ISO 27001:2022 Informationssicherheit
ISO 27001 für Bildung: Informationssicherheit nachweisen
Schulen, Weiterbildungsanbieter und Betreiber von Lernplattformen verwalten Teilnehmerdaten, Noten und Prüfungen. ISO 27001:2022 zeigt Auftraggebern, dass Sie diese Daten systematisch schützen. Mit Zertify beantworten Sie dazu 48 Fragen online, ohne Audit vor Ort.
01: Nachfrage
Warum Auftraggeber von Bildungsanbietern ISO 27001 verlangen
Ein Weiterbildungsanbieter, der Kurse für Firmenkunden durchführt, bekommt früher oder später einen Lieferantenfragebogen. Die Einkaufsabteilung will wissen, wo Teilnehmerlisten liegen, wer auf Beurteilungen zugreifen darf und was bei einem Datenverlust passiert.
Bei Ausschreibungen kann ein Sicherheitsnachweis im Anforderungskatalog stehen, besonders wenn eine Lernplattform oder ein Online-Kurs zum Angebot gehört. Auch Trägerschaften und Eltern privater Schulen fragen, wie die Daten von Minderjährigen geschützt werden.
Ein ISO-27001-Zertifikat beantwortet diese Fragen mit einem Dokument. Es trägt eine Nummer und einen QR-Code, über die der Empfänger es selbst prüfen kann.
02: Risiken
Welche Risiken ISO 27001 im Bildungsbetrieb abdeckt
Die Norm schreibt keine bestimmte Technik vor. Sie verlangt, dass Sie Ihre eigenen Risiken bewerten und die Kontrollen daran ausrichten. In Bildungsbetrieben wiederholen sich einige Schwachstellen.
- Teilnehmer- und Schülerdaten
- Anmeldungen, Kontaktdaten von Eltern, Absenzen und Förderberichte liegen in Excel-Listen und Mailpostfächern. Kontrollen zu Zugriffsrechten und Datenablage legen fest, wer was sieht.
- Noten und Prüfungsdaten
- Prüfungsfragen und Resultate müssen vertraulich und unverändert bleiben. Dafür sorgen eingeschränkte Zugriffe, Protokollierung und Datensicherung.
- Lernplattform in der Cloud
- Lernplattform, Videokonferenz und Dateiablage laufen bei externen Anbietern. Die Norm verlangt, diese Lieferanten zu bewerten und Cloud-Dienste kontrolliert einzusetzen.
- Dozierende mit eigenen Geräten
- Nebenamtliche Dozierende arbeiten mit privaten Laptops. Regeln zu Passwörtern, Mehrfaktor-Anmeldung und Gerätenutzung schliessen diese Lücke.
- Gastzugänge und Schulnetz
- Kursteilnehmende, Gäste und Mitarbeitende hängen im selben WLAN. Getrennte Netze und befristete Zugänge begrenzen den Schaden bei einem Missbrauch.
- Unterrichtsaufzeichnungen
- Videos von Lektionen enthalten Bild und Stimme von Lernenden. Sie legen fest, wie lange die Aufnahmen bleiben und wer sie abrufen darf.
03: Umsetzung
So erfüllt ein Bildungsanbieter die Kernanforderungen
Die sechs Kernanforderungen von ISO 27001 lassen sich im Schulalltag konkret machen. Die Tabelle zeigt je ein Beispiel.
| Anforderung | Beispiel Bildungsanbieter |
|---|---|
| Informationssicherheitsrisiken bewerten | Die Schulleitung listet alle Systeme mit Teilnehmerdaten auf und bewertet, was bei Verlust oder Missbrauch geschieht. |
| Sicherheitspolitik und Ziele festlegen | Eine Seite hält fest: Teilnehmerdaten nur für Berechtigte, Prüfungsdaten nur mit Protokoll, keine unverschlüsselten Datenträger. |
| Kontrollen aus Anhang A umsetzen | Mehrfaktor-Anmeldung für Lernplattform und Mail, getrennte Rollen für Sekretariat, Dozierende und Lernende, regelmässige Datensicherung. |
| Erklärung zur Anwendbarkeit erstellen | Pro Kontrolle steht, ob sie gilt und warum. Die Kontrolle zu Cloud-Diensten gilt, weil die Lernplattform extern betrieben wird. |
| Mitarbeitende sensibilisieren und schulen | Neue Dozierende erhalten vor dem ersten Kurs eine kurze Einführung, das Sekretariat übt den Umgang mit Phishing-Mails. |
| Sicherheitsvorfälle managen | Eine falsch versandte Teilnehmerliste wird gemeldet, dokumentiert und die Ursache behoben, etwa mit festen Mailvorlagen. |
Den grössten Aufwand verursacht die Planung nach Kapitel 6 der Norm. Der Anfang ist eine ehrliche Liste Ihrer Systeme und Datenarten.
04: Vorbereitung
Vier Schritte vor der Selbstbeurteilung
Wer diese Punkte vorab klärt, beantwortet die Fragen ohne Unterbruch.
Geltungsbereich festlegen
Zertifizieren Sie die ganze Schule oder nur das Online-Kursangebot? Halten Sie Standorte und Systeme fest, die dazugehören.
Systeme und Datenarten erfassen
Anmeldesystem, Lernplattform, Mail, Buchhaltung, Cloud-Speicher: Notieren Sie, welche Daten wo liegen.
Bestehende Regeln sammeln
Datenschutzerklärung, Passwortregeln, IT-Richtlinie für Dozierende und Verträge mit Anbietern existieren meist schon und zählen als Nachweis.
Verantwortliche benennen
Jemand entscheidet über Zugriffe, jemand nimmt Vorfälle entgegen. In einer kleinen Schule können Schulleitung und externe IT diese Rollen übernehmen.
05: Zertify
ISO 27001 für Bildung mit Zertify erwerben
Zertify führt Sie durch eine Selbstbeurteilung mit 48 Ja/Nein-Fragen zu ISO 27001:2022. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet sein. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten.
SICE prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird. Ausgestellt wird es von der G6 Agency AG unter Lizenz von SICE, 4 Stunden nach bestandener Beurteilung und Zahlung. Einen Audit vor Ort gibt es nicht. Ihre Auftraggeber prüfen das Zertifikat über Nummer oder QR-Code auf der öffentlichen Prüfseite.
Das Zertifikat kostet 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive jährlichem Online-Re-Audit. Es ist drei Jahre gültig und wird jedes Jahr durch dieses kurze Re-Audit bestätigt.
06: Einordnung
Wann das Online-Zertifikat genügt und wann nicht
Der klassische Weg mit Audit vor Ort durch eine Zertifizierungsstelle dauert länger und kostet mehr. Als grober Richtwert, der je nach Betriebsgrösse und Stelle stark schwankt, sind es mehrere Wochen bis Monate und Kosten im vier- bis fünfstelligen Frankenbereich.
Verlangt eine Ausschreibung ausdrücklich ein bestimmtes Zertifikat oder einen Audit vor Ort, steht das in den Unterlagen. Lesen Sie die Anforderung genau, bevor Sie sich für einen Weg entscheiden.
07: FAQ
Häufige Fragen zu ISO 27001 für Bildung
08: Ratgeber
Weiterführende Seiten
Informationssicherheit Ihres Bildungsbetriebs nachweisen
Beantworten Sie die 48 Fragen zu ISO 27001:2022 und sehen Sie sofort, ob Sie bestehen.
Kostenlos und ohne Registrierung