ISO/IEC 27001 – Informationssicherheit
ISO 27001 ist die Norm, nach der am häufigsten gefragt wird – und die einzige, bei der ein fehlender Nachweis Ihnen den Auftrag kosten kann, bevor Sie über den Preis reden. Sie beschreibt ein Informationssicherheits-Managementsystem (ISMS): wie Sie Risiken für Ihre Daten erkennen, behandeln und nachweisbar unter Kontrolle halten.
Bei dieser Norm ist der Druck selten intern. Er kommt von außen – und meist kurzfristig, wenn ein Vertrag ansteht.
Was gefragt wird
Sicherheitsfragebögen mit oft über hundert Positionen: Zugriffsrechte, Verschlüsselung, Backups, Notfallplan, Subunternehmer. Vor jedem Rahmenvertrag, bei jedem Konzernkunden neu.
Was das Zertifikat leistet
Viele Einkaufsorganisationen akzeptieren das Zertifikat mitsamt Anwendungsbereich und Erklärung zur Anwendbarkeit als Ersatz für den eigenen Fragebogen – oder kürzen ihn auf wenige Zusatzfragen.
Was gefragt wird
Vor Abschluss und bei jeder Verlängerung: Wie steuern Sie privilegierte Zugriffe, Patches, Backups und Vorfälle? Falsche Angaben können im Schadensfall den Versicherungsschutz kosten.
Was das Zertifikat leistet
Sie liefern extern geprüfte Angaben statt Selbstauskunft. Bei kritischen Risiken entscheidet der Nachweis häufig nicht über die Prämie, sondern über die Versicherbarkeit überhaupt.
Was gefragt wird
Unternehmen, die selbst unter NIS-2 fallen, müssen die Sicherheit ihrer Lieferkette steuern. Diese Pflicht geben sie vertraglich an Sie weiter – auch wenn Sie selbst nicht betroffen sind.
Was das Zertifikat leistet
Ein zertifiziertes ISMS ist die Sprache, in der diese Anforderung beantwortet wird. Ohne Nachweis werden Sie zum Risiko, das der Kunde dokumentieren muss – oder ersetzt.
Was gefragt wird
Nach einem Vorfall: Welche technischen und organisatorischen Maßnahmen waren getroffen? Waren sie angemessen? Wann haben Sie das zuletzt überprüft?
Was das Zertifikat leistet
Ein ISMS erzeugt genau diese Belege im laufenden Betrieb, datiert und nachvollziehbar. Nach Art. 32 DSGVO ist die Angemessenheit der Maßnahmen nachzuweisen – nicht zu behaupten.
Was gefragt wird
In IT-nahen Vergabeverfahren zunehmend als Eignungsnachweis gefordert, teils als Zuschlagskriterium gewichtet.
Was das Zertifikat leistet
Der Nachweis liegt bei Angebotsabgabe vor. Ein „gleichwertiger Nachweis“ ist zulässig, muss aber begründet und geprüft werden – das kostet Zeit, die Sie im Verfahren nicht haben.
Was gefragt wird
Nach dem ersten ernsten Vorfall: Was ist eigentlich alles an uns angebunden? Wer darf worauf zugreifen? Wann haben wir das letzte Mal ein Backup zurückgespielt?
Was das Zertifikat leistet
Die Norm erzwingt ein Verzeichnis der Werte, eine Risikobewertung und regelmäßige Wirksamkeitsprüfungen. Die meisten Unternehmen erfahren dabei zum ersten Mal, was sie tatsächlich betreiben.
ISO 27001 schreibt Ihnen keine Technik vor. Sie schreibt vor, dass Sie wissen, was Sie schützen, wovor, und wie Sie das überprüfen.
Welche Informationen, Systeme und Dienstleister sind für Ihr Geschäft wesentlich? Hier scheitern die meisten Projekte im ersten Monat – nicht an der Norm, sondern daran, dass niemand die vollständige Liste hat. Schatten-IT, Altsysteme und Cloud-Dienste ohne Vertrag kommen genau hier ans Licht.
Zu jedem Wert: Was kann passieren, wie wahrscheinlich, wie schwer? Und dann die unbequeme Entscheidung – vermeiden, vermindern, übertragen oder bewusst akzeptieren. Akzeptierte Risiken sind erlaubt. Unbemerkte nicht.
