ISO 27001 beim IT-Dienstleister

Kurzfassung: Wie prüfen Sie, ob IT-Outsourcing ISO 27001 wirklich umsetzt?

Ein Zertifikat schafft nur dann Wert, wenn sein Umfang die erbrachte Dienstleistung abdeckt und der Anbieter aktuelle Nachweise zu Kontrollen, Reaktion und Verbesserung zeigen kann.

• Prüfen Sie, ob das Zertifikat Dienste, Standorte, Teams und Systeme mit Kundendaten abdeckt.
• Vereinbaren Sie Häufigkeit und Form der Berichte zu SLA, Wiederherstellungstests, Berechtigungen, Vorfällen und Umsetzung von Empfehlungen.
• Benennen Sie Entscheidungsverantwortliche beim Kunden und beim Anbieter.
• Prüfen Sie Ausnahme- und Korrekturmaßnahmenregister, Fristen und Berichte an Risikoverantwortliche.
• Regeln Sie Verantwortung, SLA, Eskalation, Unterauftragnehmer, Auditrechte und Ausnahmeberichte im Vertrag.

Was muss außer dem Zertifikat geprüft und vertraglich ge­re­gelt werden?

Das Dokument ersetzt nicht die Prüfung von Umfang, Verantwortlichkeiten und Nachweisen aus dem laufenden Betrieb.

• Sicherheitsumfang, Systeme, Standorte und Daten der ausgelagerten Leistung festlegen.
• Freigabe von Zugriffen, privilegierte Konten, Unterauftragnehmer und Meldung wesentlicher Änderungen vertraglich regeln.
• SLA, Vorfalleskalation, Backup-Tests, Reporting, Auditrechte und Exit-Verantwortung vereinbaren.
• Bestätigen, wie Administrator-, Dienstkonto-, VPN- und Cloud-Portal-Zugriffe erteilt, überprüft und entzogen werden.
• Einen Musterbericht zu SLA, Vorfällen, Änderungen, Backup, Risiken und offenen Korrekturmaßnahmen anfordern.
• Festlegen, wer im Vorfall kommuniziert, wie Nachweise gesichert werden und wann der Kunde eine Auswirkungsbewertung erhält.

Wie verändert ISO 27001 die Outsourcing-Gespräche und welche Kenn­zah­len zeigen Qualität?

Messen Sie Reaktions- und Lösungszeiten, wiederkehrende Vorfälle, Backup-Status, offene Risiken, Berechtigungsprüfungen und die Umsetzung von Empfehlungen. Diese Ergebnisse verbinden Zertifikatsumfang und Verantwortung mit der tatsächlichen Servicequalität.

• Nicht nur Werkzeuge, sondern Verantwortung für Risiko, Zugriff, Incidents und Kontinuität bewerten.
• Security-Anforderungen mit SLA, Monatsreport, Register offener Risiken und Maßnahmenfristen verbinden.
• Ausnahmen und Korrekturmaßnahmen statt nur geschlossener Tickets messen.
• Bewusste Risikoentscheidungen an fachlich Verantwortliche eskalieren.

Was ISO 27001 wirklich ist

ISO/IEC 27001 beschreibt das Informationssicherheitsmanagementsystem, also die Art und Weise, wie eine Organisation Risiken erkennt, Verantwortung zuweist, Sicherheitsmaßnahmen auswählt, auf Vorfälle reagiert und die Geschäftskontinuität aufrechterhält. Die Zertifizierung ist weder eine Selbsterklärung noch eine einmalige Prüfung durch die Zertifizierungsstelle. Das Zertifikat ist wertvoll, da es von einer unabhängigen Stelle nach Überprüfung des Managementsystems ausgestellt und anschließend durch Überwachungsaudits begleitet wird. Für den IT-Outsourcing-Kunden bedeutet dies, dass der Lieferant über einen Prozess, Nachweise und eine regelmäßige Sicherheitsüberprüfung verfügen sollte, nicht nur über ein Werbeversprechen.

