ISO 27001 für Dienstleister: der Nachweis, den Einkauf und Ausschreibung verlangen

Ein Treuhänder sieht die Buchhaltung seiner Kunden. Eine Agentur kennt Kampagnen vor dem Launch. Ein IT-Supportteam arbeitet mit Adminrechten auf fremden Systemen. Der Einkauf des Kunden weiss das und schickt vor der Auftragsvergabe einen Lieferantenfragebogen.

Viele dieser Fragebogen verlangen einen Nachweis für Informationssicherheit. In Ausschreibungen erscheint ISO 27001 als Eignungskriterium oder als Pluspunkt in der Bewertung. Ohne Zertifikat beantworten Sie jede Frage einzeln und legen Richtlinien offen, bei jedem Kunden von Neuem.

Hinzu kommt das Kundenaudit. Grössere Auftraggeber müssen ihre Lieferkette selbst gegenüber Dritten absichern und reichen die Anforderungen an Sie weiter. Ein Zertifikat mit Nummer und Prüfseite ersetzt viele dieser Rückfragen durch einen Link.

• Alles zum Standard ISO 27001

ISO 27001 beginnt mit der Risikobewertung. Für Dienstleister liegen die Risiken selten im Rechenzentrum, sondern in der täglichen Arbeit mit fremden Daten.

Fernzugriff auf Kundensysteme

Ihre Mitarbeitenden melden sich per VPN oder Fernwartung bei Kunden an. Zu klären ist, wer welche Zugänge hat, wie sie vergeben werden und wann sie enden.

Kundendaten auf Laptops und in Cloud-Ordnern

Projektdateien liegen auf Notebooks, in geteilten Ordnern und in Chat-Anhängen. Verschlüsselung, Ablageregeln und Löschfristen gehören dazu.

Freelancer und Subunternehmer

Wer Aufträge weitergibt, gibt auch Daten weiter. Der Standard verlangt vertragliche Regeln und Kontrolle über diese Lieferanten.

Wechsel zwischen Projekten

Eine Beraterin verlässt ein Mandat, behält aber den Zugriff auf den Projektordner. Zugriffsrechte müssen mit der Rolle mitwandern oder erlöschen.

Ticketsysteme und Postfächer

Supportanfragen enthalten Passwörter, Screenshots und Vertragsdetails. Wer sie lesen darf und wie lange sie gespeichert bleiben, ist festzulegen.

Phishing gegen Mitarbeitende

Gefälschte Rechnungen und Kundenmails zielen auf den Posteingang. Schulung und ein klarer Meldeweg senken das Risiko.

Die Norm verlangt keine Grossorganisation. Ein Büro mit fünfzehn Personen erfüllt die Anforderungen mit den Mitteln, die es hat. Entscheidend ist, dass die Punkte belegt sind.

1. 01

   Risiken bewerten

   Sie listen Ihre Informationswerte auf, etwa Kundendossiers, Zugangsdaten und Quellcode, und schätzen Eintrittswahrscheinlichkeit und Schaden ein. Eine Tabelle genügt, wenn sie gepflegt wird (Klausel 6, Planung).

2. 02

   Politik und Ziele festlegen

   Die Geschäftsleitung unterschreibt eine kurze Sicherheitspolitik. Ein Ziel kann lauten: Zugänge ausgeschiedener Mitarbeitender sind am letzten Arbeitstag gesperrt (Klausel 5, Führung).

3. 03

   Kontrollen aus Anhang A umsetzen

   Aus der Risikobewertung folgt die Auswahl: Mehrfaktor-Anmeldung für Fernzugriffe, Geräteverschlüsselung, Backup, Regeln für Lieferanten. Jede Kontrolle hat eine verantwortliche Person (Klausel 8, Betrieb).

4. 04

   Erklärung zur Anwendbarkeit erstellen

   In der SoA halten Sie fest, welche Kontrollen gelten und warum. Eine Kontrolle zur Entwicklung eigener Software darf entfallen, wenn Sie keine entwickeln, mit Begründung.

5. 05

   Mitarbeitende schulen

   Neue Mitarbeitende erhalten eine Einführung, alle jährlich eine Auffrischung, zum Beispiel mit einer simulierten Phishing-Mail (Klausel 7, Unterstützung).

6. 06

   Vorfälle managen und lernen

   Ein verlorenes Notebook oder eine falsch adressierte Mail wird erfasst, bewertet und abgeschlossen. Die Korrektur fliesst in die Risikobewertung zurück (Klausel 10, Verbesserung).

Die Gewichtung hängt von der Art der Dienstleistung ab. Die folgende Tabelle zeigt Beispiele, keine feste Vorgabe. Welche Kontrollen Sie umsetzen, bestimmt Ihre eigene Risikobewertung.

Sie beantworten online 48 Ja/Nein-Fragen zu ISO 27001:2022. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet sein. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten. Ein Konto ist für den Kauf nicht nötig.

Das Zertifikat stellt die G6 Agency AG im Rahmen einer Lizenz von SICE (Swiss Institute of Certification and Education) aus. SICE prüft jede Selbstbewertung, bevor das Zertifikat ausgestellt wird. Nach bestandener Prüfung und Zahlung liegt das PDF innerhalb von 4 Stunden vor. Es trägt eine Nummer und einen QR-Code, über die Ihr Kunde das Zertifikat auf einer öffentlichen Prüfseite verifiziert.

Der Preis beträgt 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive kurzem Online-Re-Audit. Das Zertifikat ist 3 Jahre gültig. Die Abrechnung läuft als jährliches Abonnement, das Sie im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen können. Danach endet das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und Liechtenstein enthalten die Preise 8,1 % MwSt.

Zertify ersetzt kein Audit vor Ort durch eine Zertifizierungsstelle. Verlangt eine Ausschreibung ausdrücklich diesen Weg, hilft der Vergleich der Zertifizierungswege bei der Entscheidung.

• Kostenlose Selbstbewertung starten
• Preise und Abo im Detail
• Zertifizierungswege vergleichen