Sicherheit

ISO-27001-Zertifizierung eines Dienstleisters: Was sollten Sie prüfen, bevor Sie ihm Ihre Daten anvertrauen?

Von Codevista InnovationsVeröffentlicht am 12. Oktober 20268 Min. Lesezeit

Ein ISO/IEC-27001-Zertifikat belegt, dass ein Dienstleister ein Informationssicherheits-Managementsystem (ISMS) eingeführt hat, das von einer unabhängigen Zertifizierungsstelle für einen genau festgelegten Geltungsbereich auditiert wurde. Es belegt weder, dass alle seine Tätigkeiten abgedeckt sind, noch, dass Ihre Daten im Einklang mit dem marokkanischen Datenschutzgesetz 09-08 verarbeitet werden. Prüfen Sie vor der Unterschrift den Geltungsbereich, die Gültigkeit, die ausstellende Stelle und die Erklärung zur Anwendbarkeit, und fragen Sie dann konkret nach, wie mit Ihren Daten umgegangen wird.

Was ist die Norm ISO/IEC 27001:2022?

ISO/IEC 27001 ist die internationale Norm, die die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) festlegt. Sie schreibt kein Werkzeug vor, sondern ein Vorgehen: Die Organisation bewertet die Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen, wählt Maßnahmen zu deren Behandlung aus und überprüft und verbessert das System anschließend dauerhaft.

Gültig ist die Fassung von 2022. Ihre Kapitel 4 bis 10 formulieren die Anforderungen an das System (Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung), und ihr Anhang A führt 93 Sicherheitsmaßnahmen auf, gegliedert in vier Themen:

• organisatorische Maßnahmen: Richtlinien, Zugriffssteuerung, Lieferantenbeziehungen, Umgang mit Sicherheitsvorfällen, Kontinuität;
• personenbezogene Maßnahmen: Personalauswahl, Sensibilisierung, Vertraulichkeitsvereinbarungen, Telearbeit;
• physische Maßnahmen: Zutritt zu den Räumlichkeiten, Schutz der Geräte;
• technologische Maßnahmen: Authentifizierung, Zugangsbeschränkung, Verschlüsselung, Protokollierung, Datensicherung, sichere Entwicklung.

Die Übergangsfrist für die Umstellung von der Fassung 2013 ist abgelaufen: Ein noch gültiges akkreditiertes Zertifikat bezieht sich auf die Fassung von 2022. Legt man Ihnen ein Zertifikat nach „ISO 27001:2013“ vor, fragen Sie nach dem Stand der Umstellung. Die offizielle Zusammenfassung der Norm finden Sie auf der Website der ISO.

Was belegt ein ISO-27001-Zertifikat – und was nicht?

Das Zertifikat bestätigt, dass ein unabhängiger Auditor zu einem bestimmten Zeitpunkt festgestellt hat, dass das ISMS die Anforderungen der Norm erfüllt. Vier Elemente bestimmen seinen Wert.

Auf den Geltungsbereich kommt es an

Jedes Zertifikat nennt einen Geltungsbereich (Scope): die abgedeckten Tätigkeiten, Standorte und mitunter Systeme. Ein Unternehmen kann für sein Hosting zertifiziert sein, nicht aber für seine Softwareentwicklung. Taucht die Leistung, die Sie einkaufen, im Geltungsbereich nicht auf, bietet Ihnen das Zertifikat dafür keinerlei Gewähr.

Die Zertifizierungsstelle

Das Zertifikat wird von einer Zertifizierungsstelle ausgestellt, die ihrerseits für ISO/IEC 27001 akkreditiert sein sollte, und zwar von einer Akkreditierungsstelle, die den Anerkennungsabkommen des IAF (International Accreditation Forum) angehört. In Marokko wie anderswo zählt diese Akkreditierung, nicht die Nationalität der Stelle. Ein Dokument einer nicht akkreditierten Stelle ist deutlich weniger wert, auch wenn es genauso aussieht.

Gültigkeit und Überwachungsaudits

Ein Zertifikat hat ein Ausstellungs- und ein Ablaufdatum. Dazwischen führt die Zertifizierungsstelle mindestens einmal jährlich Überwachungsaudits durch und vor Ablauf ein Rezertifizierungsaudit. Werden Abweichungen nicht behoben, kann das Zertifikat ausgesetzt oder entzogen werden: Ein Logo auf einer Website sagt nichts über seinen aktuellen Status aus.

