Von Excel ins ISMS: So planst du die Datenmigration

Beginne deine ISMS-Migration nicht mit dem Datei-Upload. Kläre zuerst, welche Daten weitergeführt werden, wer sie verantwortet und wie Risiken, Maßnahmen und Nachweise zusammenhängen. Übernimm danach eine überschaubare Testmenge und prüfe, ob dein Team damit tatsächlich arbeiten kann.

Der entscheidende Unterschied zeigt sich an einer einfachen Frage: Findest du nach dem Umzug zu einem Risiko noch die richtige Maßnahme und deren aktuellen Nachweis? Eine vollständig importierte Tabelle beantwortet das noch nicht.

Dieser Leitfaden hilft dir beim Wechsel aus verteilten Excel-Dateien in eine gemeinsame ISMS-Arbeitsbasis. Wenn die Wahl des Zielsystems noch offen ist, beginne mit dem Anforderungskatalog zur Auswahl einer ISMS-Software. Hier geht es um die Vorbereitung und Abnahme der Datenübernahme, unabhängig vom eingesetzten Importwerkzeug.

Das Wichtigste

• Ein führender Bestand: Bestimme, welche Quelle bis zur Umstellung verbindlich ist und wo danach weitergearbeitet wird.
• Klare Feldzuordnung: Halte fest, was jedes Feld bedeutet und wie sein Inhalt im Ziel erhalten bleibt.
• Geprüfte Beziehungen: Teste den Weg vom Risiko über die Maßnahme zum Nachweis, nicht nur die Zahl der importierten Zeilen.
• Fachliche Abnahme: Lass die zuständigen Rollen Inhalt, Zugriff und Weiterarbeit bestätigen, bevor ihr umstellt.

Was muss beim Umzug erhalten bleiben?

Eine Risikoliste enthält mehr als Zeilen und Spalten. Hinter einem Eintrag stehen eine Bewertung, eine verantwortliche Person, eine Behandlungsentscheidung und möglicherweise mehrere Maßnahmen. Der zugehörige Nachweis liegt vielleicht in einer Dokumentenablage. Sein Dateiname allein sagt wenig darüber aus, für welchen Zeitraum und welchen Standort er gilt.

Lege deshalb vor der Migration fest, was im Ziel weiterhin nachvollziehbar sein soll:

• Bedeutung: Was bezeichnet ein Feld, eine Bewertung oder ein Status?
• Beziehung: Welches Risiko gehört zu welcher Maßnahme und zu welchem Nachweis?
• Verantwortung: Wer pflegt den Inhalt und wer entscheidet über offene Fragen?
• Geltungsbereich: Für welche Organisationseinheit, Systeme und Zeiträume gilt der Eintrag?
• Herkunft: Woher stammt die Information, und wo bleibt das Original auffindbar?

Nicht jede alte Datei muss ins neue System. Ein abgelöster Entwurf kann im Altbestand bleiben, während die freigegebene Fassung übernommen wird. Diese Auswahl braucht eine dokumentierte Entscheidung. „Nicht übernommen“ darf nicht dasselbe bedeuten wie „versehentlich verloren“.

1. Den führenden Bestand festlegen

Sammle zunächst die tatsächlich verwendeten Quellen: Risikolisten, Maßnahmenpläne, Kontrollkataloge, Richtlinien und Nachweisablagen. Frage die Verantwortlichen, welche Fassung sie im Alltag benutzen. Das jüngste Änderungsdatum ist ein Hinweis, aber kein Beleg für fachliche Freigabe.

Ein einfaches Inventar reicht für den Anfang. Erfasse je Quelle den Ablageort, die verantwortliche Rolle, den Geltungsbereich, den verwendeten Versionsstand und die Entscheidung: übernehmen, vorher bereinigen oder als Altbestand sichern.

Entscheide außerdem, welche Quelle bis zur Umstellung führend bleibt. Sonst korrigiert eine Person bereits im neuen System, während eine andere denselben Sachverhalt weiter in Excel ändert. Die abweichenden Stände lassen sich später nur schwer auseinanderhalten.

