ISO 27001 für Produktion: Zertifikat online erhalten

Ein Zulieferer bekommt von seinen Kunden Zeichnungen, Stücklisten, Prognosen und Prüfvorgaben. Damit liegt fremdes Wissen auf den eigenen Servern. Der Lieferantenfragebogen fragt deshalb nach Zugriffsrechten, Backups und dem Umgang mit Sicherheitsvorfällen.

Ein ISO-27001-Zertifikat beantwortet viele dieser Fragen in einem Dokument. Die Einkaufsabteilung des Kunden legt es ab, statt jede Antwort einzeln zu prüfen. In Ausschreibungen wird es teils als Eignungsnachweis verlangt, teils als Pluspunkt bewertet. Lesen Sie die Unterlagen genau: Manche Ausschreibungen nennen Anforderungen an die Art der Zertifizierung.

Dazu kommt der Kundenaudit. Wer ein Informationssicherheits-Managementsystem betreibt, legt Sicherheitspolitik, Risikobewertung und Vorfallprotokolle vor, ohne sie erst zusammenzusuchen.

• ISO-Normen für kleine und mittlere Unternehmen
• Die Zertifizierungswege im Vergleich

Der Standard ist branchenneutral. Sein Kern ist die Risikobewertung, und sie fällt in einem Fertigungsbetrieb anders aus als in einem Büro. Die folgenden Punkte tauchen in Produktionsbetrieben besonders oft in der Risikobewertung auf.

Konstruktionsdaten

CAD-Dateien, Zeichnungen und Stücklisten Ihrer Kunden liegen auf dem Fileserver oder im PDM-System. Das Risiko ist der Abfluss an Unbefugte, auch intern: Nicht jeder Mitarbeiter braucht jedes Projekt.

Fernwartung

Maschinenhersteller greifen per VPN auf Anlagen zu. Der Zugang soll befristet, freigegeben und protokolliert sein, nicht dauerhaft offen.

Gemeinsames Netz

ERP, MES und Maschinensteuerungen hängen im selben Netz wie die Büro-PCs. Ein Verschlüsselungstrojaner im Sekretariat kann so die Fertigung stoppen. Netzwerksegmentierung ist die passende Kontrolle.

Lieferanten- und Kundenanbindung

Abrufe über EDI oder Kundenportale laufen oft über Zugangsdaten, die mehrere Personen teilen. Persönliche Konten machen sichtbar, wer was bestellt oder geändert hat.

Wiederanlauf

Gesichert werden müssen ERP-Datenbank, Maschinenprogramme und Prüfpläne. Entscheidend ist der Test: Eine Wiederherstellung, die nie geübt wurde, ist eine Annahme.

Cloud-Dienste

Läuft das ERP oder die Auftragsverwaltung bei einem externen Anbieter, gehört der Anbieter in die Risikobewertung. Die Ausgabe 2022 hat die Kontrollen für Cloud-Dienste überarbeitet.

Die sechs Kernanforderungen lassen sich im Fertigungsalltag konkret abbilden.

1. 01

   Informationssicherheitsrisiken bewerten

   Sie listen Ihre Werte auf: Kundenzeichnungen, ERP, Maschinensteuerung, Personaldaten. Pro Wert schätzen Sie Eintrittswahrscheinlichkeit und Schaden ein, etwa die Kosten eines Stillstands pro Tag.

2. 02

   Sicherheitspolitik und Ziele festlegen

   Die Geschäftsleitung unterzeichnet eine kurze Politik (Kapitel 5, Führung). Ein Ziel kann lauten: ERP nach einem Ausfall innerhalb eines Arbeitstages wiederherstellen.

3. 03

   Kontrollen aus Anhang A umsetzen

   Typische Beispiele sind Mehrfaktor-Anmeldung für die Fernwartung, Rechtevergabe nach Rolle, getrennte Netze für Produktion und Büro und eine Besucherregelung für die Halle.

4. 04

   Erklärung zur Anwendbarkeit erstellen

   In der SoA halten Sie fest, welche Kontrollen gelten und warum. Entwickeln Sie keine eigene Software, begründen Sie den Ausschluss der entsprechenden Kontrollen.

5. 05

   Mitarbeitende sensibilisieren und schulen

   Auch Maschinenbediener und Logistik gehören dazu. Eine kurze Schulung zu Phishing, USB-Sticks und gemeinsam genutzten Terminals pro Schicht genügt, wenn die Teilnahme dokumentiert ist.

6. 06

   Sicherheitsvorfälle managen und daraus lernen

   Im Schichtbetrieb braucht es einen Meldeweg, der nachts funktioniert. Jeder Vorfall wird abgelegt und ausgewertet (Kapitel 10, Verbesserung).

Beide Wege führen zu einem ISO-27001-Zertifikat. Sie unterscheiden sich im Ablauf und im Aufwand für den Betrieb.

• Zertifizierung ohne Vor-Ort-Audit
• Die Zertifizierungswege im Vergleich

Sie starten die Selbstbeurteilung ohne Registrierung. Sie beantworten 48 Ja/Nein-Fragen. 13 davon sind Pflichtanforderungen des Standards und müssen alle mit Ja beantwortet sein. Bei den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten.

Nach bestandener Beurteilung und Zahlung erhalten Sie das Zertifikat innert 4 Stunden. Es wird von der G6 Agency AG im Rahmen einer Lizenz von SICE ausgestellt, SICE prüft jede Beurteilung vor der Ausstellung. Auf dem PDF steht ein QR-Code. Damit prüft der Einkauf Ihres Kunden auf der öffentlichen Verifizierungsseite, ob das Zertifikat echt und gültig ist.

Das Zertifikat kostet 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive dem Online-Re-Audit. Es ist drei Jahre gültig. Die Zahlung läuft als automatisches Jahresabo, das Sie im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Das Zertifikat endet dann mit dem bezahlten Jahr. Für zwei Normen gewähren wir 20 % Rabatt, für drei oder mehr 30 %, auch auf die jährliche Gebühr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1 % MWST enthalten.

• ISO 27001:2022 im Überblick
• Preise und Rabatte
• Selbstbeurteilung kostenlos starten

Die Fragen setzen voraus, dass die Massnahmen im Betrieb bestehen. Halten Sie deshalb folgende Unterlagen bereit: ein Inventar der Systeme (ERP, MES, Fileserver, vernetzte Maschinen), eine Liste der externen Dienstleister mit Zugriff, vorhandene Richtlinien, Schulungsnachweise und das Protokoll des letzten Backup-Tests.

Fehlt etwas, sehen Sie es beim Durchgehen der Fragen sofort. Beantworten Sie jede Frage so, wie es im Betrieb tatsächlich ist. Eine Lücke lässt sich schliessen und die Beurteilung später wiederholen. Eine beschönigte Antwort fällt beim nächsten Kundenaudit auf.

• So funktioniert Zertify
• Allgemeine Fragen und Antworten