„Wir sind ISO 27001.“ Der Satz beruhigt in einer Ausschreibung – bis der Käufer das Zertifikat anfordert und feststellt, dass die Zertifizierung die Zentrale und das B2B-Outsourcing betrifft und nicht den Shared Service, auf dem die Anwendung läuft. Diese Diskrepanz ist nicht ungewöhnlich. Dies ist sogar die Norm, wenn niemand den Umfang liest.
ISO/IEC 27001 bescheinigt einer Organisation, dass sie ein von Dritten geprüftes Informationssicherheitsmanagementsystem (ISMS) implementiert hat. Bei einem Host kann dies ein solider Beweis sein – oder eine Marketing-Abkürzung, wenn Sie die Unternehmenszertifizierung mit der Sicherheit Ihres Servers verwechseln.
Was ISO 27001 wirklich beweist
Ein gültiges ISO 27001-Zertifikat bedeutet, dass ein akkreditierter Auditor Folgendes überprüft hat:
- eine formalisierte Sicherheitsrichtlinie;
- eine dokumentierte Risikoanalyse;
- ausgewählte Kontrollen (Anhang A) und im SoA begründet;
- Prozesse der Überprüfung, des Vorfalls, der Änderung, der Schulung;
- nachvollziehbare kontinuierliche Verbesserung.
Was dies nicht automatisch beweist:
- dass Ihre Website gehärtet ist;
- dass die Backups bei Ihnen vor Ort getestet werden;
- dass der Support innerhalb von 15 Minuten antwortet;
- dass das kostengünstige Produkt die gleichen Anforderungen aufweist wie das zertifizierte Angebot.
ISO 27001 beschreibt, wie der Host die Sicherheit verwaltet – nicht, wie sich Ihre Anwendung an einem Freitagabend verhält.
Lesen Sie den Geltungsbereich: Zertifikat, SoA, Anhänge
Bevor Sie im Vergleich einen Punkt erzielen, öffnen Sie drei Dokumente:
| Dokument | Was es enthält | Gemeinsame Falle |
|---|---|---|
| Zertifikat | Zusammenfassung der Organisation, des Datums und des Umfangs | Vage Geltungsbereich („Cloud-Dienste“) |
| Anwendbarkeitserklärung (SoA) | Kontrollen bleiben erhalten / ausgeschlossen | Unerklärliche Ausschlüsse |
| Vertraglicher Anhang | Tatsächlich abgedeckte Leistungen | Produkt außerhalb des Geltungsbereichs verkauft |
Stellen Sie die direkte Frage: „Ist mein Angebot [genauer Name] im Geltungsbereich des Zertifikats enthalten? » Ein seriöser Gastgeber antwortet schriftlich. Ein Verkäufer, der ausweicht, verdient einen zweiten Blick.
ISO 27001 im Vergleich zu anderen Abzeichen: Beweise nicht vermischen
Auf dem europäischen Markt ist ISO 27001 oft die glaubwürdige Grundlage – insbesondere bei Akteuren wie Infomaniak oder Enterprise Clouds – aber es ersetzt nicht:
- HDS für Gesundheitsdaten;
- SecNumCloud für qualifizierte Cloud-Souveränität;
- SOC 2 Typ II manchmal von US-Kunden gefordert;
- Ihre eigenen DSGVO-Pflichten als Datenverantwortlicher.
Verwenden Sie ISO 27001 als Reifegradfilter: Verfügt der Host über eine überprüfbare Sicherheits-Governance? Fügen Sie als Nächstes die Branchen-Benchmarks hinzu, die Ihr Projekt erfordert.
Wenn eine Zertifizierung einen echten Mehrwert darstellt
Drei Fälle, in denen ISO 27001 die Situation ändert:
B2B-Due-Diligence. Ihre Unternehmenskunden fordern einen Sicherheitsfragebogen; Ein ISO-Zertifikat reduziert Reibungsverluste – sofern der Geltungsbereich Ihre Bereitstellung abdeckt.
Outsourcing und verwalteter Betrieb. Je mehr der Host Ihr System berührt, desto mehr zählt ein geprüftes SMSI.
Vergleich zwischen undurchsichtigen Playern. Zwei Hoster zum gleichen Preis: Derjenige, der Zertifikat + SoA veröffentlicht, schlägt den, der nur ein SVG-Schild zeigt.
Andererseits kann die Anforderung von ISO 27001 für einen persönlichen Blog oder eine vorübergehende Landung den Kauf ohne proportionalen Gewinn erschweren.
The Summit: Die Zertifizierung schützt die Organisation, nicht Ihre Nachlässigkeit
Dies ist der blinde Fleck von Compliance-Seiten.
An diesem Punkt wandelt sich das Marketing in ein Gesamtversprechen: „ISO 27001 sicheres Hosting“. Die Realität ist vertraglich und begrenzt. Ihr Teil der Arbeit – Updates, Zugriffsrechte, Verschlüsselung, Wiederherstellungstests – bleibt erhalten.
Entscheide dich und gehe ohne blinden Fleck voran
Laden Sie das Zertifikat herunter und vermerken Sie den Geltungsbereich und das Ablaufdatum, fordern Sie die Erklärung zur Anwendbarkeit oder ein Geltungsbereichsschreiben für Ihr Produkt an, verweisen Sie ggf. auf Ihre DSGVO-, HDS- oder SecNumCloud-Verpflichtungen, vergleichen Sie auf gleicher Geltungsbereichsbasis über das Verzeichnis und den Vergleicher und archivieren Sie dann die Nachweise für Ihre eigenen Kundenaudits.
Den gesamten Regulierungsrahmen finden Sie unter RGPD, HDS, SecNumCloud – wer braucht was?.
Häufig gestellte Fragen
Ist ein ISO 27001-Host automatisch DSGVO-konform?
Nein. ISO 27001 regelt ein ISMS. Die DSGVO erlegt unterschiedliche rechtliche Verpflichtungen auf. Die beiden ergänzen sich; das eine ersetzt das andere nicht.
Deckt das Zertifikat meinen VPS oder meinen gemeinsam genutzten VPS ab?
Nicht unbedingt. Der Geltungsbereich ist im Zertifikat und der SoA angegeben. Prüfen Sie, ob Ihr Vertragsangebot enthalten ist.
Ist ISO 27001 SecNumCloud oder HDS wert?
Nein. Verschiedene Repositories. HDS für Gesundheit, SecNumCloud für qualifizierte Cloud-Souveränität, ISO 27001 für ein geprüftes ISMS.
Welche Fragen sollten Sie dem Verkäufer stellen?
Vollständiges Zertifikat, Zertifizierer, Ablauf, Geltungsbereich, Einbindung Ihres Angebots. Ohne SoA reicht das Logo nicht aus.
Wenn ein Angebot das nächste Mal ISO 27001 anzeigt, fragen Sie nach dem Umfang und dann nach dem Preis. Ein Zertifikat ohne Geltungsbereich ist ein Etikett – kein Beweis.