ISO 27017 Cloud-Sicherheit
ISO 27017 Vorteile für Cloud-Anbieter und Cloud-Kunden
Ein ISO-27017-Zertifikat beantwortet die Cloud-Fragen in Lieferantenfragebögen und Ausschreibungen mit einem prüfbaren Nachweis. Es zeigt, dass Sie geklärt haben, wer in der Cloud welche Sicherheitsaufgabe trägt. Bei Zertify erhalten Sie es ohne Vor-Ort-Audit über eine Online-Selbstbewertung.
01: Überblick
Welche Vorteile hat ein ISO-27017-Zertifikat?
ISO 27017:2015 ergänzt ISO 27001 und ISO 27002 um Sicherheitskontrollen für Cloud-Dienste. Der Nutzen zeigt sich dort, wo Anbieter und Kunden einander Fragen stellen. Wer trennt die Mandanten? Wer darf als Administrator auf Daten zugreifen? Was geschieht mit den Daten, wenn der Vertrag endet?
Das Zertifikat belegt, dass Sie diese Fragen beantwortet haben. Daraus ergeben sich fünf konkrete Vorteile.
- Kundenvertrauen
- Sie müssen Ihre Cloud-Sicherheit nicht bei jeder Anfrage neu erklären. Das Zertifikat liegt vor und lässt sich prüfen.
- Ausschreibungen
- Wo Cloud-Sicherheit verlangt oder bewertet wird, haben Sie einen Nachweis für die Unterlagen.
- Interne Effizienz
- Zuständigkeiten, Löschprozesse und Meldewege sind einmal festgelegt und gelten für alle.
- Risikoreduktion
- Die Cloud-spezifische Risikoanalyse deckt Lücken auf, bevor ein Kunde oder ein Vorfall es tut.
- Marketing
- Zertifikat, QR-Code und Verifizierungsseite lassen sich in Offerten und auf der Website einsetzen.
02: Kundenvertrauen
Weniger Rückfragen aus dem Einkauf
Der Einkauf eines grösseren Kunden schickt Ihnen einen Lieferantenfragebogen. Der Cloud-Teil umfasst oft mehrere Seiten: Datenisolierung, Administratorzugriffe, Löschung nach Vertragsende, Meldung von Vorfällen. Jede Antwort kostet Zeit, und jede wird beim Kunden einzeln bewertet.
Mit einem ISO-27017-Zertifikat verweisen Sie auf einen unabhängig geprüften Rahmen, den der Kunde kennt. Die Nummer auf dem Zertifikat führt zur öffentlichen Verifizierungsseite. Der Kunde muss Ihnen nicht glauben, er kann nachsehen.
Auch wenn Sie Cloud-Dienste nur nutzen, ist der Standard relevant. Er benennt, welche Aufgaben beim Anbieter liegen und welche bei Ihnen bleiben (Shared Responsibility). Wer das für sich geklärt hat, kann Anbieter gezielter auswählen und gegenüber eigenen Kunden sauber argumentieren.
03: Ausschreibungen
Wie hilft ISO 27017 bei Ausschreibungen und Offerten?
In Ausschreibungen für Cloud-, Hosting- und Softwareleistungen werden Sicherheitsnachweise häufig abgefragt. Mal sind sie Eignungskriterium, mal geben sie Punkte. Welche Rolle das Zertifikat spielt, legt jede Ausschreibung selbst fest. Lesen Sie die Anforderungen deshalb vor der Offerte genau.
| Situation | Ohne Zertifikat | Mit Zertifikat |
|---|---|---|
| Lieferantenfragebogen | Jede Cloud-Frage wird einzeln und frei beantwortet | Verweis auf Zertifikatsnummer und Verifizierungsseite |
| Offerte oder Tender | Sicherheitsnachweis fehlt oder wird nachgereicht | Zertifikat liegt als PDF mit QR-Code bei |
| Kundenaudit | Kunde prüft Unterlagen von Grund auf | Kunde beginnt bei einem dokumentierten Stand |
| Vertragsverlängerung | Sicherheitsfragen werden neu aufgerollt | Jährlich bestätigter Nachweis liegt vor |
Fordert eine Ausschreibung ausdrücklich ein bestimmtes Prüfverfahren, klären Sie das vor der Offerte mit dem Auftraggeber.