Bei widersprüchlichen Bewertungen entscheidet die fachlich zuständige Rolle, welcher Stand übernommen wird. Ein Importskript sollte diesen Konflikt nicht durch die zufällige Reihenfolge der Dateien lösen.

2. Felder zuordnen und Bedeutungen klären

Bei der Feldzuordnung (Mapping) legst du fest, welche Information aus der Quelle in welches Zielobjekt und Zielfeld gehört. Prüfe dabei die Bedeutung, nicht nur den Spaltennamen. „Owner“ kann die Person sein, die eine Zeile zuletzt bearbeitet hat — oder die Rolle, die das Risiko verantwortet.

Dass Datenmigration eine eigene Planung, Feldzuordnung und Validierung braucht, beschreibt auch Microsofts Migrationsleitfaden für Dynamics 365. Die folgende Arbeitshilfe überträgt diesen Grundgedanken auf ISMS-Daten. Sie ist ein Planungsmodell, keine Importspezifikation von Kopexa.

Ein gutes Mapping macht auch Lücken sichtbar. Wenn das Ziel ein Feld nicht aufnehmen kann, halte fest, wie dessen Information erhalten bleibt. Ein Freitext kann eine ergänzende Notiz bewahren; er ersetzt keine Beziehung, die dein Team später gezielt auswerten muss.

Bewertungsskalen brauchen besondere Aufmerksamkeit. Eine „3“ aus der alten Tabelle hat im Ziel nicht automatisch dieselbe Bedeutung. Dokumentiere die bisherige Definition und die geplante Zuordnung. Wenn sich die Bewertungsmethode ändert, behandle das als eigene fachliche Entscheidung. Neue Farben oder Zahlen sind noch keine bessere Risikobewertung.

3. Beziehungen an einer Testmenge prüfen

Wähle für die erste Übernahme nicht nur die saubersten Zeilen. Nimm unterschiedliche Fälle auf: ein Risiko mit mehreren Maßnahmen, eine Maßnahme mit mehreren Anforderungen, einen älteren Nachweis und einen Eintrag mit ungeklärter Zuständigkeit. So prüfst du die Stellen, an denen dein echter Bestand anspruchsvoll wird.

Arbeitsbeispiel: Drei Einträge bilden eine Belegkette

Ein fiktiver Bestand enthält das Risiko R-017 „Unberechtigter Fernzugriff“. Dazu gehört die Maßnahme M-008 „Mehrfaktor-Authentifizierung prüfen“. Der Nachweis E-042 dokumentiert den zugehörigen Prüflauf für einen bestimmten Standort und Zeitraum.

Nach dem Import sind alle drei Einträge vorhanden. In der Maßnahmentabelle wurde jedoch „R17“ statt „R-017“ verwendet. Die automatische Verknüpfung fehlt. Die Zeilenzahl stimmt, die Belegkette ist trotzdem unterbrochen.

Die Abnahme muss deshalb mehr prüfen als die Anzahl der Datensätze:

1. Öffne R-017 im Ziel und finde M-008 über die vorgesehene Verknüpfung.
2. Öffne von dort E-042. Prüfe Standort, Bezugszeitraum und Inhalt des Belegs.
3. Kontrolliere mit einer vorgesehenen Nutzerrolle, ob der Zugriff funktioniert und angemessen begrenzt ist.
4. Vergleiche den Status mit der Quelle. Ein angehängter Beleg darf nicht allein eine offene Prüfung in „abgeschlossen“ verwandeln.

Führe außerdem einen Fehlerfall aus: Was passiert, wenn eine Referenz fehlt oder dieselbe Quelldatei erneut verarbeitet wird? Prüfe, ob Einträge übersprungen, überschrieben oder doppelt angelegt werden. Ein erfolgreicher erster Import sagt darüber noch nichts aus.

4. Die Übernahme fachlich abnehmen

Schreibe die Kriterien vor dem vollständigen Umzug auf. Dann entscheidet nicht erst am Ende die gefüllte Oberfläche darüber, ob die Migration gelungen ist.

Nicht jede offene Abweichung muss den ganzen Umzug verhindern. Halte je Abweichung die Auswirkung, die verantwortliche Rolle, die Entscheidung und den nächsten Schritt fest. Eine fehlende zentrale Belegkette wiegt anders als ein unwichtiger Formatierungsfehler.

