ISO 27001:2022 Informationssicherheitsmanagement
ISO 27001 für Energiebranche: Zertifikat online erhalten
Energieversorger, Netzbetreiber, Energiehändler und Anlagenbauer müssen gegenüber Kunden und Partnern belegen, wie sie Daten und Systeme schützen. ISO 27001 ist der Nachweis, den Einkaufsabteilungen und Ausschreibungen dafür verlangen. Mit Zertify erhalten Sie das Zertifikat über eine Online-Selbstbeurteilung, ohne Vor-Ort-Audit.
01: Nachfrage
Warum fragen Kunden und Ausschreibungen in der Energiebranche nach ISO 27001?
Ein Stadtwerk, ein Installationsbetrieb für Photovoltaik oder ein Energiehändler verwaltet Kundendaten, Verbrauchswerte und Zugänge zu Anlagen. Grössere Kunden fragen deshalb im Lieferantenfragebogen, ob ein Informationssicherheits-Managementsystem (ISMS) besteht und ob es belegt werden kann.
In Ausschreibungen erscheint ISO 27001 als Eignungsnachweis oder als Pluspunkt in der Bewertung. Partner, die Ihre Systeme anbinden, etwa ein Messdienstleister oder ein Betreiber von Ladeinfrastruktur, wollen wissen, wie Sie Zugänge regeln und Vorfälle behandeln. Ein Zertifikat mit Nummer und QR-Code beantwortet diese Fragen, bevor sie gestellt werden.
ISO 27001 ist ein freiwilliger Standard. Ob für Ihr Unternehmen zusätzlich gesetzliche oder vertragliche Vorgaben gelten, klären Sie separat. Das Zertifikat ersetzt solche Vorgaben nicht, es zeigt aber, dass Ihre Informationssicherheit systematisch geführt wird.
02: Risiken
Welche Risiken der Energiebranche behandelt ISO 27001?
Der Kern des Standards ist die Risikobewertung. Sie legen fest, welche Informationen und Systeme für Ihren Betrieb kritisch sind, und wählen daraufhin die Kontrollen aus Anhang A. Die Ausgabe 2022 hat diese Kontrollen unter anderem für Cloud-Dienste, Datenschutz und Cyberrisiken überarbeitet. In der Energiebranche stehen diese Punkte meist im Vordergrund:
- Fernwartung von Anlagen
- Servicetechniker und Hersteller greifen aus der Ferne auf Wechselrichter, Steuerungen oder Pumpen zu. Der Standard verlangt geregelte Zugänge, Protokollierung und klare Vereinbarungen mit Lieferanten.
- Verbrauchs- und Kundendaten
- Zählerdaten lassen Rückschlüsse auf Gewohnheiten und Anwesenheit zu. Die Risikobewertung entscheidet über Zugriffsrechte, Verschlüsselung und Aufbewahrung.
- Leit- und Steuerungssysteme
- Netzleitstelle, Gebäudeleittechnik oder Anlagensteuerung sollten von der Büro-IT getrennt sein. Änderungen und Updates laufen kontrolliert ab.
- Handels- und Abrechnungssysteme
- Fahrpläne, Preise und Rechnungen müssen korrekt und verfügbar sein. Ein manipulierter Datensatz kostet hier schnell Geld.
- Cloud-Dienste von Dienstleistern
- Kundenportal, App und Abrechnungssoftware laufen oft bei Dritten. Der Standard verlangt, dass Sie diese Anbieter bewerten und vertraglich einbinden.
- Ausfall und Wiederanlauf
- Verschlüsselte Server oder ein ausgefallenes Portal legen den Betrieb lahm. Vorfallmanagement und Wiederanlaufplanung legen fest, wer was in welcher Reihenfolge tut.
03: Umsetzung
Wie erfüllt ein Energieunternehmen die Anforderungen in der Praxis?
