Durch eine erfolgreiche ISO 27001 Zertifizierung auf der Basis von IT-Grundschutz des BSI (Bundesamt für Sicherheit in der Informationstechnik, Bonn, kurz BSI genannt) haben Sie die Möglichkeit, Ihre Bemühungen um die Informationssicherheit und die erfolgreiche Umsetzung internationaler Normen unter Anwendung der IT-Grundschutz-Methodik in Ihrem Unternehmen bzw. Behörde nach innen und außen zu dokumentieren.
Die Vorgehensweise nach IT-Grundschutz des BSI stellt zusammen mit den IT-Grundschutz-Katalogen und den Empfehlungen von Standard-Sicherheitsmaßnahmen inzwischen den De-Facto-Standard für Informationssicherheit in Deutschland dar. Die IT-Grundschutz-Vorgehensweise hat das BSI in dem Standard 100-2 IT-Grundschutz-Vorgehensweise ausführlich dokumentiert.
ISO 27001 Native vs. BSI IT-Grundschutz
Im Gegensatz zu der internationalen ISO 27001 Norm (native) unterscheidet sich die ISO 27001 auf der Basis von IT-Grundschutz durch konkrete Vorschläge zur Umsetzung von Standardsicherheitsmaßnahmen bei den verschiedenen IT-Systemen, Anwendungen, Infrastrukturkomponenten, Netzwerken, etc. Darüber hinaus konzentriert sich die ISO 27001 Native auf den Informationssicherheitsprozess und liefert sehr allgemein gehaltene Maßnahmen um die Risiken zu identifizieren. Im Gegensatz zu der IT-Grundschutz-Vorgehensweise obliegt es bei der ISO 27001 nativ dem Anwender selbst, geeignete Maßnahmen zum Schutz der Informationssicherheit festzulegen. Beiden gemeinsam ist der große Dokumentationsaufwand. Während bei der ISO 27001 Native die allgemeingültigen Vorgaben sowie die Analyse der Risiken in der Praxis für einen großen zeitlichen Aufwand sorgen werden bei der IT-Grundschutz-Vorgehensweise erhebliche Zeiten bei der Bearbeitung und Umsetzung der Standardsicherheitsmaßnahmen benötigt.
Nach unserer Erfahrung sind die BSI IT-Grundschutzkataloge jedoch eher dazu geeignet, mögliche Risiken im Bereich der Informationssicherheit durch die Umsetzung der Maßnahmen aus den IT-Grundschutzkatalogen zu verringern. Daher gehen viele Unternehmen dazu über, eine Zertifizierung nach ISO 27001 Native anzustreben und bei der Umsetzung auch die Maßnahmen aus den BSI IT-Grundschutzkatalogen zu berücksichtigen.
ISO 27001 Zertifizierung
Vor Beginn der eigentlichen Zertifizierungstätigkeit besteht die Möglichkeit, ein sog. Vor-Audit durchzuführen. Sinn dieses Vor-Audits besteht darin, die grundsätzliche Zertifizierungsfähigkeit des zu zertifizierenden Informationsverbundes anhand von Gesprächen sowie der ersten Einsicht in Dokumentationsunterlagen und Netzdiagramme festzustellen.
Im Rahmen des Zertifizierungsaudits werden von anschließend die erforderlichen Dokumente gesichtet und eine Vor-Ort-Prüfung durchgeführt. Die Erstellung des Auditberichts erfolgt in der Regel in unseren Geschäftsräumen. Nach der Abstimmung des Auditberichts wird dieser bei der Zertifizierungsstelle des BSI eingereicht und von den zuständigen Mitarbeitern geprüft. Ggf. müssen eventuelle Rückfragen des BSI noch anschließend beantwortet werden. Bei erfolgreicher Zertifizierung durch das BSI wird ein Bestätigungsschreiben erteilt.
Die Erst-Zertifizierung bzw. eine Re-Zertifizierung ist insgesamt drei Jahre gültig und muss in den beiden Folgejahren jeweils durch ein Überwachungsaudit bestätigt werden.
Die Voraussetzung für die Vergabe eines ISO 27001-Zertifikates auf der Basis von IT-Grundschutz des BSI ist eine Überprüfung des jeweiligen Untersuchungsgegenstandes durch einen vom BSI zertifizierten Auditor für ISO 27001-Audits auf der Basis von IT-Grundschutz.
ISO 27001 Beratung
Sofern Sie sich erstmalig mit einer ISO 27001 Zertifizierung beschäftigen sind wir auch gerne bereit, Sie bis zur Zertifizierungsreife durch unsere ISO 27001 Berater zu unterstützen. Hierbei werden wir die folgenden Tätigkeiten vornehmen:
- Ist Aufnahme des zu zertifizierenden Informationsverbundes
- vorhandene Dokumentation sowie Netzdiagramme sichten
- bereits gelebte Informationssicherheitsprozesse aufnehmen
- notwendiger Handlungsbedarf ermitteln und einen Projektplan zur Einführung eines Informationssicherheitsmanagements (ISMS) erstellen
- Unterstützung bei der Einführung der ISO 27001 Methodik bzw. auf der Basis von ISO 27001 auf der Basis von IT-Grundschutz
- Konformität des Informationssicherheitsmanagementsystems zur ISO 27001 bzw. IT-Grundschutz festlegen
- Erstellung der notwendigen Dokumentationen und Prozesse für die ISO 27001 Zertifizierung
Gerne zeigen wir Ihnen in einem persönlichen Gespräch mögliche Wege zu einer erfolgreichen ISO 27001 Zertifizierung auf. Hierbei können wir für Ihr Unternehmen als Berater oder Auditor sowohl für ISO 27001 Native, als auch für ISO 27001 auf Basis von IT-Grundschutz, tätig werden.
Für eine erste Kontaktaufnahme stehen wir Ihnen jederzeit gerne telefonisch zur Verfügung. Auf unserer Kontaktseite finden Sie alle Möglichkeiten, mit uns in Kontakt zu treten.