Kein Nachweis ersetzt alle anderen. Ein ISO-27001-Zertifikat belegt, dass Sie Ihre Informationssicherheit systematisch steuern. Ein C5-Testat belegt die Sicherheitskontrollen eines bestimmten Cloud-Dienstes. TISAX ist der Nachweis der Automobilindustrie. ISAE 3402 beschreibt Kontrollen, die für die Rechnungslegung Ihrer Kunden wichtig sind. Welcher Nachweis reicht, entscheidet Ihr Kunde nach den Regeln, die für ihn gelten. Betreibt er eine kritische Anlage, erkennt das BSI in seinem Nachweis ISO 27001 und C5 an, wenn die Prüfung nicht älter als zwölf Monate ist.
Die Nachweise im Vergleich
| Nachweis | Wer prüft | Was er belegt | Geltung |
|---|---|---|---|
| ISO/IEC 27001:2022 | Akkreditierte Zertifizierungsstelle (in Deutschland über DAkkS) | Ein Informationssicherheits-Managementsystem (ISMS) im festgelegten Geltungsbereich | Drei Jahre, jährliches Überwachungsaudit |
| ISO 27001 auf Basis IT-Grundschutz | BSI mit vom BSI zertifizierten Auditoren | ISMS nach ISO 27001 plus Umsetzung der IT-Grundschutz-Methodik des BSI | Nach BSI-Verfahren, in der Regel drei Jahre |
| BSI C5 (C5:2020, ab Mitte 2027 C5:2026) | Ausschließlich Wirtschaftsprüfer nach ISAE 3000 | Kontrollen eines konkreten Cloud-Dienstes. Typ 1 zum Stichtag, Typ 2 über einen Zeitraum | Vergangenheitsbezogen, keine Laufzeit |
| TISAX | ENX-zugelassene Prüfdienstleister | Informationssicherheit, Prototypenschutz, Datenschutz nach VDA ISA | Drei Jahre |
| ISAE 3402 Typ 1 / Typ 2 | Wirtschaftsprüfer | Internes Kontrollsystem eines Dienstleisters, soweit relevant für die Rechnungslegung der Kunden | Vergangenheitsbezogen |
| SOC 2 Typ 1 / Typ 2 | US-Wirtschaftsprüfer nach AICPA | Kontrollen zu Sicherheit, Verfügbarkeit, Integrität, Vertraulichkeit, Datenschutz | Vergangenheitsbezogen |
Zwei Unterschiede entscheiden. Der erste: Zertifikat oder Testat. Ein Zertifikat bestätigt, dass ein System die Anforderungen einer Norm erfüllt. Ein Testat beschreibt, welche Kontrollen in einem Zeitraum wirksam waren. Der zweite: der Geltungsbereich. Ein ISO-Zertifikat für die Zentrale sagt nichts über das Rechenzentrum in Frankfurt, wenn es nicht im Geltungsbereich steht.
Was das BSI im KRITIS-Nachweis anerkennt
Dieser Abschnitt betrifft Sie, wenn Ihr Kunde eine kritische Anlage betreibt, also eine Anlage, die für die Versorgung der Bevölkerung wichtig ist. Solche Betreiber müssen dem BSI alle drei Jahre nachweisen, dass ihre Sicherheitsmaßnahmen dem BSI-Gesetz entsprechen. Ihr Nachweis fließt dann in die Prüfung Ihres Kunden ein.
Das BSI erkennt dabei ISO-27001-Zertifikate, ISO 27001 auf Basis IT-Grundschutz und C5-Testate als Bestandteil an. Die Bedingung: Die zugrunde liegende Prüfung liegt bei Beginn der KRITIS-Prüfung höchstens zwölf Monate zurück. Ein drei Jahre altes Zertifikat ohne aktuelles Überwachungsaudit hilft Ihrem Kunden also nicht.
Was Kunden aus dem Finanzwesen mit Zertifikaten anfangen
Für Kunden aus dem Finanzwesen gilt DORA, die EU-Verordnung zur digitalen Betriebsstabilität im Finanzsektor. DORA nennt in Art. 30 keine Zertifikate. Eine ergänzende EU-Verordnung erlaubt Finanzunternehmen, Zertifikate und Auditberichte Dritter bei der Prüfung ihrer Dienstleister zu nutzen. Sie verbietet aber, sich auf Dauer allein darauf zu stützen. Ihr Kunde wird Ihr Zertifikat deshalb annehmen und trotzdem Auditrechte in den Vertrag schreiben. Beides ist korrekt.
Im Healthcare-Bereich verlangt § 393 SGB V seit Juli 2024 für Cloud-Dienste ein C5-Testat oder ein vergleichbares Testat. Kunden aus diesem Bereich fragen deshalb gezielt nach C5.
Welchen Nachweis Sie anstreben sollten
Die Entscheidung hängt von Ihren Kunden ab, nicht von der Norm.
- Kunden aus mehreren Branchen, Behörden, Mittelstand: ISO 27001. Nach diesem Nachweis fragen Fragebögen zuerst.
- Cloud-Dienst für Behörden oder Healthcare: C5, zusätzlich zu ISO 27001.
- Automobilzulieferer: TISAX. Ohne Label kein Auftrag.
- Dienst mit Bezug zur Rechnungslegung des Kunden, etwa Abrechnung oder Buchhaltung: ISAE 3402 zusätzlich.
Bis das Zertifikat vorliegt, hilft ein geordnetes Nachweispaket: Richtlinien, Risikoanalyse, Notfallkonzept, Auditberichte, jeweils der Anforderung Ihres Kunden zugeordnet. Viele Kunden akzeptieren das für eine Übergangszeit.