ISO 27001:2022 Informationssicherheitsmanagement
ISO 27001 für Finanzbranche: Zertifikat online erhalten
Banken, Vermögensverwalter und Fintechs müssen in Lieferantenfragebögen und Ausschreibungen belegen, wie sie Kundendaten schützen. Mit Zertify beantworten Sie 48 Ja/Nein-Fragen zu Ihrem Informationssicherheitsmanagement. Das Zertifikat liegt 4 Stunden nach bestandener Bewertung und Zahlung vor.
01: Nachfrage
Warum fragen Kunden und Partner in der Finanzbranche nach ISO 27001?
Finanzunternehmen verwalten Daten, die sich nicht ersetzen lassen: Kontostände, Portfolios, Identitätsnachweise, Zahlungsverkehr. Wer solche Daten an einen Dienstleister auslagert, will wissen, wie dieser sie schützt. Der Einkauf oder die Compliance-Abteilung schickt deshalb einen Lieferantenfragebogen. Eine der ersten Fragen lautet, ob ein ISO-27001-Zertifikat vorliegt.
Das gilt in beide Richtungen. Eine Bank prüft ihre Softwareanbieter. Ein Vermögensverwalter prüft den Cloud-Anbieter und die Schnittstelle zur Depotbank. Ein Treuhänder prüft seine Buchhaltungssoftware. Kleine Finanzdienstleister werden selbst zum Lieferanten, sobald sie für grössere Institute arbeiten. In einer Ausschreibung steht das Zertifikat dann als Eignungskriterium oder zählt in der Bewertung.
Ein Zertifikat beantwortet diese Standardfrage mit einer Nummer und einem Prüflink statt mit einem zehnseitigen Anhang.
02: Risiken
Welche Risiken der Finanzbranche deckt ISO 27001 ab?
Der Standard beginnt mit der Risikobewertung (Kapitel 6, Planung). Sie legen fest, welche Informationen Sie schützen, was ihnen zustossen kann und welche Kontrollen aus Anhang A Sie dagegen einsetzen. Für Finanzunternehmen ergeben sich daraus meist dieselben Schwerpunkte.
| Prozess | Typisches Risiko | Was ISO 27001 verlangt |
|---|---|---|
| Kundenaufnahme | Ausweiskopien und Kundendossiers gelangen an Unbefugte | Informationen klassifizieren, Zugriffe nach Rollen beschränken |
| Zahlungsverkehr | Gefälschte Zahlungsaufträge, manipulierte Mails an die Buchhaltung | Authentisierung und Freigabeprozesse, Mitarbeitende schulen |
| Portfolio- und Handelssysteme | Ausfall oder unbefugte Änderung von Daten | Änderungsmanagement, Datensicherung, Protokollierung |
| Auslagerung an Cloud und Dienstleister | Kundendaten liegen bei Dritten ohne klare Regeln | Lieferantenbeziehungen und Cloud-Dienste steuern |
| Homeoffice und mobile Geräte | Verlorenes Notebook mit Kundendaten | Geräterichtlinie, Verschlüsselung, Fernlöschung |
| Sicherheitsvorfälle | Phishing wird bemerkt, aber nicht gemeldet | Meldeweg festlegen, Vorfälle behandeln und auswerten |
Die Ausgabe 2022 hat die Kontrollen überarbeitet, unter anderem für Cloud-Dienste, Datenschutz und Cyberrisiken. Gerade die Cloud-Kontrollen betreffen Finanzunternehmen, die ihre Fachanwendungen nicht mehr selbst betreiben.
03: Begriffe
Begriffe aus ISO 27001 mit Beispielen aus der Finanzbranche
Die Sprache des Standards wirkt abstrakt. Mit Beispielen aus dem Alltag eines Finanzunternehmens wird sie greifbar.
- Informationswert
- Alles, was Schutz braucht: Kundendossiers, Portfoliodaten, Zahlungsdateien, Beratungsprotokolle, aber auch die Zugangsdaten zum E-Banking-Portal.
- Risikobewertung
- Die Einschätzung, wie wahrscheinlich ein Schaden ist und wie schwer er wäre. Beispiel: Ein gestohlenes Notebook eines Kundenberaters, auf dem Dossiers lokal gespeichert sind.
- Erklärung zur Anwendbarkeit (SoA)
- Die Liste aller Kontrollen aus Anhang A mit Begründung, ob Sie sie umsetzen. Ein Finanzunternehmen ohne eigenes Rechenzentrum begründet, warum physische Serverraum-Kontrollen entfallen.
- Zugriffssteuerung
- Wer was sehen und ändern darf. Die Assistenz sieht Termine, aber keine Vermögensübersichten. Die Freigabe von Zahlungen liegt bei zwei Personen.
