ISO 27001:2022 für IT-Unternehmen
ISO 27001 für IT-Branche: Nachweis für Kunden und Ausschreibungen
IT-Dienstleister, Softwarehäuser und Hosting-Anbieter müssen gegenüber Kunden belegen, wie sie Daten und Systeme schützen. ISO 27001:2022 ist dafür der gängige Nachweis. Mit Zertify beantworten Sie 48 Fragen online und erhalten das Zertifikat innerhalb von 4 Stunden nach bestandener Beurteilung und Zahlung.
01: Nachfrage
Warum verlangen Kunden in der IT-Branche ISO 27001?
Als IT-Dienstleister verwalten Sie Daten und Systeme Ihrer Kunden. Fällt bei Ihnen etwas aus oder gelangt etwas nach aussen, trifft es zuerst den Kunden. Darum fragt die Einkaufsabteilung danach, bevor sie einen Vertrag unterschreibt.
Der Nachweis wird an drei Stellen verlangt: im Lieferantenfragebogen, in der Ausschreibung und im Kundenaudit. Ein Fragebogen mit vierzig Zeilen zu Zugriffskontrolle, Backup und Vorfallmeldung lässt sich mit einem Zertifikat und einer Verifikationsseite schneller beantworten als mit Einzelbelegen. In manchen Ausschreibungen scheiden Anbieter ohne Nachweis bereits bei den Eignungskriterien aus.
ISO 27001:2022 legt fest, wie ein Informationssicherheits-Managementsystem (ISMS) aufgebaut ist. Der Standard schreibt keine bestimmte Software vor. Er verlangt ein System, das Risiken erkennt und jede Kontrolle begründet.
02: Risiken
Welche Risiken der IT-Branche deckt der Standard ab?
Die Risikobewertung ist der Kern von ISO 27001. Für IT-Unternehmen sind diese Bereiche typisch:
- Zugriff auf Kundensysteme
- Administratoren und Supportmitarbeitende haben Zugang zu Produktivumgebungen. Der Standard verlangt, dass Berechtigungen vergeben, begrenzt und regelmässig überprüft werden, auch beim Austritt von Mitarbeitenden.
- Cloud-Dienste und Unterlieferanten
- Hosting, Monitoring und Ticketsystem laufen häufig bei Dritten. Die Ausgabe 2022 enthält überarbeitete Kontrollen für Cloud-Dienste und für die Steuerung von Lieferantenbeziehungen.
- Quellcode und Entwicklung
- Zugangsdaten im Repository oder echte Kundendaten in der Testumgebung sind klassische Schwachstellen. Relevant sind Kontrollen zu sicherer Entwicklung und zur Trennung von Test- und Produktivsystem.
- Datensicherung und Wiederherstellung
- Ein Backup, das nie zurückgespielt wurde, ist eine Annahme. Der Standard verlangt, dass Sie die Wiederherstellung prüfen.
- Sicherheitsvorfälle
- Eine Phishing-Mail an den Support oder ein kompromittiertes Konto braucht einen festen Meldeweg, eine Bewertung und eine Auswertung danach.
03: Umsetzung
Wie erfüllt ein IT-Unternehmen die Kernanforderungen?
Die Anforderungen sind abstrakt formuliert. Im Betrieb eines IT-Unternehmens sehen sie so aus:
| Anforderung | Beispiel im IT-Betrieb |
|---|---|
| Risikobewertung (Klausel 6, Planung) | Sie listen Werte wie Kundendatenbanken, Code-Repositories und Admin-Konten auf, schätzen Eintrittswahrscheinlichkeit und Schaden ein und legen Massnahmen fest. |
| Sicherheitspolitik und Ziele (Klausel 5, Führung) | Eine kurze Politik, von der Geschäftsleitung freigegeben, mit messbaren Zielen wie «Admin-Zugänge nur mit Zwei-Faktor-Authentisierung». |
| Kontrollen aus Anhang A | Code-Review vor jedem Release, Protokollierung von Admin-Zugriffen, Backup mit Restore-Test, verschlüsselte Laptops. |
| Erklärung zur Anwendbarkeit (SoA) | Pro Kontrolle halten Sie fest, ob sie gilt und wie sie umgesetzt ist. Ein reiner Betrieb ohne Eigenentwicklung kann Entwicklungskontrollen begründet ausschliessen. |
| Sensibilisierung und Schulung | Einführung für neue Mitarbeitende, Hinweise zu Phishing, jährliche Auffrischung mit Protokoll. |
| Vorfallmanagement | Eigene Ticketkategorie «Sicherheitsvorfall» und eine Nachbesprechung mit Massnahmenliste nach jedem Vorfall. |
Welche Kontrollen aus Anhang A Sie umsetzen, bestimmt Ihre Risikobewertung. Was Sie weglassen, begründen Sie in der SoA.
