Ist das Unternehmen ISO-27001-zertifiziert?

Zertifizierung oder nur die Norm angewendet

Diese Frage fragt nach einem Zertifikat, nicht nach einer Absicht. "ISO 27001-zertifiziert" bedeutet, dass eine unabhängige Zertifizierungsstelle das Unternehmen überprüft und ein Zertifikat ausgestellt hat, mit einem Gültigkeitsdatum und einer Scope-Beschreibung. Arbeitet das Unternehmen zwar nach der Norm, aber ist nie ein Auditor vorbeigekommen, dann ist die Antwort auf diese spezifische Frage nein — auch wenn die inhaltliche Praxis möglicherweise vergleichbar ist. Diese Nuance ist genau das, worum es in solchen Fragebögen geht: nicht "halten wir uns an Informationssicherheit", sondern "ist das extern überprüft und bestätigt worden".

Wenn es kein Zertifikat gibt, ist es üblich, dies einfach so zu melden, eventuell mit einer kurzen Erläuterung dessen, was es stattdessen gibt: eine Informationssicherheitsrichtlinie, eine Risikoanalyse oder Maßnahmen, die inhaltlich mit der Norm übereinstimmen, ohne die formelle Überprüfung. Viele Abnehmer akzeptieren das als Zwischenantwort, besonders wenn die zugrunde liegenden Maßnahmen — wie die Richtlinie für Risikoanalyse und der Schutz von Informationssystemen oder die Vereinbarungen über Zugriffskontrolle und Betriebsmittel — in Ordnung sind. Ein Zertifikat ist dann das Beweismittel, das fehlt, nicht die Praxis dahinter.

Annex A als praktischer Test

Die Grundlage für das, was ein Auditor überprüft, steht in Annex A der ISO/IEC 27001: die Liste der Kontrollmaßnahmen, die die Norm vorschreibt, von der Zugriffskontrolle bis zu Lieferantenbeziehungen bis zum Incident Management. Diese Liste ist auch ohne Zertifikat als Checkliste nutzbar: wer nachweisen kann, dass die meisten Annex A-Maßnahmen implementiert wurden, kann das bei einem "nein" auf die Zertifizierungsfrage als Erläuterung beifügen. Das Zertifikat selbst, mit Scope und Gültigkeitsdatum, bleibt der einzige Nachweis, der die Frage buchstäblich mit "ja" beantwortet.