Öğhan Karakaş, Lead Auditor für DNV, sagt: „Der gesamte Zertifizierungsprozess – von der Vorbereitung bis zur Durchführung – lief bei der innobis AG sehr professionell. Alle Daten, Verfahren und Dokumentationen waren schnell und unkompliziert einsehbar. Dies vereinfachte die Bewertung der Umsetzung der Norm-Anforderungen. Die Mitarbeiter haben sich im Gespräch stets offen und äußerst qualifiziert gezeigt. So sollte eine Zertifizierung ablaufen.“

Die Norm ISO/IEC 27001
Den Kern eines jeden Unternehmens bilden spezifische Unternehmenswerte – beispielsweise selbst entwickelte Software und auch weniger greifbares Wissen wie Verfahrenstechniken. Dem Schutz dieser Werte widmet sich die internationale Norm ISO/IEC 27001. Darin sind die Anforderungen für Herstellung, Einführung, Betrieb, Überwachung, Wartung, Dokumentation und Verbesserung eines Information Security Management Systems (ISMS) festgesetzt. Ein iterativer Prozess zur Risikobewertung ist zentraler Bestandteil der Norm. 

Jörg Petersen, Vorstand der innobis AG, sagt: „Als IT- und SAP-Dienstleister wissen wir, dass ein funktionierendes Managementsystem für Informationssicherheit unerlässlich ist. Gerade für unseren Adressatenkreis – vorrangig Banken und Behörden – gelten besonders strenge Sicherheitsvorgaben, wenn sie mit Dienstleistern zusammenarbeiten. Durch die Zertifizierung nach ISO/IEC 27001, die in unserer Branche noch keine Selbstverständlichkeit ist, können wir schnell und einfach zeigen, dass wir alle Bedingungen bestens erfüllen.“

Felix Arnold, Informationssicherheitsbeauftragter und Senior Consultant bei der innobis AG, erklärt: „Wir konnten bei der Einführung des ISMS auf bereits etablierte Prozesse aufbauen. Bei der Gap-Analyse im Vorfeld der Zertifizierung haben wir festgestellt, dass ein Großteil der Anforderungen der Norm bei uns schon gelebt wird. Die Hauptaufgabe des ISMS-Teams war es deshalb, diese Prozesse zu formalisieren und normkonform zu dokumentieren.“

Ablauf der Zertifizierung
Die Erst-Zertifizierung besteht aus einem zweistufigen Verfahren, das ein externer Auditor durchführt. Zunächst wird geprüft, ob das Unternehmen zertifizierungsfähig ist, das heißt, ob alle Anforderungen der Norm formal umgesetzt sind. Im finalen Audit erfolgt die Begutachtung, ob alle zuvor als relevant identifizierten Anforderungen der Norm eingehalten werden. Im Anschluss und ggf. nach dem Bereinigen vorhandener Nichtkonformitäten erhält das Unternehmen das Zertifikat.

Über DNV
DNV ist ein globaler, unabhängiger Anbieter für Zertifizierung, Sicherheit und Risikomanagement, der in mehr als 100 Ländern tätig ist. Durch seine umfassende Erfahrung und tiefgreifende Expertise fördert DNV Sicherheit und nachhaltige Entwicklung, setzt Branchenmaßstäbe und treibt innovative Lösungen voran.
Weitere Informationen unter: www.dnv.de/assurance