Kurze Antwort
Einen Teil von ISO 27001 können Sie selbst aufbauen: die Beschreibung Ihrer Prozesse, die Bewertung von Risiken und die Einführung von Maßnahmen. Aber das Zertifikat selbst dürfen Sie nicht selbst ausstellen. Dies geschieht durch eine unabhängige, akkreditierte Zertifizierungsstelle, die Ihre Organisation anhand der Norm bewertet. Eigenleistung und Auslagerung sind also keine zwei separaten Wahlmöglichkeiten, sondern zwei Schritte im gleichen Prozess.
Ob Sie ein Beratungsunternehmen benötigen, hängt vor allem davon ab, wie viel Zeit, Wissen und interne Kapazität Sie selbst haben. Für ein kleines Unternehmen mit einer überschaubaren IT-Umgebung ist die Einrichtung des Systems oft problemlos selbst zu bewerkstelligen. Für eine Organisation mit mehreren Standorten, Lieferanten und Systemen erfordert dieser Prozess normalerweise so viele Arbeitsstunden, dass eine Begleitung den Prozess verkürzt.
Was genau ist ISO 27001
ISO 27001 ist ein internationaler Standard für Informationssicherheit. Der Standard beschreibt keine technischen Produkte, sondern ein System von Vereinbarungen: wie Sie Risiken einschätzen, welche Maßnahmen Sie dagegen ergreifen und wie Sie dieses System pflegen. Dieses Gesamte wird ISMS genannt, das Informationssicherheitsmanagementsystem. Ein Zertifikat zeigt an, dass eine unabhängige Partei dieses System überprüft hat, nicht dass niemals etwas schiefgehen kann.
Was Sie selbst tun können
Die Einrichtung des ISMS selbst ist grundsätzlich keine Tätigkeit, die gesetzlich einer externen Partei vorbehalten ist. Sie können selbst: einen Überblick erstellen, welche Informationen und Systeme Sie schützen, eine Risikoanalyse durchführen, Richtlinien und Verfahren aufstellen, Maßnahmen einführen wie Zugriffskontrolle und Sicherungen, und eine interne Prüfung durchführen, um zu überprüfen, ob alles auch wirklich so geschieht, wie aufgeschrieben. Viele Unternehmen tun dies mit einem festen Mitarbeiter, der die Rolle eines Informationssicherheitsbeauftragten übernimmt, ergänzt durch eine Vorlage oder ein Aktionsplan.
Die Herausforderung liegt weniger im Inhalt als in der Vollständigkeit. Der Standard verlangt eine große Anzahl von untereinander verbundenen Komponenten, und eine Zertifizierungsstelle prüft genau, ob nichts fehlt. Wer dies zum ersten Mal tut, unterschätzt oft, wie viel Dokumentation und Nachweise erforderlich sind, um nachzuweisen, dass eine Maßnahme nicht nur existiert, sondern auch umgesetzt wird.
Was Sie nicht selbst tun können: die Zertifizierungsstelle
Das Zertifikat selbst kommt von einer Zertifizierungsstelle, die akkreditiert ist, um gegen den ISO 27001-Standard zu prüfen. Diese Stelle führt eine externe Prüfung durch, normalerweise in zwei Phasen: zunächst eine Prüfung der Dokumentation, dann eine Prüfung in der Praxis. Diesen Schritt können Sie nicht intern durchführen, auch nicht mit einem sehr erfahrenen Mitarbeiter: Die Unabhängigkeit des Prüfers ist Teil dessen, was das Zertifikat wert macht. Sie wählen aber selbst, welche akkreditierte Stelle Sie einschalten.
Was ein Beratungsunternehmen hinzufügt
Ein Beratungsunternehmen ersetzt die Zertifizierungsstelle nicht, sondern unterstützt den vorherigen Schritt: die Einrichtung und Inordnungbringung des ISMS, damit die externe Prüfung eine bessere Erfolgschance hat. Dies kann die Strukturierung vorhandener Dokumentation, die Schulung von Mitarbeitern oder die Begleitung der internen Prüfung umfassen. Für Unternehmen ohne eigene IT- oder Compliance-Abteilung spart dies vor allem Zeit: Jemand, der die Norm bereits kennt, muss nicht jeden Punkt erneut heraussuchen.
Ob diese Zeitersparnis die Kosten für ein Beratungsunternehmen rechtfertigt, unterscheidet sich je nach Organisation. Ein Unternehmen mit einem Standort und einer überschaubaren Anwendungslandschaft hat einen kürzeren Weg als ein Unternehmen mit mehreren Standorten und vielen externen Parteien in der Kette.
Ist ISO 27001 immer erforderlich, oder gibt es eine Alternative
Nicht jeder Abnehmer, der nachweisbare Informationssicherheit fordert, verlangt buchstäblich ein ISO-27001-Zertifikat. Einige Kunden akzeptieren eine Selbstbewertung, einen Fragebogen oder eine Erklärung zu den wichtigsten Maßnahmen, besonders wenn Ihr Unternehmen klein ist oder nur begrenzt Zugriff auf sensible Kundendaten hat. Es ist daher ratsam, zunächst zu überprüfen, was Ihr Kunde genau verlangt, bevor Sie ein Zertifizierungsverfahren beginnen. der Erklärung pro Thema in der Wissensdatenbank zeigt, welche Konzepte hinter einer solchen Frage oft stecken und wie sie sich zueinander verhalten.
Supplia.eu zertifiziert oder bewertet nichts und kann daher nicht feststellen, ob Ihre Organisation die Norm erfüllt. Was wir tun, ist den Fragebogen Ihres Kunden zu erkennen und die Antworten aus einer Lieferkettendatei zu füllen, damit Sie nicht jedes Mal von vorne erklären müssen, welche Maßnahmen Sie bereits ergriffen haben. Mit ein paar Fragen sehen Sie, wo Ihre Situation ungefähr steht, ohne dass dies etwas über das Zertifizierungsverfahren selbst aussagt.
Was Sie jetzt tun können
Finden Sie zunächst heraus, ob Ihr Kunde ein Zertifikat verlangt oder ob ihm eine begründete Antwort auf den Fragebogen genügt. Überprüfen Sie dann, wie viel des ISMS Sie bereits informell geregelt haben: Risiken, Zugriffskontrolle, Sicherungen und Incident Management sind oft bereits teilweise eingerichtet, auch wenn es niemand so genannt hat. Erst wenn Sie wissen, was noch fehlt, ist es sinnvoll zu entscheiden, ob Sie das selbst in Angriff nehmen oder ein Beratungsunternehmen zur Vorbereitung auf die Zertifizierungsstelle hinzuziehen.
Auf der Seite darüber, wie die Informationen auf supplia.eu entstehen lesen Sie, woher unsere Erklärung kommt, damit Sie diese neben der offiziellen Norm nachschlagen können. Sind Sie sich noch unsicher, ob Ihre Situation ein Zertifikat erfordert, machen Sie den kostenlosen Quick-Check oder sehen Sie sich die häufig gestellten Fragen zu Fragebögen und Nachweisen für eine erste Orientierung an.