ISO 27017 Zertifikat: Cloud-Sicherheit nachweisen

Ein ISO-27017-Zertifikat belegt, dass Sie die Sicherheitsmassnahmen für Cloud-Dienste nach ISO 27017:2015 umgesetzt haben, als Anbieter eines Cloud-Dienstes oder als Unternehmen, das Cloud-Dienste einsetzt. Bei Zertify erhalten Sie es auf Basis einer Online-Selbstbeurteilung, ohne Vor-Ort-Audit.

Dieser Artikel erklärt, was der Standard inhaltlich verlangt, wer ihn braucht und wie Sie sich vorbereiten, bevor Sie die Beurteilung starten.

Was ist ISO 27017?

ISO 27017:2015 ist ein Leitfaden für Informationssicherheitsmassnahmen bei Cloud-Diensten. Er baut auf ISO 27002 auf, dem allgemeinen Katalog der Sicherheitsmassnahmen, und ergänzt ihn um Anforderungen, die sich erst durch die Cloud ergeben. Dazu gehören geteilte Verantwortung, virtuelle Umgebungen, mehrere Mandanten auf derselben Infrastruktur und der Umgang mit Daten, wenn ein Vertrag endet.

Der Standard richtet sich an zwei Seiten. Cloud-Anbieter erfahren, was sie ihren Kunden gegenüber absichern müssen. Cloud-Kunden erfahren, was sie selbst verantworten und worauf sie beim Anbieter achten sollten. Diese Doppelrolle ist der wichtigste Unterschied zu den meisten anderen Sicherheitsstandards.

Für wen lohnt sich das Zertifikat?

Am häufigsten fragen Software-Anbieter danach, die ihre Anwendung als Dienst im Internet betreiben. Dazu kommen Agenturen und Entwicklungsstudios, die für Kunden Systeme hosten oder betreuen, sowie IT-Dienstleister mit eigener Infrastruktur oder Managed Services.

Auch Unternehmen, die selbst nur Cloud-Dienste nutzen, können den Standard sinnvoll einsetzen. Wer Kundendaten in Microsoft 365, in einem CRM oder in einer Cloud-Buchhaltung ablegt, muss gegenüber seinen eigenen Kunden belegen können, dass er diese Dienste kontrolliert einsetzt. Für kleinere Firmen ist das ein realistischer Nachweis, weil er sich auf Ihre tatsächliche Cloud-Nutzung bezieht und nicht auf ein Rechenzentrum, das Sie gar nicht betreiben. Mehr dazu, wie Normen für kleinere Betriebe überhaupt sinnvoll sind, finden Sie in unserem Leitfaden zur ISO-Zertifizierung für KMU.

Typische Auslöser sind ein Lieferantenfragebogen mit der Zeile «Cloud-Sicherheit nach ISO 27017», eine Ausschreibung, in der der Einkauf einen Nachweis verlangt, oder ein Kundenaudit, bei dem Sie Ihre Cloud-Verantwortung dokumentieren müssen.

Welche Massnahmen kommen zu ISO 27002 hinzu?

ISO 27017 übernimmt die Massnahmen aus ISO 27002 und erweitert viele davon um Cloud-spezifische Hinweise. Zusätzlich führt er sieben neue Massnahmen ein:

• Rollen und Verantwortung: Wer verantwortet was zwischen Anbieter und Kunde? Das muss schriftlich geklärt sein.
• Rückgabe und Entfernung von Werten: Was passiert mit den Daten des Kunden, wenn der Vertrag endet?
• Trennung in virtuellen Umgebungen: Die Daten eines Kunden dürfen für andere Mandanten nicht erreichbar sein.
• Härtung virtueller Maschinen: Nur benötigte Dienste und Ports sind aktiv, Standardkonfigurationen sind angepasst.
• Betriebssicherheit für Administratoren: Administrative Tätigkeiten in der Cloud sind geregelt und nachvollziehbar.
• Überwachung von Cloud-Diensten: Der Kunde kann Aktivitäten in seiner Umgebung einsehen, der Anbieter überwacht seine Systeme.
• Abstimmung virtueller und physischer Netzwerke: Sicherheitsvorgaben gelten für beide Ebenen gleichermassen.

Sie müssen diese sieben nicht auswendig kennen. Entscheidend ist, dass Sie für jede eine belastbare Antwort haben, die zu Ihrem Betrieb passt.

Wie hängt ISO 27017 mit ISO 27001 zusammen?

ISO 27001 beschreibt ein Managementsystem für Informationssicherheit: Sie legen Ziele fest, bewerten Risiken, steuern Massnahmen und überprüfen sie. ISO 27017 ist dagegen ein Katalog konkreter Massnahmen für die Cloud. Beide ergänzen sich, ersetzen sich aber nicht.

Im klassischen Weg mit Vor-Ort-Audit durch eine Zertifizierungsstelle wird ISO 27017 meist zusammen mit einer ISO-27001-Zertifizierung geprüft. Wer nur den Cloud-Nachweis braucht und kein vollständiges Managementsystem aufbauen will, hat mit einem eigenständigen ISO-27017-Zertifikat einen schlankeren Einstieg. Ob später ein Ausbau Richtung ISO 27001 folgt, entscheiden Sie anhand der Anforderungen Ihrer Kunden.

