Lesen Sie die Scope-Zeile: So prüfen Sie die ISO-Angaben eines Anbieters

Fast jeder Hosting-Anbieter zeigt irgendwo auf seiner Website eine Reihe von Zertifizierungslogos. Ihr Auditor wird ein Logo nicht akzeptieren, und Sie sollten das auch nicht. Ein Zertifikat ist ein präzises Dokument, und die Details entscheiden, ob es die Leistung abdeckt, die Sie tatsächlich kaufen. Das lesen Sie, in dieser Reihenfolge, und das fragen Sie, wenn etwas fehlt.

Beginnen Sie mit der Scope-Angabe

Ein ISO-Zertifikat für ein Managementsystem zertifiziert einen definierten Scope, und dieser Scope ist auf dem Zertifikat abgedruckt. Er kann das ganze Unternehmen, einen Standort oder eine einzelne Leistung abdecken. Ein Anbieter, der für «Softwareentwicklung» an seinem Hauptsitz zertifiziert ist, hat Ihnen nichts über das Rechenzentrum gesagt, in dem Ihre Server laufen.

Lesen Sie zuerst die Scope-Zeile und vergleichen Sie sie mit dem Vertrag, den Sie unterschreiben. Die Frage ist einfach: Fällt die Leistung, die ich kaufe, am Standort, den ich nutze, unter diese Worte? Wenn die Antwort unklar ist, bitten Sie den Anbieter, es schriftlich zu bestätigen.

Unsere eigenen vier Zertifikate tragen einen Scope: «Managed datacenter hosting service». Das ist die Leistung, die unsere Kunden kaufen.

Prüfen Sie, wer es ausgestellt hat, und wer diese Stelle akkreditiert hat

Ein Zertifikat ist nur so gut wie die Stelle, die es ausgestellt hat. Zertifizierungsstellen sind ihrerseits von einer nationalen Akkreditierungsstelle akkreditiert, und diese sind Mitglieder des International Accreditation Forum. Prüfen Sie beide Glieder der Kette:

• Das Zertifikat nennt die Zertifizierungsstelle. Ist diese Stelle für diese Norm akkreditiert?
• Die Akkreditierungsstelle ist genannt, meist mit ihrem Zeichen auf dem Zertifikat. Ist sie eine anerkannte nationale Akkreditierungsstelle?

Viele akkreditierte Zertifikate lassen sich unabhängig in IAF CertSearch prüfen, der internationalen Datenbank akkreditierter Zertifizierungen. Ein Anbieter sollte außerdem bereit sein, Ihnen auf Anfrage das Akkreditierungszertifikat der Zertifizierungsstelle selbst zu schicken. Unsere wurden von RIGCERT ausgestellt, akkreditiert von ESYD, dem griechischen Akkreditierungssystem, und wir legen die Akkreditierungszertifikate jedem Nachweispaket bei.

Sehen Sie sich die Daten an

Zertifikate werden für einen Zyklus ausgestellt, normalerweise drei Jahre, mit Überwachungsaudits in jedem Jahr dazwischen. Prüfen Sie das Ausstellungsdatum, das Ablaufdatum und, wenn Sie können, das Datum des letzten Überwachungsaudits.

Wissen Sie, was jede Norm abdeckt

Die Nummern zählen, weil sie unterschiedliche Dinge zertifizieren:

• ISO/IEC 27001 ist Informationssicherheitsmanagement, der Kern dessen, wonach die meisten Auditoren fragen.
• ISO/IEC 27017 ergänzt Sicherheitsmaßnahmen speziell für Cloud-Dienste.
• ISO/IEC 27018 ergänzt Maßnahmen zum Schutz personenbezogener Daten in Cloud-Diensten, unmittelbar relevant für Gespräche über die DSGVO.
• ISO 9001 ist Qualitätsmanagement: dokumentierte, wiederholbare Prozesse.
• ISO 14001 ist Umweltmanagement.
• ISO 37001 ist Anti-Korruptionsmanagement.

Für ISO/IEC 27001 gibt es ein weiteres Dokument, das Sie anfordern sollten: die Erklärung zur Anwendbarkeit. Sie listet die Maßnahmen aus dem Anhang der Norm auf und gibt an, welche angewendet und welche ausgeschlossen werden, mit Begründung. Ausschlüsse sind normal, aber ein Ausschluss, der Ihren eigenen Anwendungsfall berührt, ist etwas, das besprochen werden sollte.

Wo wir stehen

EuroVPS hält ISO/IEC 27001 mit ISO/IEC 27017 und 27018, ISO 9001, ISO 14001 und ISO 37001, ausgestellt im September 2026. Die Betreiber unserer Rechenzentren halten ihre eigenen unabhängigen Auditberichte und Bestätigungen, verfügbar unter NDA.

Wenn der Auditor oder das Ausschreibungsteam eines Kunden Nachweise braucht, stellen wir ein Paket zusammen: ein Inhaltsverzeichnis, eine unterzeichnete Erklärung zu Leistungen, Standorten, Zertifizierungen, Scope und wesentlichen Maßnahmen, unsere Zertifikate mit den Akkreditierungszertifikaten dahinter, die Nachweisdokumente des Rechenzentrumsbetreibers und ein Begleitschreiben. Unser Ziel ist, es innerhalb eines Tages zu liefern.

Fragen an Ihren Anbieter

• Was genau sagt der Scope des Zertifikats, und fällt meine Leistung darunter?
• Welche Stelle hat es ausgestellt, und wer hat diese Stelle akkreditiert?
• Wann war das letzte Überwachungsaudit?
• Darf ich die Erklärung zur Anwendbarkeit sehen?

Wenn Ihr Auditor Nachweise verlangt hat und Sie sie in einem Paket möchten, helfen wir gern. Mit einem Ingenieur sprechen

Related

• /what-we-do/operations/certifications/
• /what-we-do/operations/gdpr/
• /what-we-do/operations/hardening-baseline/