04: Intern
Was ISO 27017 intern verändert
Die Anforderungen des Standards zwingen zu Entscheidungen, die in vielen Firmen sonst offen bleiben. Das spart später Abstimmung, weil Antworten bereits vorliegen. Sechs Punkte tragen den grössten Teil des Nutzens.
Cloud-spezifische Risikoanalyse
Sie bewerten Risiken, die es im eigenen Serverraum nicht gab, etwa geteilte Infrastruktur oder Abhängigkeit vom Anbieter.
Klare Verantwortlichkeiten
Die Aufteilung zwischen Anbieter und Kunde ist schriftlich festgehalten. Bei einem Vorfall muss niemand klären, wer zuständig ist.
Datenisolierung und Mandantentrennung
Sie können Kunden erklären, wie ihre Daten von denen anderer getrennt bleiben.
Sichere Löschung von Kundendaten
Beim Vertragsende gibt es einen definierten Ablauf statt einer Einzelfall-Lösung.
Virtualisierungssicherheit
Die Absicherung der virtuellen Umgebung ist geregelt und dokumentiert.
Cloud-spezifische Incident Response
Meldewege und Rollen für Sicherheitsvorfälle in der Cloud sind festgelegt, bevor etwas passiert.
Das Zertifikat ersetzt die technische Umsetzung nicht. Es zwingt aber dazu, jeden dieser Punkte zu beantworten, und macht Lücken sichtbar, solange sie sich ohne Kundendruck schliessen lassen.
05: Marketing
Zertifikat und Verifizierungsseite in der Kommunikation nutzen
Das Zertifikat kommt als PDF mit QR-Code. Sie können es der Offerte beilegen, in die Tender-Unterlagen aufnehmen, auf der Website unter Sicherheit oder Compliance zeigen und in der E-Mail-Signatur der Vertriebsleute verlinken.
Entscheidend ist die Verifizierungsseite. Jedes Zertifikat lässt sich öffentlich über seine Nummer oder den QR-Code prüfen. Ein Einkäufer oder Kundenauditor sieht dort selbst, dass das Zertifikat echt und gültig ist, und braucht dafür weder Sie noch einen Anruf.
Formulieren Sie genau. Schreiben Sie «zertifiziert nach ISO 27017:2015 Cloud-Sicherheit» und nicht «ISO-27001-zertifiziert», wenn Sie nur das erste Zertifikat besitzen. Eine präzise Aussage hält jeder Rückfrage stand.
06: Zertify
Wie Sie das ISO-27017-Zertifikat mit Zertify erhalten
Sie beantworten online 34 Ja/Nein-Fragen zu Ihrer Cloud-Sicherheit. 12 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet sein. Von den übrigen 22 Fragen brauchen Sie mindestens 15 Ja-Antworten. Ein Vor-Ort-Audit findet nicht statt.
Das Zertifikat stellt die G6 Agency AG im Rahmen einer Lizenz von SICE (Swiss Institute of Certification and Education) aus. SICE prüft jede Selbstbewertung, bevor das Zertifikat ausgestellt wird. Nach bestandener Prüfung und Zahlung erhalten Sie es innerhalb von 4 Stunden. Ein Konto brauchen Sie dafür nicht.
Das Zertifikat kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive der jährlichen Online-Re-Audits. Es gilt 3 Jahre. Das Abonnement verlängert sich jährlich automatisch. Sie kündigen jederzeit im Kundenkonto auf das Ende des laufenden Jahres, danach endet das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MWST enthalten.
Wer mehrere Normen kombiniert, zahlt weniger: 20% Rabatt bei zwei Normen, 30% bei drei oder mehr, auch auf die jährliche Gebühr.
07: FAQ
Häufige Fragen zu den Vorteilen von ISO 27017
08: Ratgeber
Verwandte Seiten
Prüfen Sie, ob Ihr Unternehmen ISO 27017 erfüllt
Die Selbstbewertung mit 34 Fragen zeigt Ihnen sofort, wo Sie stehen.
Kostenlos und ohne Registrierung.