Dienstleistermanagement: Informationssicherheit effektiv überprüfen

Die Überprüfung der Informationssicherheit bei Dienstleistern ist ein zentraler Bestandteil eines effektiven Dienstleistermanagements und damit auch des eigenen Informationssicherheitsmanagementsystems. Dieser Beitrag zeigt Best Practices auf, wie Unternehmen den Stand der Informationssicherheit bei Dienstleistern effektiv bewerten können. Im Fokus steht die Überprüfung von ISO 27001-Zertifikaten in ihrer Vollständigkeit. Ergänzend werden alternative Möglichkeiten vorgestellt.

Warum ist Dienstleistermanagement für die Informationssicherheit entscheidend?

Dienstleistermanagement und Informationssicherheit sind eng miteinander verbunden, ebenso wie bei Dienstleisterkontrollen im Datenschutz. Unternehmen lagern zunehmend wichtige Prozesse und Daten an externe Dienstleister aus. Damit steigt die Abhängigkeit und die Notwendigkeit, die Informationssicherheit dieser Partner systematisch zu überprüfen. Nur so lassen sich Risiken für die eigene Organisation minimieren und regulatorische oder gesetzliche Anforderungen erfüllen, wie zum Beispiel im Rahmen von DORA oder NIS-2. Insbesondere, da der Auftraggeber in der Verantwortung der Sicherheit seiner Werte bleibt.

Ein effektives Dienstleistermanagement umfasst daher:

• Die Auswahl geeigneter Dienstleister
• Die regelmäßige Überprüfung der Informationssicherheit
• Die Dokumentation und Nachverfolgung von Risiken und Maßnahmen

Wie überprüft man ISO 27001-Zertifikate von Dienstleistern richtig?

Die ISO 27001-Zertifizierung ist die Zertifizierung eines international anerkannten Standards für Informationssicherheitsmanagementsysteme (ISMS). Viele Dienstleister weisen ihre Sicherheitsmaßnahmen durch ein solches Zertifikat nach. Doch nicht jedes Zertifikat ist notwendigerweise gleichwertig. Also wie kann die Gültigkeit und Aussagekraft eines ISO 27001-Zertifikats überprüft werden?

1. Prüfung der Zertifikatsgültigkeit:
   Fordern Sie das aktuelle Zertifikat an und prüfen Sie das Ablaufdatum sowie den Geltungsbereich (Scope).
   • Nur ein gültiges Zertifikat mit passendem Scope ist aussagekräftig.
   • Viele Unternehmen stellen ihre Zertifikate über die eigene Webseite oder Trust Center frei, oder auf Anfrage zur Verfügung.
   • Der Geltungsbereich ist hierbei nicht zu vernachlässigen. So kann das Zertifikat nur die Verwaltung eines Unternehmens abdecken, ohne den operativen Unternehmensteil oder die eigentliche Serviceleistung einzuschließen.
   • Das Zertifikat sollte bei der Zertifizierungsstelle verifiziert werden. Die meisten Zertifizierungsstellen bieten entsprechende Möglichkeiten über ihre Webseite an. Andere verifizieren Zertifikate auf konkrete Anfrage.
2. Abgleich der Erklärung zur Anwendbarkeit (SoA):
   Die Erklärung der Anwendbarkeit (engl. Statement of Applicability (SoA)) listet alle umgesetzten und ausgeschlossenen Controls der ISO 27001 auf. Vergleichen Sie die SoA mit den eigenen Anforderungen und prüfen Sie, ob kritische Controls abgedeckt sind. Die SoA gehört hierbei zu dem Zertifikat und wird auf diesem mit seiner Version referenziert. Oft müssen Sie dieses Dokument eigenständig anfragen. Unternehmen, die ihre SoA auf Anfrage nicht herausgeben, wollen oft nicht offenlegen, dass sie bestimmte Controls nicht umgesetzt haben.
3. Akkreditierung der Zertifizierungsstelle:
   Ein Zertifikat zur ISO 27001 kann ein jeder ausstellen. Überprüfen Sie deshalb, ob die ausstellende Zertifizierungsstelle bei der Global Accreditation Cooperation Incorporated (Global ACI) akkreditiert ist. Nur dann ist das Zertifikat uneingeschränkt vergleichbar. Im Rahmen der Akkreditierung wird geprüft, dass die Zertifizierungsstelle ihrerseits internationalen Standards zur Auditierung und Zertifizierung folgt.
4. Stichprobenhafte Nachweise:
   Lassen Sie sich bei Bedarf Nachweise zu besonders wichtigen Maßnahmen zeigen, etwa zu Zugriffsrechten, Notfallmanagement oder dem Dienstleistermanagement.

Welche weiteren Nachweise zur Informationssicherheit sind sinnvoll?

Neben ISO 27001-Zertifikaten gibt es weitere Möglichkeiten, den Stand der Informationssicherheit bei Dienstleistern zu überprüfen:

• SOC 2 Typ 2 Berichte:
  Diese Prüfberichte bescheinigen die Wirksamkeit von Maßnahmen über einen längeren Zeitraum und sind besonders im internationalen Kontext anerkannt.
• Eigene Fragebögen:
  Individuell erstellte Fragebögen ermöglichen eine gezielte Abfrage von Sicherheitsmaßnahmen, die über Standardzertifikate hinausgehen. Diese Variante kann auch herangezogen werden, wenn der Dienstleister über kein Zertifikat oder anderweitigen Nachweis zur Informationssicherheit verfügt, oder einen Fokus auf bestimmte Themen setzen wollen.
• Audits vor Ort:
  Bei besonders kritischen Dienstleistern kann ein Audit vor Ort sinnvoll sein, um den Stand der Informationssicherheit und die Umsetzung von Maßnahmen direkt zu überprüfen. Im Rahmen von DORA müssen Auditrechte beispielweise für IKT-Dienstleister für kritische und wichtige Funktionen eingeholt werden.
• Weitere Zertifikate:
  Je nach Branche können auch andere Zertifikate wie TISAX (Automobilindustrie) oder BSI C5 (Cloud-Dienste) relevant sein.

Wie lassen sich die Ergebnisse der Überprüfung dokumentieren und nutzen?

Die Ergebnisse der Überprüfung sollten strukturiert dokumentiert und regelmäßig aktualisiert werden. Folgende Punkte sind dabei zu beachten:

• Festhalten von Nachweisen
  Halten Sie fest, welche Nachweise geprüft wurden und welche Ergebnisse sich daraus ergeben haben.
• Bewertung und Maßnahmen:
  Identifizieren Sie eventuelle Risiken und leiten Sie gemeinsam mit dem Dienstleister Verbesserungsmaßnahmen ab.
• Regelmäßige Wiederholung:
  Wiederholen Sie die Überprüfung in definierten Abständen, um Veränderungen im Sicherheitsniveau frühzeitig zu erkennen.

Ein strukturiertes Dienstleistermanagement stärkt die Informationssicherheit

Ein strukturiertes Dienstleistermanagement ist essenziell, um Risiken durch externe Partner zu erfassen und zu adressieren. Die Kombination aus ISO 27001-Zertifikatsprüfung, SoA-Abgleich, Kontrolle der Akkreditierung und ergänzenden Nachweisen wie SOC 2 Typ 2 Berichten oder eigenen Fragebögen bietet eine solide Grundlage für fundierte Entscheidungen. So bleibt die Informationssicherheit auch im Zusammenspiel mit Dienstleistern auf einem hohen Niveau.