Die technische Durchführung und die fachliche Abnahme haben unterschiedliche Aufgaben. Wer Dateien lädt, kann die Übertragung prüfen. Ob Bewertung, Zuständigkeit und Beleg im betrieblichen Zusammenhang stimmen, bestätigen die dafür vorgesehenen Fachverantwortlichen.

5. Umstellen, ohne zwei Wahrheiten zu erzeugen

Lege einen konkreten Übergabezeitpunkt fest. Ab dann ist eindeutig, wo neue Änderungen erfolgen. Wenn die Quellen während der Vorbereitung weiter bearbeitet werden, braucht ihr einen Abgleich der Änderungen seit dem Teststand. Nur das Datum auf einem Export zu ändern, bringt diese Änderungen nicht ins Ziel.

Vor der Freigabe beantwortet ihr gemeinsam:

• Wer bestätigt die fachliche Abnahme und informiert die betroffenen Personen?
• Wo werden offene Abweichungen nachverfolgt?
• Welche Änderungen aus der Zwischenzeit wurden berücksichtigt?
• Wie verhindert ihr, dass der Altbestand versehentlich weiter gepflegt wird?
• Unter welchen Bedingungen stoppt ihr die Umstellung, und wer entscheidet über das weitere Vorgehen?

Sichere den bestätigten Quellstand und seine Zuordnung zum übernommenen Bestand. Falls die Arbeit in die Quelle zurückverlagert werden muss, müssen auch Änderungen berücksichtigt werden, die inzwischen im Ziel entstanden sind. Ein vorhandenes Backup allein löst diesen Abgleich nicht.

Typische Fehler bei der ISMS-Migration

Alles übernehmen, auch ungeklärte Daten. Damit zieht ihr alte Widersprüche in die neue Arbeitsbasis um. Markiere ungeklärte Inhalte und entscheide über ihre Behandlung, bevor sie als verbindlich erscheinen.

Nur Dateien und Zeilenzahlen prüfen. Die Datensätze können vollständig vorhanden sein, obwohl Beziehungen, Geltungsbereiche oder Rollen fehlen. Prüfe echte Arbeitswege vom Risiko bis zum Beleg.

Die neue Oberfläche als neue Bewertungsmethode behandeln. Ein anderer Status oder eine neue Skala kann die Aussage verändern. Die Migration darf nicht unbemerkt Risiken neu bewerten oder Entscheidungen ersetzen.

Parallel weiterarbeiten, ohne Zuständigkeit für den Abgleich. Dann entstehen erneut verteilte Wahrheiten. Benenne einen führenden Stand und regle die Übergabe.

Welche Daten du mit Kopexa übernehmen kannst, klärst du am Bestand

Kopexa ist eine GRC-Plattform, in der du Vorgaben, Maßnahmen, Risiken, Aufgaben und Nachweise zusammenführst. Der Nutzen eines Umzugs liegt darin, mit diesem Zusammenhang weiterzuarbeiten: Wer setzt eine Maßnahme um, welcher Nachweis gehört dazu und welche Anforderung betrifft sie?

Besprich die benötigten Objekte, Felder und Beziehungen früh mit dem Zielanbieter. Welche Daten über welchen Importweg übernommen werden können, muss für deinen Bestand geprüft werden. Eine vollständige Übernahme von Versionshistorien, Freigaben oder bisherigen Berechtigungen ist damit nicht automatisch zugesagt.

Auf unserer ISMS-Produktseite findest du die Einordnung der Plattform. Für ein Gespräch genügt zunächst eine anonymisierte Übersicht deiner Datenarten und ihrer Beziehungen. Echte Risikolisten, Zugangsdaten oder vertrauliche Belege brauchst du dafür nicht öffentlich hochzuladen.

Dein erster Schritt

Wähle eine Risikoliste, einen Maßnahmenplan und eine kleine Auswahl zugehöriger Belege. Lege den führenden Stand fest und fülle die Mapping-Tabelle für diese Kette aus. Wenn dein Team anschließend denselben Zusammenhang im Ziel nachvollziehen und weiterbearbeiten kann, hast du eine belastbare Grundlage für die nächste Übernahme.