ISO 27001 im Kundenfragebogen: Vom Zertifikat zur belastbaren Antwort

Warum das Zertifikat den Fragebogen nicht automatisch beantwortet

ISO/IEC 27001 definiert Anforderungen an ein Informationssicherheits-Managementsystem (ISMS). Die Organisation legt ihren Scope fest, bewertet Risiken, wählt angemessene Maßnahmen und verbessert das System fortlaufend. Eine Zertifizierung bestätigt diesen definierten Scope – sie ist keine pauschale Aussage über jedes Produkt, jeden Standort oder jeden einzelnen Kunden-Control.

Kundenfragebögen mischen häufig mehrere Ebenen: Anforderungen an das Managementsystem, konkrete technische Maßnahmen, Datenschutz, Cloud-Architektur, Incident-Prozesse und vertragliche Zusagen. Deshalb ist ein schlichtes „ISO 27001 zertifiziert“ zwar relevanter Kontext, aber oft keine vollständige Antwort.

• Liegt das angefragte Produkt oder der Standort im Zertifizierungs-Scope?
• Beschreibt die Antwort eine dokumentierte Vorgabe oder gelebte operative Praxis?
• Ist die Quelle aktuell, freigegeben und für die konkrete Aussage geeignet?
• Verlangt der Kunde zusätzlich einen Nachweis, eine Kennzahl oder eine Vertragszusage?

Welche ISMS-Artefakte als Quellen dienen können

Ein belastbarer Response Pack kombiniert normative Dokumente mit operativer Evidenz. Welche Quelle passt, hängt von der Frage ab. Ein Richtliniensatz kann beispielsweise Rollen und Mindestanforderungen belegen, aber nicht automatisch zeigen, dass ein Access Review tatsächlich durchgeführt wurde.

• Zertifikat und Scope Statement für den formalen Geltungsbereich
• Statement of Applicability (SoA) für ausgewählte und begründete Controls
• Risikobewertung und Risk Treatment Plan für risikobasierte Entscheidungen
• Freigegebene Richtlinien und Prozessbeschreibungen
• Aktuelle Access Reviews, Tickets, Protokolle oder Übungsnachweise
• Lieferantenbewertungen, Incident Records und Management-Review-Ergebnisse

Die richtige Rolle des Statement of Applicability

Das Statement of Applicability verbindet die Risikobehandlung mit den ausgewählten Informationssicherheitsmaßnahmen. Es dokumentiert, welche Controls als notwendig bestimmt wurden, wie deren Umsetzung behandelt wird und warum bestimmte Annex-A-Controls nicht erforderlich sind.

Für Fragebögen ist das SoA daher ein wertvoller Index – aber kein universeller Beweis. Ein Eintrag kann zeigen, dass eine Maßnahme im ISMS berücksichtigt wird. Ob sie für das konkrete Produkt gilt und operativ wirksam ist, muss häufig durch zusätzliche Dokumente oder Records belegt werden.

Besonders wichtig: Annex A ist keine starre Checkliste, die jede Organisation vollständig und identisch umsetzen muss. ISO/IEC 27001 folgt einem risikobasierten Ansatz. Kundenanforderungen dürfen deshalb nicht allein anhand ähnlicher Control-Namen automatisch als erfüllt markiert werden.

Ein review-fähiger Workflow in sechs Schritten

1. 1. Kundenfrage zerlegen

   Trennen Sie zusammengesetzte Fragen in konkrete Aussagen. Eine einzige Zeile kann Verschlüsselung, Key Management, Logging und Retention gleichzeitig verlangen.

2. 2. Produkt- und Zertifizierungs-Scope prüfen

   Bestimmen Sie, welche Gesellschaft, Standorte, Services und Systeme von der Quelle tatsächlich abgedeckt werden.

3. 3. Primärquelle und operative Evidenz zuordnen

   Verknüpfen Sie die Antwort mit der stärksten verfügbaren Dokumentstelle und ergänzen Sie Records, wenn die Frage Wirksamkeit oder Ausführung verlangt.

4. 4. Antwort mit Grenzen formulieren

   Beschreiben Sie den tatsächlichen Zustand präzise. Vermeiden Sie absolute Aussagen, wenn Scope, Ausnahme oder Teilabdeckung relevant sind.

5. 5. Missing Evidence sichtbar lassen

   Fehlt ein belastbarer Nachweis, wird die Lücke einem Owner zugewiesen. Eine plausible Formulierung darf fehlende Umsetzung nicht ersetzen.

6. 6. Fachlich freigeben und versionieren

   Security, Legal, Datenschutz oder der technische Owner genehmigen die externe Aussage. Quelle, Version und Freigabestatus bleiben nachvollziehbar.

Wo KI Zeit spart – und wo sie nicht entscheiden darf

KI kann große Fragebögen strukturieren, ähnliche freigegebene Antworten finden, relevante Dokumentstellen vorschlagen und erste Entwürfe formulieren. Der größte Nutzen liegt in schnellerer Recherche und konsistenter Wiederverwendung.

Sie kennt jedoch nicht automatisch den rechtlichen oder technischen Geltungsbereich einer Zertifizierung. Sie kann auch nicht verlässlich erkennen, ob eine dokumentierte Kontrolle im angefragten Service tatsächlich wirksam betrieben wird. Scope, Evidenzqualität, Ausnahmen und externe Zusagen brauchen einen verantwortlichen Menschen.

Ein kontrollierter Workflow zeigt deshalb Antwort, Quelle, Confidence und Missing Evidence nebeneinander. Automatisierung ist dann hilfreich, wenn sie Unsicherheit sichtbar macht – nicht wenn sie sie sprachlich kaschiert.

Die häufigsten Fehler bei ISO-27001-Fragebögen

• Das Zertifikat wird als Antwort auf jede technische Detailfrage verwendet.
• Der Zertifizierungs-Scope wird nicht mit dem angefragten Produkt abgeglichen.
• Das SoA wird als Implementierungsnachweis behandelt, obwohl operative Evidenz fehlt.
• Alte Kundenantworten werden ohne Versions- und Quellenprüfung wiederverwendet.
• Geplante Maßnahmen werden im Präsens als bestehende Kontrollen beschrieben.
• Mehrteilige Fragen erhalten ein pauschales Ja, obwohl nur ein Teil belegt ist.
• Sales versendet Antworten, bevor Security oder Legal risikoreiche Zusagen geprüft haben.

Definition of Done für eine belastbare Antwort

• Die konkrete Behauptung ist klar und frei von unbelegter Absolutheit.
• Produkt-, Standort- und Zertifizierungs-Scope wurden geprüft.
• Quelle, Fundstelle, Version und Gültigkeitsbereich sind dokumentiert.
• Operative Evidenz ergänzt Richtlinien, wenn die Frage Wirksamkeit verlangt.
• Teilabdeckung, Ausnahme oder fehlende Evidenz ist sichtbar.
• Ein zuständiger Mensch hat die externe Aussage freigegeben.