04: Zertify
Wie kommt ein IT-Unternehmen mit Zertify zum Zertifikat?
Zertify beruht auf einer Online-Selbstbeurteilung. Es gibt kein Audit vor Ort. Das Zertifikat wird von der G6 Agency AG unter Lizenz des SICE (Swiss Institute of Certification and Education) ausgestellt, und SICE prüft jede Beurteilung, bevor das Zertifikat erteilt wird. Jedes Jahr bestätigt ein kurzes Online-Re-Audit den Stand.
Das Zertifikat kostet 849 CHF im ersten Jahr, danach 569 CHF pro Jahr inklusive jährlichem Online-Re-Audit. Es ist 3 Jahre gültig. Die Abrechnung läuft als automatisches Jahresabonnement. Sie können es im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen, das Zertifikat endet dann mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MWST enthalten. Zum Kaufen brauchen Sie kein Konto.
Brauchen Sie neben ISO 27001 auch ISO 27017 oder ISO 27018 für Ihre Cloud-Dienste, gilt ein Rabatt von 20% bei 2 Normen und 30% ab 3 Normen, auch auf die Jahresgebühr.
Selbstbeurteilung starten
48 Ja/Nein-Fragen zu ISO 27001:2022, kostenlos und ohne Registrierung.
Bestehen
Alle 13 Pflichtanforderungen des Standards müssen mit Ja beantwortet sein. Von den übrigen 35 Fragen braucht es mindestens 24 Ja-Antworten.
Zertifikat erhalten
Nach bestandener Beurteilung und Zahlung liegt das Zertifikat innerhalb von 4 Stunden vor.
Gegenüber Kunden belegen
Das PDF trägt eine Zertifikatsnummer und einen QR-Code. Jeder Kunde kann das Zertifikat auf der öffentlichen Verifikationsseite prüfen.
05: Vergleich
Zertify oder klassischer Weg: Was verlangt Ihr Kunde?
Manche Kunden schreiben in Verträgen oder Ausschreibungen ein bestimmtes Zertifizierungsverfahren vor. Klären Sie das vor dem Kauf mit dem Einkauf oder im Lieferantenfragebogen.
| Kriterium | Zertify | Klassischer Weg |
|---|---|---|
| Grundlage | Online-Selbstbeurteilung mit 48 Fragen, von SICE geprüft | Audit vor Ort durch eine Zertifizierungsstelle |
| Zeitbedarf | Zertifikat innerhalb von 4 Stunden nach bestandener Beurteilung und Zahlung | Terminabstimmung mit der Zertifizierungsstelle, indikativ mehrere Wochen bis Monate |
| Nachweis | Zertifikatsnummer, QR-Code und öffentliche Verifikationsseite | Zertifikat der Zertifizierungsstelle |
| Jährliche Bestätigung | Kurzes Online-Re-Audit | Überwachungsaudits der Zertifizierungsstelle |
| Kosten | 849 CHF im ersten Jahr, danach 569 CHF pro Jahr | Offerte der Zertifizierungsstelle, abhängig von Grösse und Umfang |
06: FAQ
Häufige Fragen zu ISO 27001 in der IT-Branche
07: Leitfaden
Weitere Seiten
Prüfen Sie, ob Ihr ISMS besteht
Beantworten Sie die 48 Fragen zu ISO 27001:2022 und sehen Sie sofort, ob Sie die Anforderungen erfüllen.
Kostenlos und ohne Registrierung.