ISO 27001 Checkliste für IT-Systemhäuser: in zwölf Schritten zum Zertifikat

Ein IT-Systemhaus trägt zwei Rollen gleichzeitig: Es soll die Sicherheit seiner Kunden verantworten und ist selbst ein kritischer Zulieferer. Daraus folgen zwei Fragen, die vor der ersten Zeile einer Liste geklärt sein sollten. Fällt das Unternehmen selbst unter die gesetzlichen Pflichten? Und wie weit reicht das Zertifikat, wenn Kunden nach der Sicherheit ihrer eigenen Systeme fragen?

Was gehört in eine ISO 27001 Checkliste für IT-Systemhäuser?

Zwei Teile. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen, aus denen risikobasiert ausgewählt wird.

Der Unterschied zu anderen Branchen steckt im Asset-Register. Neben Servern, Clients und Cloud-Ressourcen gehören die Managed-Services-Systeme und die Kundenzugänge hinein, dazu die Kundendaten und Konfigurationen mit einer Klassifizierung. Genau diese Einträge machen aus einem allgemeinen ISMS eines, das zur Geschäftstätigkeit passt, und genau sie fehlen in ersten Entwürfen am häufigsten.

Wann greift NIS2 direkt bei der ISO 27001 Checkliste für IT-Systemhäuser?

Häufiger als vermutet, und nicht nur über die Lieferkette der Kunden. Die Anlage 1 des BSIG führt im Sektor Digitale Infrastruktur ausdrücklich Managed Services Provider und Managed Security Services Provider als eigene Einrichtungsarten auf. Ein Systemhaus, das Managed Services erbringt, ist damit selbst benannt und nicht nur mittelbar betroffen.

Zwei Folgerungen daraus. Erstens die Einstufung: Wer in einem Sektor der Anlage 1 liegt und die Größenschwellen erreicht, ist besonders wichtige Einrichtung, also in der strengeren der beiden Kategorien. Zweitens die Mehrfachbetroffenheit: Dieselbe Anlage nennt im selben Sektor auch Anbieter von Cloud-Computing-Diensten und Anbieter von Rechenzentrumsdiensten. Ein Systemhaus mit eigenem Rechenzentrum und Cloud-Angebot kann mehrere dieser Einrichtungsarten gleichzeitig erfüllen. Für die Liste heißt das: Die Einordnung gehört dokumentiert in den ersten Schritt, weil sie über Registrierung, Meldewege und Nachweispflichten entscheidet.

Wie nutzt die ISO 27001 Checkliste für IT-Systemhäuser ein bestehendes ISO 20000-1?

Als Fundament, nicht als Konkurrenz. Viele Systemhäuser betreiben bereits ein Service-Management nach ISO/IEC 20000-1, und beide Normen teilen die Mechanik: Managementbekenntnis, Lieferantensteuerung, Konfigurationsmanagement, Änderungs- und Vorfallbehandlung, Kontinuitätsplanung, internes Audit und Managementbewertung. Für die Verzahnung gibt es sogar einen eigenen Leitfaden, die ISO/IEC 27013.

Der praktisch wertvollste Übertrag ist die Konfigurationsdatenbank. Eine gepflegte CMDB ist die beste vorhandene Quelle für das Asset-Register, weil sie Systeme, Abhängigkeiten und Verantwortlichkeiten schon führt. Wer sie nutzt, spart den aufwendigsten Schritt der Liste zum großen Teil. Umgekehrt deckt ein funktionierendes ISMS die Sicherheitsanforderungen des Service-Managements mit ab, sodass sich beide Zertifizierungen in einem gemeinsamen Auditprogramm planen lassen.

Was deckt die ISO 27001 Checkliste für IT-Systemhäuser bei den Kundensystemen ab?

Weniger, als Kunden oft hineinlesen. Das Zertifikat gilt für das Managementsystem des Systemhauses und für den Geltungsbereich, der auf dem Zertifikat steht. Es ist keine Aussage über die Sicherheit der Kundenumgebung. Deshalb sollte der Geltungsbereich die erbrachten Managed Services ausdrücklich benennen, sonst beantwortet das Zertifikat die Frage des Kunden nicht.

Was das ISMS dagegen sehr wohl abdeckt, ist die eigene privilegierte Zugriffsseite. Ein Systemhaus hält administrative Zugänge zu dutzenden Kundenumgebungen, und die Werkzeuge für Fernwartung und Monitoring sind der wirksamste Hebel, den ein Angreifer finden kann. Verlangt sind eine strikte Vergabe privilegierter Rechte, Protokollierung und eine wiederkehrende Überprüfung. Wer diesen Punkt belegen kann, hat das stärkste Vertriebsargument der ganzen Liste.

Welche Punkte der ISO 27001 Checkliste für IT-Systemhäuser werden am häufigsten unterschätzt?

Drei. Erstens die Mandantentrennung. Die Liste verlangt, interne und Kundennetzwerke zu trennen, doch die schwierigere Frage ist die Trennung der Kunden voneinander innerhalb der eigenen Verwaltungswerkzeuge. Ein Auditor fragt nach dem Nachweis, dass ein Zugriff für Kunde A nicht auf Kunde B wirkt.

Zweitens das Offboarding am Vertragsende. Wenn ein Kunde geht, bleiben oft Administratorkonten, Schlüssel und VPN-Strecken bestehen. Die Norm verlangt die Rückgabe und den Entzug von Werten und Zugängen mit Nachweis, und das gilt in beide Richtungen. Drittens die Weitergabe der eigenen Nachweise: Kunden fragen nach Zertifikat, Anwendbarkeitserklärung und Auditberichten. Was davon herausgeht und in welcher Form, gehört einmal festgelegt, sonst entscheidet es der Vertrieb im Einzelfall.

Was steht in der Checkliste?

• Zwölf Schritte in verbindlicher Reihenfolge, von Auftrag und Geltungsbereich bis zum laufenden Betrieb
• Abhakbare Punkte je Schritt, von Managed-Services-Systemen und Kundenzugängen im Asset-Register über die Trennung interner und Kundennetzwerke bis zu kontrollierten Remote-Wartungszugängen
• Vier Treiber, die den Zeitpunkt bestimmen: Kundenanforderungen und Ausschreibungen, NIS2, Wettbewerbsdifferenzierung sowie Haftung der Geschäftsführung
• Was Stage 1 und Stage 2 des Zertifizierungsaudits jeweils prüfen
• Die Punkte zu Subunternehmern, Datenaustausch und Meldewegen, an denen Systemhäuser am häufigsten nacharbeiten

Die Checkliste richtet sich an Geschäftsführungen, Technik- und Serviceleitungen sowie Sicherheitsverantwortliche in IT-Systemhäusern, Managed-Service-Providern und IT-Dienstleistern. Laden Sie sie kostenfrei herunter.