ISO-27001-Zertifizierung

Was ist ISO 27001?

DIN ISO/IEC 27001, kurz ISO 27001 genannt, ist die international führende Norm für Informationssicherheit. Die Zertifizierung zeigt, dass ein Unternehmen in der Lage ist, den Schutz von IT-Systemen, personenbezogenen Daten und weiteren vertraulichen oder kritischen Informationen handzuhaben. Genau wie ISO 9001 handelt es sich um eine Norm, welche von der Organisation für Normierung (ISO) herausgegeben wurde.

ISO 27001 beschreibt die Anforderungen an ein ISMS (Information Security System), welches implementiert werden muss. Dazu gehören über 100 Massnahmen und Kontrollspezifikationen. Sobald Lücken in der Informationssicherheit geschlossen werden, kann mit ISO 27001 das Kundenvertrauen gefördert und Risiken für das Unternehmen minimiert werden. Die Zertifizierung ist ein zeitaufwändiger Prozess, welcher nicht auf die Schnelle gemacht werden kann.

Die Implementation kann mehr oder weniger selbstständig oder von Consultants begleitet durchgeführt werden und dauert normalerweise 6+ Monate. Es müssen jährlich Audits durchgeführt werden. Je selbstständiger vorgegangen wird, desto länger dauert der Prozess in der Regel. Wichtig zu beachten ist, dass kleine Firmen in der Regel die Audits extern durchführen müssen.

ISO 27001 Kosten und Aufwände

Die ISO 27001 Zertifizierung ist die global führende Richtlinie für die Implementation eines ISMS (Information Security Management System) und ist mit einem grossen Aufwand an Zeit, Arbeit und Ressourcen verbunden. Die ISO 27001 Zertifizierungskosten teilen sich im Groben auf zwei ungefähr gleich grosse Teile auf: Die Implementierungskosten und die Instandhaltungskosten. Da ISO 27001 eine der aufwändigsten ISO Normen ist, muss auch bei kleineren Unternehmen mit Ausgaben von mehr als 30'000 CHF gerechnet werden.

Vorteile einer ISO 27001 Zertifizierung

Mit einem Informationssicherheits-Managementsystem nach ISO 27001 werden die Daten eines Unternehmens vertraulich geschützt. Weitere Vorteile sind:

• Einheitliches und zentral gesteuertes Managementsystem
• Informationssicherheit vor möglichen Hackerangriffen, Datenverlust und Missbrauch
• Risikominimierung des Unternehmens
• Effektives Monitoring von Informationssicherheitsrisiken
• Sicherheitsnachweis des Unternehmens gegenüber dem Gesetzgeber, Kunden, Lieferanten etc.
• Senkung von Finanzierungskosten
• Steigerung der Wettbewerbsfähigkeit
• Reduzierung von häufig wiederkehrenden Audits
• Optimierung von Prozess- und IT-Kosten
• Schaffung von Vertrauen bei Geschäftspartnern, Kunden und in der Öffentlichkeit

Checkliste ISO 27001

Bei der Umsetzung der Norm ist das gesamte Unternehmen betroffen, nicht nur die IT Abteilung. Diese Schritte sind bei der Umsetzung der ISO 27001 Norm ausschlaggebend:

• Wille der Leitung / Management sichern. Die Umsetzung der Norm betrifft das ganze Unternehmen, nicht nur die IT Abteilung.
• Geltungsbereich definieren (Je grösser, desto höher die Kosten)
• Bestandesaufnahme und Dokumentation des Ist-Zustandes: Welche Prozesse und Massnahmen wurden im Geltungsbereich schon umgesetzt?
• Identifizierung fehlender Massnahmen: Ergebnisse aus der Bestandsaufnahme zum Sollzustand erarbeiten
• Risikoanalyse und Einschätzung: Wo ist noch Schutzbedarf nötig?
• Massnahmen ableiten und Arbeitspakete erstellen = Security Prozesse einführen
• Massnahmen umsetzen und das Personal schulen
• Instandhaltung und ISMS verbessern
• Jährliche Rezertifizierung durchführen

Unterschied zwischen ISO 9001 und ISO 27001

ISO 27001 konzentriert sich auf Informationssicherheit für rechtliche Zwecke, IT oder auch HR und ist nicht in erster Linie auf die Kundenzufriedenheit ausgelegt.

ISO 9001 gehört zu der ISO 9000 Normenreihe und ist ein allgemeiner Standard für ein Qualitätsmanagement, der für verschiedenste Arten von Organisationen verwendet werden kann. Dabei geht es um die Kundenzufriedenheit und Produkt- oder Dienstleistungsqualität. Gewisse Teile davon, wie z.B. das Dokumentationsmanagement, interne Audits oder Managementprüfungen sind ähnlich wie bei ISO 27001 vorzufinden.

Die beiden Zertifikate sind kombinierbar. Beide besitzen eine Gültigkeitsdauer von 3 Jahren und es muss ein jährliches Überwachungsaudit durchgeführt werden.

Weiter zur detaillierten Auswahlhilfe für ISO 9001.