ISO 27017 Cloud-Sicherheit
ISO 27017 Ablauf: In sechs Schritten zum Zertifikat
Der Weg zum ISO-27017-Zertifikat bei Zertify besteht aus einer Online-Selbstbeurteilung mit 34 Ja/Nein-Fragen, der Prüfung durch SICE und der Ausstellung des Zertifikats. Einen Vor-Ort-Audit und einen Auditor-Termin gibt es nicht. Diese Seite zeigt jeden Schritt in der Reihenfolge, in der Sie ihn durchlaufen.
01: Übersicht
Die sechs Schritte bis zum ISO 27017 Zertifikat
Der Ablauf ist linear. Sie müssen weder ein Konto eröffnen noch einen Berater beiziehen, um die Fragen zu verstehen.
Selbstbeurteilung öffnen
Sie starten die Selbstbeurteilung für ISO 27017 direkt im Browser.
34 Fragen beantworten
Jede Frage beantworten Sie mit Ja oder Nein. 12 davon sind Pflichtanforderungen des Standards.
Ergebnis auswerten
Bestanden ist die Beurteilung, wenn alle 12 Pflichtfragen mit Ja beantwortet sind und von den übrigen 22 Fragen mindestens 15 ein Ja erhalten.
Bestellung abschliessen
Sie wählen die Zahlungsart und schliessen den Kauf ab. Ein Kundenkonto ist dafür nicht nötig.
Prüfung und Ausstellung
SICE prüft Ihre Selbstbeurteilung. Danach stellt G6 Agency AG das Zertifikat im Rahmen der SICE-Lizenz aus. Es liegt innerhalb von 4 Stunden nach bestandener Prüfung und Zahlung vor.
Zertifikat verwenden
Sie laden das PDF herunter. Nummer und QR-Code führen zur öffentlichen Verifizierungsseite, auf der jeder die Echtheit prüfen kann.
02: Fragen
Was die 34 Fragen von Ihnen verlangen
ISO 27017 ergänzt ISO 27001 und ISO 27002 um Kontrollen für Cloud-Dienste. Entsprechend fragt die Selbstbeurteilung nach der Verteilung der Sicherheitsaufgaben zwischen Anbieter und Kunde. Ob Sie Cloud-Dienste anbieten oder nutzen: Sie beantworten die Fragen für Ihre eigene Rolle.
Die Fragen gehören zu sechs Themenfeldern des Standards:
- Cloud-spezifische Risikoanalyse
- Haben Sie Risiken wie Fehlkonfiguration, Ausfall beim Anbieter oder Fremdzugriff auf Kundendaten bewertet?
- Shared Responsibility
- Ist schriftlich festgelegt, welche Sicherheitsaufgaben beim Anbieter und welche beim Kunden liegen?
- Datenisolierung und Mandantentrennung
- Können Sie darlegen, wie die Daten verschiedener Kunden voneinander getrennt bleiben?
- Sichere Löschung
- Gibt es ein Verfahren, das Kundendaten bei Vertragsende nachvollziehbar löscht oder zurückgibt?
- Virtualisierungssicherheit
- Sind virtuelle Umgebungen gehärtet und der Administratorzugriff geregelt?
- Cloud-spezifische Incident Response
- Ist definiert, wie Sicherheitsvorfälle erkannt, gemeldet und gegenüber Kunden kommuniziert werden?
Antworten Sie nur mit Ja, wenn sich die Aussage belegen lässt. Das Ergebnis steht und fällt mit den 12 Pflichtfragen: Ein einziges Nein genügt, damit die Beurteilung nicht bestanden ist.
03: Vorbereitung
Was Sie vor dem Start bereitlegen sollten
Die Fragen lassen sich schneller beantworten, wenn die Unterlagen zur Hand sind. Dazu gehören die Verträge mit Ihrem Cloud-Anbieter oder Ihre eigenen Kundenverträge, die Beschreibung der Rollenverteilung, das Löschkonzept und der Ablauf bei Sicherheitsvorfällen. Auch die Regeln für Administratorzugriffe sollten Sie griffbereit haben.
