02 / Compliance und Zertifizierung
ISO/IEC 27001, gebaut für das Audit und für das Jahr danach
Wir helfen Ihnen, ein Informationssicherheits-Managementsystem abzugrenzen, aufzubauen und zu betreiben, das eine akkreditierte Zertifizierungsstelle prüfen kann und mit dem Ihre Teams im Alltag arbeiten können.
Überblick
Was ISO/IEC 27001 von Ihnen verlangt
ISO/IEC 27001 ist die internationale Norm für ein Informationssicherheits-Managementsystem (ISMS): ein festgelegter Geltungsbereich, eine Risikobeurteilung, Maßnahmen zur Behandlung dieser Risiken und Nachweise, dass das Ganze funktioniert.
Wir beginnen bei der Arbeitsweise Ihrer Organisation, nicht bei einer Vorlage. Richtlinien, Risikobehandlung und die Erklärung zur Anwendbarkeit entstehen entlang Ihrer tatsächlichen Prozesse, damit das System weiterläuft, wenn die Berater gegangen sind.
Das Zertifikat selbst stellt eine akkreditierte Zertifizierungsstelle aus, unabhängig von dem Team, das Sie bei der Umsetzung begleitet hat. Wir arbeiten mit langjährigen Zertifizierungspartnern zusammen und koordinieren das Audit mit ihnen oder mit einer Stelle Ihrer Wahl, sodass Sie in einem Auftrag von der Gap-Analyse bis zum Zertifikat kommen. Black Fox begleitet Sie auf Wunsch beim Audit und hilft Ihnen, das Zertifikat über die Überwachungsaudits hinweg zu halten.
Für wen es gedacht ist
Organisationen, deren Kunden, Ausschreibungen oder Aufsichtsbehörden ISO/IEC 27001 verlangen, und Teams, die bereits Maßnahmen umgesetzt haben, aber noch kein Managementsystem darum. Zugleich eine solide Grundlage für die Pflichten aus NIS2 und DORA.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Geltungsbereich und Kontext
Wir legen Geltungsbereich, interessierte Parteien und Grenzen des ISMS fest, damit das Audit abdeckt, was Ihren Kunden wichtig ist, und nichts, was Sie nicht vertreten können.
Gap-Analyse
Eine Prüfung Kapitel für Kapitel und entlang Anhang A, wo Sie heute stehen, mit Feststellungen nach Risiko und Aufwand geordnet.
Risikobeurteilung und -behandlung
Eine Methode, die zu Ihrer Größe passt, ein Risikoregister, das die Verantwortlichen verstehen, und ein Behandlungsplan, der mit den gewählten Maßnahmen verknüpft ist.
Erklärung zur Anwendbarkeit
Jede Maßnahme aus Anhang A wird betrachtet, mit begründeter Entscheidung für oder gegen sie und einem Verweis auf den Nachweis.
Richtlinien und Verfahren
Dokumente für die Menschen, die sie befolgen, integriert mit ISO 9001, ISO 22301 oder anderen Managementsystemen, wo Sie diese bereits betreiben.
Internes Audit und Managementbewertung
Ein internes Audit, unabhängig von denen, die die Maßnahmen gebaut haben, und eine Managementbewertung, die Entscheidungen liefert und nicht nur ein Protokoll.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Geltungsbereich, Beteiligte und Rahmenbedingungen und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Gap-Analyse
Interviews, Dokumentenprüfung und Stichproben von Nachweisen, am Ende ein priorisierter Bericht.
Begleitung der Umsetzung
Wir schließen die Lücken gemeinsam mit Ihren Verantwortlichen: Risikobeurteilung, Maßnahmen, Dokumente und Nachweise.
Internes Audit
Ein vollständiges internes Audit gegen die Norm, durchgeführt wie das echte, mit Abweichungen, die Sie noch beheben können.
Zertifizierungsaudit
Wir koordinieren das Audit mit einem unserer langjährigen Zertifizierungspartner oder der akkreditierten Stelle Ihrer Wahl, bereiten Stufe 1 und Stufe 2 mit Ihnen vor und helfen bei etwaigen Feststellungen.
Aufrechterhaltung
Auf Wunsch laufende Unterstützung über Überwachungsaudits und Rezertifizierung, damit das ISMS zwischen den Besuchen nicht verfällt.
Was Sie erhalten
- ISMS-Geltungsbereich und Kontextanalyse
- Gap-Analyse mit priorisiertem Maßnahmenplan
- Risikoregister und Risikobehandlungsplan
- Erklärung zur Anwendbarkeit mit Verweisen auf Nachweise
- Richtlinien und Verfahren, auf Ihre Organisation zugeschnitten
- Bericht zum internen Audit und Eingaben für die Managementbewertung
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Stellen Sie das ISO/IEC 27001-Zertifikat aus?
Nein. Zertifikate stellen akkreditierte Zertifizierungsstellen aus, und die Stelle, die Sie zertifiziert, muss unabhängig von denen sein, die Sie bei der Umsetzung begleitet haben. Wir bereiten Sie vor, koordinieren das Audit mit einem unserer langjährigen Zertifizierungspartner oder einer Stelle Ihrer Wahl, unterstützen Sie dabei und helfen Ihnen, das Zertifikat zu halten.
Müssen wir alle Maßnahmen aus Anhang A umsetzen?
Nein. Sie müssen jede Maßnahme aus Anhang A betrachten und anhand Ihrer Risiken entscheiden, welche anwendbar sind. Die Erklärung zur Anwendbarkeit hält jede Entscheidung samt Begründung fest.
Was unterscheidet ISO/IEC 27001 von ISO/IEC 27002?
ISO/IEC 27001 legt die Anforderungen an das Managementsystem fest und listet die Maßnahmen in Anhang A. ISO/IEC 27002 ist ein Leitfaden zur Umsetzung dieser Maßnahmen. Zertifiziert wird nach 27001; 27002 hilft, es gut zu machen.
Wie lange dauert das?
Das hängt vom Geltungsbereich ab, davon, was bereits vorhanden ist, und wie schnell Ihr Team reagieren kann. Nach der Gap-Analyse erhalten Sie einen Plan mit Terminen statt einer Schätzung ins Blaue.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 27701ISO/IEC 27701 mit Black Fox Security: Geltungsbereich des PIMS, Rollen als Verantwortlicher und Auftragsverarbeiter, Datenschutzrisiken und Zertifizierungsvorbereitung.
- Compliance und ZertifizierungNIS-2NIS-2 mit Black Fox Security: Betroffenheitsprüfung, Gap-Analyse gegen die Risikomanagementmaßnahmen, Meldeprozess, Lieferkette und Schulung der Leitung.
- Governance und RisikoInformationssicherheits-AuditUnabhängige Audits der Informationssicherheit von Black Fox Security nach ISO/IEC 27001, 27002, DSGVO, PCI DSS, Ihren Richtlinien oder einem Kundenfragebogen.
- Managed SecurityKontinuierliche ComplianceKontinuierliche Compliance mit Black Fox Security: Nachweiskalender, interne Audits, Kontrolltests, Richtlinienprüfung und Unterstützung bei Überwachungsaudits.
Beginnen Sie mit einer ehrlichen Gap-Analyse
Erzählen Sie uns von Ihrem Geltungsbereich und Ihrer Frist. Wir sagen Ihnen, was zwischen Ihnen und dem Audit steht.