• ISMS umfasst Richtlinien, Rollen, Risiken, Vermögenswerte, Zugriffe, Vorfälle, Geschäftskontinuität und Lieferantenbeziehungen.
• Das Zertifikat sollte einen klaren Geltungsbereich, ein Gültigkeitsdatum, eine Zertifizierungsstelle und einen Bezug zu den Leistungen enthalten, die der Kunde bezieht.
• Überwachungsaudits erfordern die fortlaufende Aufrechterhaltung des ISMS und nicht die einmalige Vorbereitung von Dokumenten vor dem Verkauf.
• Der Standard regelt Fragen zur Sicherheit, ersetzt jedoch nicht die sorgfältige Prüfung eines bestimmten Dienstes und einer bestimmten Kundenumgebung.

Was das Zertifikat NICHT tut

Ein ISO-27001-Zertifikat betrifft ein bewertetes Managementsystem in einem festgelegten Geltungsbereich. Es garantiert weder Vorfallsfreiheit noch die Sicherheit jedes Kundensystems. Prüfen Sie bei der Anbieterwahl den aktuellen Geltungsbereich sowie tatsächliche Kontroll-, Wiederherstellungs- und Vorfallsnachweise.

• Gehen Sie nicht davon aus, dass jede Zertifizierung genau den Service und das Team abdeckt, die Ihr Unternehmen unterstützen.
• Überspringen Sie nicht das Testen von Sicherungen, die Überprüfung administrativer Konten und die Berichtspflichten, nur weil ein Anbieter über ein ISO-27001-Zertifikat verfügt.
• Akzeptieren Sie keine allgemeinen Antworten, wenn Sie Fragen zu Vorfällen, Fernzugriff, Subunternehmern oder dem Entzug von Berechtigungen am Ende der Beziehung stellen.

Vergleich der Lieferantenrisiken mit und ohne ISO

Beim IT-Outsourcing sollte das Zertifikat nicht das einzige Kriterium sein, aber es verändert die Diskussion über Risiken erheblich. Ein Lieferant ohne geprüftes ISMS kann zwar immer noch gute Leistungen erbringen, aber der Kunde muss Prozesse, Nachweise, Entscheidungsträger und Subunternehmerkontrolle unabhängig prüfen. Ein Lieferant mit ISO 27001 sollte schneller zeigen, wie er Zugriff, Vorfälle, Backup, Geschäftskontinuität und Dokumentation verwaltet.

• Administratorzugriff: Fordern Sie MFA, ein Verzeichnis privilegierter Konten, Aktivitätsprotokollierung und einen Prozess zum Widerrufen von Berechtigungen, wenn Mitarbeitende die Rolle oder das Team wechseln.
• Sicherung und Wiederherstellung: Prüfen Sie nicht nur die Aussage, dass Backups vorhanden sind, sondern auch das Datum des letzten Tests, RPO, RTO und die verantwortliche Person für die Wiederherstellungsentscheidung.
• Vorfälle: Überprüfen Sie, ob der Anbieter über Rollen, Benachrichtigungszeiten, Eskalationspfad und Berichterstattung nach dem Vorfall verfügt.
• SLA: Reaktionszeit, Zeit bis zum Workaround, Lösungszeit, Ausschlüsse und Kommunikationsregeln mit der Geschäftsführung gesondert im Vertrag vereinbaren.
• Folgekosten: Fehlende Nachweise verursachen bei einem Audit, Ransomware-Vorfall, Administratorwechsel oder Haftungsstreit in der Regel höhere Kosten.

Welche Nachweise sollte ein erfahrener IT-Partner erbringen?

Ein guter Lieferant verlässt sich nicht nur auf ein Zertifikat. Er kann zeigen, wie er die Sicherheit täglich verwaltet und welche Dokumente und Prüfergebnisse der Kunde während der Zusammenarbeit erhält.

