Angebotsanfrage
Ihr Ansprechpartner Sebastian Kasperowicz
„Gerne erstellen wir Ihnen ein maßgeschneidertes Angebot für die ISO 27001 Zertifizierung Ihres ISMS.“
Wirksame Umsetzung eines Risikomanagementprozesses
Erhöhte Resilienz gegenüber Cyberangriffen
Informationssicherheit als Teil der Unternehmenskultur
Sicherstellung von Compliance
Der internationale Standard bietet Organisationen aller Größen und Branchen einen Rahmen zur Planung, Umsetzung und Überwachung ihrer Informationssicherheit. Die Anforderungen sind generell anwendbar und gelten sowohl für private und öffentliche Unternehmen als auch für gemeinnützige Organisationen.
Die Zertifizierung nach ISO 27001 steht für ein starkes Signal nach außen: Sie ist ein Zeichen für die unabhängige und externe Anerkennung der Wirksamkeit Ihres Informationssicherheits-Managementsystems. Es kann auch unabhängig von anderen Management Systemen wie etwa ISO 9001 (Qualitätsmanagement) oder ISO 14001 (Umweltmanagement) eigenständig eingeführt, betrieben und zertifiziert werden.
Wesentliche Änderungen der neuen ISO/IEC 27001 vom Oktober 2022:
Einführung der Harmonized Structure: Mit der Revision wird die High Level Structur von der Harmonized Structure abgelöst. Die gemeinsame, allgemeine Struktur ermöglicht eine höhere Kompatibilität mit anderen Managementsystemnormen.
Fokus auf Prozessorientierung: Es wird ein stärkerer Schwerpunkt auf die Prozessorientierung gelegt, einschließlich der Betonung ihrer Interaktionen und Bewertungskriterien. Mehr dazu lesen Sie in unserem Whitepaper "Prozessorientierung in ISO 27001".
Neu strukturierte Maßnahmenkategorien: Die Klassifizierung der Sicherheitsmaßnahmen wurde in thematische Blöcke überarbeitet, was die Verständlichkeit und Anwendbarkeit verbessert.
Aktualisierte Sicherheitsmaßnahmen: Die Maßnahmen sind jetzt auf die aktuellen Bedrohungen und Organisationsmethoden abgestimmt, was sie relevanter für moderne Unternehmensumgebungen macht.
Flexible Anpassung an das Risikomanagement: Neue Attribute ermöglichen die Anpassung der Controls an unterschiedliche Risikomanagementmethoden und globale Cybersicherheitsstandards.
Mit der revidierten ISO/IEC 27001:2022-10 ist auch der Anhang A überarbeitet erschienen. Dieser umfasst nun 93 Maßnahmen in 4 Themenbereichen umfasst und damit gezielter auf heutige Sicherheitsanforderungen eingeht. Eine umfassende Betrachtung der relevanten Änderungen lesen Sie in unserem BlogbeitragNeue ISO/IEC 27001:2022 – wesentliche Änderungen.
Die deutsche DIN-Norm liegt seit Anfang 2024 vor: DIN EN ISO/IEC 27001:2024-01 – Informationssicherheit, Cybersicherheit und Datenschutz – Informationssicherheitsmanagementsysteme – AnforderungenDie Norm kann bei DIN Media bezogen werden.
Bedeutung für Unternehmen in Deutschland:
Unternehmen, die bereits ein ISMS eingeführt haben, erfüllen viele der NIS2-Anforderungen und können so die Einhaltung der gesetzlichen Vorgaben mit einer ISO 27001 Zertifizierung entsprechend nachweisen.
insbesondere
Interne Audits sowie die Managementbewertung unter Beteiligung der obersten Unternehmensleitung sind dabei interne Stellschrauben, um diese Erfolge zu erzielen.
Weitere positive Aspekte sind, dass interessierte Parteien wie zum Beispiel Aufsichtsbehörden, Versicherungen, Banken, Partnergesellschaften ein höheres Vertrauen zu Ihrer Organisation aufbauen. Denn ein zertifiziertes Managementsystem signalisiert, dass sich Ihre Organisation strukturiert mit Risiken befasst und der kontinuierlichen Verbesserung (KVP) folgt und sich damit widerstandsfähiger gegen ungewollte Einflüsse macht.
Auch die Einhaltung gesetzlicher Vorgaben kann mit einer Zertifizierung nach ISO 27001 aufgezeigt werden. Hierzu zählen neben dem NIS2UmsuCG auch KRITIS-Betreiber, die einen Schwellenwert überschreiten und laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) einen Nachweis zur Sicherstellung ihrer Informationssicherheit erbringen müssen. Zu den KRITIS-Sektoren zählen unter anderem Energie, Gesundheit, Finanzen und Versicherungen, Transport und Verkehr sowie Ernährung. Entsprechende Umsetzungsnachweise können durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen.
Ein integrierter Ansatz bietet entscheidende Vorteile:
Mit einer Zertifizierung beweisen Unternehmen nicht nur ihre Fähigkeit, Gefahren umfassend abzuwehren, sondern stärken auch das Vertrauen von Kunden, Partnern und Stakeholdern, wenn es zu einem Cyber-Angriff oder anderem Sicherheitsvorfällen kommt. BCM und Informationssicherheit sind mehr als die Summe ihrer Teile – sie sind ein unschlagbares Team für die Zukunftssicherheit Ihres Unternehmens.
Im März wurde die ISO/IEC 27006-1:2024 erstmals veröffentlicht. Im August 2024 veröffentlichte das Deutsche Institut für Normung e.V. (DIN) die neue Version der DIN ISO/IEC 27006-1:2024, welche die aktuell gültigen Versionen ISO/IEC 27006:2015 und ISO/IEC 27006:2015/Amd 1:2020 vollständig ersetzten wird. Jede akkreditierte Zertifizierungsstelle ist damit aufgefordert, die darin enthaltenen Änderungen bis spätestens Ende März 2026 umgesetzt zu haben.
