Dieses Audit wurde nicht nur von mehreren Auditoren durchgeführt, sondern zugleich wurden mehrere Standards auditiert. Um sicherzustellen, dass der Kunde hier die höchste Sicherheits- und Datenschutzstandards einhält, wurden die international anerkannte Normen zur Zertifizierung ausgewählt. In diesem aktuellen Kombiaudit wurden gleich fünf bedeutende Standards geprüft:
ISO 27001 – Das Fundament der Informationssicherheit
ISO 27701 – Der Standard für Datenschutzmanagement
ISO 27018 – Schutz personenbezogener Daten in der Cloud
ISO 27017 – Sicherheit für Cloud-Dienstleister und -Kunden
ISO 20000-1 – IT-Service-Management auf höchstem Niveau
Doch was bedeuten diese Standards im Detail und was bringt ein Kombiaudit dem Kunden?
ISO 27001 – Das Fundament der Informationssicherheit
Die ISO 27001 ist der weltweit führende Standard für Informationssicherheits-Managementsysteme (ISMS). Unternehmen, die nach ISO 27001 zertifiziert sind, haben ein strukturiertes System etabliert, um ihre Daten und IT-Systeme vor Cyberangriffen, Datenverlusten und anderen Bedrohungen zu schützen.
Wichtige Anforderungen dieses Standards:
✔ Risikoanalyse und -bewertung für IT-Systeme
✔ Implementierung von Sicherheitsmaßnahmen (technisch und organisatorisch)
✔ Regelmäßige Überprüfung und Verbesserung des ISMS
Mit der Zertifizierung nach ISO 27001 zeigt ein Unternehmen, dass es Informationssicherheit systematisch angeht und kontinuierlich verbessert.
ISO 27701 – Datenschutzmanagement nach internationalen Standards
Die ISO 27701 ist eine Erweiterung der ISO 27001 und konzentriert sich speziell auf das Datenschutzmanagement. Dieser Standard hilft Unternehmen, ihre Datenschutzpraktiken mit der DSGVO (Datenschutz-Grundverordnung) und anderen Datenschutzgesetzen in Einklang zu bringen.
Wichtige Anforderungen:
✔ Definition von Verantwortlichkeiten für den Datenschutz
✔ Datenschutzrisiko-Bewertungen
✔ Technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten
Unternehmen mit einer ISO-27701-Zertifizierung zeigen, dass sie Datenschutz nicht nur ernst nehmen, sondern ihn auch effektiv in ihre Geschäftsprozesse integrieren.
ISO 27018 – Schutz personenbezogener Daten in der Cloud
Da immer mehr Unternehmen Cloud-Dienste nutzen, wurde die ISO 27018 speziell für den Schutz personenbezogener Daten in der Cloud entwickelt. Dieser Standard richtet sich insbesondere an Cloud-Service-Anbieter, die personenbezogene Daten speichern und verarbeiten.
Wichtige Anforderungen:
✔ Keine unautorisierte Verarbeitung personenbezogener Daten
✔ Transparenz über Datenverarbeitung und -speicherung
✔ Sicherheitsmaßnahmen gegen Datenverluste und unbefugten Zugriff
Eine Zertifizierung nach ISO 27018 zeigt, dass ein Unternehmen strenge Datenschutzmaßnahmen für Cloud-Dienste einhält und seinen Kunden Sicherheit bietet.
ISO 27017 – Sicherheit für Cloud-Dienste
Während sich ISO 27018 auf personenbezogene Daten in der Cloud konzentriert, geht die ISO 27017 noch einen Schritt weiter und behandelt die allgemeine Cloud-Sicherheit – sowohl für Cloud-Anbieter als auch Cloud-Kunden.
Wichtige Anforderungen:
✔ Klare Sicherheitsrichtlinien für Cloud-Nutzung
✔ Verantwortlichkeiten zwischen Cloud-Anbieter und Kunde festgelegt
✔ Schutzmechanismen gegen Cyberangriffe und Datenlecks
Durch eine Zertifizierung nach ISO 27017 wird sichergestellt, dass ein Unternehmen Cloud-Dienste sicher betreibt und nutzt.
ISO 20000-1 – IT-Service-Management auf höchstem Niveau
Die ISO 20000-1 ist der führende Standard für IT-Service-Management (ITSM). Sie stellt sicher, dass Unternehmen professionelle und effiziente IT-Dienstleistungen anbieten.
Wichtige Anforderungen:
✔ Strukturierte Prozesse für IT-Services
✔ Klare Service-Level-Agreements (SLAs)
✔ Kontinuierliche Verbesserung der IT-Services
Mit einer ISO-20000-1-Zertifizierung zeigt ein Unternehmen, dass es exzellente IT-Services bereitstellt und seine IT-Prozesse optimiert.
Das Kombiaudit in Neu-Isenburg: Fünf Standards, eine Prüfung über mehrere Wochen
Bei unserem Audit wurden alle Fünf Normen gemeinsam geprüft – ein sogenanntes Kombiaudit. Dies spart nicht nur Zeit und Kosten, sondern sorgt auch für eine einheitliche Integration der verschiedenen Sicherheits- und Datenschutzanforderungen.
Was wurde geprüft?
