Was ist ISO 27001 und was garantiert ein zertifizierter Anbieter?

ISO 27001 ist die internationale Norm, die festlegt, wie ein Unternehmen die Sicherheit seiner Informationen managen soll: verstehen, welche Daten es verarbeitet und welchen Risiken sie ausgesetzt sind, Maßnahmen zur Risikominderung auswählen, prüfen, ob sie wirken, und sie laufend nachbessern. Wenn Sie sich fragen, was ISO 27001 eigentlich ist, weil ein Anbieter das Zertifikat in seinem Angebot hervorhebt, lautet die kurze Antwort: Das Zertifikat betrifft die Art, wie dieses Unternehmen mit Informationen umgeht, nicht die Software, die es Ihnen liefern wird. Es hat durchaus Wert, vorausgesetzt, Sie lesen es genau und übersetzen es in Vertragsklauseln.

Dieser Leitfaden richtet sich an die andere Seite des Tisches: an Geschäftsführer oder IT-Verantwortliche eines KMU, die einen Softwareanbieter auswählen und ihm Stammdaten, Aufträge, Preislisten und Personaldaten anvertrauen müssen.

Was ist ISO 27001? Einfach erklärt

Der vollständige Name lautet ISO/IEC 27001. Die Norm beschreibt die Anforderungen an ein Managementsystem für Informationssicherheit, abgekürzt ISMS. Sie enthält keine Liste von Produkten, die man kaufen muss. Sie verlangt vom Unternehmen, nach einer schriftlich festgelegten Methode zu arbeiten: Risiken bewerten, über ihre Behandlung entscheiden, die gewählten Maßnahmen umsetzen, ihre Wirksamkeit messen, interne Audits durchführen und eine regelmäßige Bewertung durch die Geschäftsleitung vornehmen. Sie gilt für jede Organisation, unabhängig von Art und Größe, wie es im Datenblatt der Norm im UNI-Katalog heißt.

Der konkreteste Teil ist Anhang A, eine Liste von 93 Sicherheitsmaßnahmen (Controls), gegliedert in vier Themen:

Das Unternehmen muss nicht zwingend alle anwenden. Es muss die beschlossenen Maßnahmen mit dieser Liste abgleichen und in einem Dokument namens Erklärung zur Anwendbarkeit (Statement of Applicability) festhalten, welche Controls es anwendet, welche es ausschließt und warum. Ein Softwarehaus mit fünfzehn Mitarbeitenden ohne eigenen Serverraum wird deutlich schlankere physische Controls haben als ein Rechenzentrum, und die Norm sieht das ausdrücklich vor.

Wie jede einzelne Maßnahme umgesetzt wird, beschreibt eine andere Norm, die ISO/IEC 27002. Sie ist ein Leitfaden und nicht zertifizierbar. Die gültige Ausgabe der 27001 ist die von ISO am 25. Oktober 2022 veröffentlichte, ergänzt durch eine Änderung von 2024, die lediglich einen Verweis auf den Klimawandel hinzufügt. In Italien ist sie als UNI CEI EN ISO/IEC 27001:2024+A1:2024 übernommen, das ist die italienische Fassung der Norm.

ISO-27001-Zertifizierung: Wer stellt sie aus und wie lange gilt sie?

Jedes Unternehmen kann die Norm anwenden, auch ohne sich zertifizieren zu lassen. Zur ISO-27001-Zertifizierung kommt es, wenn eine externe Zertifizierungsstelle das System in einem Audit prüft und, wenn alles stimmt, ein Zertifikat ausstellt. Dabei kommt es sehr darauf an, wer diese Stelle ist. In Italien werden Zertifizierungsstellen von Accredia akkreditiert, der italienischen Akkreditierungsstelle. Accredia gehört den europäischen und weltweiten Netzwerken der Akkreditierungsstellen an und hat die Abkommen zur gegenseitigen Anerkennung unterzeichnet. Deshalb gilt ein Zertifikat einer in Italien akkreditierten Stelle als gleichwertig mit Zertifikaten, die von akkreditierten Stellen in den anderen Unterzeichnerstaaten ausgestellt werden. Es gibt auch Zertifikate von nicht akkreditierten Stellen. Sie können in gutem Glauben ausgestellt sein, aber in diesem Fall prüft niemand, wer da eigentlich geprüft hat.

Der Zertifizierungszyklus dauert drei Jahre, wie es die ISO/IEC 17021-1 vorsieht, die Norm für Zertifizierungsstellen. Nach dem Erstaudit kommt die Stelle mindestens einmal pro Kalenderjahr zu einem Überwachungsaudit zurück (Hinweis von European Accreditation), und vor Ablauf ist ein Rezertifizierungsaudit nötig. Kümmert sich das Unternehmen nicht mehr um sein System, kann das Zertifikat ausgesetzt oder zurückgezogen werden.

