Zwei EU-Hosts weisen ISO 27001 auf. Einer ist zertifizierte gemeinsam genutzte und zwei Rechenzentren; die anderen drei Public Cloud-Länder, jedoch ohne verwaltete Backups. Gleiches Logo, Vergleich ohne Anhänge nicht möglich.
Klassischer Ausschreibungsfehler: Bewertungszertifizierung statt Bewertungsumfang für ein reales Szenario.
Zwei Zertifikate nebeneinander ohne Anwendbarkeitsbescheinigung beweisen nichts.
Fünfzeiliges Raster
Zertifiziertes Produkt, Regionen, Backups, juristische Person, Ablauf – füllen Sie die Spalte „Ihr Stack“ vor dem PDF aus.
| Kriterium | Host A | Host B | Dein Stapel |
|---|---|---|---|
| Produkt | ? | ? | VPS / K8s |
Drei-Schritte-Methode
Häufiges Szenario behoben. Gleiche Teile von beiden Lieferanten. Zeile für Zeile abgleichen. OVHcloud ISO, Hetzner, Infomaniak.
Fallen Europa
Gruppenzertifikat vs. Abrechnungseinheit, Cloud-Bereich ohne Produktliste, 27017/18 verwechselt mit 27001, Ausschlüsse genutzter Dienste.
Der Gipfel: Vergleich ohne Anhänge = Fiktion
RFP: Eine „Ja ISO“-Zeile reicht nicht aus
Ausschreibungstabellen, die ohne Anhänge einen Punkt für „ISO-Zertifizierung“ vergeben, ergeben fiktive Shortlists. Fordern Sie ein Zertifikat, eine Anwendbarkeitserklärung und einen Umfangsanhang für das genaue bestellte Produkt an – gemeinsam genutzte, öffentliche Cloud, verwaltete E-Mail – und passen Sie jede Komponente Ihrer Architektur an.
Eine ungedeckte Lücke ist nicht unbedingt prohibitiv, wenn sie benannt, quantifiziert und durch eine gleichwertige Maßnahme ausgeglichen wird. Eine ignorierte Diskrepanz wird zu einem Prüfungsbefund.
Gehen Sie in der Untersuchung weiter
Fangen wir mit Ihrem konkreten Fall an: Welches Volumen, welches Serviceniveau, welche vertraglichen Einschränkungen auf Kunden- oder Regulierungsseite? Notieren Sie sich die Antworten, bevor Sie die Preisseite öffnen – andernfalls passen Sie das Projekt an den sichtbarsten Slogan an. Bitten Sie den Verkäufer um schriftliche Dokumente (vollständiges Raster, Unterauftragsvertrag, Zertifizierungsumfang, Verlängerungsbedingungen) und nicht um einen Screenshot der Homepage.
Vergleichen Sie mindestens zwei Akteure über das Verzeichnis und den Vergleich mit demselben Szenario, berechnet über 36 Monate, nicht nur über den ersten Werbemonat. Beziehen Sie Domäne, Backup, Zertifikat, simulierte Vorfallunterstützung und – bei Cloud – realistische Datenausgabe ein. Teilen Sie die Auswahlliste mit der Person, die den Vertrag unterzeichnet, und der Person, die die Infrastruktur betreibt: Wenn beide validieren, verringern Sie das Risiko unangenehmer Überraschungen bei der Verlängerung, während des Audits oder beim ersten nächtlichen Ausfall.
Archivieren Sie abschließend die Allgemeinen Geschäftsbedingungen vom Tag des Abonnements. Gastgeber können die Raster ändern; Ihre Due-Diligence-Akte muss belegen, was zum Zeitpunkt der Wahl versprochen wurde. Es ist der Unterschied zwischen einem vertretbaren internen Memo und einem Argument, das auf dem Teamgedächtnis basiert.
RFP: Eine „Ja ISO“-Zeile reicht nicht aus
Ausschreibungstabellen, die ohne Anhänge einen Punkt für „ISO-Zertifizierung“ vergeben, ergeben fiktive Shortlists. Fordern Sie ein Zertifikat, eine Anwendbarkeitserklärung und einen Umfangsanhang für das genaue bestellte Produkt an – gemeinsam genutzte, öffentliche Cloud, verwaltete E-Mail – und passen Sie jede Komponente Ihrer Architektur an.
