Ein Kunde oder eine Ausschreibung verlangt ISO 27001. Der Weg zum Zertifikat, wer was macht und die häufigsten Fehler.
Die Nachfrage nach ISO/IEC 27001 kommt meist aus zwei Richtungen: dem Lieferantenfragebogen eines Großkunden oder einer Ausschreibung. Beide fragen dasselbe: „Hat jemand Unabhängiges Ihre Informationssicherheit geprüft?“ Dieser Beitrag beschreibt den Weg zum Ja.
Zuerst klären, wer was macht
Das Zertifikat erteilt eine akkreditierte Zertifizierungsstelle. Ein Berater bereitet auf das Audit vor. Dass dieselbe Firma vorbereitet und zertifiziert, verstößt gegen die Unparteilichkeitsregel; seien Sie vorsichtig bei Anbietern, die beides versprechen.
1. Den Geltungsbereich klein halten
Für das erste Zertifikat die Leistung abdecken, nach der der Kunde fragt, und die Systeme dahinter, nicht das ganze Unternehmen. Der Umfang bestimmt Zeit und Kosten; erweitern geht später immer.
2. Gap-Analyse durchführen
Normanforderungen und Anhang-A-Maßnahmen werden mit dem Ist-Zustand verglichen. Ergebnis ist eine priorisierte Lückenliste: was gar nicht gemacht wird und was gemacht, aber nicht nachgewiesen wird.
3. Asset-Inventar und Risikobeurteilung
Welche Information liegt in welchem System, in wessen Verantwortung? Für jedes Asset werden Bedrohung, Auswirkung und Wahrscheinlichkeit bewertet und Maßnahmen für nicht akzeptable Risiken gewählt. Dieses Register ist das Herz des Systems; der Auditor schaut zuerst darauf.
4. Dokumente nach den echten Abläufen schreiben
Informationssicherheitsleitlinie, Erklärung zur Anwendbarkeit, Verfahren zu Zugriff, Backup, Vorfällen, Lieferanten und Änderungen. Heruntergeladene Vorlagen fallen sofort auf; Geschriebenes und Gelebtes müssen übereinstimmen.
5. Technische Maßnahmen wirklich umsetzen
Mehrfaktor-Authentifizierung, Berechtigungsmatrix, Firewall-Regeln, verschlüsselte Offline-Backups, Wiederherstellungstests, Log-Erfassung, Patch-Verfolgung, Geräteinventar. Ein Auditor gibt sich nicht mit „wir haben ein Backup-Verfahren“ zufrieden; er will den Nachweis des letzten Wiederherstellungstests.
6. Schulung, internes Audit und Managementbewertung
Mitarbeitende werden sensibilisiert, mit Nachweis. Ein internes Audit probt das Zertifizierungsaudit, Feststellungen werden geschlossen und die Leitung bewertet die Ergebnisse.
7. Zertifizierungsaudit
Das Audit hat zwei Stufen: zuerst die Dokumente, dann die Prüfung vor Ort. Nach der Zertifizierung folgt jährlich ein Überwachungsaudit; das System muss leben.
Die drei häufigsten Fehler
- Den Geltungsbereich zu groß wählen und nie fertig werden.
- Dokumente schreiben, aber Maßnahmen nicht umsetzen.
- Nach dem Zertifikat keine Nachweise mehr führen.
SMB Teknoloji übernimmt den Vorbereitungsteil dieses Weges: Gap-Analyse, Dokumentation und technische Maßnahmen aus einem Team. Das Zertifikat erteilt die unabhängige Stelle Ihrer Wahl.