ISO 27001 für Systemhäuser: Kundenbetrieb im ISMS berücksichtigen
Eigenen Betrieb und Kundenleistungen im ISMS abgrenzen
Systemhäuser arbeiten an der Schnittstelle zwischen eigener Organisation und Kundeninfrastruktur. Für ein ISMS muss deshalb klar sein, welche Serviceleistungen betrachtet werden und welche Befugnisse daraus entstehen. Der Zugriff auf ein Kundensystem macht dieses nicht automatisch zu einem vollständig vom Systemhaus verantworteten System.
Für jede wesentliche Leistung sollten der Auftrag, die technischen Zugänge und die Sicherheitsverantwortung zusammenpassen. Unklare Grenzen erschweren sowohl die tägliche Arbeit als auch die spätere Prüfung von Nachweisen.
Serviceprozesse nachvollziehbar beschreiben
Bei der Abgrenzung sind beispielsweise folgende Punkte zu erfassen:
- Wer genehmigt administrative Zugriffe auf Kundenumgebungen?
- Welche Tätigkeiten darf das Systemhaus selbstständig durchführen?
- Wer entscheidet über Updates, Wartungsfenster und Notfallmaßnahmen?
- Wer wertet Auffälligkeiten aus und informiert die jeweils andere Seite?
- Wie werden Berechtigungen bei einem Auftragsende entfernt?
Ein sinnvoller Nachweis verbindet einen konkreten Auftrag mit dem zugehörigen Zugriff und der dokumentierten Tätigkeit. Eine allgemeine Berechtigungsliste erklärt noch nicht, warum ein bestimmter Eingriff zulässig war.
Geteilte Verantwortung praktisch darstellen
Beispiel: Ein Systemhaus wartet die Server eines Kunden, während der Kunde Benutzerfreigaben und Fachanwendungen verantwortet. Die Servicebeschreibung hält diese Grenze fest. Bei einem verdächtigen Benutzerkonto ist dann erkennbar, wer technisch sperren darf und wer die fachlichen Folgen bewertet.
Die Empfehlungen von CISA und weiteren Sicherheitsbehörden betonen die transparente Zuordnung von Sicherheitsaufgaben zwischen IT-Dienstleister und Kunde. Im ISO-27001-Kontext unterstützt diese Zuordnung einen verständlichen Geltungsbereich und prüfbare Serviceprozesse.
Aussage des Zertifikats beachten
Eine Zertifizierung des Systemhauses bestätigt nicht automatisch die Sicherheit aller Kundensysteme. Maßgeblich bleibt, welche eigenen Leistungen und Prozesse im zertifizierten Geltungsbereich beschrieben sind.
Was bestätigt ein ISO-27001-Zertifikat eines Systemhauses?
Entscheidend ist der auf dem Zertifikat bezeichnete Geltungsbereich. Eine Zertifizierung des Managementsystems ist nicht automatisch ein Sicherheitsnachweis für jede betreute Kundenumgebung, jedes Produkt oder jede erbrachte Leistung. Bei Ausschreibungen sollten Systemhaus und Auftraggeber deshalb abgleichen, welche Dienstleistung tatsächlich erfasst ist.
Für die Vorbereitung lässt sich eine einfache Zuordnung verwenden: Dienstleistung – eigene Verantwortung – Kundenverantwortung – Nachweis. Bei der Fernwartung kann das Systemhaus beispielsweise die Vergabe seiner Technikerrechte und die Protokollierung verantworten. Der Kunde benennt autorisierte Freigebende und entscheidet über vertraglich festgelegte Eingriffe. Welche Aufteilung gilt, muss sich aus der konkreten Leistungsvereinbarung ergeben.
Die Normorientierung ergänzt damit die betrieblichen Kontrollen. Sie ersetzt weder saubere Mandantentrennung noch eine verlässliche Reaktion auf Sicherheitsvorfälle.
Die praktischen Kontrollen für Informationssicherheit und ISMS im Systemhaus werden auf der entsprechenden Betriebsseite erläutert. Wie die eigenen Abläufe unabhängig vom externen Zertifizierungstermin geprüft werden, zeigen die internen ISMS-Audits.
Quellen und fachliche Grundlagen
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- AA22-131A – Schutz von Managed Service Providern und ihren Kunden – CISA und internationale Sicherheitsbehörden