Die Erklärung zur Anwendbarkeit

Die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) listet die 93 Maßnahmen aus Anhang A auf, gibt an, welche ausgewählt und umgesetzt sind, und begründet jeden Ausschluss. Sie zeigt, was der Dienstleister tatsächlich tut; das Dokument ist häufig vertraulich, kann aber im Rahmen einer Geheimhaltungsvereinbarung (NDA) übergeben werden.

Und schließlich: ISO 27001 zertifiziert weder ein Produkt noch eine gelieferte Software, weder die Abwesenheit von Schwachstellen noch die Einhaltung eines Gesetzes. Die Norm verpflichtet den Dienstleister, seine gesetzlichen und vertraglichen Pflichten zu ermitteln; sie bescheinigt nicht, dass er sie einhält – und erst recht nicht, dass Sie Ihre eigenen einhalten.

Wie prüfen Sie das ISO-27001-Zertifikat eines Dienstleisters?

Fünf Prüfschritte, für die Sie keinerlei technisches Fachwissen benötigen:

1. Lassen Sie sich eine Kopie des Zertifikats geben und notieren Sie die Zertifikatsnummer, die Fassung der Norm (2022) sowie Ausstellungs- und Ablaufdatum.
2. Lesen Sie den Geltungsbereich Wort für Wort und gleichen Sie ihn mit der Leistung ab, die Sie einkaufen: Entwicklung, Hosting, Support, Schulung.
3. Ermitteln Sie die Zertifizierungsstelle, prüfen Sie deren Akkreditierung und lassen Sie sich die Gültigkeit des Zertifikats von ihr bestätigen, über ihr Online-Verzeichnis oder schriftlich.
4. Fragen Sie nach dem Datum des letzten Überwachungsaudits und danach, ob schwerwiegende Abweichungen derzeit noch bearbeitet werden.
5. Bitten Sie um Einsicht in die Erklärung zur Anwendbarkeit, zumindest für die Maßnahmen, die Ihre Daten betreffen: Zugriffssteuerung, Verschlüsselung, Lieferanten, sichere Entwicklung.

Diese Punkte ergänzen die Checkliste aus unserem Artikel zur Wahl einer Agentur für Softwareentwicklung in Casablanca.

Welche Fragen sollten Sie einem Software- oder KI-Dienstleister stellen?

Das Zertifikat eröffnet das Gespräch, es beendet es aber nicht.

Bei einem Softwareentwicklungsprojekt

• Wer erhält Zugriff auf Ihre Produktivdaten, auch bei Subunternehmern, und wie werden diese Zugriffe wieder entzogen?
• Arbeiten die Entwicklungs- und Testumgebungen mit echten, anonymisierten oder fiktiven Daten?
• Wo werden Code und Daten gehostet, und in welchen Ländern?
• Wie und innerhalb welcher Frist werden Sie über einen Sicherheitsvorfall informiert?
• Was geschieht mit Ihren Daten und Zugängen am Ende des Vertrags?

Bei einem Projekt mit künstlicher Intelligenz

• Welche Anbieter von Modellen oder APIs werden genutzt, und werden Ihre Daten an sie übermittelt?
• Werden Ihre Daten zum Training oder zur Verbesserung eines Modells verwendet, beim Dienstleister oder bei einem Dritten?
• Werden Anfragen und Antworten protokolliert, und wie lange werden sie aufbewahrt?
• Verlassen die Daten oder Anfragen Marokko? Eine Übermittlung ins Ausland unterliegt den Bedingungen des Gesetzes 09-08 und der Aufsicht der CNDP.

Beachten Sie auch die Hinweise in unserem Artikel über generative KI in Unternehmen in Marokko. Bei einer SaaS-Lösung kommt die Trennung der Daten zwischen den Kunden hinzu (siehe unseren Leitfaden zur individuellen SaaS-Entwicklung).

ISO 27001, Gesetz 09-08 und CNDP: Wie hängen sie zusammen?

In Marokko regelt das Gesetz 09-08 (loi 09-08) die Verarbeitung personenbezogener Daten; die Aufsicht führt die CNDP (Commission nationale de contrôle de la protection des données à caractère personnel), die marokkanische Datenschutzbehörde. Das Gesetz schreibt unter anderem vorherige Formalitäten bei der CNDP, angemessene Sicherheitsmaßnahmen und Regeln für die Übermittlung von Daten ins Ausland vor.

ISO 27001 und das Gesetz 09-08 ergänzen sich, sind aber nicht austauschbar:

• Das Gesetz legt fest, was Sie als Verantwortlicher einhalten müssen und was Ihr Auftragsverarbeiter gewährleisten muss;
• ISO 27001 liefert eine Methode, um die Sicherheitsmaßnahmen zu steuern, mit denen diese Zusagen eingehalten werden;
• ein Zertifikat ersetzt weder die Formalitäten bei der CNDP noch den Vertrag mit dem Auftragsverarbeiter.

