Informationssicherheit
ISO 27001 Pflicht: Wann Sie das Zertifikat wirklich brauchen
ISO 27001 ist freiwillig. Zur Bedingung wird es, sobald ein Kunde, eine Ausschreibung oder ein Lieferantenfragebogen den Nachweis verlangt. Mit Zertify beantworten Sie diese Anfrage online und ohne Audit vor Ort.
01: Rechtslage
Ist ISO 27001 Pflicht?
ISO 27001 ist eine freiwillige Norm. Sie legt fest, wie ein Informationssicherheits-Managementsystem (ISMS) aufgebaut ist. Ob Sie ein solches System betreiben und nachweisen, entscheiden Sie selbst.
Das heisst nicht, dass Informationssicherheit im Unternehmen beliebig wäre. Datenschutzvorgaben, Kundenverträge und Erwartungen Ihrer Branche können Sicherheitsmassnahmen verlangen. Welche davon für Ihr Unternehmen gelten, klären Sie mit Ihrer Rechtsberatung oder der zuständigen Aufsicht. Diese Seite ersetzt keine Rechtsauskunft.
Praktisch ist die Frage deshalb selten, ob eine Vorschrift die Zertifizierung verlangt. Die Frage ist, ob Ihr nächster Auftrag daran hängt.
02: Faktische Pflicht
Wann ISO 27001 faktisch zur Pflicht wird
Eine gesetzliche Pflicht zur Zertifizierung ist damit nicht begründet. Im Geschäftsalltag entsteht der Zwang an vier Stellen.
| Situation | Wie die Forderung auftritt | Was das für Sie bedeutet |
|---|---|---|
| Lieferantenfragebogen | Der Einkauf fragt nach einem gültigen ISO-27001-Zertifikat. | Ohne Zertifikat müssen Sie jede Sicherheitsfrage einzeln belegen oder fallen aus der Auswahl. |
| Ausschreibung | Das Zertifikat steht als Eignungskriterium oder Pluspunkt in den Unterlagen. | Fehlt der Nachweis, verlieren Sie Punkte oder dürfen nicht anbieten. |
| Kundenaudit | Der Kunde prüft Ihr Sicherheitsniveau selbst. | Ein verifizierbares Zertifikat beantwortet einen Teil der Rückfragen schon vorab. |
| Branchenerwartung | Vertragspartner im Finanzwesen, im Gesundheitswesen oder in der Cloud erwarten einen Nachweis. | Es ist keine Vorschrift, aber eine Vertragsbedingung. |
03: Zielgruppen
Welche Unternehmen müssen den Nachweis am ehesten liefern?
Die Anfrage kommt von Kunden, die Ihnen Daten oder Systemzugriff anvertrauen. Je sensibler diese Daten sind, desto früher fällt die Frage nach ISO 27001.
- IT-Dienstleister und Softwareunternehmen
- Ihre Kunden betreiben kritische Abläufe auf Ihren Systemen und wollen wissen, wie Sie Zugriffe und Updates absichern.
- Cloud-Service-Provider
- Hier gehört der Sicherheitsnachweis zur Produktbeschreibung, noch bevor ein Vertrag besprochen wird.
- Finanzdienstleister und Banken
- Ihre Auslagerungspartner müssen sich Fragen zur Informationssicherheit gefallen lassen. Das Zertifikat kürzt den Fragenkatalog.
- Gesundheitswesen
- Patientendaten verlangen nachvollziehbare Schutzmassnahmen, auch bei Zulieferern.
- E-Commerce und Online-Dienste
- Zahlungs- und Kundendaten liegen im Zentrum des Geschäfts. Plattformpartner fragen nach dem Nachweis.
- Unternehmen mit sensiblen Kundendaten
- Dazu zählen auch Treuhänder, Beratungen und Agenturen, die vertrauliche Unterlagen ihrer Kunden verwalten.
04: Wege
Zwei Wege zum ISO-27001-Zertifikat
Wer ein Zertifikat braucht, hat die Wahl zwischen dem klassischen Weg mit einem Audit vor Ort und der Online-Selbstbeurteilung. Welcher Weg passt, hängt davon ab, was Ihr Kunde als Nachweis akzeptiert. Fragen Sie dort nach, bevor Sie entscheiden.
- Klassischer Weg
- Eine Zertifizierungsstelle auditiert Ihr Unternehmen vor Ort. Als Richtwert rechnen Sie mit mehreren Wochen bis Monaten und mit Kosten im Bereich mehrerer tausend Franken. Beides hängt von Grösse, Stelle und Vorbereitung ab.
- Zertify
- Sie beantworten die Fragen online, SICE prüft die Beurteilung, G6 Agency AG stellt das Zertifikat aus. Es gibt keinen Termin vor Ort. Jedes Jahr bestätigen Sie den Stand in einem kurzen Online-Re-Audit.
05: Mit Zertify
ISO 27001 online erhalten, wenn der Kunde fragt
Die Selbstbeurteilung umfasst 48 Ja/Nein-Fragen. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten. Sie entscheiden sich erst nach dem Bestehen für den Kauf, ein Konto brauchen Sie dafür nicht.
Nach bestandener Beurteilung und Zahlung liegt das Zertifikat innert 4 Stunden vor. G6 Agency AG stellt es unter Lizenz von SICE aus, SICE prüft jede Beurteilung vor der Ausstellung. Das PDF trägt eine Nummer und einen QR-Code. Ihr Kunde kann das Zertifikat auf der öffentlichen Verifikationsseite selbst abrufen.
Das Zertifikat kostet 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive Online-Re-Audit, und gilt 3 Jahre. Es läuft als Jahresabo, das Sie jederzeit im Kundenkonto auf das Ende des laufenden Jahres kündigen können. Mit der Kündigung endet auch das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1 % MWST enthalten.
06: Vorgehen
Was tun, wenn der Fragebogen schon vorliegt?
Meist hat der Kunde eine Frist gesetzt. Mit diesen Schritten bleiben Sie im Zeitplan.
Anforderung klären
Lesen Sie im Fragebogen oder in den Ausschreibungsunterlagen nach, welche Form von Nachweis verlangt wird. Bei Unklarheiten fragen Sie die Kontaktperson des Kunden.
Ehrlich beantworten
Die Fragen betreffen Risikobewertung, Sicherheitspolitik, Schulung und Vorfallmanagement. Beantworten Sie sie so, wie es in Ihrem Betrieb tatsächlich aussieht. Fehlt eine zwingende Anforderung, setzen Sie diese zuerst um.
Zertifikat beziehen
Nach bestandener Beurteilung und Zahlung erhalten Sie das PDF mit Nummer und QR-Code.
Nachweis weitergeben
Legen Sie das PDF dem Fragebogen oder dem Angebot bei und nennen Sie die Verifikationsseite. Ihr Kunde prüft die Echtheit ohne Rückfrage bei Ihnen.
07: FAQ
Häufige Fragen zur ISO 27001 Pflicht
08: Leitfaden
Verwandte Seiten
Prüfen Sie, ob Sie die Anforderungen erfüllen
Die Selbstbeurteilung zeigt in wenigen Minuten, wo Ihr Betrieb bei ISO 27001 steht.
Kostenlos und ohne Registrierung.