Ein Datum sollten Sie sich merken. Die Vorgängerversion der Norm von 2013 gilt nicht mehr: Das Übergangsdokument des IAF, IAF MD 26, hat festgelegt, dass alle Zertifizierungen nach ISO/IEC 27001:2013 bis zum 31. Oktober 2025 ablaufen oder zurückgezogen werden. Ein heute gültiges Zertifikat nennt die Ausgabe 2022. Schickt Ihnen ein Anbieter ein Zertifikat nach „ISO 27001:2013“, zeigt er Ihnen ein abgelaufenes Dokument.

Was ein zertifizierter Anbieter garantiert und was nicht

Das Zertifikat besagt, dass das Unternehmen seine Informationssicherheit mit einem dokumentierten System steuert und dass eine externe Stelle dieses System jedes Jahr prüft. Es besagt nicht, dass die Unternehmenssoftware, die Sie geliefert bekommen, frei von Schwachstellen ist, und es verspricht nicht, dass das Unternehmen niemals einen Sicherheitsvorfall haben wird.

Zur DSGVO ein paar Sätze mehr. Wenn ein Anbieter personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet (Kunden, Mitarbeitende, Aufträge), verlangt Artikel 28 DSGVO, dass Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und dass Sie das Verhältnis durch einen Vertrag oder ein anderes Rechtsinstrument regeln. Ein ISO-27001-Zertifikat ist ein guter Nachweis dieser Garantien. Den Vertrag zur Auftragsverarbeitung brauchen Sie trotzdem: Er beantwortet Fragen, die das Zertifikat nicht berührt, etwa was der Anbieter mit Ihren Daten tun darf und was passiert, wenn die Zusammenarbeit endet.

Nehmen Sie einen typischen Fall. Ein Großhändler beauftragt ein Softwarehaus mit der Entwicklung seines Bestellportals. Um eine neue Funktion zu testen, kopiert ein Entwickler die Produktionsdatenbank mit allen Kundenstammdaten auf seinen Laptop. Der Anbieter ist zertifiziert, und trotzdem hatte niemand gefragt, wo die Datenkopien für die Tests landen würden. Das Zertifikat allein sagt Ihnen nicht, wie der Anbieter mit Testdaten umgeht. Wenn Sie vor der Unterschrift danach fragen und die Antwort in den Vertrag aufnehmen, wissen Sie es.

Ein ISO-27001-Zertifikat in fünf Minuten prüfen

Fordern Sie das Zertifikat als PDF an. Ein zertifiziertes Unternehmen stellt es ohne Weiteres zur Verfügung und veröffentlicht es oft auf seiner Website. Prüfen Sie dann diese Punkte:

1. Die Ausgabe der Norm: Sie muss ISO/IEC 27001:2022 lauten.
2. Firmenname und Sitz: Sie müssen zu dem Unternehmen passen, mit dem Sie den Vertrag schließen, nicht zu einer Muttergesellschaft oder einem Partner.
3. Der Geltungsbereich, also der Satz, der die abgedeckten Tätigkeiten beschreibt. Kaufen Sie Softwareentwicklung ein und spricht der Geltungsbereich nur vom Wiederverkauf von Lizenzen, bleibt die Leistung, die Sie interessiert, außen vor.
4. Die Zertifizierungsstelle und das Akkreditierungszeichen (in Italien Accredia).
5. Ausstellungs- und Ablaufdatum.
6. Der aktuelle Status. Suchen Sie die Zertifikatsnummer oder die Umsatzsteuer-Identifikationsnummer in der Zertifikatsdatenbank von Accredia oder bei IAF CertSearch. Die Accredia-Datenbank kann auch ausgesetzte Zertifikate enthalten: Achten Sie auf den angegebenen Status, nicht nur darauf, ob der Name auftaucht.

Die Prüfung in der Datenbank wird am häufigsten übersprungen, dabei ist sie die einzige, die zeigt, ob das Zertifikat heute gültig ist: Ein ausgesetztes Zertifikat sieht genauso aus wie ein gültiges.

Diese Fragen sollten Sie einem zertifizierten Softwarehaus stellen

Nach dem Zertifikat kommen die Fragen. Sie ergänzen unsere Checkliste für die Wahl eines Softwarehauses, und Sie sollten sie vor der Unterschrift stellen und schriftliche Antworten verlangen:

• Fällt die Leistung, die Sie mir verkaufen, in den Geltungsbereich des Zertifikats? Nennen Sie mir den genauen Satz.
• Wer in Ihrem Team erhält Zugriff auf unsere Produktionsdaten, mit welchen Berechtigungen, und wie entziehen Sie den Zugriff, wenn jemand das Projekt wechselt oder das Unternehmen verlässt?
• Verwenden Sie für Entwicklung und Tests echte oder anonymisierte Daten? Wo liegen die Kopien?
• Wo werden die Daten gehostet, und welche Ihrer Dienstleister (Cloud, Hosting, E-Mail, Support) können darauf zugreifen?
• Wenn bei Ihnen ein Vorfall unsere Daten betrifft: Innerhalb welcher Frist informieren Sie uns, und mit welchen Angaben?
• Wann haben Sie zuletzt die Wiederherstellung eines Backups getestet, und wie ist es gelaufen?
• In welchem Format geben Sie uns die Daten am Ende der Zusammenarbeit zurück, und wie bestätigen Sie die Löschung Ihrer Kopien?

