Prüfen, welche Leistung erfasst ist und wer die relevanten Schutzmaßnahmen verantwortet
ISO/IEC 27001 behandelt ein Informationssicherheitsmanagementsystem.
Ein Zertifikat bezieht sich auf die darin genannte Organisation und den ausgewiesenen ISMS-Geltungsbereich. Prüfen Sie Standard, Umfang, Standorte, Gültigkeit und ausstellende Stelle gegen die benötigte Leistung. Eine beim Betreiber vorhandene Zertifizierung bedeutet nicht automatisch, dass jede dort gehostete Anwendung oder jedes kundenseitig verwaltete System erfasst ist.
Auch das Betriebsmodell ist entscheidend: Bei Colocation verteilen sich Aufgaben anders als bei Managed Hosting oder Cloud-Diensten. Physischer Zutritt, Umgebungsbedingungen, Administration, Vorfallkommunikation und Wiederherstellung brauchen eine klare Zuordnung. Welche Kontrollen erforderlich sind, folgt aus der konkreten Risikobewertung und den geltenden Verpflichtungen. Ein ISO-27001-Zertifikat allein ist keine Zusage unterbrechungsfreier Verfügbarkeit und ersetzt weder Vertragsprüfung noch geeignete Wiederherstellungstests.
Ein Auftrag kann die Prüfung von Geltungsbereich und Verantwortlichkeiten, ausgewählte Kontrollbewertungen, eine Befund- und Maßnahmenliste sowie die Vorbereitung eines vereinbarten Prüf- oder Zertifizierungsverfahrens umfassen. Legen Sie Gesellschaft, Standorte, Betriebsmodell und Systeme vorher fest. Ihre Organisation stellt zulässig zugängliche Nachweise und die zuständigen Gebäude-, IT- und Fachverantwortlichen bereit. Technische Installation, Hostingbetrieb, Penetrationstests und unabhängige Zertifizierung sind gesonderte Leistungsumfänge.
Nachweise müssen zur tatsächlichen Leistung passen: Ein Bericht zu einem anderen Standort, ein abgelaufenes Zertifikat oder ein Wiederherstellungstest mit anderem Umfang beantwortet die konkrete Kundenfrage möglicherweise nicht. Halten Sie Geltungsbereich, Zeitraum und verbleibende Nachweislücken fest.
6 Leistungsbausteine
Wir gleichen ISMS-Umfang, tatsächliche Leistung und vereinbarte Prüfkriterien ab. Das Ergebnis dokumentiert geprüfte Bereiche, verfügbare Nachweise und entscheidungsbedürftige Lücken.
Ausgewählte physische Schutzvorkehrungen werden im vereinbarten Risiko- und Leistungskontext bewertet. Nachweise und zulässige Beobachtungen bleiben nachvollziehbar; eine Richtlinie allein beweist keine Umsetzung.
Wir untersuchen, wie die betrachtete Leistung ausgewählte Abhängigkeiten wie Stromversorgung, Kühlung und Überwachung berücksichtigt. Verfügbare Aufzeichnungen und Tests werden dem tatsächlichen Umfang zugeordnet.
Relevante Verwaltungswege, Berechtigungen und Entzugsaufgaben werden zwischen Betreiber- und Kundensystemen zugeordnet. Vereinbarte Prüffälle zeigen, ob vorgesehene Einschränkungen nachweisbar sind.
Die Prüfung verbindet die Wiederherstellung des Standorts mit technischer Wiederherstellung und den Geschäftsanforderungen des Kunden. Annahmen und ungeprüfte Übergaben bleiben im Befund sichtbar.
Für angebundene Dienste wird nachvollzogen, wer relevante Kontrollen umsetzt und überprüft. Die Übergabe benennt verbleibende Aufgaben und erforderliche Nachweise.