Der Standard folgt der bekannten Struktur der ISO-Managementsysteme: Kontext (Kapitel 4), Führung (5), Planung (6), Unterstützung (7), Betrieb (8), Bewertung (9) und Verbesserung (10). Die Tabelle zeigt, wie sich die Kernanforderungen in einem Betrieb mit 30 bis 150 Mitarbeitenden konkret ausgestalten können.
| Anforderung | Beispiel im Energieunternehmen |
|---|---|
| Risiken bewerten | Eine Liste der Systeme mit Eintrittswahrscheinlichkeit und Schaden, vom Kundenportal bis zur Fernsteuerung der Anlagen. |
| Sicherheitspolitik und Ziele festlegen | Die Geschäftsleitung unterzeichnet eine Politik und setzt Ziele, zum Beispiel Wiederanlauf der Abrechnung innerhalb eines Arbeitstags. |
| Kontrollen aus Anhang A umsetzen | Zwei-Faktor-Anmeldung für Fernzugriffe, getrennte Netze für Steuerung und Büro, Backups mit Wiederherstellungstest. |
| Erklärung zur Anwendbarkeit erstellen | Ein Dokument, das pro Kontrolle festhält, ob sie gilt und warum. Nicht relevante Kontrollen werden begründet ausgeschlossen. |
| Mitarbeitende schulen | Kurze Schulung für Disposition, Kundendienst und Monteure zu Phishing, Passwörtern und dem Umgang mit Kundendaten. |
| Vorfälle managen und lernen | Ein Meldeweg für verdächtige Mails oder Anlagenstörungen, ein Protokoll und eine Besprechung der Ursache nach jedem Vorfall. |
Vieles davon existiert in Betrieben dieser Branche bereits, nur nicht dokumentiert. Die Selbstbeurteilung zeigt, wo die Dokumentation noch fehlt.
04: Mit Zertify
Wie kommen Sie mit Zertify zum Zertifikat für die Energiebranche?
Zertify führt Sie durch eine Selbstbeurteilung mit 48 Ja/Nein-Fragen zu ISO 27001:2022. Sie benötigen dafür kein Konto. Das Zertifikat wird von G6 Agency AG in Lizenz von SICE (Swiss Institute of Certification and Education) ausgestellt. SICE prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird.
Fragen beantworten
Die Selbstbeurteilung ist kostenlos. Gehen Sie sie mit dem Verantwortlichen für IT oder Qualität durch.
Bestehen
13 der 48 Fragen sind zwingende Anforderungen des Standards und müssen alle mit Ja beantwortet sein. Von den übrigen 35 Fragen braucht es mindestens 24 Ja-Antworten.
Zertifikat erhalten
Nach bestandener Beurteilung und Zahlung liegt das Zertifikat innerhalb von 4 Stunden vor, als PDF mit QR-Code.
Nachweis führen
Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code verifizieren. Ihr Kunde oder die Vergabestelle prüft es ohne Rückfrage bei Ihnen.
05: Kosten
Was kostet das Zertifikat und worin unterscheidet es sich vom klassischen Weg?
Das Zertifikat kostet 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive jährlichem Online-Re-Audit. Es ist 3 Jahre gültig und wird jedes Jahr durch das kurze Online-Re-Audit bestätigt. Die Jahresgebühr wird automatisch abgebucht. Sie können im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen, danach endet das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1 % Mehrwertsteuer enthalten.
Beim klassischen Weg prüft eine Zertifizierungsstelle Ihren Betrieb bei einem Audit vor Ort. Das bedeutet Terminabstimmung, Reisetage und Berichte. Zertify arbeitet ohne Vor-Ort-Audit, die Grundlage ist Ihre Online-Selbstbeurteilung. Welcher Weg zu Ihrer Ausschreibung passt, entnehmen Sie den Nachweisanforderungen in den Unterlagen.
Energieunternehmen führen oft mehrere Standards, etwa ISO 50001 für das Energiemanagement oder ISO 14001 für das Umweltmanagement. Bei zwei Standards gilt ein Rabatt von 20 %, bei drei oder mehr von 30 %, auch auf die Jahresgebühr.
06: FAQ
Häufige Fragen zu ISO 27001 in der Energiebranche
07: Leitfaden
Weitere Seiten
Prüfen Sie, ob Ihr Betrieb ISO 27001 erfüllt
Beantworten Sie die 48 Fragen und sehen Sie, wo Ihr Informationssicherheitsmanagement heute steht.
Kostenlos und ohne Registrierung.