Welche Wege zum Zertifikat gibt es?

Es gibt zwei Wege, und sie unterscheiden sich im Aufwand, nicht im Inhalt der Fragen.

Der klassische Weg läuft über eine Zertifizierungsstelle mit Vor-Ort-Audit. Ein Auditor besucht Ihr Unternehmen, prüft Unterlagen und befragt Mitarbeitende. Das bindet über Wochen Personal und braucht eine Terminplanung mit der Stelle.

Der Weg über Zertify beruht auf einer Online-Selbstbeurteilung. Sie beantworten die Fragen zu Ihrem Cloud-Einsatz selbst und belegen Ihre Angaben. Ein Mitglied des SICE Certification Board prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird. Wie das Verfahren im Einzelnen aufgebaut ist, lesen Sie in unserem Beitrag zur ISO-Zertifizierung ohne Audit.

Welcher Weg passt, hängt davon ab, was Ihr Kunde oder Ihre Ausschreibung verlangt. Fragen Sie im Zweifel beim Einkauf nach, bevor Sie sich entscheiden.

Checkliste: So bereiten Sie sich vor

Mit diesen Punkten sind Sie gut aufgestellt, bevor Sie die Beurteilung starten:

• Liste aller Cloud-Dienste, die Sie betreiben oder einsetzen, mit dem jeweiligen Zweck
• Verträge und Datenverarbeitungsvereinbarungen mit Ihren Cloud-Anbietern gesammelt
• Klare Aufteilung der Verantwortung: Was liegt beim Anbieter, was bei Ihnen?
• Dokumentiert, wie Kundendaten nach Vertragsende zurückgegeben oder gelöscht werden
• Regel für administrative Zugänge: wer, mit welchem Konto, mit Mehrfaktor-Anmeldung
• Nachweis, dass Mandanten oder Kundenumgebungen voneinander getrennt sind
• Standardkonfigurationen virtueller Maschinen oder Container angepasst und festgehalten
• Protokollierung und Überwachung eingerichtet, inklusive Zuständigkeit für Meldungen
• Ansprechperson für Informationssicherheit im Unternehmen benannt
• Ablauf für Sicherheitsvorfälle schriftlich festgehalten, auch für Meldungen an Kunden

Haben Sie bei einem Punkt noch keine Antwort, ist das kein Ausschlusskriterium. Schliessen Sie die Lücke vor der Beurteilung. Das ist günstiger, als sie später im Kundenaudit zu entdecken.

Was Sie mit dem Zertifikat im Alltag anfangen

Im Lieferantenfragebogen ersetzen Sie lange Freitextantworten durch einen Verweis auf das Zertifikat. In Offerten und Ausschreibungen legen Sie es als Anhang bei. Der Einkauf Ihres Kunden kann es über den QR-Code auf dem PDF direkt auf der Verifikationsseite prüfen, ohne bei Ihnen nachzufragen.

Das spart Rückfragen, ersetzt aber keine vertraglichen Zusagen. Wenn ein Kunde zusätzlich ein eigenes Audit verlangt, bleibt dieses Recht bestehen. Das Zertifikat liefert dann die Grundlage und verkürzt das Gespräch.

Wie Zertify zu ISO 27017 passt

Die Seite zum Standard finden Sie unter ISO 27017. Dort sehen Sie, wie die Beurteilung aufgebaut ist und welche Themen sie abdeckt. Die Preisstruktur ist unter Preise beschrieben.

Das Zertifikat wird von der G6 Agency AG unter Lizenz von SICE ausgestellt. Es ist drei Jahre gültig und wird jährlich mit einem kurzen Online-Re-Audit bestätigt. Dafür fällt ein jährliches Abonnement an, es handelt sich also nicht um einen einmaligen Kauf. Nach bestandener Beurteilung und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden.

Wenn Sie wissen möchten, wo Sie stehen, können Sie die Beurteilung direkt starten. Halten Sie vorher Ihre Verträge mit den Cloud-Anbietern und die Checkliste oben bereit.

Häufige Fehler bei der Vorbereitung

Der häufigste Fehler ist, die Verantwortung vollständig beim Cloud-Anbieter zu sehen. Auch bei einem grossen Anbieter bleiben Zugriffsrechte, Konfiguration und Datenklassifizierung bei Ihnen. ISO 27017 verlangt, dass Sie diese Aufteilung kennen und festhalten.

Ein zweiter Fehler betrifft das Vertragsende. Viele Firmen regeln den Einstieg sorgfältig und vergessen den Ausstieg. Wer Kundendaten hostet, muss belegen können, wie diese zurückgegeben und anschliessend gelöscht werden.

Drittens fehlt oft die Nachvollziehbarkeit administrativer Tätigkeiten. Gemeinsam genutzte Admin-Konten ohne Protokoll fallen bei jeder Prüfung auf, ob online oder vor Ort. Persönliche Konten mit Mehrfaktor-Anmeldung lösen das Problem meist in wenigen Stunden.

Viertens: Die Angaben in der Beurteilung müssen zum Betrieb passen. Wer Massnahmen beschreibt, die im Alltag nicht gelebt werden, scheitert spätestens beim nächsten Kundenaudit. Beschreiben Sie, was Sie tatsächlich tun, und beheben Sie Lücken, bevor Sie sie als erfüllt angeben.