Die eigene illustrative Matrix verwendet eine fiktive Dienstleistungsbeziehung. Sie unterstützt die Prüfung von Umfang und Nachweisen; sie ist weder Anbieter-Ranking noch vollständige Zertifizierungscheckliste.
| Frage | Benötigter Nachweis | Zu klärende Verantwortung | Abschlussprüfung |
|---|---|---|---|
| Erfasst das Zertifikat den genutzten Dienst und Standort? | Aktuelles Zertifikat mit Geltungsbereich, erfassten Standorten und relevanter Leistungsbeschreibung | Betreiber bestätigt erfasste Tätigkeiten; Kunde benennt seinen tatsächlichen Dienst | Standort und Dienst passen zum ausgewiesenen Umfang oder die Lücke ist ausdrücklich dokumentiert |
| Wer darf physischen Zutritt erteilen und entziehen? | Geltendes Zutrittsverfahren und geeignete Aufzeichnungen zum betrachteten Zeitraum | Freigabe-, Besucher- und Entzugsaufgaben zwischen Betreiber und Kunde sind zugeordnet | Ein abgestimmter zulässiger Prüffall zeigt Autorisierung und Entzug nach dem beschriebenen Verfahren |
| Wer administriert die Systeme mit unseren Daten? | Leistungs- und Verantwortungsmatrix sowie ausgewählte Identitäts- oder Privilegiennachweise | Gebäude-, Managed-Service- und Kundenadministration werden unterschieden | Die erforderliche Kontrolle hat einen Verantwortlichen; ein Betreiberzertifikat ersetzt keine Prüfung eines Kundensystems |
| Was hat der Wiederherstellungstest tatsächlich gezeigt? | Testumfang, Szenario, Abhängigkeiten, Beobachtungen und offene Befunde | Betreiber-Wiederherstellung und kundenseitige Wiederanlauf- oder Fortführungsaufgaben sind verbunden | Die vorgesehene Übergabe wurde geprüft oder verbleibende Annahmen bleiben in der Bewertung sichtbar |
Vier ausgefüllte Fragen zu Geltungsbereich, Verantwortung und Nachweisen für die tatsächlich betrachtete Leistung.
Amtliche Übersicht zum ISMS-Standard und seinem Zertifizierungskontext.
Geschäftsprozesse und Wiederanlaufbedarf des Kunden mit der Rechenzentrumsleistung verbinden.
Ausgewählte Kontrollnachweise in die übergeordneten ISMS-Anforderungen einordnen.
Öffentliche Normübersicht zu Einrichtungen und Infrastruktur von Rechenzentren; vollständiger Normtext nicht enthalten.
5 Phasen
Die Bewertung beginnt mit der tatsächlich benötigten Leistung. Nachweise werden für diesen Umfang beurteilt; notwendige Klärungen erhalten eine verantwortliche Stelle.
Betreiber- oder Kundenrolle, Dienst, Standorte und gewünschte Nachweisaussage bestimmen.
klarer Prüfumfang.
Geltungsbereich, Zuständigkeiten, Regeln, Aufzeichnungen und Tests über zulässige Wege bereitstellen.
Quellenverzeichnis mit Abdeckungsgrenzen.
Beobachtungen und Unterlagen mit den vereinbarten Kriterien abgleichen.
getrennte Befunde zu Umsetzung, fehlenden Nachweisen und ungeprüften Annahmen.
Lücken priorisieren und Zuständigkeit sowie Abschlussprüfung festlegen.
abgestimmter Verbesserungs- oder Klärungsplan.
Befunde, Abhängigkeiten und die daraus tragfähige Entscheidung bestätigen.
dokumentierte Bewertung mit ausdrücklichen Grenzen.
Ansprechpartner
Sarah Richter
Head of Informationssicherheit, Cyber Security
10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit
Moderne Rechenzentren sind das Fundament der digitalen Transformation. Unsere ISO 27001-konforme Sicherheitsarchitektur schafft nicht nur Compliance, sondern ermöglicht es Unternehmen, ihre kritischen Infrastrukturen als strategischen Wettbewerbsvorteil zu nutzen und gleichzeitig höchste Sicherheitsstandards zu gewährleisten.
8 FRAGEN, KURZ BEANTWORTET
Der Standard enthält Anforderungen an ein Informationssicherheitsmanagementsystem und einen risikobasierten Ansatz. Seine konkrete Aussage hängt von Organisation, Dienst und ausgewiesenem Geltungsbereich ab. Nutzen Sie ihn für strukturierte Prüffragen und Nachweise. Ein Zertifikat allein bestätigt weder die Abdeckung jedes Kundensystems noch die Ausfallsicherheit einer bestimmten Leistung.
