Das Zertifikat und was daraus im Projekt folgt

Unser Informationssicherheits-Managementsystem ist nach ISO/IEC 27001:2022 zertifiziert. Ausgestellt hat das Zertifikat die DEKRA Certification GmbH, die Rezertifizierung liegt im Jahr 2025.

Zur Lieferantenprüfung gehören meist dieselben Felder, deshalb stehen sie hier zum Abschreiben. Vertragspartner ist die L&I IT-solutions mit Sitz in der Werderstr. 4, 69469 Weinheim. Der Betrieb findet in unserem eigenen Rechenzentrum in München statt. Darüber hinaus sind wir Mitglied der Allianz für Cyber-Sicherheit, getragen vom Bundesamt für Sicherheit in der Informationstechnik.

Der sichtbarste Unterschied liegt am Anfang. Bevor über Architektur, Framework oder Hostingform gesprochen wird, steht fest, welche Datenarten verarbeitet werden, wie schutzbedürftig sie sind, wer sie sehen darf und wie lange sie bleiben. Diese Reihenfolge wirkt umständlich, spart aber die teure Sorte Nacharbeit: den Umbau eines Datenmodells, das erst im Betrieb auf seine Aufbewahrungsfristen trifft.

Zugriffe sind an Rollen gebunden und werden protokolliert, auch unsere eigenen. Wer aus unserem Team an Ihrem System arbeitet, ist benannt; endet die Beteiligung, endet der Zugang. Verwaiste Konten gehören zu den häufigsten Befunden überhaupt, deshalb wird dieser Punkt in jedem Audit geprüft. Ebenso hinterlässt jede Freigabe, jede Rollenänderung und jede Aktualisierung einen Eintrag mit Datum und Grund — laufend ist der Aufwand gering, nachträglich für ein ganzes Jahr wird er unangenehm.

Fällt die Bewertung eines beteiligten Dienstes negativ aus, ist die Folge kein Vermerk im Risikoregister, sondern eine andere Architektur: Die Komponente läuft dann auf Ihrer Hardware oder bei uns. Diese Rückfallebene ist einer der Gründe, warum wir ein eigenes Rechenzentrum betreiben. Für Rechenlasten aus dem KI-Umfeld gilt dasselbe, dazu steht mehr beim KI-Hosting mit GPU.

Auskunft für die Lieferantenprüfung

Zertifikatsangaben, Geltungsbereich und Vertragspartner in einem Dokument

Festlegung von Schutzbedarf und Datenarten vor dem Entwurf

Schutzbedarfsfeststellung, auf der das Datenmodell aufsetzt

Rollen- und Zugriffskonzept, auch für unser eigenes Team

Benannte Zugänge mit Enddatum und protokollierten Zugriffen

Bewertung jedes beteiligten Dienstes

Standort, Vertragslage und Unterauftragnehmer je Dienstleister

Laufende Änderungsdokumentation

Änderungshistorie mit Datum und Grund, übergabefähig

Prüfbericht und Zertifikat stellt eine akkreditierte Stelle aus, und wir halten es für richtig, dass diese Rollen getrennt bleiben. Was wir beitragen, ist die Vorbereitung: Systeme, in denen die verlangten Nachweise ohnehin entstehen, und die Erfahrung aus der eigenen Prüfung.

Übernehmen Sie den Betrieb eines Systems später selbst oder geben ihn an ein anderes Haus, gehen Rollenkonzept, Betriebsdokumentation und Änderungshistorie mit. Wie sich das mit den Anforderungen aus demNIS2UmsuCG und den Rechenschaftspflichten imDSGVO-Betrieb verzahnt, steht auf den beiden zugehörigen Seiten.