freigegebene Richtlinien und Dokumente, regelmässige Kontrollen sowie Verbesserungen und Überprüfungen der letzten 12 Monate. Mit Vorschlag … übernehmen übernehmen Sie ihn; gespeichert wird nichts ohne Ihre Bestätigung.
  5. Haben Sie eine Anforderung geprüft und nichts angepasst, halten Sie das mit Überprüfung erfassen fest (Datum, Ergebnis, Begründung). Das zählt als Überprüfungsnachweis für Stufe 4.
  6. Unter Einstellungen legen Sie das Soll fest. Die Vorgabe ist 2.6 wie im Assessment-Tool.

Nicht anwendbare Anforderungen bewerten Sie nicht; sie zählen in der Auswertung nicht mit, ebenso wenig unbewertete.

Was danach passiert

  • Die Seite Reifegrad zeigt den Gesamtwert gegenüber dem Soll, die Werte je Funktion und je Kategorie. Gerechnet wird wie im Assessment-Tool: Kategorie aus den bewerteten Anforderungen, Funktion aus den Kategorien, gesamt aus den Funktionen. Solange Anforderungen unbewertet sind, gilt der Wert als „vorläufig“.
  • Eine Bewertung gilt 12 Monate. Ist sie älter oder liegt sie über dem aktuellen Vorschlag, markiert Varmo sie mit „Bewertung prüfen“, und die Personen, die Anforderungen verwalten, erhalten die Pendenz Reifegrad bewerten bzw. Reifegrad überprüfen. Varmo senkt keinen Wert von selbst.
  • Die Auswertung exportieren Sie als CSV. Beim IKT-Minimalstandard gibt es zusätzlich Assessment-Tool (Excel): das amtliche Tool, ausgefüllt mit Ihren Werten.

Häufige Fragen

Ersetzt der Readiness-Check ein internes Audit?

Nein. Er zeigt, wo voraussichtlich Lücken sind, und hilft bei der Vorbereitung. Das interne Audit nach Kapitel 9.2 führen Sie weiterhin durch, siehe Interne Audits und Feststellungen bearbeiten.

Was ist der Unterschied zwischen Umsetzung und Reifegrad?

Die Umsetzung (offen bis umgesetzt) bleibt bestehen; auf ihr beruhen Nachweise und die Erklärung zur Anwendbarkeit. Der Reifegrad bewertet zusätzlich, wie gefestigt die Umsetzung ist.

Warum ist mein Vorschlag tiefer als meine Bewertung?

Der Vorschlag wählt im Zweifel die tiefere Stufe. Für Stufe 4 braucht es zum Beispiel eine regelmässige Kontrolle der Anforderung und einen Verbesserungs- oder Überprüfungsnachweis der letzten 12 Monate. Neben dem Vorschlag steht, was für die nächste Stufe fehlt.