Bestimmen Sie Dienst, Standorte, Informationen, Systeme, Beteiligte und Abhängigkeiten. Betrachten Sie die Folgen von Ausfällen oder unberechtigten Handlungen in diesem Zusammenhang. Vereinbaren Sie Kriterien, erforderliche Nachweise und zuständige Entscheidungen, bevor Kontrollen geprüft werden. Die Bewertung macht Unsicherheit und Lücken sichtbar; der Einsatz eines Standards oder einer Vorlage garantiert keinen optimalen Schutz.
Ermitteln Sie geltende gesetzliche, aufsichtsrechtliche, vertragliche und interne Vorgaben für die tatsächliche Leistung. Ordnen Sie Verantwortung und Nachweise zu, ohne ein einzelnes Zertifikat als Erfüllung aller Pflichten auszugeben. Halten Sie aktuelle Quellen und erforderliche Fachbewertungen fest. Derselbe Nachweis kann mehrere Prüfungen unterstützen; deren Geltungsbereich und Schlussfolgerungen können trotzdem unterschiedlich sein.
Er muss die vereinbarte Autorisierung, Identifikation, Zutrittsbedingungen und Besucherbehandlung im betrachteten Bereich nachvollziehbar machen. Wo Begleitung vorgeschrieben ist, braucht auch deren praktische Umsetzung geeignete Nachweise. Stimmen Sie zulässige Beobachtungen oder Tests mit dem Betreiber ab. Eine schriftliche Verfahrensbeschreibung zeigt allein nicht, was im geprüften Zeitraum tatsächlich geschehen ist.
Es kann Aussagen zum Managementsystem innerhalb seines ausgewiesenen Geltungsbereichs unterstützen und bei der Lieferantenbewertung helfen. Prüfen Sie Gültigkeit und Relevanz für die genutzte Leistung. Kundenaufgaben, vertragliche Zusagen sowie technische und Wiederherstellungsnachweise bleiben zu beurteilen. Zertifizierung ist weder eine universelle Verfügbarkeitsgarantie noch ein Ersatz für jede andere Prüfung.
Gleichen Sie Organisation, Dienst und Standorte mit der tatsächlich genutzten Leistung ab und prüfen Sie Gültigkeit und ausstellende Stelle. Lesen Sie Verantwortungsgrenze und Geltungsbereich zusammen. Ermitteln Sie geeignete Aufzeichnungen und Tests für die konkrete Prüffrage und halten Sie verbleibende Kundenaufgaben fest. Ein Logo oder eine allgemeine Zertifizierungsbehauptung ersetzt diese Nachweise nicht.
Benennen Sie Betreiber- oder Kundenrolle, relevante Gesellschaft und Standorte, Betriebsmodell und die Frage, die die Bewertung beantworten soll. Beschreiben Sie verfügbare Zertifikate, Verträge und Kontrollnachweise und nennen Sie geeignete Verantwortliche. Zulässige Zugriffe und Beobachtungen werden vor der Detailprüfung vereinbart. Zugangsdaten oder uneingeschränkter Zugriff sind für eine erste Anfrage nicht erforderlich.
ISO/IEC 27001 behandelt ein Informationssicherheitsmanagementsystem. Die Reihe ISO/IEC 22237 betrifft Einrichtungen und Infrastruktur von Rechenzentren; Teil 1 beschreibt unter anderem allgemeine Konzepte und eine Klassifikation. Die Nachweise beantworten deshalb unterschiedliche Fragen. Ein ISMS-Zertifikat bestätigt nicht automatisch eine bestimmte Infrastrukturklassifikation. Legen Sie fest, welche Aussage Sie für Ihren Standort und Dienst benötigen, und prüfen Sie den entsprechenden Geltungsbereich.
Unsere Kunden vertrauen auf unsere Expertise in digitaler Transformation, Informationssicherheit, Compliance und Risikomanagement
Vereinbaren Sie jetzt ein strategisches Beratungsgespräch mit unseren Experten
Strategiegespräch buchen30 Minuten • Unverbindlich • Sofort verfügbar
Direkte Hotline für Entscheidungsträger
Strategische Anfragen per E-Mail
Für komplexe Anfragen oder wenn Sie spezifische Informationen vorab übermitteln möchten