Die DQS GmbH ist bestrebt, die geforderten Umstellungen ihrer internen Prozesse so frühzeitig wie möglich durchzuführen. Die termingerechte Umsetzung wird durch die DAkkS überprüft. Für die Anwender von ISO/IEC 27001:2022 ergeben sich durch die Umstellung auf die neueste Version keine Änderungen an den Anforderungen ihres Informationssicherheits-Managementsystems.
Unabhängig in welcher Branche Ihr Unternehmen tätig ist, können Sie sich auf die tiefe Fachkenntnis der Auditoren der DQS verlassen. Sie bringen langjährige Erfahrungen in der Begutachtung von Informationssicherheits- und weiteren Managementsystemen für die unterschiedlichen Branchen mit.
Sind alle Anforderungen von DIN EN ISO 27001 umgesetzt, können Sie Ihr Managementsystem zertifizieren lassen. Dabei durchlaufen Sie bei der DQS einen mehrstufigen Zertifizierungsprozess. Ist bereits ein zertifiziertes Managementsystem im Unternehmen etabliert, kann der Prozess verkürzt werden.
Im ersten Schritt tauschen Sie sich mit uns über Ihr Unternehmen und die Ziele einer ISO 27001 Zertifizierung aus. Auf dieser Basis erhalten Sie ein detailliertes, auf die individuellen Bedürfnisse Ihres Unternehmens zugeschnittenes Angebot.
Das ISO/IEC 27001 Audit startet mit der Systemanalyse und Bewertung Ihres Managementsystems (Audit Stufe 1). Dabei stellt Ihr Auditor fest, ob Ihr Managementsystem ausreichend entwickelt und zertifizierungsreif ist.
Im nächsten Schritt (Systemaudit Stufe 2) begutachtet Ihr Auditor vor Ort die Wirksamkeit aller Managementprozesse unter Anwendung der Norm ISO 27001. Das Auditergebnis wird bei einem Abschlussgespräch vorgestellt. Bei Bedarf werden Maßnahmenpläne vereinbart.
Nach dem Zertifizierungsaudit werden die Ergebnisse durch die unabhängige Zertifizierungsstelle der DQS bewertet. Sind alle Normanforderungen erfüllt, erhalten Sie ein international anerkanntes Zertifikat für ISO 27001.
Nach der erfolgreichen ISO 27001 Zertifizierung werden mindestens einmal jährlich wesentliche Komponenten Ihres ISMS erneut vor Ort auditiert, um kontinuierlich Verbesserungen zu erzielen.
Das ISO 27001 Zertifikat ist für maximal drei Jahre gültig. Rechtzeitig vor Ablauf wird eine Rezertifizierung durchgeführt, um die fortlaufende Erfüllung der anwendbaren Normanforderungen zu gewährleisten. Bei Erfüllung wird ein neues Zertifikat ausgestellt.
Die Kosten für eine Zertifizierung nach DIN ISO 27001 bemessen sich unter anderem an folgenden vier Kriterien:
1. Die Komplexität Ihres Informationssicherheits-Managementsystems
Hierbei werden die kritischen Werte (zum Beispiel Patente, personenbezogene Daten, Anlagen, Prozesse) Ihres Unternehmens berücksichtigt. Der Aufwand für eine Zertifizierung orientiert sich dabei vor allem an den Informationssicherheitsanforderungen und in welchem Maße Vertraulichkeit, Integrität und Verfügbarkeit (VIV) von Informationen betroffen sind.
2. Das Kerngeschäft Ihres Unternehmens im Geltungsbereich des ISMS
An dieser Stelle spielen vor allem die mit Ihren Geschäftsprozessen verbundenen Risiken eine wichtige Rolle für die Ermittlung des notwendigen Auditaufwands. Gesetzliche Anforderungen werden dabei ebenso berücksichtigt wie komplexe, individuelle Kundenanforderungen.
3. Die hauptsächlich eingesetzten Technologien und Komponenten
Im Rahmen des Audits werden die Technologie sowie die einzelnen Komponenten Ihres Managementsystems geprüft. Hierzu zählen IT-Plattformen, Server, Datenbanken, Applikationen sowie Netzwerksegmente. Grundsätzlich gilt hier: Je höher der Anteil an Standardsystemen und je geringer die Komplexität Ihrer IT ist, desto geringer ist der Aufwand. Davon abhängig sind auch die Kosten einer DIN ISO 27001 Zertifizierung.
4. Der Anteil an Eigenentwicklungen
Gibt es keine interne Entwicklung und Sie verwenden überwiegend standardisierte Softwareplattformen, ist der Aufwand einer Begutachtung geringer. Zeichnet sich Ihr ISMS durch intensive Nutzung selbst entwickelter Software aus und wird diese für zentrale Geschäftsbereiche eingesetzt, wird der Aufwand für die Zertifizierung höher ausfallen.
Damit wir Ihnen einen Überblick über die Kosten für eine ISMS-Zertifizierung geben können, benötigen wir im Vorfeld genaue Angaben zu Ihrem Geschäftsmodell sowie zum Anwendungsbereich. So können wir Ihnen ein maßgeschneidertes Angebot mit Ihren Zertifizierungskosten für ISO 27001zukommen lassen.
Jetzt kostenfreie DQS-Webinaraufzeichnung zur ISO 27001:2022 herunterladen. Referenten: DQS-Normexperten Markus Jegelka und André Säckel.