Informationssicherheit mit System

Das Thema „Informationssicherheit“ wird für Unternehmen im Zuge der digitalen Transformation immer drängender. Ohne ausreichende Sicherheitsvorkehrungen drohen Datenverlust und Datendiebstahl durch Hacker, Geschäftsstillstand durch Angriffe über das Web oder Datenmissbrauch. Eine Maßnahme für einen strukturierten Ansatz ist ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001.

Belegbare Daten- und Informationssicherheit

Sicherheit als Teil der Unternehmenskultur

Wirksame Umsetzung eines Risikomanagementprozesses

Fortlaufende Verbesserung Ihres Sicherheitsniveaus

Beschreibung Standard/Regelwerk
Loading...

Was ist ISO 27001?

ISO/IEC 27001 ist die international führende Norm zur Einführung eines ganzheitlichen Managementsystems für Informationssicherheit. Der Fokus liegt dabei auf der Identifikation, Bewertung und Steuerung von Risiken für die informationsverarbeitenden Prozesse. Die Sicherheit von vertraulichen Informationen wird dabei als bedeutendes strategisches Element hervorgehoben.

Informationen umgeben uns überall und sind Teil von jedem Prozess. Oftmals sind sie belanglos, oft aber auch kritisch und vertraulich. Um genau diese wichtige Unterscheidung für Ihre Organisation treffen zu können, ist eine Klassifizierung von Informationen erforderlich. Denn darauf bauen die Schutzmaßnahmen eines Informationssicherheits-Managementsystems (ISMS) nach DIN EN ISO/IEC 27001 auf.

Ein ISMS schafft den Rahmen, um betriebliche Daten und deren Vertraulichkeit zu schützen. Gleichzeitig sorgt die weltweit anerkannte Norm für die Verfügbarkeit der an den Unternehmensprozessen beteiligten IT-Systeme. Eine ISO 27001 Zertifizierung ist in diesem Zusammenhang ein starkes Signal in den Markt: nämlich die unabhängige externe Bewertung und Bestätigung der Wirksamkeit Ihres ISMS.

Mit DIN EN ISO/IEC 27001:2017-06 ist eine vom European Committee for Standardization (CEN) abgestimmte Version erschienen. Sie vereint die beiden Berichtigungen (Corrigenda) Cor 1:2014 und Cor 2:2015. Die mit der Korrektur verbundenen Änderungen beinhalten lediglich eine verbesserte Beschreibung der damit verbundenen Anforderungen, aber keine neuen, zusätzlichen Anforderungen. Zertifikate nach der Version ISO/IEC 27001:2013 behalten somit ihre Gültigkeit.

mehr anzeigen
weniger anzeigen
Zielgruppe
Loading...

Für wen eignet sich eine Zertifizierung nach ISO 27001?

Die ISMS-Norm ISO 27001 gilt weltweit. Sie bietet Unternehmen aller Größen und Branchen einen Rahmen zur Planung, Umsetzung und Überwachung ihrer Informationssicherheit. Die Anforderungen sind generell anwendbar und gelten sowohl für private und öffentliche Unternehmen als auch für gemeinnützige Organisationen.

Unternehmen, die zu einem Sektor der Kritischen Infrastruktur (KRITIS) zählen und einen Schwellenwert überschreiten, müssen laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) einen Nachweis zur Sicherstellung ihrer Informationssicherheit erbringen. Zu den KRITIS-Sektoren zählen unter anderem Energie, Wasser, Gesundheit, Finanzen und Versicherungen, Ernährung, Transport und Verkehr, Informationstechnik sowie Telekommunikation. Entsprechende Umsetzungsnachweise können durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Dafür können entweder anerkannte Normen wie DIN ISO 27001 oder alternativ vom BSI anerkannte Branchenspezifische Sicherheitsstandards (B3S) als Prüfungsgrundlage verwendet werden.

mehr anzeigen
weniger anzeigen
Business11.png
Loading...

Warum ist die Norm ISO 27001 für mein Unternehmen sinvoll?

Die Einführung eines ISMS nach ISO/IEC 27001 stellt für ein Unternehmen eine strategische Entscheidung dar. Die Erfüllung der bewusst allgemein gehaltenen Normanforderungen muss die spezifische Unternehmenssituation widerspiegeln. Die Umsetzung im Unternehmen richtet sich nach den Bedürfnissen und Zielen, den Sicherheitsanforderungen, den organisatorischen Abläufen sowie nach der Unternehmensgröße und Unternehmensstruktur.

