ISO 27001 für Chemie und Pharma

Rezepturen, Syntheseverfahren und Studiendaten sind das Kapital eines Chemie- oder Pharmaunternehmens. Wer sie verarbeitet, etwa als Lohnhersteller, als Zulieferer von Zwischenprodukten oder als Dienstleister für Labor und Logistik, erhält von Grosskunden Lieferantenfragebogen zur Informationssicherheit. Darin steht die Frage, ob ein ISMS nach ISO 27001 besteht.

Der Einkauf will nicht jeden Lieferanten einzeln prüfen. Ein Zertifikat mit Nummer und öffentlicher Prüfseite ersetzt viele Rückfragen zu Zugriffsrechten, Backups und Meldewegen bei Vorfällen. In Ausschreibungen kann es als Eignungsnachweis verlangt werden. Fehlt es, bleibt im Angebot ein Punkt offen.

Auch Forschungspartner und Auftraggeber, die Ihnen Daten übergeben, fragen danach. Sie müssen gegenüber ihren eigenen Kunden belegen können, dass die Daten bei Ihnen geschützt sind.

• ISO 27001 im Überblick

Die Norm verlangt keine feste Liste. Sie bestimmen selbst, welche Informationen für Ihr Unternehmen kritisch sind. In dieser Branche kehren einige Kategorien immer wieder.

Rezepturen und Syntheseverfahren

Das Wissen, das ein Produkt von einem Nachahmer unterscheidet. Ein Abfluss an Wettbewerber oder an einen Auftraggeber ohne Berechtigung wiegt schwer.

Chargendokumentation

Aufzeichnungen zu Rohstoffen, Prozessparametern und Freigaben einer Charge. Hier zählt die Integrität: Nachträglich veränderte Einträge machen eine Charge unbrauchbar.

Laborinformationssystem

Messwerte, Prüfergebnisse und Proben-Zuordnungen. Fällt das System aus, stehen Freigaben still.

Produktionsleitsystem

Steuerung von Reaktoren, Abfüllung und Anlagen. Es soll vom Büronetz getrennt sein, damit ein Schadprogramm im E-Mail-Postfach nicht bis zur Anlage durchschlägt.

Studien- und Prüfdaten

Ergebnisse aus Versuchen und Prüfungen, die Sie für Partner erheben oder von ihnen erhalten. Vertraulichkeit und Nachvollziehbarkeit sind vertraglich vereinbart.

Zugänge von Lieferanten und Wartungsfirmen

Fernwartung an Anlagen und Geräten ist bequem und ein häufiger Angriffsweg. Jeder Zugang braucht einen Verantwortlichen und eine Protokollierung.

ISO 27001:2022 folgt der gemeinsamen Gliederung der ISO-Managementnormen. Der Kern ist die Risikobewertung nach Kapitel 6. Aus ihr ergibt sich, welche Kontrollen aus Anhang A Sie umsetzen und welche nicht. Die Ausgabe 2022 hat diese Kontrollen überarbeitet, unter anderem für Cloud-Dienste, Datenschutz und Cyberrisiken.

Die folgenden Beispiele zeigen, wie ein mittelgrosser Hersteller von Spezialchemikalien oder Wirkstoffen vorgehen kann. Sie sind Illustrationen, keine Kundenberichte.

1. 01

   Prozesse auflisten, dann bewerten

   Vom Auftragseingang über Rezeptur, Produktion und Prüfung bis zur Auslieferung wird jeder Schritt mit den beteiligten Informationen erfasst. Für jede Information wird festgehalten, ob Vertraulichkeit, Integrität oder Verfügbarkeit überwiegt.

2. 02

   Rezepturen in einem geschützten Bereich ablegen

   Nur Forschung und Produktionsleitung haben Zugriff. Die Berechtigungen werden regelmässig durchgesehen, und wer die Abteilung wechselt, verliert den Zugang.

3. 03

   Produktionsnetz vom Büronetz trennen

   Ein Übergang mit klaren Regeln ersetzt die offene Verbindung. Fernwartung durch den Anlagenbauer wird einzeln freigegeben und protokolliert.

4. 04

   Lieferanten vertraglich einbinden

   Wer Zugang zu Systemen oder Daten hat, unterschreibt Vertraulichkeits- und Sicherheitsregeln. Die Liste dieser Dienstleister ist aktuell und hat einen Verantwortlichen.

5. 05

   Schulung an der Arbeit ausrichten

   Für Büro, Labor und Produktion gibt es je eine kurze Unterweisung mit Beispielen aus dem eigenen Umfeld. Die Teilnahme wird festgehalten.

6. 06

   Vorfälle melden und auswerten

   Ein verlorenes Notebook, ein falsch versendeter Prüfbericht oder ein Anlagenstillstand durch Schadsoftware kommt in dasselbe Register. Einmal pro Jahr wird ausgewertet, welche Massnahmen daraus folgen.

Sie beantworten online 48 Ja/Nein-Fragen zu ISO 27001:2022. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet sein. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten. Ein Konto brauchen Sie dafür nicht.

Das Zertifikat wird von der G6 Agency AG unter Lizenz von SICE (Swiss Institute of Certification and Education) ausgestellt. SICE prüft jede Selbstbeurteilung, bevor das Zertifikat entsteht. Nach bestandener Beurteilung und Zahlung erhalten Sie es innerhalb von 4 Stunden als PDF mit QR-Code. Ihr Kunde kann es über Nummer oder QR-Code auf der öffentlichen Prüfseite verifizieren.

Das Zertifikat kostet 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive der jährlichen Online-Rezertifizierung. Es gilt 3 Jahre. Das Abonnement verlängert sich automatisch und lässt sich im Kundenkonto jederzeit bis zum Ende des laufenden Jahres kündigen. Dann endet das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MWST enthalten. Wer zwei Normen kombiniert, erhält 20% Rabatt, ab drei Normen 30%, auch auf die jährliche Gebühr.

• Selbstbeurteilung kostenlos starten
• Preise ansehen
• Standardseite ISO 27001

Sie legen den Geltungsbereich Ihres ISMS fest: ein Standort, ein Geschäftsbereich oder das ganze Unternehmen. Ein Lohnhersteller mit eigener IT für die Auftragsabwicklung wird den Bereich anders abgrenzen als ein Labor, das vor allem Daten für Partner verarbeitet. Formulieren Sie ihn so, dass er zu dem passt, was Ihr Kunde schützen lassen will.

ISO 27001 betrifft die Informationssicherheit. Qualitätsvorgaben für Herstellung und Freigabe von Produkten regelt sie nicht. Prüfen Sie ausserdem im Lieferantenfragebogen oder in den Ausschreibungsunterlagen, ob ein Vor-Ort-Audit durch eine Zertifizierungsstelle verlangt wird. Dann kommt die klassische Route in Frage. Wie sich die Wege unterscheiden, erklärt der Vergleich.

• Zertifizierungswege vergleichen
• ISO für KMU