Die häufigsten Fehler bei der Bewertung von ISO 27001

Es passieren Fehler, wenn eine Zertifizierung die Sorgfaltspflicht ersetzt. ISO ist ein starkes Signal für Reife, dennoch sollte der Kunde Umfang, Vertrag, Haftung und Berichterstattung prüfen.

• Das Zertifikat wird fälschlich als Garantie behandelt, dass es nie zu einem Vorfall kommt.
• Unterlassene Überprüfung des Zertifikatsumfangs, des Gültigkeitsdatums und der Zertifizierungsstelle.
• Privilegierte Konten, Unterauftragnehmer und Fernzugriffe werden im Vertrag nicht berücksichtigt.
• Es fehlen Anforderungen an Berichte, regelmäßige Überprüfungen und Nachweise zu ausgeführten Maßnahmen.
• Im Gespräch geht es nur um den Abonnementpreis, ohne die Kosten für Ausfallzeiten, Datenverluste und Prüfungsrisiken.

Was genau deckt ISO 27001 ab?

Bei der ISO 27001 kommt es nicht nur auf das Zertifikat selbst an, sondern auch auf das auf die Risiken der Organisation zugeschnittene Sicherheitssystem. Anhang A gruppiert die Kontrollen in organisatorische, menschliche, physische und technologische Bereiche. Beim IT-Outsourcing sind Zugriffskontrolle, Asset Management, Schulung, Vertraulichkeit, Backup, Protokollierung, Reaktion auf Vorfälle, Lieferantensicherheit und Geschäftskontinuität von besonderer Bedeutung. Ein zertifizierter Lieferant sollte erklären können, welche Kontrollen er im Kundenservice anwendet und welche Nachweise der Kunde erhält.

Wie sieht die Zertifizierung in der Praxis aus?

Die ISO 27001-Zertifizierung beginnt mit dem Aufbau eines Informationssicherheitsmanagementsystems, der Analyse von Risiken, der Implementierung der erforderlichen Kontrollen und der Sammlung von Nachweisen. Anschließend führt eine unabhängige Stelle ein Zertifizierungsaudit durch. Nach Erhalt des Zertifikats durchläuft die Organisation Überwachungsaudits und nach einem mehrjährigen Zyklus eine Rezertifizierung. Für den Kunden bedeutet das, dass der Lieferant die Prüfung nicht einmal bestehen und das Thema vergessen kann. Verfahren, Aufzeichnungen und Nachweise müssen auf dem neuesten Stand gehalten werden.

• Der Prüfer prüft nicht nur die Unterlagen, sondern auch den Ablauf des Prozesses, Verantwortlichkeiten und ausgewählte betriebliche Nachweise.
• Überwachungsaudits helfen dabei, Nachlässigkeiten aufzudecken, bevor sie sich in der Organisation verfestigen.
• Für die Rezertifizierung ist die Bestätigung erforderlich, dass das System weiterhin auf aktuelle Risiken, Dienstleistungen und Änderungen in der Organisation reagiert.
• Der Kunde sollte fragen, wie sich die Zertifizierung auf Onboarding, Reporting, Vorfälle und Sicherheitsüberprüfungen der bezogenen Leistungen auswirkt.

Beispiel: Warum es wichtig ist

Stellen Sie sich einen Vorfall bei einem IT-Anbieter vor: ein verschlüsselter Server, eine verdächtige Anmeldung bei einem Administratorkonto oder ein Fehler in der Backup-Konfiguration. In einem Unternehmen ohne Prozess beginnt die Improvisation: Es ist nicht bekannt, wer entscheidet, wen man benachrichtigt, wie man Nachweise sichert und wann man den Dienst wiederherstellt. Ein Lieferant, der mit einem ISO-27001-konformen ISMS arbeitet, sollte über Rollen, einen Eskalationspfad, eine Aufzeichnung von Entscheidungen, die Kommunikation mit dem Kunden und ein Verfahren für Maßnahmen nach einem Vorfall verfügen. Der Vorfall bleibt ernst, wird jedoch nach einem nachvollziehbaren Prozess gesteuert und nicht durch unbelegte Beruhigungsformeln verdeckt.

