Am 1. September 2026 haben wir den letzten Tag unseres Stage-2-Audits abgeschlossen. Der Auditor hat keine Beanstandungen und keine Abweichungen festgestellt. INGATE wird damit in Kürze nach ISO/IEC 27001 zertifiziert sein, die Cloud-Angebote zusätzlich nach ISO/IEC 27017.
Das Zertifikat selbst ist noch nicht ausgestellt. Darüber entscheidet nach dem Audit eine vom Audit unabhängige Instanz der Zertifizierungsstelle. Dieser Schritt ist Teil der Akkreditierungsregeln und der Grund, warum zwischen Audit und Zertifikat noch Zeit vergeht.
Stage 1 und Stage 2
Eine Zertifizierung läuft in zwei Stufen ab, die Verschiedenes prüfen. Stage 1 ist die Dokumentenprüfung: Geltungsbereich, Sicherheitsleitlinie, Risikoanalyse, Risikobehandlungsplan, Erklärung zur Anwendbarkeit sowie internes Audit und Managementbewertung.
Stage 2 prüft den laufenden Betrieb. Der Auditor lässt sich Nachweise vorlegen, verfolgt einzelne Vorgänge von der Meldung bis zur Umsetzung, sieht sich Konfigurationen an und führt Interviews quer durch das Unternehmen:
- Zugriffsrechte und deren regelmäßige Überprüfung
- Änderungs- und Freigabeprozesse
- Protokollierung und Monitoring
- Lieferantenmanagement und Notfallkonzepte
- Vorgehen bei Sicherheitsvorfällen
- Ein- und Austritte von Mitarbeitern
Bewertung und Gültigkeit
Feststellungen kennen drei Abstufungen. Eine Major bedeutet, dass eine Anforderung systematisch nicht erfüllt ist. Solange sie offen ist, wird nicht zertifiziert. Eine Minor ist ein isolierter Ausrutscher in einem funktionierenden Prozess und erfordert einen Korrekturplan mit Frist. Eine Opportunity for Improvement ist keine Abweichung, sondern ein Hinweis. Häufen sich gleichartige Minors, kann daraus eine Major werden.
Ein Erstaudit endet üblicherweise mit mehreren Minors. Das ausgestellte Zertifikat gilt drei Jahre, in den beiden Folgejahren finden Überwachungsaudits statt, am Ende des Zyklus ein Rezertifizierungsaudit im Umfang eines Stage-2-Audits. Wer ein Überwachungsaudit nicht besteht, verliert das Zertifikat auch innerhalb der Laufzeit.
Was ISO 27017 ergänzt
ISO/IEC 27017 ist kein eigenständiges Zertifikat, sondern erweitert den Geltungsbereich einer ISO-27001-Zertifizierung und wird gemeinsam mit ihr auditiert. Ungewöhnlich für eine Sicherheitsnorm: Der Standard gibt für einen Großteil der Maßnahmen getrennte Anleitungen für die Rolle des Anbieters und die des Kunden. Behandelt werden Themen, die nur in Cloud-Umgebungen anfallen:
- Verantwortungsteilung zwischen Anbieter und Kunde
- Trennung virtueller Umgebungen auf gemeinsam genutzter Hardware
- Härtung virtueller Maschinen
- Nachvollziehbarkeit administrativer Zugriffe
- Monitoring, einschließlich der Frage, welche Daten der Kunde dafür erhält
- Löschung und Rückgabe von Kundendaten bei Vertragsende
- Abgestimmte Absicherung virtueller und physischer Netze
Der Standard wurde 2026 in zweiter Auflage veröffentlicht und an die Struktur des aktuellen ISO/IEC 27002 angepasst.
Zertifizierte Kette vom Gebäude bis zum Prozess
Alle von uns genutzten Rechenzentren sind nach ISO 27001 zertifiziert. Das deckt physische Sicherheit, Zutrittskontrolle, Stromversorgung und Kühlung ab. Mit dem jetzt abgeschlossenen Audit kommt das Informationssicherheits-Managementsystem von INGATE hinzu, also Prozesse und Organisation. Damit endet der Nachweis nicht mehr an der Rechenzentrumstür.
Aussagekräftig ist ein Zertifikat allerdings nur zusammen mit seinem Geltungsbereich. Auch der Annex A von ISO/IEC 27001 mit seinen 93 Controls ist kein Pflichtkatalog: Welche davon anwendbar sind, ergibt sich aus der eigenen Risikoanalyse und wird in der Erklärung zur Anwendbarkeit begründet. Wir legen den Geltungsbereich offen, sobald das Zertifikat vorliegt.
Was das für unsere Kunden bedeutet
- Ein Nachweis statt eigener Prüfung: Wer selbst nach ISO 27001 zertifiziert ist, muss seine Dienstleister bewerten und überwachen. Ein akkreditiertes Zertifikat ersetzt eigene Audits und Lieferantenfragebögen.
- Auftragsverarbeitung: Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen nach dem Stand der Technik und deren Nachweis. Genau diesen Nachweis erhalten Ihre Datenschutzbeauftragten und Wirtschaftsprüfer.
- NIS2 und DORA: Das NIS2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft und verpflichtet nach Schätzungen rund 30.000 Unternehmen, auch ihre Lieferkette abzusichern. Für Finanzdienstleister gilt seit Januar 2025 DORA mit einem Register über alle IKT-Drittdienstleister. Der Hosting-Anbieter gehört in beiden Fällen zum Prüfumfang.
- Klare Zuständigkeiten in der Cloud: ISO 27017 verlangt, die Verantwortungsteilung zwischen Anbieter und Kunde festzuhalten statt sie vorauszusetzen. Dazu zählen auch Löschung und Rückgabe Ihrer Daten bei Vertragsende.
- Laufend geprüft: Die jährlichen Überwachungsaudits halten den Nachweis aktuell, statt ihn auf den Tag der Zertifizierung zu beschränken.
Sobald das Zertifikat ausgestellt ist, informieren wir alle Kunden direkt und führen den Geltungsbereich bei unseren Cloud-Angeboten auf.
