DIN ISO/IEC 27001

Der Nachweis einer Zertifizierung nach DIN ISO/IEC 27001 wird bei haftungsrelevanten Problemen in der Regel als Beleg anerkannt, dass die gebotene Sorgfaltspflicht eingehalten wurde. Auch gegenüber Kunden, Partnern und Dienstleistern kann sie als Nachweis der Kompetenz im Bereich Informationssicherheit dienen.

Externer Audit
Zum Nachweis einer Zertifizierung auf Basis von DIN ISO/IEC 27001 muss ein externer Audit durch anerkannte Auditoren durchgeführt werden

Gültigkeit von bis zu drei Jahren
Zertifikate können mit einer Gültigkeit von bis zu drei Jahren ausgestellt werden. Ggf. sind jährliche Überwachungsaudits notwendig

Re-Zertifizierung
Nach Ablauf der Gültigkeitsdauer ist eine Re-Zertifizierung möglich

Grundsätzlich gilt es nachzuweisen, dass ein solcher Prozess implementiert wurde und nachhaltig im Unternehmen gelebt wird. Dabei steht nicht die IT im Fokus, sondern die Informationssicherheit in den Geschäftsprozessen eines Unternehmens. Die Überprüfung umfasst sowohl eine Dokumentenprüfung, als auch eine Umsetzungsprüfung der erforderlichen IT-Sicherheitsmaßnahmen vor Ort.

Als Nachweise fordert die Norm eine umfassende Dokumentation der Ergebnisse. Von größter Bedeutung sind in diesem Zusammenhang eine Beschreibung von Inhalt und Umfang des ISMS sowie das Vorgehen und die Ergebnisse des Risikomanagements. Hierbei ist darauf zu achten, dass die Dokumente geordnet abgelegt werden, Änderungen kontrolliert erfolgen und zeitnah den betroffenen Personen kommuniziert werden.