Besonders wertvoll für die Praxis ist die Umsetzung der Maßnahmen in Anhang A der Norm. Zusätzlich zum Managementsystem-orientierten Anforderungsteil (Kapitel 4 bis 10) enthält die ISO-Norm im Annex A über 14 Kapitel hinweg eine umfangreiche Auflistung von 35 Maßnahmenzielen (Controls) mit 114 konkreten Maßnahmen zu verschiedensten Sicherheitsaspekten. Diese Maßnahmen müssen im Rahmen des Managementsystems umgesetzt werden, soweit sie für Ihr Unternehmen relevant sind.

Die konsequente Ausrichtung von Unternehmensprozessen an DIN EN ISO 27001 führt nachweislich zu zu einer Reihe von Vorteilen:

  • Stetige Verbesserung des Sicherheitsniveaus
  • Reduzierung von vorhandenen Risiken
  • Einhaltung von Compliance-Anforderungen
  • Größere Sensibilisierung von Mitarbeitern
  • Höhere Kundenzufriedenheit

Interne Audits sowie die Managementbewertung unter Beteiligung der obersten Unternehmensleitung sind dabei interne Stellschrauben, um diese Erfolge zu erzielen

Weitere positive Aspekte sind, dass interessierte Parteien wie zum Beispiel Aufsichtsbehörden, Versicherungen, Banken, Partnergesellschaften ein höheres Vertrauen zu Ihrem Unternehmen aufbauen. Denn ein zertifiziertes Managementsystem signalisiert, dass sich Ihre Organisation strukturiert mit Risiken befasst und der kontinuierlichen Verbesserung (KVP) folgt und sich damit widerstandsfähiger gegen ungewollte Einflüsse macht.

Die internationale Norm ISO/IEC 27001 kann auch unabhängig von anderen Managementsystemen wie etwa ISO 9001 (Qualitätsmanagement) oder ISO 14001 (Umweltmanagement) eigenständig eingeführt, betrieben und zertifiziert werden.

 

mehr anzeigen
weniger anzeigen
Business36.png
Loading...

Wer darf eine Zertifizierung nach ISO 27001 durchführen?

Um ein Informationssicherheits-Managementsystem zu zertifizieren, muss die jeweilige Zertifizierungsstelle selbst nach ISO/IEC 17021 und ISO/IEC 27006 akkreditiert sein. ISO/IEC 17021 regelt Themen zur Konformitätsbewertung, speziell Anforderungen an Prüfstellen, die Managementsysteme auditieren und zertifizieren.

In ISO/IEC 27006 werden ergänzend strenge Anforderungen definiert, die Zertifizierungsstellen für die Zertifizierung eines ISMS nach ISO 27001 einhalten müssen.

Hierzu gehören unter anderem:

  • Der Nachweis über vorgegebene Aufwände bei Audits.
  • Die Vorgaben zur Qualifikation der Auditoren.

Die DQS ist durch die Deutsche Akkreditierungsstelle GmbH (DAkkS) akkreditiert und damit berechtigt, Audits und Zertifizierungen nach DIN ISO 27001 durchzuführen.

Unabhängig in welcher Branche Ihr Unternehmen tätig ist, können Sie sich auf die ausgeprägte Fachkenntnis der Auditoren der DQS verlassen. Sie bringen langjährige Erfahrungen in der Begutachtung von Informationssicherheitsmanagementsystemen für die unterschiedlichen Branchen mit.

mehr anzeigen
weniger anzeigen
Business28.png
Loading...

Wie läuft eine ISO 27001 Zertifizierung ab?

Sind alle Anforderungen von DIN EN ISO 27001 umgesetzt, können Sie Ihr Managementsystem zertifizieren lassen. Dabei durchlaufen Sie bei der DQS einen mehrstufigen Zertifizierungsprozess. Ist bereits ein zertifiziertes Managementsystem im Unternehmen etabliert, kann der Prozess verkürzt werden.

Im ersten Schritt tauschen Sie sich mit uns über Ihr Unternehmen und die Ziele einer ISO 27001Zertifizierung aus. Auf dieser Basis erhalten Sie ein detailliertes, auf die individuellen Bedürfnisse Ihres Unternehmens zugeschnittenes Angebot.

Ein Meeting zur Projektplanung kann zum Beispiel bei größeren Projekten sinnvoll sein, um Zeitpläne und die Durchführung der Audits noch besser auf Standorte oder Unternehmensbereiche abzustimmen. Das Voraudit bietet Ihnen die Möglichkeit, bereits im Vorfeld Stärken und Verbesserungspotenzial Ihres Managementsystems zu ermitteln. Beide Dienstleistungen sind optional.

Das Zertifizierungsaudit startet mit der Systemanalyse und Bewertung Ihres ISMS (Audit Stufe 1). Dabei stellt Ihr Auditor fest, ob Ihr Managementsystem ausreichend entwickelt und zertifizierungsreif ist. Im nächsten Schritt (Systemaudit Stufe 2) begutachtet Ihr Auditor vor Ort die Wirksamkeit aller Managementprozesse unter Anwendung der Norm ISO 27001. Das Auditergebnis wird bei einem Abschlussgespräch vorgestellt. Bei Bedarf werden Maßnahmenpläne vereinbart.

