Was soll erreicht werden?

Das im Unternehmen etablierte Informations-Sicherheits-Managementsystem gemäß ISO/IEC 27001 auf Basis IT-Grundschutz wird zertifiziert.

Die Überprüfung der Einhaltung sowohl von ISO 27001 als auch von IT-Grundschutz erfolgt durch einen vom Bundesamt für Sicherheit in der Informationstechnik (BSI) lizenzierten Auditor. Die Überprüfung umfasst sowohl eine Dokumentenprüfung als auch eine Umsetzungsprüfung der erforderlichen IT-Sichheitsmaßnahmen vor Ort.

Ein ISMS eines Unternehmens kann direkt zertifiziert werden. Das Unternehmen kann sich aber auch schrittweise dem ISO 27001 Zertifikat nähern. Dies ist vor allem dann zu empfehlen, wenn der Aufwand für eine direkte Zertifizierung zu hoch erscheint, der Prozess der Informationssicherheit im Unternehmen aber trotzdem etabliert werden soll. Es empfiehlt dann ein Vorgehen in drei Schritten:

Wie gehen wir vor?

Wenn Sie sich entschlossen haben, das Informations-Sicherheits-Managementsystem Ihres Unternehmens zertifizieren zu lassen, können Sie uns als lizenzierte ISO 27001 Auditoren beauftragen. In einer unabhängigen Prüfung werden wir die Umsetzung der Anforderungen gemäß Zertifizierungsverfahrens überprüfen und bei Erfolg die Ausstellung des Zertifikates empfehlen.

Vor Beginn eines Audits muss der Zertifizierungsstelle des BSI der vollständige Zertifizierungsantrag vorliegen. Der Antrag enthält Angaben zum Antragssteller und eine Beschreibung des Untersuchungsgegenstandes sowie eine Unabhängigkeitserklärung des Auditors.

Als nächstes erfolgt die Durchführung des Audits in zwei Teilschritten:

• Sichtung und Prüfung der vom Unternehmen vorgelegten Referenzdokumente (IT-Security Policy, Schutzbedarfsfeststellung, Ergebnisse von Basis Sicherheitschecks, Risikoanalysen etc.).
• Vor-Ort-Prüfung im Unternehmen und stichprobenartige Begutachtung der Umsetzung der dokumentierten Sachverhalte.

Erkannte Mängel bei der Dokumentenprüfung oder der Vor-Ort-Prüfung können innerhalb einer vom Auditor festgelegten Frist behoben werden.

Bei einem positiven Prüfergebnis sendet der Auditor den Audit-Report zum BSI. Die Zertifizierungsstelle des BSI überprüft den Audit-Report auf Vollständigkeit, Nachvollziehbarkeit und Reproduzierbarkeit der Prüfergebnisse. Nach positivem Abschluss des Prüfprozesses erteilt das BSI ein ISO 27001-Zertifikat.