- Lieferantenbeziehung
- Die vertraglich und organisatorisch geregelte Zusammenarbeit mit Dritten, die Ihre Daten verarbeiten, etwa Cloud-Anbieter, IT-Support oder Druckdienstleister für Kontoauszüge.
- Sicherheitsvorfall
- Ein Ereignis, das Vertraulichkeit, Integrität oder Verfügbarkeit verletzt. Beispiel: Eine Mail mit Kundenliste geht an die falsche Adresse.
04: Umsetzung
Wie ein Finanzunternehmen die Kernanforderungen erfüllt
Die sechs Kernanforderungen lassen sich mit überschaubarem Aufwand belegen, auch in einem Betrieb mit 15 Mitarbeitenden. Entscheidend ist, dass die Regeln schriftlich vorliegen und im Alltag gelten.
Risiken bewerten
Ein Vermögensverwalter listet seine Systeme auf: Kundenverwaltung, E-Mail, Cloud-Ablage, Schnittstelle zur Depotbank. Pro System hält er fest, was ausfallen oder abfliessen kann, und bewertet das Risiko.
Sicherheitspolitik und Ziele festlegen
Die Geschäftsleitung unterzeichnet eine kurze Politik. Ein Ziel kann lauten: Kein Zugriff auf Kundendaten ohne Zwei-Faktor-Anmeldung.
Kontrollen aus Anhang A umsetzen
Verschlüsselte Notebooks, regelmässige Datensicherung mit Wiederherstellungstest, getrennte Rollen für Erfassung und Freigabe von Zahlungen.
Erklärung zur Anwendbarkeit erstellen
Aus der Risikobewertung entsteht die SoA. Jede ausgeschlossene Kontrolle erhält eine nachvollziehbare Begründung.
Mitarbeitende sensibilisieren und schulen
Eine jährliche Schulung zu Phishing und Umgang mit Kundendaten, dokumentiert mit Teilnehmerliste. Neue Mitarbeitende werden beim Eintritt instruiert.
Vorfälle managen und daraus lernen
Ein fester Meldeweg, ein Vorfallprotokoll und eine kurze Auswertung nach jedem Ereignis. So sehen Sie, welche Kontrolle nachgeschärft werden muss.
05: Zertify
ISO 27001 für die Finanzbranche schnell erhalten
Bei Zertify beantworten Sie online 48 Ja/Nein-Fragen zu ISO 27001:2022. 13 davon sind Pflichtanforderungen des Standards und müssen alle mit Ja beantwortet sein. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten. Nach bestandener Bewertung und Zahlung erhalten Sie das Zertifikat innert 4 Stunden. Ein Konto brauchen Sie dafür nicht.
Das Zertifikat wird von G6 Agency AG unter Lizenz von SICE (Swiss Institute of Certification and Education) ausgestellt. SICE prüft jede Bewertung, bevor das Zertifikat ausgestellt wird. Ein Audit vor Ort findet nicht statt. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code auf dem PDF verifizieren. Ihr Kunde oder die Einkaufsabteilung prüft es selbst, ohne bei Ihnen nachzufragen.
Der Preis beträgt 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive jährlichem Online-Re-Audit. Das Zertifikat gilt 3 Jahre. Die Abrechnung läuft als automatisches Jahresabo. Im Kundenkonto können Sie es jederzeit auf das Ende des laufenden Jahres kündigen, das Zertifikat endet dann mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8,1 % MWST enthalten. Mit zwei Normen sinkt der Preis um 20 %, ab drei Normen um 30 %, auch bei der Jahresgebühr.
06: Einordnung
Was das Zertifikat belegt und was Sie vorab klären sollten
Das Zertifikat zeigt, dass Ihr Unternehmen ein Informationssicherheits-Managementsystem nach ISO 27001:2022 betreibt. Es ersetzt keine weiteren Vorgaben, die für Ihr Institut oder Ihre Kunden gelten. Diese klären Sie mit Ihrer Compliance-Stelle oder Ihrem Auftraggeber.
Lesen Sie die Ausschreibung oder den Lieferantenfragebogen genau. Wenn dort ausdrücklich eine Zertifizierung mit Vor-Ort-Audit durch eine Zertifizierungsstelle verlangt wird, ist der klassische Weg die richtige Wahl. Verlangt der Kunde ein gültiges ISO-27001-Zertifikat mit Prüfmöglichkeit, genügt in vielen Fällen die Online-Variante. Fragen Sie im Zweifel vor der Offerte nach.
07: FAQ
Häufige Fragen zu ISO 27001 für die Finanzbranche
08: Leitfaden
Weiterführende Seiten
Prüfen Sie, wo Ihr Unternehmen bei ISO 27001 steht
Beantworten Sie 48 Fragen und sehen Sie, ob Ihr Informationssicherheitsmanagement für das Zertifikat reicht.
Kostenlos und ohne Registrierung.