ISO 27001
Wir helfen, aus einer Lückenanalyse ein funktionierendes Informationssicherheitsmanagementsystem aufzubauen. Wir vereinbaren Umfang, Zuständigkeiten, Arbeitsplan und die Prüfung der Schutzmaßnahmen. Dokumentation und Team bereiten wir auf das Audit vor; über das Zertifikat entscheidet eine unabhängige Stelle, nicht Virtline.
Kunden
ISO/IEC 27001 legt Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) fest. Eine Gap-Analyse bewertet den Ist-Zustand und zeigt Lücken. Die Umsetzung umfasst vereinbarte Änderungen an Prozessen, Dokumentation und Schutzmaßnahmen. Die Zertifizierungsvorbereitung führt Ergebnisse des internen Audits, Managementbewertung und Korrekturmaßnahmen vor der Bewertung durch eine unabhängige Stelle zusammen. Nicht jedes Unternehmen muss bei null beginnen, und eine Bestandsaufnahme ist keine Zertifizierung. Das System umfasst Menschen, Prozesse und Technik, nicht ein einzelnes IT-Produkt.
Wir verbinden die Arbeit am Managementsystem mit den Aufgaben des Teams. Jede Leistung wird gesondert vereinbart.
TÜV NORD Polska hat das Informationssicherheitsmanagementsystem von Virtline nach PN-EN ISO/IEC 27001:2023-08 zertifiziert. Das veröffentlichte Zertifikat nennt Geltungsbereich und Gültigkeit.
Zertifikat von Virtline ansehenDer Plan berücksichtigt vorhandene Lösungen, die Verfügbarkeit des Teams und das Projektziel. Die Ergebnisse jeder Phase besprechen wir mit den Entscheidungsverantwortlichen.
Wir prüfen Richtlinien, Prozesse, Systeme und Aufzeichnungen zur Wirksamkeit von Maßnahmen. Wir klären ISMS-Grenzen, Abhängigkeiten, Kundenanforderungen und Zuständigkeiten. Grundlage sind ISO/IEC 27001:2022 und die zutreffende nationale Ausgabe, in Polen PN-EN ISO/IEC 27001:2023-08.
Mit den Verantwortlichen bewerten wir Risiken und Optionen: Akzeptanz, Reduzierung, Übertragung oder Vermeidung. Wir begründen die Auswahl organisatorischer, personeller, physischer und technologischer Maßnahmen aus Anhang A (A.5–A.8). Die Leitung genehmigt Entscheidungen und Ressourcen.
Wir erstellen oder verbessern die Dokumentation, führen vereinbarte Maßnahmen ein und schulen Beschäftigte. Wir prüfen Verfahren für Zugriff, Vorfälle und Betriebskontinuität. Wiederherstellungstests bewerten wir anhand der vereinbarten Wiederanlaufzeit (RTO) und des tolerierbaren Datenverlusts (RPO); Ergebnisse und Lücken werden dokumentiert.
Wir unterstützen das interne Audit sowie die Vorbereitung von Managementbewertung und Korrekturmaßnahmen. Wir ordnen Unterlagen und bereiten das Team auf Gespräche mit dem Auditor der Zertifizierungsstelle vor. Die weitere ISMS-Betreuung wird gesondert vereinbart.
Praktischer Umfang
Jede Unterlage zeigt den tatsächlichen Stand, Zuständigkeiten und die noch erforderlichen Entscheidungen des Unternehmens.
Organisationskontext, Bedürfnisse interessierter Parteien, Prozesse, Standorte, kritische Systeme, Datenkategorien, Informationswerte und Anbieter. Der Bericht enthält Ist-Zustand, Prioritäten, Dokumentationsübersicht und eine Liste fehlender Unterlagen.
Bewertungsmethode, Akzeptanzkriterien und ein Register mit Verantwortlichen, Entscheidungen, Fristen und Maßnahmenstatus. Wir erstellen eine Erklärung zur Anwendbarkeit — Statement of Applicability (SoA) — mit Begründungen für die Auswahl von Maßnahmen und Ausschlüsse aus Anhang A.
