Zertifiziert heißt geprüft – nicht versprochen

Noch nicht. Die Vorbereitung läuft auf Basis unseres bestehenden ISMS nach ISO 27001, das Testat nach C5 Typ 1 ist in der Umsetzung. Was wir heute vorweisen, sind vier unabhängig geprüfte Nachweise: ISO/IEC 27001, TISAX Assessment Level 3 sowie IDW PS 951 Typ 2 und ISAE 3402 Typ II. Wer C5-Anforderungen schon jetzt in seiner Cloud-Umgebung abbilden muss, bekommt das als Leistung in unserem Compliance-Monitoring, nicht als Siegel.

C5 steht für den Cloud Computing Compliance Criteria Catalogue des BSI, einen Anforderungskatalog für die Sicherheit von Cloud-Diensten. Das Testat stellt kein Amt aus, sondern ein unabhängiger Wirtschaftsprüfer nach einer Prüfung beim Anbieter. Typ 1 bestätigt, dass die Kontrollen zu einem Stichtag angemessen eingerichtet sind, Typ 2 bestätigt, dass sie über einen Zeitraum wirksam funktioniert haben. Deshalb ist Typ 2 der Nachweis, der bei einer Ausschreibung zählt.

Vier, jeweils von einer anderen unabhängigen Stelle geprüft: ISO/IEC 27001:2022 durch den TÜV Austria, IDW PS 951 Typ 2 und ISAE 3402 Typ II durch einen Wirtschaftsprüfer, der die Wirksamkeit der Kontrollen über zwölf Monate bestätigt, sowie TISAX Assessment Level 3 durch einen akkreditierten Prüfdienstleister. Alle werden jährlich erneuert, nicht einmalig erworben. Was fehlt, steht in der ersten Frage: BSI C5 ist in der Umsetzung.

Ihr Wirtschaftsprüfer muss die zu uns ausgelagerte IT nicht selbst prüfen. Er fordert unseren IKS-Bericht nach IDW PS 951 Typ 2 an und setzt darauf auf, weil der Bericht die Kontrollen und ihre Wirksamkeit über zwölf Monate bereits belegt. Das verkürzt Ihre eigene Prüfung und beantwortet die Frage, ob die Kontrollen beim Dienstleister wirklich funktionieren, bevor sie gestellt wird. Relevant ist das vor allem für Banken, Versicherungen und börsennotierte Unternehmen.

DORA und NIS2 verpflichten nicht nur den Cloud-Anbieter, sondern Sie als Unternehmen. Wir betreiben ein nach IDW PS 951 und ISAE 3402 zertifiziertes internes Kontrollsystem (IKS) sowie ein nach ISO 27001 und TISAX zertifiziertes Informationssicherheitsmanagementsystem (ISMS). Als IT-Dienstleister für Unternehmen aus regulierten Branchen unterstützen wir Sie bei der Einhaltung der DORA- und NIS2-Anforderungen mit den passenden Sicherheitsnachweisen und vertraglichen Zusicherungen. Dazu kommt Compliance-Monitoring als Leistung, mit dem wir die Anforderungen aus NIS2, DORA und BSI C5 laufend in Ihrer Umgebung abbilden.

Ja. Unsere Infrastruktur läuft in den NTT-Rechenzentren Frankfurt für die Produktion und München für Business Continuity, beide Tier 3+ und nach ISO 27001 zertifiziert. Die Gebäude gehören NTT, die Infrastruktur darin und ihr Betrieb sind unsere. Für Ihre Nachweiskette heißt das: Rechenzentrum, Plattform und Betrieb sind jeweils unabhängig geprüft, nicht nur einer der drei.