ISO 27001:2023 Klasse-2-Überwachungsaudit erfolgreich abgeschlossen

Am 6. Mai wurde unser ISO 27001:2023 Klasse-2-Überwachungsaudit abgeschlossen. Keine offenen Non-Conformities, die Zertifizierung bleibt in Kraft.

Was das ist, und warum es für Sie als Kunde wichtig ist.

Was ein Überwachungsaudit beinhaltet

Eine ISO-27001-Zertifizierung ist kein einmaliger Moment. Nach der Erstzertifizierung folgt jährlich ein Überwachungsaudit (auch Surveillance Audit genannt), in dem ein externer Auditor prüft, ob das Managementsystem für Informationssicherheit noch so funktioniert, wie es soll. Alle drei Jahre folgt eine vollständige Rezertifizierung. Ein Überwachungsaudit ist also keine Formalität, sondern die jährliche externe Bestätigung, dass die Norm in der Praxis eingehalten wird, nicht nur auf dem Papier.

Was ISO 27001:2023 beinhaltet

ISO 27001 ist die internationale Norm für Information Security Management. Sie beurteilt nicht eine einzelne Maßnahme, sondern das gesamte System, mit dem eine Organisation Informationssicherheit organisiert. Richtlinien, Risikoanalysen, technische Controls, Prozesse rund um Incidents, Lieferanten, Zugriff, Change Management, und wie all das gesteuert und nachjustiert wird.

Die 2023er-Version ist die aktuelle Ausgabe und ersetzt die 2013er-Norm, die man noch oft auf Lieferanten-Websites sieht. Anhang A wurde neu gegliedert, und es kamen elf neue Controls hinzu. Die wichtigsten davon: Threat Intelligence, Informationssicherheit in Cloud-Umgebungen, Data Masking, Secure Coding, Konfigurationsmanagement und Monitoring von Aktivitäten. Allesamt Bereiche, die unmittelbar berühren, wie eine SaaS-Plattform für Personenschäden funktioniert.

Was es unseren Kunden konkret bringt

Versicherer und Bevollmächtigte müssen unter DORA und der DSGVO nachweisen können, dass Kettenpartner ihre Informationssicherheit im Griff haben. Bislang geschah das mit Fragebögen, Due-Diligence-Verfahren und einzelnen Begründungen pro Thema. Mit diesem Zertifikat, und der jährlichen externen Bestätigung, dass die Wirksamkeit weiterhin stimmt, haben sie ein einziges extern geprüftes Dokument, das den Kern dieser Fragen abdeckt.

Für ihr Compliance-Team spart das Zeit in Vendor Assessments. Für ihren DSB liefert es die Begründung für die TOMs im Auftragsverarbeitungsvertrag. Für ihr internes Audit und die DORA-Berichterstattung an die Aufsichtsbehörde ist es ein Baustein, den sie nicht selbst produzieren müssen. Und für die Gespräche, die wir gemeinsam führen, bedeutet es, dass wir nicht mehr über Checklisten sprechen müssen, sondern über ihre Prozesse und ihre Kunden.

Wie das zu unserer Art zu bauen passt

In unserem KubeCon-Rückblick schrieben wir, dass viele Systeme 'built to fail' sind, weil Informationssicherheit erst am Ende hinzugezogen wird. Ein Zertifikat, das nur auf dem Papier existiert, löst dieses Problem nicht. Der Wert von ISO 27001 liegt in der Disziplin, die die Norm in der täglichen Praxis erzwingt: in Code Reviews, in der Incident Response, im Umgang mit Zugriffsrechten, in Entscheidungen, die gegenüber Kunden und Partnern manchmal unbequem sind.

Ein Überwachungsaudit ist genau der Mechanismus, der das ehrlich hält. Einmal im Jahr kommt jemand von außen und schaut, ob wir tun, was wir sagen.

Was als Nächstes kommt

Die Bedrohungslage verändert sich kontinuierlich, und die Norm bewegt sich mit. Unsere Roadmap für die kommende Periode umfasst den weiteren Ausbau der Threat Detection, die Erweiterung des Portal-Ökosystems für neue Versicherer und die Weiterentwicklung der Integrationsschicht zwischen Axon, QIS und Azori. Nächstes Jahr steht das nächste Überwachungsaudit auf dem Plan, im Jahr darauf die Rezertifizierung.

Fragen zu Scope oder Zertifikatsnummer? Nehmen Sie Kontakt mit uns auf.

‍