Für jede der Maßnahmen aus Anhang A: angewendet oder begründet ausgeschlossen. Dieses Dokument ist in der Praxis das, was Ihr Kunde im Assessment tatsächlich lesen will – wichtiger als das Zertifikat selbst.
Interne Audits, Kennzahlen, Vorfallbehandlung, Managementbewertung. Die Norm fragt nicht, ob Sie eine Backup-Richtlinie haben, sondern wann Sie zuletzt eine Wiederherstellung getestet haben – und was dabei herauskam.
Klartext
Bei keiner anderen Norm wird so viel hineininterpretiert. Deshalb hier die Grenzen, bevor Sie investieren.
Es macht Sie nicht sicher
Zertifizierte Unternehmen werden gehackt. Das Zertifikat bestätigt ein funktionierendes Managementsystem, keine Unverwundbarkeit. Der Unterschied zeigt sich danach: ob der Vorfall erkannt, eingegrenzt, dokumentiert und abgestellt wird – oder ob er sich in sechs Monaten wiederholt.
Es ersetzt keine DSGVO-Konformität
ISO 27001 schützt Informationen. Die DSGVO schützt Personen. Das überschneidet sich stark bei den technischen und organisatorischen Maßnahmen, deckt aber Rechtsgrundlagen, Betroffenenrechte und Verarbeitungsverzeichnis nicht ab. Wer beides braucht, baut beides.
Der Anwendungsbereich entscheidet alles
Ein Zertifikat, das nur ein Rechenzentrum oder eine Abteilung umfasst, ist gültig – und für Ihren Kunden oft wertlos. Genau das prüfen erfahrene Einkaufsorganisationen zuerst. Ein zu eng gefasster Geltungsbereich spart Geld und kostet den Auftrag.
Es funktioniert nicht als Projekt
Ein ISMS, das zum Audit aktiviert und danach wieder eingemottet wird, fällt spätestens im ersten Überwachungsaudit auf – und vorher schon Ihrer IT. Wenn niemand bei Ihnen die Rolle dauerhaft übernehmen kann, sprechen Sie mit uns lieber über einen externen ISB als über ein Zertifikat.
Nein, die Rollen sind verschieden. Der Datenschutzbeauftragte überwacht die Verarbeitung personenbezogener Daten. Das ISMS schützt alle geschäftskritischen Informationen – auch Konstruktionsdaten, Kalkulationen und Verträge, die keinen Personenbezug haben. In der Praxis ergänzen sich beide Rollen und teilen sich viele Nachweise.
Den, nach dem Ihr wichtigster Kunde fragt. Wir gehen im Erstgespräch die konkreten Verträge und Fragebögen durch, aus denen die Anforderung stammt. Der Geltungsbereich wird daraus abgeleitet – nicht aus dem Organigramm.
Ja, und es ist eher einfacher. Sie verantworten nicht die Sicherheit des Rechenzentrums, sondern Ihre Konfiguration, Ihre Zugriffsrechte und Ihre Dienstleistersteuerung. Genau das prüft die Norm. Die Zertifikate Ihrer Anbieter können Sie als Nachweis heranziehen – ersetzen aber Ihre eigene Risikobewertung nicht.
Ein Dokument, das für jede Maßnahme aus Anhang A festhält, ob Sie sie anwenden – und wenn nicht, warum nicht. Es ist das Dokument, das Ihre Kunden im Assessment anfordern. Wer es sauber führt, beantwortet damit die meisten Rückfragen, bevor sie gestellt werden.
Eine benannte verantwortliche Person brauchen Sie. Ob die intern sitzt oder wir den Informationssicherheitsbeauftragten stellen, entscheiden Sie. Was nicht funktioniert: niemanden zu benennen und zu hoffen, dass es nebenbei läuft.
Nein. Wir bauen das ISMS mit Ihnen auf und begleiten Sie durch das Audit. Geprüft und zertifiziert wird ausschließlich von einer unabhängigen akkreditierten Zertifizierungsstelle. Diese Trennung ist vorgeschrieben – und der Grund, warum das Zertifikat überhaupt Gewicht hat.
Dann ist das der beste Zeitpunkt. Im Erstgespräch gehen wir die konkrete Anforderung durch, klären den nötigen Anwendungsbereich und sagen Ihnen, was bei Ihnen bereits vorhanden ist. 30 Minuten, unverbindlich.
Gerne beraten wir Sie und beantworten all Ihre Fragen rund um die Themen Digitalisierung, Datenschutz und Blockchain.
