Ein normativer Anhang gehört zum Anforderungsteil einer Norm. Was dort steht, ist genauso verbindlich wie der Haupttext und kann im Audit eine Abweichung begründen. Das unterscheidet ihn vom informativen Anhang, der nur erläutert.
Woran Sie ihn erkennen
Die Kennzeichnung steht direkt in der Anhangsüberschrift: „Anhang A (normativ)” oder „Anhang A (informativ)”. Zusätzlich verweist der Anwendungsbereich in Kapitel 1 auf verbindliche Anhänge. Anhänge werden alphabetisch durchnummeriert, und die Reihenfolge sagt nichts über die Verbindlichkeit aus. Eine Norm kann einen normativen Anhang A und einen informativen Anhang B haben, oder umgekehrt.
Der zweite Hinweis ist die Sprache. Normativer Text arbeitet mit „muss”, informativer mit „sollte”, „kann” und Beispielen.
Das bekannteste Beispiel ist Anhang A der ISO/IEC 27001
Er enthält den Referenzsatz an Informationssicherheitsmaßnahmen: 93 Maßnahmen in vier Themenbereichen — 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Dieser Anhang ist normativ, funktioniert aber nicht als Pflichtliste zum Abhaken.
Der Mechanismus läuft über die Erklärung zur Anwendbarkeit. Ausgangspunkt ist die Risikobeurteilung. Aus ihr ergibt sich die Risikobehandlung, und erst danach wird gegen Anhang A abgeglichen, damit nichts Wesentliches übersehen wurde. Für jede der 93 Maßnahmen muss dokumentiert sein, ob sie angewendet wird, warum, und bei Ausschluss die Begründung.
Zwei Fehler treten dabei regelmäßig auf. Der erste ist der Ausschluss mit der Begründung „nicht zutreffend” ohne jeden Bezug zur Risikobeurteilung. Der zweite ist die Verwechslung mit ISO/IEC 27002: Diese Norm beschreibt dieselben Maßnahmen ausführlich, ist aber ein Leitfaden. Man kann sich nicht nach ISO/IEC 27002 zertifizieren lassen.
Der dritte Fehler betrifft die Pflege. Die Erklärung zur Anwendbarkeit ist ein lebendes Dokument. Wird ein Dienst ausgelagert, ein Standort geschlossen oder ein Verfahren neu eingeführt, ändern sich Anwendbarkeit und Begründung. In der Praxis wird sie einmal zur Zertifizierung erstellt und danach kaum angefasst. Das fällt spätestens im Überwachungsaudit auf, weil der Auditor sie gegen die aktuelle Risikobeurteilung hält.
Nicht jeder Anhang A ist normativ
Wer die Verbindlichkeit aus dem Buchstaben ableitet, liegt in den meisten Fällen falsch. Anhang A der ISO 9001 erläutert Struktur und Begriffe der Ausgabe 2015. Anhang A der ISO 45001 ist eine Anleitung zur Anwendung, die der Kapitelnummerierung des Haupttextes folgt. Beide sind informativ. Anhang A der ISO/IEC 27001 ist normativ. Derselbe Buchstabe, drei völlig verschiedene Rollen.
Was das im Audit bedeutet
Jede Auditfeststellung braucht eine benannte Anforderung. Ein normativer Anhang liefert sie, ein informativer nicht. Wenn ein Auditor eine Nichtkonformität auf eine Empfehlung aus einem informativen Anhang stützt, ist die sachliche Rückfrage nach dem Auditkriterium berechtigt.
Umgekehrt gilt: Wer Inhalte aus einem informativen Anhang in die eigene Verfahrensanweisung übernimmt, macht sie zum eigenen Maßstab. Dann sind sie verbindlich, nicht wegen der Norm, sondern wegen der eigenen Vorgabe.
Für die Auditvorbereitung folgt daraus eine einfache Regel: Beim Durchgehen der Norm gehört neben jede Anforderung die Angabe, wo sie steht. Haupttext oder normativer Anhang bedeutet Nachweispflicht. Informativer Anhang und Anmerkung bedeuten Verständnishilfe. Diese Unterscheidung spart Aufwand an Stellen, an denen viele Organisationen freiwillig Dokumente erzeugen, die niemand verlangt hat.