Publiziert am 11. Juli 2016 von Redaktion Digitales Wirtschaftswunder unter: Digitalisierung

ISO IT-Sicherheit Sicherheit Zertifizierungen

Was ISO-Zertifizierungen bedeuten und was sie bringen

Titelbild: © Jirsak/Shutterstock.com

Durch den zunehmenden Einsatz von ITK-Systemen wird die Informationssicherheit für Unternehmen immer wichtiger. Mit ISO-Zertifizierungen wie ISO 9001 und ISO 27001 weisen Unternehmen definierte Sicherheitsstandards nach.

Was ist eine ISO-Zertifizierung?

Das Kürzel ISO steht für International Standards Organization, also die internationale Vereinigung von Normungsorganisationen mit Sitz in Genf. Sie erarbeitet weltweit gültige Normen für Industrieunternehmen. Das Ziel: den umfassenden Austausch von Gütern und Dienstleistungen zu erleichtern. Dazu überprüfen unabhängige Dritte Strukturen und Prozesse von Unternehmen. Zu den bekanntesten Prüfern in Deutschland zählen beispielsweise die TÜV-Gesellschaften oder die Prüforganisation Dekra. Probleme oder Schwachstellen lassen sich auf diesem Wege schnell identifizieren und beheben.

Wozu brauchen Unternehmen ISO-Zertifizierungen?

Die Informationssicherheit in Unternehmen wird immer bedeutender, kaum ein Geschäftsprozess kommt noch ohne die Unterstützung von ITK-Systemen aus. Die Verfügbarkeit von Systemen, die Integrität und Vertraulichkeit von Daten und die Authentizität von Transaktionen betrifft dabei nicht nur das jeweilige Unternehmen selbst, sondern auch deren Partnern. Wird der Standard-Ablauf gestört, könnte das unter Umständen auch ihnen schaden. Ein Zertifikat kann das Vertrauen der Partner in die eingesetzten ITK-Systeme erhöhen, weil es auf diesem Wege definierte Sicherheitsstandards seiner Prozesse nachweisen kann. Bestimmte geschäftliche Beziehungen werden unter Umständen sogar erst durch ein Zertifkat möglich.

Wie teuer sind ISO-Zertifizierungen?

Die Kosten für ISO-Zertifizierungen variieren je nach Anbieter, Unternehmensgröße und Aufwand zwischen einem niedrigen vier- und fünstelligen Bereich pro Jahr. Eine Übersicht zum ungefähren Aufwand und Kosten für eine Erst-Zertifizierung nach ISO 9001 (PDF), die zu einer ersten Orientierung dient, hat das Webportal gruenderlexikon.de zusammengestellt.

ISO 9001

Die ISO 9001 ist sowohl national als auch international die meist verbreitete und bedeutendste Norm im Qualitätsmanagement (QM). Das Zertifikat weist nach, dass die internen Abläufe in einem Unternehmen dem internationalen Standard für Qualitätsmanagement entsprechen. Neben dem Imagegewinn steigert die höhere Qualität im Idealfall auch die Kundenzufriedenheit. Die Zertifizierung selbst verursacht zwar zunächst Kosten. Optimierte Abläufe und das Vermeinden von Fehlern helfen später jedoch, die Wettbewerbsfähigkeit zu steigern und Kosten zu senken.

ISO 27001

Der ISO 27001-Standard ist die international führende Norm für Informationssicherheitsmanagementsysteme (ISMS). Sie definiert die Forderungen für die Einführung, Umsetzung, Überwachung und Verbesserung solcher ISMS. So lässt sich etwa nachweisen, ob ein Rechenzentrum den gewünschten Sicherheitsstandards genügt. Dazu kontrollieren die Prüfer die im Rechenzentrum vorhandenen Sicherheitsmechanismen – darunter auch, ob die Mitarbeiter alle aktuellen datenschutzrechtlichen Anforderungen hinsichtlich der Auftrags-Datenverarbeitung kennen und befolgen.

Wie viele Unternehmen setzen auf eine ISO-Zertifizierung?

Der Qualitätsmanagementstandard ISO 9001 ist in Deutschland weiterhin sehr gefragt. Laut der Studie „ISO Survey 2014“ der International Organization for Standardisation hat die Organisation in allen Branchen Deutschlands 2014 mehr als 55.000 Zertifikate vergeben, weltweit waren es mehr als 1,1 Millionen. Zertifizierungen nach dem ersten internationalen Standard für Informationssicherheitsmanagement ISO 27001 wurden für rund 600 deutsche Unternehmen ausgestellt.

Quelle: ISO Survey 2014

Vorsicht bei Werbung mit ISO-Zertifizierungen

„Die ISO 9001-Zertifizierung ist ein wertvolles Instrument zur internen Qualitätskontrolle, als Werbemittel jedoch mit Vorsicht zu genießen“, warnt die IT-Recht Kanzlei München. Die Versuchung sei zwar groß, das erworbene Zertifikat in der Werbung gewinnbringend einzusetzen. „Dabei sollte jedoch unbedingt darauf geachtet werden, dass irreführende Werbung vermieden wird.“ Sonst könnte es auch anderen Unternehmen so ergehen wie einer Firma, die ihre Dienstleistungen als „TÜV-geprüfte Nachhilfe“ anpreiste. Das Landgericht Essen gab im Jahr 2009 einer Klage statt und stufte die Reklame als irreführend und damit wettbewerbswidrig ein. Der Grund: „Die Zertifizierung bezieht sich in der Regel nur auf die Unternehmensprozesse, nicht jedoch auf die vom Unternehmen erstellten Produkte“, erklärt die IT-Recht Kanzlei. Es dürfe in der Werbung daher nicht der Eindruck erweckt werden, dass die ISO 9001-Zertifizierung auch eine besondere Qualität der Produkte impliziert.