ISO 27017 Cloud-Sicherheit
ISO 27017 Pflicht: Wann Kunden das Zertifikat verlangen
Der Standard selbst schreibt keine Zertifizierung vor. Verbindlich wird sie, wenn ein Kunde, eine Ausschreibung oder ein Rahmenvertrag den Nachweis verlangt. Dann zählt, wie schnell Sie ihn liefern können.
01: Rechtslage
Ist ISO 27017 Pflicht?
Nein. ISO 27017:2015 ist ein Leitfaden mit Sicherheitskontrollen für Cloud-Dienste. Er ergänzt ISO 27001 und ISO 27002 und richtet sich an Cloud-Anbieter und Cloud-Kunden. Aus dem Standard selbst folgt für niemanden die Pflicht, sich zertifizieren zu lassen.
Eine Zertifizierung ist eine freiwillige Entscheidung des Unternehmens. Zur Bedingung wird sie dort, wo ein Vertragspartner sie verlangt. Ob das bei Ihnen zutrifft, steht in der Anfrage Ihres Kunden, im Rahmenvertrag oder in den Ausschreibungsunterlagen, nicht im Standard.
Lesen Sie deshalb zuerst genau, was verlangt wird. Manche Kunden wollen ein Zertifikat, anderen genügt eine Beschreibung Ihrer Massnahmen.
02: Praxis
Wann wird ISO 27017 faktisch zur Pflicht?
Der Druck kommt selten von einer Behörde. Er kommt aus Ihrem Vertriebsalltag, meistens in einer dieser Formen.
- Lieferantenfragebogen
- Der Einkauf eines grösseren Kunden schickt einen Fragebogen zur Informationssicherheit. Eine Frage lautet, ob Sie nach ISO 27017 zertifiziert sind. Ohne Zertifikat folgen Rückfragen und Belege.
- Ausschreibung
- Eine Ausschreibung für Cloud-Leistungen kann ein Zertifikat als Eignungskriterium oder als Bewertungspunkt aufführen. Wer es nicht vorlegt, startet mit einem Nachteil.
- Kundenaudit
- Ein Kunde kündigt ein Audit bei Ihnen an. Ein Zertifikat ersetzt es nicht in jedem Fall. Es gibt dem Kunden aber eine Grundlage für seine Fragen zu Mandantentrennung und Datenrückgabe.
- Konkurrenz
- Sobald Mitbewerber ein Zertifikat vorweisen, fragen Kunden auch bei Ihnen danach. Das geschieht meist im Gespräch, nicht schriftlich.
- Rahmenvertrag
- Ein Vertrag kann verlangen, dass Sie innert einer Frist einen Nachweis liefern. Dann entscheidet die Dauer bis zum Zertifikat darüber, ob Sie die Frist einhalten.
03: Betroffene
Wer nach dem Zertifikat gefragt wird
Der Standard betrifft beide Seiten der Cloud. Die Frage lautet immer, wer welche Sicherheitsaufgabe übernimmt.
| Ihre Rolle | Wer fragt | Was der Nachweis klärt |
|---|---|---|
| SaaS-Anbieter | Einkauf des Kunden | Wer für Mandantentrennung und Löschung der Kundendaten zuständig ist |
| IaaS-, PaaS- und Hosting-Anbieter, Rechenzentren | IT-Abteilung des Kunden | Wie Administratorzugriff und Virtualisierung abgesichert sind |
| IT-Dienstleister und Managed Service Provider | Auftraggeber | Wie die Verantwortung zwischen Ihnen und dem Cloud-Anbieter aufgeteilt ist |
| Unternehmen, die Cloud-Dienste nutzen | Eigene Kunden, Revisoren | Welche Aufgaben bei Ihnen bleiben und welche der Anbieter trägt |
04: Inhalt
Was Kunden hinter dem Zertifikat erwarten
Ein Einkäufer liest kein Regelwerk. Er will wissen, ob Sie diese sechs Punkte im Griff haben.
Cloud-spezifische Risikoanalyse
Sie kennen die Risiken, die durch den Betrieb in der Cloud entstehen, und haben sie bewertet.
Geteilte Verantwortung
Es ist schriftlich festgelegt, was Anbieter und Kunde jeweils übernehmen (Shared Responsibility).
Datenisolierung und Mandantentrennung
Die Daten eines Kunden sind von denen anderer Kunden getrennt.
Sichere Löschung
Kundendaten werden am Vertragsende nachvollziehbar gelöscht oder zurückgegeben.
Virtualisierungssicherheit
Die virtuelle Umgebung ist gegen Zugriffe über Mandantengrenzen hinweg geschützt.
Cloud-spezifische Incident Response
Sie wissen, wie ein Sicherheitsvorfall in der Cloud gemeldet, eingegrenzt und aufgearbeitet wird.
05: Vorgehen
Wie Sie das Zertifikat besorgen, wenn ein Kunde fragt
Meistens steht eine Frist im Raum: das Angebot, die Rückmeldung zum Fragebogen, der Vertragsabschluss. Mit diesem Vorgehen halten Sie sie ein.
Anfrage klären
Fragen Sie den Kunden, ob ein Zertifikat auf Basis einer Selbstbeurteilung ohne Vor-Ort-Audit genügt. Die Antwort entscheidet über den weiteren Weg.
Selbstbeurteilung ausfüllen
34 Ja/Nein-Fragen zu Ihrer Cloud-Sicherheit. Sie brauchen dafür Ihre Verträge mit Kunden und Anbietern sowie Ihre Löschprozesse zur Hand.
Bestehen und bezahlen
Nach bestandener Beurteilung und Zahlung erhalten Sie das Zertifikat innert 4 Stunden.
Nachweis weitergeben
Das PDF trägt einen QR-Code. Ihr Kunde prüft damit auf der Verifikationsseite, ob das Zertifikat echt und gültig ist.
06: Zertify
Was das Zertifikat von Zertify ist und kostet
Das Zertifikat beruht auf einer Online-Selbstbeurteilung, ein Audit vor Ort findet nicht statt. Es wird von der G6 Agency AG unter Lizenz von SICE (Swiss Institute of Certification and Education) ausgestellt, und SICE prüft jede Beurteilung, bevor das Zertifikat erteilt wird. Jedes Zertifikat ist öffentlich über Nummer und QR-Code verifizierbar und gilt 3 Jahre. Jedes Jahr bestätigt ein kurzes Online-Reaudit den Stand.
Bestanden ist die Beurteilung, wenn alle 12 verpflichtenden Anforderungen mit Ja beantwortet sind und von den übrigen 22 Fragen mindestens 15 mit Ja.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive Online-Reaudit. Das Abo verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Das Zertifikat endet dann mit dem bezahlten Jahr. Für 2 Normen gewähren wir 20 % Rabatt, für 3 oder mehr 30 %, auch auf die jährliche Gebühr. Für Kunden in der Schweiz und in Liechtenstein sind 8,1 % Mehrwertsteuer enthalten. Zum Kauf brauchen Sie kein Konto.
Verlangt Ihr Kunde ausdrücklich eine Prüfung vor Ort durch eine Zertifizierungsstelle, ist der klassische Weg die richtige Wahl. Die Gegenüberstellung der Wege finden Sie im Leitfaden.
07: FAQ
Häufige Fragen zur ISO 27017 Pflicht
08: Leitfaden
Weiterführende Seiten
Ihr Kunde wartet auf den Nachweis?
Beantworten Sie die 34 Fragen der Selbstbeurteilung zu ISO 27017 und sehen Sie, ob Sie bestehen.
Kostenlos und ohne Registrierung.