Eine ungedeckte Lücke ist nicht unbedingt prohibitiv, wenn sie benannt, quantifiziert und durch eine gleichwertige Maßnahme ausgeglichen wird. Eine ignorierte Diskrepanz wird zu einem Prüfungsbefund.
RFP: Eine „Ja ISO“-Zeile reicht nicht aus
Ausschreibungstabellen, die ohne Anhänge einen Punkt für „ISO-Zertifizierung“ vergeben, ergeben fiktive Shortlists. Fordern Sie ein Zertifikat, eine Anwendbarkeitserklärung und einen Umfangsanhang für das genaue bestellte Produkt an – gemeinsam genutzte, öffentliche Cloud, verwaltete E-Mail – und passen Sie jede Komponente Ihrer Architektur an.
Eine ungedeckte Lücke ist nicht unbedingt prohibitiv, wenn sie benannt, quantifiziert und durch eine gleichwertige Maßnahme ausgeglichen wird. Eine ignorierte Diskrepanz wird zu einem Prüfungsbefund.
Gehen Sie in der Untersuchung weiter
Fangen wir mit Ihrem konkreten Fall an: Welches Volumen, welches Serviceniveau, welche vertraglichen Einschränkungen auf Kunden- oder Regulierungsseite? Notieren Sie sich die Antworten, bevor Sie die Preisseite öffnen – andernfalls passen Sie das Projekt an den sichtbarsten Slogan an. Bitten Sie den Verkäufer um die schriftlichen Dokumente (vollständiges Raster, Unterauftragsvertrag, Zertifizierungsumfang, Verlängerungsbedingungen) und nicht um einen Screenshot der Homepage.
Vergleichen Sie mindestens zwei Akteure über das Verzeichnis und den Vergleich mit demselben Szenario, berechnet über 36 Monate, nicht nur über den ersten Werbemonat. Beziehen Sie Domäne, Backup, Zertifikat, simulierte Vorfallunterstützung und – bei Cloud – realistische Datenausgabe ein. Teilen Sie die Auswahlliste mit der Person, die den Vertrag unterzeichnet, und der Person, die die Infrastruktur betreibt: Wenn beide validieren, verringern Sie das Risiko unangenehmer Überraschungen bei der Verlängerung, während des Audits oder beim ersten nächtlichen Ausfall.
Archivieren Sie abschließend die Allgemeinen Geschäftsbedingungen vom Tag des Abonnements. Gastgeber können die Raster ändern; Ihre Due-Diligence-Akte muss belegen, was zum Zeitpunkt der Wahl versprochen wurde. Das ist der Unterschied zwischen einem vertretbaren internen Memo und einem Streit, der auf der Erinnerung des Teams basiert.
Entscheide dich und gehe ohne blinden Fleck voran
Beginnen Sie damit, Ihr reales Szenario auf einer Seite darzustellen: Volumen, Kundeneinschränkungen, Grad des erforderlichen Supports und Budget für 36 Monate, einschließlich Domain, Backup und wesentliche Optionen. Vergleichen Sie mindestens zwei Gastgeber über das Verzeichnis und den Vergleich mit den gleichen Hypothesen, archivieren Sie die Preislisten vom Tag des Abonnements und lassen Sie dann die Auswahlliste von der Person, die den Vertrag unterzeichnet, und der Person, die die Infrastruktur täglich betreibt, validieren.
Häufig gestellte Fragen
Zwei gleichwertige ISOs?
Nein – vergleichen Sie Umfang, SoA und Produkte.
Welche Dokumente?
Zertifikat, SoA, Anhangumfang, Ablauf.
Produkt zuerst ausrichten?
Ja – harmonisieren Sie das Drehbuch vor der Wertung.
ISO ersetzt DPA DSGVO?
Nein – ergänzende Rahmen.
Vergleichen Sie die Anhänge, nicht die Logos.