Ein zertifizierter Anbieter sollte diese Antworten bereits irgendwo schriftlich haben, denn das Managementsystem verlangt genau die Dokumentation dieser Punkte. Kommen sie vage oder erst nach Wochen, ist das Zertifikat weniger wert, als es scheint. Die letzte Frage hilft Ihnen auch an dem Tag, an dem Sie den Anbieter wechseln wollen: Die Datenmigration in ein neues ERP-System ist viel einfacher, wenn das Rückgabeformat schon im Vertrag steht.

ISO 27001 für KMU: Müssen Sie sich selbst zertifizieren lassen?

Die Zertifizierung ist freiwillig, und kein Gesetz schreibt sie einem KMU allgemein vor. Wenn Ihr Unternehmen produziert, vertreibt oder installiert und keine IT-Dienstleistungen verkauft, lohnt sich eine Zertifizierung in den meisten Fällen nicht. Der Aufwand für Aufbau und Pflege des Systems (Risikoanalyse, Verfahren, Schulungen, interne Audits, jährliches Audit durch die Zertifizierungsstelle) wiegt für eine kleine Organisation schwer. Was Sie stattdessen brauchen, sind wenige, gut umgesetzte Maßnahmen wie Zwei-Faktor-Authentifizierung, getestete Backups, Updates und regelmäßig überprüfte Zugriffsrechte, dazu Anbieter, die mit einem geprüften System arbeiten. Die grundlegenden Maßnahmen finden Sie in unserem Leitfaden zur IT-Sicherheit für KMU.

Anders sieht es in drei Situationen aus: wenn Sie digitale Dienstleistungen verkaufen oder Daten im Auftrag Ihrer Kunden verwalten, wenn größere Kunden Ihnen immer längere Sicherheitsfragebögen schicken, oder wenn Sie an Ausschreibungen teilnehmen, bei denen die Zertifizierung Punkte bringt oder verlangt wird. Dann wird ISO 27001 für KMU zu einem Vertriebsinstrument und nicht nur zu einem organisatorischen. Planen Sie sie in Ruhe und beginnen Sie mit einem eng gefassten Geltungsbereich.

Ein kurzer Hinweis zu NIS2. Fällt ein Unternehmen unter das italienische NIS-Dekret (D.Lgs. 138/2024, die italienische Umsetzung der NIS2-Richtlinie), hat es gesetzliche Pflichten zum Management von Cyberrisiken und zur Meldung von Vorfällen, die die italienische Agentur für nationale Cybersicherheit beschreibt. ISO 27001 hilft, diese Arbeit zu organisieren, aber Zertifikat und Konformität mit dem Gesetz bleiben zwei verschiedene Prüfungen mit unterschiedlichen Regeln.

Das Beispiel Selli

Sellinnate S.r.l., das Unternehmen hinter Selli, hat sein Managementsystem für Informationssicherheit nach ISO/IEC 27001:2022 zertifizieren lassen, durch Kiwa Cermet Italia S.p.A., eine von Accredia akkreditierte Zertifizierungsstelle. Das Zertifikat trägt die Nr. 22621-L, gilt vom 5. August 2026 bis zum 4. August 2029 und unterliegt einer jährlichen Überwachung. Der Geltungsbereich lautet „produzione e sviluppo di software non connessi all'edizione“ (Herstellung und Entwicklung von Software, nicht verlagsbezogen) und „servizi di consulenza informatica“ (IT-Beratungsleistungen). Er deckt damit die Arbeit ab, die wir leisten, wenn wir Individualsoftware für unsere Kunden entwickeln.

Was wir oben geschrieben haben, gilt auch für uns. Das Zertifikat betrifft, wie wir Informationen im Unternehmen managen, also Prozesse, Rollen, Kontrollen und den Umgang mit Vorfällen, und es zertifiziert nicht die einzelnen Programme, die wir entwickeln. Auf der Seite Zertifizierungen finden Sie das Zertifikat als PDF mit Nummer, Zertifizierungsstelle und Geltungsbereich. In unseren Projekten arbeiten wir mit einer separaten Staging-Umgebung für Tests, und der Quellcode bleibt Eigentum des Kunden.

Lässt sich Ihr Problem mit fertiger Standardsoftware lösen, dann wählen Sie den Anbieter nicht wegen des Zertifikats: Wählen Sie ihn wegen des Produkts, und prüfen Sie das Zertifikat desjenigen, der Ihre Daten hostet.

Sprechen wir darüber

Sie prüfen gerade einen Softwareanbieter und möchten wissen, welche Sicherheitsanforderungen in den Vertrag gehören? Oder Sie möchten sehen, wie unser Zertifikat und sein Geltungsbereich in einem konkreten Projekt aussehen? Vereinbaren Sie ein Gespräch mit uns: Wir gehen von den Daten aus, die Ihr Unternehmen verarbeitet, und davon, wer damit arbeiten muss, und sagen Ihnen, was Sie fragen sollten, uns oder jeden anderen Anbieter.