Richtlinien als lebende Maßnahmen, nicht als Dokumente im Ordner.

Eine Richtlinie wird für die Zertifizierung entworfen, in einer Sitzung freigegeben und als PDF herumgeschickt. Ein halbes Jahr später sind drei Versionen im Umlauf, niemand weiß sicher, welche gilt, und der Nachweis der Kenntnisnahme ist ein halb erinnerter Chat-Verlauf. Das Dokument existiert noch. Ob jemand sich daran hält oder die aktuelle Fassung überhaupt gelesen hat, bleibt offen.

Eine Richtlinie soll eine Maßnahme sein, keine Datei. Sie sollte mit der ISO-27001-Anforderung verbunden sein, die sie umsetzt, ihr eigenes Überprüfungsdatum tragen und belegen, wer welche Version bestätigt hat. Fehlt diese Verknüpfung, schickt die Frage eines Auditors nach dem Nachweis hinter einer Maßnahme das ganze Team auf die Suche durch Laufwerke. Ist sie da, sind Richtlinie und Nachweis dasselbe Objekt, und eine veraltete fällt vor dem Audit auf, nicht währenddessen.