Ein zertifizierter Dienstleister erleichtert Ihnen den Nachweis der Konformität, die Verantwortung für die Verarbeitung bleibt jedoch bei Ihnen. Formalitäten und aktuelle Rechtstexte finden Sie auf der Website der CNDP.

ISO 9001 oder ISO 27001: Was ist der Unterschied für Auftraggeber?

ISO 9001 zertifiziert ein Qualitätsmanagementsystem: beherrschte Prozesse mit Ausrichtung auf den Kunden und auf kontinuierliche Verbesserung. ISO 27001 zertifiziert ein Informationssicherheits-Managementsystem: einen strukturierten Umgang mit Informationsrisiken. Bei einem Software- oder KI-Projekt, in dem mit Ihren Daten gearbeitet wird, sagt Ihnen ISO 9001, wie die Arbeit durchgeführt wird, und ISO 27001, wie Ihre Informationen geschützt werden. Ein ISO-9001-Zertifikat allein sagt also nichts über die Vertraulichkeit Ihrer Daten aus; zusammen decken beide ab, wie geliefert und wie geschützt wird.

Wie verankern Sie Datensicherheit in Ihrem Lastenheft?

Der richtige Zeitpunkt für diese Anforderungen ist vor der Ausschreibung, nicht erst bei der Vertragsunterzeichnung. Halten Sie in Ihrem Lastenheft die Sicherheitsanforderungen fest: erwartete Zertifizierung und Geltungsbereich, Standort des Hostings, Zugriffsverwaltung, Meldung von Sicherheitsvorfällen, Reversibilität. Verlangen Sie dann Antworten Punkt für Punkt, mit Nachweisen, statt eines angekreuzten Kästchens „ISO 27001 zertifiziert“.

Codevista Innovations ist nach ISO 27001:2022 (Zertifikat CTX-2026-540336, gültig bis 31. Dezember 2029) und nach DIN EN ISO 9001:2015 (Zertifikat CTX-2026-488547, gültig bis 19. Juni 2028) zertifiziert. Wenn Sie diese Zertifikate und ihren Geltungsbereich vor einem Software- oder KI-Projekt prüfen möchten, kontaktieren Sie unser Team in Casablanca.

Häufige Fragen

Erfüllt ein nach ISO 27001 zertifizierter Dienstleister automatisch das Gesetz 09-08?

Nein. ISO 27001 verlangt, die geltenden gesetzlichen Pflichten zu ermitteln und die Sicherheitsrisiken zu steuern, erledigt aber nicht an Ihrer Stelle die Formalitäten bei der CNDP und ersetzt auch keinen Vertrag mit dem Auftragsverarbeiter. Die Einhaltung des Gesetzes 09-08 wird gesondert geprüft und liegt in der Verantwortung des Verantwortlichen.

Wie viele Sicherheitsmaßnahmen enthält Anhang A der ISO 27001:2022?

Anhang A der Fassung von 2022 enthält 93 Maßnahmen in vier Themen: organisatorisch, personenbezogen, physisch und technologisch. Ein zertifiziertes Unternehmen muss nicht alle umsetzen: Es wählt diejenigen aus, die seine Risiken behandeln, und begründet jeden Ausschluss in seiner Erklärung zur Anwendbarkeit, die der Auditor prüft.

Wie erfahren Sie, ob das ISO-27001-Zertifikat eines Dienstleisters noch gültig ist?

Notieren Sie die Zertifikatsnummer, Ausstellungs- und Ablaufdatum sowie den Namen der Zertifizierungsstelle und prüfen Sie das Zertifikat direkt bei dieser Stelle. Fragen Sie außerdem nach dem Datum des letzten Überwachungsaudits: Ein Zertifikat kann vor Ablauf ausgesetzt oder entzogen werden, wenn festgestellte Abweichungen nicht behoben werden.

Sollten Sie bei einem KI-Projekt ISO 27001 verlangen?

Es ist ein sinnvolles Kriterium, sobald das Projekt mit sensiblen oder personenbezogenen Daten arbeitet, denn es zeigt, dass der Dienstleister seine Sicherheitsrisiken strukturiert steuert. Fragen Sie außerdem, welche Modellanbieter genutzt werden, ob Ihre Daten zum Training dienen, wo sie gehostet werden und wie lange der Austausch gespeichert wird.