ISO 27001:2022 Informationssicherheitsmanagement
ISO 27001 für Handel: Zertifikat online erhalten
Einkaufsabteilungen und Ausschreibungen verlangen von Händlern immer wieder einen Nachweis für Informationssicherheit. Mit der Selbstbewertung von Zertify erbringen Sie ihn online, ohne Vor-Ort-Audit. Das Zertifikat liegt 4 Stunden nach bestandener Bewertung und Zahlung vor.
01: Nachfrage
Warum Handelskunden nach ISO 27001 fragen
Ein Händler verwaltet mehr fremde Daten, als sein Umsatz vermuten lässt: Kundenkonten und Bestellhistorien im Online-Shop, Lieferadressen, Rechnungsdaten, Konditionen einzelner Lieferanten. Dazu kommen Systeme, deren Ausfall den Verkauf sofort stoppt. Warenwirtschaft, Kasse und Versandanbindung gehören dazu.
Deshalb steht ISO 27001 in Lieferantenfragebögen und Ausschreibungen. Die Einkaufsabteilung eines grösseren Kunden will wissen, ob Sie Informationssicherheit systematisch steuern, bevor Bestelldaten in ihr System fliessen. Ein Zertifikat mit Nummer und QR-Code beantwortet das mit einem Verweis auf die Prüfseite statt mit einem mehrseitigen Fragebogen.
02: Risiken
Welche Risiken des Handels der Standard abdeckt
ISO 27001:2022 schreibt keine bestimmte Technik vor. Sie bewerten Ihre eigenen Risiken und wählen die Kontrollen aus Anhang A, die dazu passen. Im Handel liegen die Schwerpunkte an diesen Stellen:
- Online-Shop und Kundenkonten
- Zugangsdaten, Bestellhistorie und Lieferadressen. Gefahren sind übernommene Konten und Datenabfluss über ein schlecht gepflegtes Shop-Plugin.
- Warenwirtschaft und ERP
- Preise, Bestände und Einkaufskonditionen. Zu weit gefasste Berechtigungen und fehlende Datensicherung sind die typischen Schwachstellen.
- Kassen und Filialnetz
- Kassensysteme, Updates und lokale Geräte in jeder Filiale. Fällt die Kasse am Samstag aus, nützt der beste Shop nichts.
- Datenaustausch mit Lieferanten und Logistik
- Bestellungen, Lieferavise und Schnittstellen zum Versanddienstleister. Risiken sind falsche Empfänger und ungesicherte Übertragung.
- Verkauf, Einkauf und Lager
- Aushilfen mit geteilten Logins, gefälschte Rechnungsmails an den Einkauf, geänderte Kontodaten eines Lieferanten. Hier hilft vor allem Schulung.
03: Umsetzung
So erfüllt ein Handelsbetrieb die Kernanforderungen
Die Anforderungen klingen abstrakt, im Betrieb sind es überschaubare Handgriffe. Die Tabelle zeigt, wie ein Online- oder Filialhändler jede Kernanforderung umsetzen kann.
| Anforderung | Beispiel im Handel |
|---|---|
| Informationssicherheitsrisiken bewerten | Der Händler listet Shop, ERP, Zahlungsanbindung und Versanddienstleister auf und bewertet je Eintrag, was bei Ausfall oder Datenverlust geschieht. |
| Sicherheitspolitik und -ziele festlegen | Eine Seite der Geschäftsleitung: Kundendaten sieht nur, wer sie für seine Aufgabe braucht. Das Shop-System läuft nach einer Störung innerhalb eines Arbeitstags wieder. |
| Kontrollen aus Anhang A implementieren | Zwei-Faktor-Anmeldung im Shop-Backend, Rollen im ERP, eigene Konten für Aushilfen, regelmässige Sicherung der Warenwirtschaft. |
| Erklärung zur Anwendbarkeit (SoA) erstellen | Alle Kontrollen mit Begründung. Die Kontrolle zur sicheren Entwicklung gilt als nicht anwendbar, wenn der Händler keine Software selbst entwickelt. |
| Mitarbeitende sensibilisieren und schulen | Kurze Schulung vor Saisonbeginn für Verkauf und Lager: gefälschte Rechnungsmails, geteilte Passwörter, Umgang mit Kundenlisten. |
| Sicherheitsvorfälle managen | Ein Meldeweg, wenn ein Lieferant per Mail neue Kontodaten schickt oder die Kasse ausfällt. Der Vorfall wird protokolliert, die Massnahme angepasst. |
Diese Punkte gehören zu den Kapiteln 6 Planung, 7 Unterstützung und 8 Betrieb der Norm. Kapitel 9 und 10 verlangen, dass Sie das System regelmässig prüfen und verbessern.
04: Zertify
Wie Zertify zur ISO 27001 Zertifizierung im Handel passt
Das Zertifikat von Zertify beruht auf einer Online-Selbstbewertung, ein Vor-Ort-Audit findet nicht statt. Es wird von der G6 Agency AG im Auftrag und unter Lizenz von SICE ausgestellt. SICE prüft jede Bewertung, bevor das Zertifikat erteilt wird. So läuft es ab:
Selbstbewertung ausfüllen
48 Ja/Nein-Fragen zu ISO 27001:2022. 13 davon sind Pflichtanforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 35 Fragen braucht es mindestens 24 Ja.
Bestehen und bezahlen
Für den Kauf ist kein Kundenkonto nötig.
Zertifikat erhalten
Das PDF liegt 4 Stunden nach bestandener Bewertung und Zahlung vor.
Nachweis vorlegen
Jedes Zertifikat trägt eine Nummer und einen QR-Code. Der Einkauf Ihres Kunden prüft es selbst auf der öffentlichen Prüfseite.
Das Zertifikat gilt 3 Jahre. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit.
05: Kosten
Was kostet das Zertifikat und wie steht der klassische Weg da?
Zertify kostet 849 CHF im ersten Jahr, danach 569 CHF pro Jahr inklusive des jährlichen Online-Re-Audits. In Euro sind es 849 € im ersten Jahr und danach 569 € pro Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MwSt enthalten. Die Zahlung läuft als automatisches Jahresabonnement. Sie kündigen es jederzeit in Ihrem Kundenkonto zum Ende des laufenden Jahres. Danach endet das Zertifikat mit dem bezahlten Jahr.
Brauchen Sie mehrere Normen, etwa zusätzlich ISO 9001 für Ihre Prozesse, gibt es 20% Rabatt bei 2 Normen und 30% ab 3 Normen, auch auf die Jahresgebühr. Der klassische Weg mit Vor-Ort-Audit durch eine Zertifizierungsstelle ist die Alternative, wenn ein Kunde ausdrücklich ein solches Audit verlangt. Der Ratgeber vergleicht die Wege.
06: FAQ
Häufige Fragen zu ISO 27001 für Handel
07: Leitfaden
Weitere Seiten
Prüfen Sie, ob Ihr Handelsbetrieb besteht
Beantworten Sie 48 Ja/Nein-Fragen und erhalten Sie nach bestandener Bewertung Ihr ISO 27001 Zertifikat.
Kostenlos und ohne Registrierung