✅ Das gesamte Informationssicherheits-Managementsystem (ISO 27001)
✅ Der Umgang mit personenbezogenen Daten gemäß Datenschutzrichtlinien (ISO 27701)
✅ Die Einhaltung von Datenschutzanforderungen in der Cloud (ISO 27018)
✅ Die allgemeine Cloud-Sicherheit für Anbieter und Nutzer (ISO 27017)
✅ IT-Service-Management (ISO 20000-1)
Fazit: Warum ist ein Kombiaudit sinnvoll? Ein Kombiaudit bietet Unternehmen mehrere Vorteile:
✅ Ganzheitlicher Sicherheitsansatz: Alle relevanten Sicherheits- und Datenschutzaspekte werden berücksichtigt.
✅ Effizienzsteigerung: Durch eine gemeinsame Prüfung werden doppelte Audit-Aufwände vermieden.
✅ Vertrauen und Compliance: Kunden, Partner und Behörden sehen, dass das Unternehmen höchsten Sicherheits- und Datenschutzstandards entspricht.
Die Zertifizierung nach diesen fünf Standards zeigt, dass das Unternehmen schlank vorangegangen ist, um die Audits möglichst effizient zu bewerkstelligen. Ich durfte deren ISB (Informationssicherheitsbeauftragter) bei allen Standards dem Unternehmen unterstützend zur Seite stehen. Die Audits haben viel Spaß gemacht.
English below 🇬🇧:
Combined audit of ISO 27001, ISO 27701, ISO 27018, ISO 27017, ISO 20000-1 in Neu-Isenburg, Hesse
This audit was not only carried out by several auditors, but several standards were audited at the same time. To ensure that the customer complies with the highest security and data protection standards, internationally recognised standards were selected for certification. Five important standards were audited in this current combined audit:
ISO 27001 – The foundation of information security
ISO 27701 – The standard for data protection management
ISO 27018 – Protection of personal data in the cloud
ISO 27017 – Security for cloud service providers and customers
But what do these standards mean in detail and how does a combined audit benefit the customer?
ISO 27001 – The foundation of information security
ISO 27001 is the world’s leading standard for information security management systems (ISMS). Companies that are certified to ISO 27001 have established a structured system to protect their data and IT systems from cyber attacks, data loss and other threats.
Important requirements of this standard:
✔ Risk analysis and assessment for IT systems
✔ Implementation of security measures (technical and organisational)
✔ Regular review and improvement of the ISMS
With ISO 27001 certification, a company demonstrates that it systematically approaches and continuously improves information security.
ISO 27701 – Data protection management according to international standards
ISO 27701 is an extension of ISO 27001 and focuses specifically on data protection management. This standard helps companies to harmonise their data protection practices with the GDPR (General Data Protection Regulation) and other data protection laws.
Important requirements:
✔ Definition of responsibilities for data protection
✔ Data protection risk assessments
✔ Technical and organisational measures to protect personal data
Companies with ISO 27701 certification show that they not only take data protection seriously, but also integrate it effectively into their business processes.
ISO 27018 – Protection of personal data in the cloud
As more and more companies are using cloud services, ISO 27018 was developed specifically for the protection of personal data in the cloud. This standard is aimed in particular at cloud service providers that store and process personal data.
Important requirements:
✔ No unauthorised processing of personal data
✔ Transparency regarding data processing and storage
✔ Security measures against data loss and unauthorised access
ISO 27018 certification shows that a company complies with strict data protection measures for cloud services and offers its customers security.
ISO 27017 – Security for cloud services
While ISO 27018 focuses on personal data in the cloud, ISO 27017 goes one step further and covers general cloud security – for both cloud providers and cloud customers.
Important requirements:
✔ Clear security guidelines for cloud use
✔ Responsibilities defined between cloud provider and customer
✔ Protection mechanisms against cyber attacks and data leaks
ISO 27017 certification ensures that a company operates and uses cloud services securely.
ISO 20000-1 – IT service management at the highest level
ISO 20000-1 is the leading standard for IT service management (ITSM). It ensures that companies offer professional and efficient IT services.
Important requirements:
✔ Structured processes for IT services
✔ Clear service level agreements (SLAs)
✔ Continuous improvement of IT services
With ISO 20000-1 certification, a company demonstrates that it provides excellent IT services and optimises its IT processes.
The combined audit in Neu-Isenburg: five standards, one audit over several weeks
In our audit, all five standards were audited together – a so-called combined audit. This not only saves time and money, but also ensures standardised integration of the various security and data protection requirements.
What was audited?
✅ The entire information security management system (ISO 27001)
✅ The handling of personal data in accordance with data protection guidelines (ISO 27701)
✅ Compliance with data protection requirements in the cloud (ISO 27018)
✅ General cloud security for providers and users (ISO 27017)
✅ IT-Service-Management (ISO 20000-1)
Conclusion: Why is a combined audit useful? A combined audit offers companies several advantages:
✅ Holistic security approach: all relevant security and data protection aspects are taken into account.
✅ Increased efficiency: A joint audit avoids duplication of audit efforts.
✅ Trust and compliance: Customers, partners and authorities can see that the company meets the highest security and data protection standards.
Certification according to these five standards shows that the company has taken a lean approach in order to organise the audits as efficiently as possible. As their ISO (information security officer), I was able to support the company with all the standards. The audits were a lot of fun.