• Der Kunde erhält schneller Informationen über die Auswirkungen des Vorfalls, den Umfang des Risikos und die nächsten Schritte.
• Das technische Team arbeitet nach einer abgestimmten Reaktionsanleitung, was das Chaos reduziert und die Reaktionszeit verkürzt.
• Nach dem Vorfall liegen Nachweise, Empfehlungen und Korrekturmaßnahmen vor, die der Geschäftsführung sowie einem Auditor oder Prüfer vorgelegt werden können.

30/60/90-Plan für sicheres Outsourcing

Vor der Serviceübernahme sind Umfang, Verantwortung und sicherer Administratorzugriff mit erforderlicher MFA zu klären. Backup und Wiederherstellung kritischer Dienste müssen nachgewiesen sein. Dringende Lücken sind risikogerecht zu begrenzen, mit Änderungskontrolle und Notfallzugriff. Die folgenden 30/60/90-Tage-Punkte sind beispielhafte Fortschrittsprüfungen und keine Wartefrist für Basisschutz.

• Prüfung nach 30 Tagen: Inventar, Konten, Verträge, Verantwortliche und Behandlung der bei der Übernahme erkannten Risiken bestätigen.
• Prüfung nach 60 Tagen: Wirksamkeit von Zugriffskontrollen, MFA, Ticketbearbeitung, SLA, Monitoring und Reporting bewerten.
• Prüfung nach 90 Tagen: wiederholte Recovery-Tests, Vorfälle, Budget und Änderungsplan bewerten; kritische Tests müssen zuvor nach Risiko erfolgt sein.

Nachweispaket nach den ersten 90 Tagen der Zusammenarbeit

Soll das ISO 27001-Zertifikat das IT-Outsourcing wirklich unterstützen, sollte der Kunde nach dem ersten Quartal konkrete Dokumente und Testergebnisse erhalten. Sie zeigen, ob der Lieferant prozessorientiert arbeitet und ob Informationssicherheit im alltäglichen Betrieb wirksam bleibt und nicht nur im Angebot beschrieben wird.

• Aktueller Bestand an Systemen, Verwaltungskonten, kritischen Diensten, Lieferanten und Datenspeicherorten.
• Bericht über SLA, Vorfälle, Änderungen, Serviceverfügbarkeit, ausstehende Aufgaben und Sicherheitsempfehlungen.
• Nachweis der MFA-Überprüfung, privilegierter Konten, Sicherung, Wiederherstellungstests und Berechtigungsänderungen.
• Risikoregister mit Verantwortlichen, Entscheidungen, Fristen und Informationen, welche Risiken der Kunde eingeht.
• Vereinbartes Übergabepaket zum Vertragsende: Dokumentation, Konfigurationen, Lizenzen, Ticketverlauf, sichere Zugriffsübergabe und Austausch von Passwörtern oder Schlüsseln.

Wie Virtline ISO in Kundenservice umsetzt

Virtline verbindet laufenden IT-Support, Cybersicherheit, Backup und Auditerfahrung. Das von TÜV NORD ausgestellte Zertifikat nach PN-EN ISO/IEC 27001:2023-08 stärkt dieses Modell, weil die Outsourcing-Bewertung in einer Liste von Kontrollen, Verantwortlichkeiten und Nachweisen mündet, die Geschäftsführung, Kunde oder Auditor prüfen können.

Leistungen zur Prüfung eines IT-Anbieters

Diese Leistungen übersetzen Lieferantenaussagen in Nachweise, Entscheidungen und einen umsetzbaren Verbesserungsplan.

Kontakt

Lassen Sie uns Umfang, erforderliche Nachweise und den ersten messbaren Schritt der Anbieterbewertung festlegen.