Richtlinien, Verfahren, Register, Rollen und Prüfplan. Die Übersicht umfasst Zugriffe, Mehrfaktor-Authentifizierung (MFA), Administratorkonten, Aufgabentrennung, Vergabe und Entzug von Rechten, Netze, Backups und Wiederherstellungstests, Protokolle, Monitoring, Updates, Schwachstellen, Anforderungen an Anbieter, Vorfälle und Änderungen.
Test- und Schulungsnachweise, Anbieterbewertungen, Ergebnisse des internen Audits, Managementbewertung, Korrekturmaßnahmen und offene Punkte. Wir klären, wer Dokumente aktualisiert, die Wirksamkeit der Maßnahmen bewertet und der Leitung Fortschritte berichtet.
Virtline berät und unterstützt die Umsetzung; das Unternehmen bleibt für Geschäftsentscheidungen, Risikoakzeptanz, Ressourcen und die tägliche Anwendung seiner Regeln verantwortlich. Interne Audits planen wir objektiv und unparteiisch und weisen Umsetzungs- und Bewertungsrollen getrennt zu. Die Zertifizierung erfolgt durch eine unabhängige Stelle und bezieht sich auf einen festgelegten ISMS-Geltungsbereich. Wir garantieren weder ein erfolgreiches Audit noch das Ausbleiben von Vorfällen oder den Gewinn eines Auftrags. Das eigene Zertifikat von Virtline umfasst nicht automatisch Kunden und berechtigt uns nicht, sie zu zertifizieren.
Nein. Sie zeigt Reifegrad und Lücken, ersetzt aber weder notwendige Änderungen noch das Zertifizierungsaudit. Virtline kann bei der Vorbereitung des Systems und der Unterlagen für die Bewertung helfen. Die unabhängige Stelle legt ihr Bewertungsverfahren fest und entscheidet über die Zertifizierung.
Die Virtline-Leistungsbeschreibung nennt 4–9 Monate als Orientierung, nicht als garantierte Frist. Maßgeblich sind ISMS-Umfang, Standorte, Prozesse, Systeme und Anbieter, Dokumentationsreife, Teamverfügbarkeit und Aufzeichnungen zum Betrieb der Maßnahmen. Nach der Analyse vereinbaren wir Plan und Budget. Die Kosten der Bewertung durch die Zertifizierungsstelle sind von den Umsetzungsarbeiten getrennt.
Schutzmaßnahmen und Dokumentation müssen weiter gepflegt werden. Dazu kommen Risiko- und Zugriffsprüfungen, Schulungen, Tests, interne Audits, Managementbewertungen und Korrekturmaßnahmen. Die Zertifizierung folgt üblicherweise einem dreijährigen Zyklus mit jährlichen Überwachungsaudits; die Erneuerung erfordert eine erneute Bewertung. Genaue Termine und Bedingungen legt die Zertifizierungsstelle fest. Virtline kann den laufenden Betrieb im gesondert vereinbarten Umfang unterstützen.
Nein. Eine strukturierte Risikobewertung, Schutzmaßnahmen und Aufzeichnungen können bei Bewertungen zu NIS2, DORA, DSGVO und TISAX, Kundenfragebögen, Ausschreibungen und Anbieterprüfungen helfen. Sie können auch einen Wirtschaftsprüfer beim Verständnis der IT-Umgebung in einer Prüfung nach dem polnischen Prüfungsstandard KSB 315 unterstützen, einschließlich Zugriffen auf Finanzsysteme, Änderungen und Backups. Jeder Zweck hat einen eigenen Umfang; ein ISO-Zertifikat bestätigt nicht automatisch die Erfüllung aller Pflichten.
Beschreiben Sie Branche, Standorte, Prozesse, Kundenerwartungen und Zieltermin. Nennen Sie vorhandene Richtlinien, Risikoregister und die aktuelle Phase: Analyse, Umsetzung, Zertifizierungsvorbereitung oder Betrieb. Senden Sie keine Passwörter oder vertrauliche Dokumentation über das Formular.
ISO-27001-Umfang besprechen