Nach dem Lesen können Sie verstehen, was die Norm verlangt, wie die Zertifizierung abläuft und wo man anfängt.
Definition
Um Konformität zu erklären, muss ein Unternehmen die Abschnitte 4 bis 10 erfüllen: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung.
Anhang A der Ausgabe 2022 listet 93 Maßnahmen in vier Themen auf: organisatorisch, personenbezogen, physisch und technologisch. Die Risikobeurteilung entscheidet, welche benötigt werden, und jeder Ausschluss braucht eine Begründung.
Warum es wichtig ist
Größere Einkäufer verlangen sie ständig, weil ein akkreditiertes Zertifikat ihnen einen Teil der Lieferantenprüfung erspart.
Der andere Nutzen zeigt sich intern. Verstreute Sicherheitsbemühungen werden zu einem System, das vom Risiko gesteuert und von der Leitung überprüft wird.
Wie es funktioniert
Legen Sie den Anwendungsbereich fest und sichern Sie die Zusage der Leitung. Beurteilen Sie die Risiken, wählen Sie die Maßnahmen und halten Sie sie in der Erklärung zur Anwendbarkeit fest.
Setzen Sie die Maßnahmen in Betrieb und lassen Sie sie lange genug laufen, damit Aufzeichnungen entstehen. Ein internes Audit und eine Managementbewertung zeigen dann, was zu korrigieren ist.
Für die Zertifizierung prüft eine akkreditierte Stelle zuerst die Dokumente und dann die Praxis. Ein Zertifikat gilt in der Regel drei Jahre, mit Überwachungsaudits dazwischen.
Ein Praxisbeispiel
Ein SaaS-Unternehmen mit 40 Beschäftigten beschränkt sein System auf Produkt und Support. Es schließt die Maßnahmen aus Anhang A zu physischen Datenträgern aus, die es nicht besitzt, und schreibt auf, warum.
Nach einem ersten internen Audit und einer Managementbewertung stellt das Zertifizierungsaudit zwei geringfügige Abweichungen fest. Das Unternehmen schließt jede mit einem Korrekturmaßnahmenplan ab.
Bewährte Praktiken
- Wählen Sie einen Anwendungsbereich, der dem entspricht, was Kunden tatsächlich bei Ihnen kaufen.
- Beurteilen Sie die Risiken, bevor Sie Richtlinien schreiben, damit die Dokumente echten Bedarf abdecken.
- Nutzen Sie die Aufzeichnungen, die Ihre Teams ohnehin erstellen, als Nachweise.
- Führen Sie die Managementbewertung wirklich durch und gehen Sie mit Entscheidungen hinaus.
- Beziehen Sie die Lieferanten und Cloud-Dienste ein, auf die der Anwendungsbereich angewiesen ist.
Häufige Fehler
- Im ersten Monat Dutzende Richtlinien zu schreiben. Sie passen selten dazu, wie Menschen arbeiten, und sind bald veraltet.
- Anhang A wie eine Checkliste auszufüllen und damit die Begründung zu überspringen, auf der die Norm aufbaut.
- Einen so engen Anwendungsbereich zu wählen, dass das Zertifikat niemanden beruhigt.
- Das System zwischen den Überwachungsaudits einschlafen zu lassen und dann jedes Jahr hektisch nachzuholen.
Fragen
- Ist ISO 27001 verpflichtend?
- Kein Gesetz schreibt sie in der Regel vor, aber Verträge und Ausschreibungen verlangen sie oft.
- Wie lange dauert die ISO-27001-Zertifizierung?
- Das hängt vom Anwendungsbereich und vom Ausgangspunkt ab. Kleine Unternehmen brauchen oft mehrere Monate, weil der Auditor einen Nachweis des laufenden Betriebs erwartet.
- Was ist der Unterschied zwischen ISO 27001 und ISO 27002?
- ISO/IEC 27001 enthält die Anforderungen, die auditiert werden. ISO/IEC 27002 gibt Hinweise zur Umsetzung der Maßnahmen.
- Welche Dokumente sind für ISO 27001 vorgeschrieben?
- Unter anderem: der Anwendungsbereich, die Sicherheitsleitlinie, Prozess und Ergebnisse der Risikobeurteilung und -behandlung, die Erklärung zur Anwendbarkeit sowie Ergebnisse von Audits und Bewertungen.
- Sichert ISO 27001 die Einhaltung der DSGVO?
- Nein. Sie hilft bei den Sicherheitspflichten, während die DSGVO auch Rechtmäßigkeit, die Rechte der Betroffenen und mehr abdeckt.