Nach dem Zertifizierungsaudit werden die Ergebnisse durch die unabhängige Zertifizierungsstelle der DQS bewertet. Wenn alle Normanforderungen erfüllt sind, erhalten Sie das ISO 27001 Zertifikat.

Nach der erfolgreichen Zertifizierung werden mindestens einmal jährlich wesentliche Komponenten Ihres ISMS erneut vor Ort auditiert, um kontinuierlich Verbesserungen zu erzielen.

Das ISO 27001 Zertifikat ist für maximal drei Jahre gültig. Rechtzeitig vor Ablauf wird eine Rezertifizierung durchgeführt, um die fortlaufende Erfüllung der anwendbaren Normanforderungen zu gewährleisten. Bei Erfüllung wird ein neues Zertifikat ausgestellt.

Banking13.png
Loading...

Was kostet eine ISO 27001 Zertifizierung?

Die 4 Bemessungskriterien

Auch wenn das Audit nach ISO 27001 nach strukturierten Vorgaben durchzuführen ist, hängen die Kosten von unterschiedlichen Faktoren ab, beispielsweise von der Komplexität Ihres Unternehmens. Deshalb gibt es kein pauschales Angebot für jedes Unternehmen.

Die Kosten für eine Zertifizierung nach DIN ISO 27001 bemessen sich unter anderem an folgenden vier Kriterien:

1. Die Komplexität Ihres Informationssicherheits-Managementsystems

Hierbei werden die kritischen Werte (zum Beispiel Patente, personenbezogene Daten, Anlagen, Prozesse) Ihres Unternehmens berücksichtigt. Der Aufwand für eine Zertifizierung orientiert sich dabei vor allem an den Informationssicherheitsanforderungen und in welchem Maße Vertraulichkeit, Integrität und Verfügbarkeit (VIV)  von Informationen betroffen sind.

2. Das Kerngeschäft Ihres Unternehmens im Geltungsbereich des ISMS

An dieser Stelle spielen vor allem die mit Ihren Geschäftsprozessen verbundenen Risiken eine wichtige Rolle für die Ermittlung des notwendigen Auditaufwands. Gesetzliche Anforderungen werden dabei ebenso berücksichtigt wie komplexe, individuelle Kundenanforderungen.

3. Die hauptsächlich eingesetzten Technologien und Komponenten in Ihrem ISMS

Im Rahmen des Audits werden die Technologie sowie die einzelnen Komponenten Ihres ISMS geprüft. Hierzu zählen IT-Plattformen, Server, Datenbanken, Applikationen sowie Netzwerksegmente. Grundsätzlich gilt hier: Je höher der Anteil an Standardsystemen und je geringer die Komplexität Ihrer IT ist, desto geringer ist der Aufwand. Davon abhängig sind auch die Kosten einer ISO 27001 Zertifizierung.

4. Der Anteil an Eigenentwicklungen in Ihrem ISMS 

Gibt es keine interne Entwicklung und Sie verwenden überwiegend standardisierte Softwareplattformen, ist der Aufwand einer Begutachtung geringer. Zeichnet sich Ihr ISMS durch intensive Nutzung selbst entwickelter Software aus und wird diese für zentrale Geschäftsbereiche eingesetzt, wird der Aufwand für die Zertifizierung höher ausfallen.

Damit wir Ihnen einen Überblick über die Kosten für eine ISMS Zertifizierung geben können, benötigen wir im Vorfeld genaue Angaben zu Ihrem Geschäftsmodell sowie zum Anwendungsbereich. So können wir Ihnen ein maßgeschneidertes Angebot zukommen lassen.

mehr anzeigen
weniger anzeigen
Business2.png
Loading...

Das können Sie von uns erwarten

  • Mehr als 35 Jahre Erfahrung in der Zertifizierung von Managementsystemen und Prozessen
  • Branchenerfahrene Auditoren und Experten mit ausgeprägter Fachkenntnis
  • Wertschöpfende Einblicke in Ihr Unternehmen
  • Zertifikate mit internationaler Akzeptanz
  • Expertise und Zulassungen für alle maßgeblichen Standards
  • Persönliche, reibungslose Betreuung durch unsere Spezialisten – regional, national und international
  • Individuelle Angebote mit flexiblen Vertragslaufzeiten ohne versteckte Kosten
Loading...

Angebotsanfrage

Ihre Ansprechpartnerin Regine Bullon-Haro

"Gerne erstellen wir Ihnen ein maßgeschneidertes Angebot für die ISO 27001-Zertifizierung Ihres ISMS."