ISO 27001

So funktioniert es

Im Kern steht ein Prozess, nicht eine Liste. Die Organisation legt den Geltungsbereich fest, bewertet Risiken, wählt Maßnahmen aus Anhang A und dokumentiert in der Erklärung zur Anwendbarkeit, welche Maßnahmen gelten und welche mit Begründung ausgeschlossen sind. Die Fassung von 2022 zählt 93 Maßnahmen in vier Themenbereichen, deutlich umsortiert gegenüber den 114 Maßnahmen von 2013. Die Übergangsfrist für Zertifikate nach der alten Fassung endete im Oktober 2025, aktuelle Zertifikate folgen also der Fassung 2022.

Geprüft wird von einer akkreditierten Stelle, in Deutschland unter Aufsicht der DAkkS. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits und einem Wiederholungsaudit am Ende. In Deutschland existiert zusätzlich ISO 27001 auf Basis IT-Grundschutz des BSI, eine Variante mit konkreten BSI-Bausteinen statt nur dem Normrahmen.

So liest man das Versprechen eines SaaS-Anbieters. Erstens: Wer ist zertifiziert, der Anbieter selbst oder sein Hoster? Das sind zwei verschiedene Organisationen und zwei verschiedene Zertifikate. Zweitens: Was steht im Geltungsbereich? Ein Zertifikat, das nur den Betrieb eines Rechenzentrums abdeckt, sagt nichts über die Softwareentwicklung. Drittens: Wie aktuell sind Zertifikat und Erklärung zur Anwendbarkeit? Fragen Sie nach dem Dokument, nicht nach dem Logo auf der Website. Ein Anbieter, der das nicht liefert, liefert auch im Vorfallsfall nichts.

Warum es für eine Flotte wichtig ist

Wenn Sie eine Geräteverwaltung einkaufen, landen darin Seriennummern, Nutzernamen, Telefonnummern, Standortdaten und App-Inventare. Das ist ein Datenbestand, für den Sie als Verantwortlicher nach DSGVO haften, und ein Auftragsverarbeitungsvertrag verweist regelmäßig auf Zertifizierungen als Nachweis der Maßnahmen.

Für Unternehmen im Geltungsbereich von NIS2 kommt die Lieferkette hinzu. Sie müssen Ihre Dienstleister bewerten, und ein geprüftes Managementsystem ist dafür ein brauchbares, wenn auch nicht hinreichendes Kriterium. Zertifikat heißt nicht sicher, es heißt dokumentiert und überprüft.

Ehrlich gesagt: Ein Zertifikat ersetzt Ihre eigene Prüfung nicht. Lesen Sie die Erklärung zur Anwendbarkeit, fragen Sie nach dem Speicherort der Daten, nach Subunternehmern und nach dem Meldeweg bei Vorfällen.

So handhabt es Appaloosa

Hier die klare Auskunft: Appaloosa hält selbst kein ISO-27001-Zertifikat. Die Plattform läuft auf einer Infrastruktur in Frankreich, die nach SecNumCloud qualifiziert ist und von einem nach ISO 27001 zertifizierten Hoster betrieben wird. Die Zertifizierung gehört also dem Hosting-Anbieter, nicht uns, und wir stellen sie auch nicht als unsere dar. Was wir liefern, sind die Kontrollen in der Plattform selbst: Rollen und Rechte, Aufbewahrungsfristen, selektive Löschung und Verarbeitung ohne Transfer außerhalb der EU, beschrieben auf der Seite Mobile Device Management.