Sind Ihre Lieferanten wirklich nach ISO 27001 zertifiziert?

In diesem Artikel erfahren Sie, was eine ISO 27001 Zertifizierung ist und warum sie wichtig ist.

Sicherheit und Datenschutz sind die Schlagworte der modernen Zeit. Mit jedem neuen aufsehenerregenden Datenschutzverstoß und der weltweiten Verschärfung der Datenschutzgesetze liegt es in der Verantwortung jedes Unternehmens und jeder Organisation, nachzuweisen, dass sie angemessene Maßnahmen zum Schutz der von ihnen verwendeten personenbezogenen Daten ergreifen. In diesem Zusammenhang spielen Sicherheitsstandards wie ISO 27001 eine wichtige Rolle.

Was ist ISO 27001?

Mit ISO 27001 können Sie nachweisen, dass Sie Ihr Unternehmen analysiert, Risiken identifiziert und Maßnahmen ergriffen haben, um die Wahrscheinlichkeit und/oder die Auswirkungen dieser Risiken zu minimieren, und dass Sie anschließend von einer unabhängigen externen Partei überprüfen lassen, ob alles, was Sie tun, angemessen ist. Da diese Überprüfung jedes Jahr stattfindet, ist dies eine kontinuierliche Verpflichtung zur Einhaltung der Vorschriften.

Bei der Auswahl von Anbietern, ob es sich nun um einen Outsourcer handelt, der Ihren Papierkram bearbeitet, oder um einen SaaS-Anbieter, der Informationen in der Cloud verarbeitet, oder um einen anderen Dienst, bei dem Sie sich auf dessen Sicherheitsstandards zum Schutz Ihrer Daten und Ihres Rufs verlassen, ist ISO 27001 eine wertvolle Zertifizierung. Aber wie können Sie sicher sein, dass das Unternehmen, mit dem Sie zu tun haben, eine gültige Zertifizierung hat?

ISO 27001-konform vs. ISO 27001-zertifiziert

Als Erstes sollten Sie eine Kopie des ISO-Zertifikats verlangen. Es ist üblich, dass Anbieter stolz behaupten, sie seien „auf ISO 27001 ausgerichtet“, aber überlegen Sie einmal, was das bedeutet. Ausrichtung und Zertifizierung sind sehr unterschiedliche Dinge. Wenn ein Unternehmen die ganze harte Arbeit leistet, um sich an die ISO-Norm anzupassen, warum dann nicht den letzten Schritt tun und sich zertifizieren lassen? Oder war das Unternehmen schon einmal zertifiziert und die Zertifizierung wurde ihm entzogen, weil es die geforderten Standards nicht erfüllte?

Der Anwendungsbereich von ISO 27001

Sobald Sie das Zertifikat erhalten haben, müssen Sie als Nächstes prüfen, ob es gültig ist und ob es die Bereiche abdeckt, für die Sie den Anbieter einsetzen wollen. Der erste Schritt besteht also darin, das Ablaufdatum des Zertifikats zu überprüfen. Wenn es abgelaufen ist, ist es nicht mehr gültig. Als Nächstes sollten Sie überprüfen, ob die Stelle, die das Zertifikat ausgestellt hat, akkreditiert ist. In der IAF-Mitgliederliste ist eindeutig dokumentiert, wer zur Akkreditierung von Zertifizierungsstellen berechtigt ist. Im Vereinigten Königreich ist dies zum Beispiel UKAS. Prüfen Sie dann, ob die Stelle, die das Zertifikat des Verkäufers akkreditiert hat, auf der Website des jeweiligen Landes aufgeführt ist.

Wir wissen jetzt, dass das Zertifikat gültig ist, aber wir sind noch nicht fertig. Als Nächstes müssen wir prüfen, ob das Zertifikat die Aktivitäten abdeckt, die der Anbieter an den Standorten durchführen soll, an denen die Arbeit stattfindet. Nach ISO 27001 können Sie auswählen, wofür Sie zertifiziert werden sollen und für welche Standorte das Zertifikat gilt. Dies ist der Geltungsbereich der Zertifizierung.

Nehmen wir an, ein Unternehmen, das sich mit der sicheren Entsorgung von Papierkram befasst, erweitert seinen Betrieb an einem neuen Standort. Das Unternehmen hat eine ISO-Zertifizierung für seinen ursprünglichen Standort. Die Zertifizierung gilt jedoch erst für den neuen Standort, wenn das Zertifizierungsverfahren für diesen abgeschlossen ist. Nun kann eine Zertifizierung mehrere Standorte abdecken, aber nur, wenn dies ausdrücklich angegeben ist. Oder was wäre, wenn dasselbe Unternehmen beschließt, einen SaaS-Anbieter für die Gehaltsabrechnung zu erwerben? Das ISO-Zertifikat gilt nur für die sichere Entsorgung der Papiere; es deckt nicht den SaaS-Betrieb ab.

Wenn Sie sich vergewissert haben, dass das Zertifikat den von Ihnen geforderten Umfang abdeckt, müssen Sie die vom Anbieter eingerichteten Kontrollen überprüfen, um sicherzustellen, dass sie Ihren Anforderungen und Erwartungen entsprechen. Die ISO-Zertifizierung ist ein fortlaufender und sich weiterentwickelnder Prozess. In dem Maße, wie sich die Art der Risiken und die Kundenanforderungen ändern, ändern sich auch die Kontrollen. Prüfen Sie also die Kontrollen Ihres Anbieters, und wenn sie nicht Ihren Anforderungen entsprechen, dann bestehen Sie darauf, dass weitere Kontrollen eingeführt werden. Dies gibt Ihnen die nötige Sicherheit und erleichtert dem Anbieter gleichzeitig die Rezertifizierung, da er nachweisen kann, dass er die von ihm eingesetzten Kontrollen aktiv bewertet und bei Bedarf aktualisiert.

Die Art und Weise, wie Sie Anbieter auswählen und bewerten, ist ein wichtiger Aspekt bei der Aufrechterhaltung Ihrer eigenen ISO 27001-Zertifizierung. Denken Sie an diese drei Schritte:

1. Prüfen Sie, ob das Zertifikat des Anbieters gültig ist.
2. Prüfen Sie, ob der Geltungsbereich anwendbar ist.
3. Prüfen Sie schließlich, ob die Kontrollen Ihren Bedürfnissen und Erwartungen entsprechen.

MetaCompliance ist stolz darauf, ISO 27001-konform zu sein. Wir bei MetaCompliance haben uns immer bemüht, unseren Kunden die beste Infrastruktur für die Informationssicherheit zu bieten. Diese Zertifizierung garantiert, dass unsere Produkte durch genehmigte und dokumentierte Prozesse auf die höchsten Standards eingestellt sind und dass wir uns dem höchsten Standard der Informationssicherheit verpflichtet fühlen. Für weitere Informationen wenden Sie sich bitte an uns.