Wer ISO 27001 bereits umsetzt, kennt vieles aus dem Risikomanagement (Kapitel 6 Planung) und aus der Betriebssteuerung (Kapitel 8 Operation). Zwingend ist das nicht. Die Selbstbeurteilung verlangt keinen Nachweis einer früheren Zertifizierung.
Wenn bei den Pflichtfragen noch etwas fehlt, setzen Sie die Anforderung zuerst um und beurteilen danach. Das spart Ihnen eine nicht bestandene Runde.
04: Nach dem Test
Prüfung, Ausstellung und Verifizierung des Zertifikats
Nach dem Bezahlen liegt Ihre Selbstbeurteilung bei SICE zur Prüfung. Erst nach dieser Prüfung stellt G6 Agency AG das Zertifikat aus. Sind nicht alle 12 Pflichtfragen mit Ja beantwortet, gibt es kein Zertifikat.
Auf dem PDF finden Sie die Zertifikatsnummer und einen QR-Code. Ihre Kundin oder die Einkaufsabteilung scannt den Code und sieht auf der Verifizierungsseite, ob das Zertifikat gültig ist. Das beantwortet die Rückfrage im Lieferantenfragebogen, ohne dass Sie ein Dokument nachreichen müssen.
Das Zertifikat gilt 3 Jahre. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit.
05: Zertify
Wie Zertify in den Ablauf passt und was es kostet
Die Zertifizierung kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive des jährlichen Online-Re-Audits. Für Kunden in der Schweiz und in Liechtenstein sind 8.1 % Mehrwertsteuer enthalten.
Die Gebühr wird als Jahresabonnement automatisch abgerechnet. Sie kündigen jederzeit im Kundenkonto auf das Ende des laufenden Jahres. Mit der Kündigung endet das Zertifikat mit dem bezahlten Jahr.
Zertifizieren Sie mehrere Normen, gilt ein Rabatt von 20 % für zwei und 30 % für drei oder mehr Standards, auch auf die jährliche Gebühr. Details zu den Anforderungen finden Sie auf der Seite zu ISO 27017.
06: Vergleich
Zertify oder klassischer Audit: Was sich im Ablauf unterscheidet
Beim klassischen Weg beurteilt eine Zertifizierungsstelle Ihr Unternehmen vor Ort. Beide Wege führen zu einem ISO-27017-Zertifikat, sie unterscheiden sich im Aufwand und im Nachweis.
| Kriterium | Zertify | Klassischer Weg |
|---|---|---|
| Beurteilung | Online-Selbstbeurteilung mit 34 Fragen, Prüfung durch SICE | Vor-Ort-Audit durch eine Zertifizierungsstelle |
| Termine | Keine Terminabstimmung | Termine mit Auditor und Mitarbeitenden |
| Zeit bis zum Zertifikat | 4 Stunden nach bestandener Prüfung und Zahlung | Richtwert: mehrere Wochen bis Monate |
| Nachweis | Öffentliche Verifizierung per Nummer und QR-Code | Zertifikat der Zertifizierungsstelle |
| Jährliche Bestätigung | Kurzes Online-Re-Audit | Überwachungsaudit |
Welcher Weg passt, entscheidet oft die Anforderung Ihres Kunden in der Ausschreibung. Im Leitfaden zum Vergleich der Zertifizierungswege finden Sie die Unterschiede ausführlicher.
07: FAQ
Häufige Fragen zum ISO 27017 Ablauf
08: Leitfaden
Weiterführende Seiten
Starten Sie die Selbstbeurteilung für ISO 27017
Beantworten Sie die 34 Fragen und sehen Sie sofort, ob Ihr Unternehmen die Anforderungen erfüllt.
Kostenlos und ohne Registrierung.