ISO 27001 beim IT-Dienstleister: Worauf Sie achten sollten

Was das Zertifikat aussagt

ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheits-Managementsystem. Ein zertifiziertes ISMS schafft einen überprüfbaren Rahmen, in dem ein Unternehmen Risiken bewertet, Verantwortlichkeiten festlegt und seine Maßnahmen weiterentwickelt. Die Zertifizierung bezieht sich auf einen definierten Geltungsbereich. Sie ist keine Garantie dafür, dass es niemals zu einem Sicherheitsvorfall kommt.

Prüfen Sie den Geltungsbereich

Lassen Sie sich das vollständige, aktuelle Zertifikat einschließlich Anlagen zeigen. Stimmen der Name des Vertragspartners und die erfassten Standorte? Welche Leistungen und Prozesse sind ausdrücklich eingeschlossen? Ein Zertifikat für einen abgegrenzten Geschäftsbereich lässt sich nicht ohne Weiteres auf sämtliche Angebote einer Unternehmensgruppe übertragen.

Achten Sie außerdem auf die angegebene Normversion, die Gültigkeit und die ausstellende Zertifizierungsstelle. Bei Unklarheiten sollte der Anbieter die Angaben erläutern und eine Überprüfung bei der Zertifizierungsstelle ermöglichen. Für einen Vergleich von Dienstleistern hilft es, dieselben Fragen zu stellen und die Antworten festzuhalten.

Vom Nachweis zur Zusammenarbeit

Für Ihren IT-Alltag werden daraus konkrete Fragen: Wer darf auf Ihre Systeme zugreifen? Wie werden Berechtigungen erteilt und wieder entzogen? Wie werden Änderungen dokumentiert? Wer informiert Sie bei einem Sicherheitsvorfall, über welchen Weg und innerhalb welcher vereinbarten Zeit? Klären Sie auch die Einbindung von Unterauftragnehmern und die Rückgabe Ihrer Daten bei Vertragsende.

Ihre eigenen Anforderungen bleiben maßgeblich

Eine Zertifizierung des Dienstleisters ersetzt weder Ihr eigenes Sicherheitskonzept noch die Prüfung vertraglicher und datenschutzrechtlicher Anforderungen. Legen Sie vor der Auswahl fest, welche Informationen besonders schutzbedürftig sind und welche Ausfälle Ihr Betrieb verkraften kann. Daran müssen Leistungsumfang, Nachweise und Vereinbarungen gemessen werden.

Informationssicherheit bei anyWARE

Das Informationssicherheitsmanagement von anyWARE ist nach ISO/IEC 27001:2022 zertifiziert. Der Geltungsbereich umfasst unseren IT-ServiceDesk mit First-, Second- und Third-Level-Support. Den Nachweis finden Sie in unserer Zertifizierungsmeldung. GINDAT hat uns beim Aufbau unseres ISMS begleitet. Für Ihr Unternehmen können wir technische Maßnahmen und organisatorische Fragen gemeinsam mit den zuständigen Fachleuten aufeinander abstimmen.