Sicherheitsstandards: ISO 27001, SOC 2

ISO/IEC 27001 ist die internationale Norm für den Betrieb eines Informationssicherheits-Managementsystems: eine wiederholbare Art, wie eine Organisation entscheidet, welche Sicherheitsrisiken zählen, sie behandelt und sich laufend verbessert. Sie schreibt keinen bestimmten Werkzeugsatz vor. Stattdessen verlangt sie, Kontext und Pflichten zu verstehen, die Leitung einzubinden und Verantwortung zuzuweisen, Risiken zu bewerten, Maßnahmen zu ihrer Behandlung auszuwählen und zu betreiben, ihre Wirkung zu messen, interne Audits und Managementbewertungen durchzuführen und Mängel zu beheben. Ihr Anhang listet Referenzmaßnahmen, von Richtlinien und Lieferantenmanagement bis zu Protokollierung, Überwachung und Netzsicherheit, und Sie begründen, welche Sie anwenden. Eine Organisation kann sich von einer akkreditierten Zertifizierungsstelle auditieren lassen und ein Zertifikat erhalten, wonach Kunden meist fragen. Die Zertifizierung gilt für einen festgelegten Geltungsbereich; prüfen Sie also immer, welche Standorte, Dienste und Teams das Zertifikat tatsächlich umfasst. Für ein mittelgroßes Unternehmen ist das ein ernsthaftes Projekt, vor allem zu Menschen und Prozessen, weniger zu Technik.

Es ist die Gesamtheit aus Richtlinien, Rollen, Prozessen und Aufzeichnungen, mit der eine Organisation Informationssicherheit planvoll statt zufällig steuert. Ein Informationssicherheits-Managementsystem (ISMS) beantwortet laufend einige Fragen: Welche Informationen und Systeme sind wichtig, welche Risiken bedrohen sie, welche Maßnahmen treffen wir, wer ist verantwortlich, woran erkennen wir, dass die Maßnahmen wirken, und wie verbessern wir uns, wenn nicht? Konkret besteht es aus Dokumenten wie einer Sicherheitsleitlinie, einer Risikobewertung und einem Risikobehandlungsplan, einer Erklärung, welche Maßnahmen angewendet werden, Verfahren für Vorfälle und Lieferanten, sowie aus Nachweisen, dass sie gelebt werden: Schulungsnachweise, Berechtigungsprüfungen, Auditergebnisse und Protokolle der Managementbewertung. System heißt es, weil es in einem Kreislauf aus Planen, Umsetzen, Prüfen und Handeln läuft. ISO/IEC 27001 legt die Anforderungen fest, aber auch Unternehmen ohne Zertifizierungsziel profitieren von der Struktur, und die NIS2-Pflichten zum Risikomanagement passen gut hinein. Ein Überwachungswerkzeug ist eine Maßnahme innerhalb des Systems und eine Quelle von Nachweisen, nicht das System selbst.

Es ist das Dokument, das jede Referenzmaßnahme aus dem Anhang der Norm aufführt und zu jeder angibt, ob Sie sie anwenden, warum und wie sie umgesetzt ist. Die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) verbindet Ihre Risikobewertung mit Ihren Maßnahmen: Eine Maßnahme ist enthalten, weil sie ein erkanntes Risiko behandelt oder eine gesetzliche oder vertragliche Pflicht erfüllt, und nur mit Begründung ausgeschlossen, etwa weil Sie keine eigenen Räumlichkeiten haben. Auditoren nutzen sie als Landkarte Ihres ISMS und prüfen die darin genannten Maßnahmen; Kunden fragen manchmal danach, um zu verstehen, was Ihr Zertifikat wirklich abdeckt. Halten Sie sie kurz und sachlich, nennen Sie den Nachweis für jede umgesetzte Maßnahme und aktualisieren Sie sie, wenn sich Risiken oder Aufbau ändern. Ein guter Eintrag zur Überwachung nennt das Werkzeug, die abgedeckten Systeme, wer die Ergebnisse prüft und wo die Aufzeichnungen liegen. Gehört NetSenX zu Ihrer Überwachung, können Netzwerkkarte, Alarmhistorie und Audit-Log als Nachweis dienen; die Erklärung selbst ist Ihr Dokument.

SOC 2 ist ein Prüfbericht nach den Vorgaben des AICPA, des US-amerikanischen Berufsverbands der Wirtschaftsprüfer, in dem ein unabhängiger Prüfer die Kontrollen eines Dienstleisters anhand der Trust Services Criteria untersucht. Sicherheit ist immer enthalten; Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz können hinzukommen. Der Bericht beschreibt das System, die vom Unternehmen behaupteten Kontrollen, die Prüfungshandlungen und gefundene Abweichungen und wird Kunden in der Regel unter einer Vertraulichkeitsvereinbarung bereitgestellt. Kunden, vor allem in Nordamerika, fragen danach, weil sie sich so auf eine unabhängige Prüfung stützen können, statt jeden Lieferanten selbst zu auditieren. Es ist keine Zertifizierung und es gibt keine Bestehensgrenze: Man liest das Prüfungsurteil, den Umfang und die Abweichungen. Schickt Ihnen ein Lieferant einen Bericht, prüfen Sie den abgedeckten Zeitraum, welche Dienste und Standorte im Umfang sind, welche Kriterien einbezogen wurden und welche ergänzenden Kontrollen Sie selbst betreiben sollen. NetSenX hat heute keinen SOC-2-Bericht; SOC 2 Type I ist in Vorbereitung.

Ein Typ-1-Bericht prüft, ob Kontrollen zu einem Stichtag angemessen gestaltet und eingerichtet sind; ein Typ-2-Bericht prüft zusätzlich, ob sie über einen Zeitraum, meist mehrere Monate, wirksam funktioniert haben. Typ 1 beantwortet „Haben Sie an diesem Tag die richtigen Kontrollen?“, Typ 2 „Haben sie die ganze Zeit tatsächlich gewirkt?“; deshalb bevorzugen Kunden, die sich auf einen Lieferanten verlassen, meist Typ 2. Ein Typ 2 braucht Nachweise über den ganzen Zeitraum: fristgerecht durchgeführte Berechtigungsprüfungen, vor der Freigabe genehmigte Änderungen, nach Verfahren behandelte Vorfälle, geprüfte Überwachungsalarme. Unternehmen beginnen oft mit Typ 1, um die Gestaltung zu ordnen, betreiben dann die Kontrollen und sammeln Nachweise für Typ 2. Prüfen Sie bei beiden die Daten, den Umfang, die abgedeckten Kriterien und jede vom Prüfer genannte Abweichung, und fragen Sie, wie sie behoben wurde. Den eigenen Stand nennt NetSenX offen: SOC 2 Type I ist in Vorbereitung, ein SOC-2-Bericht wurde bisher in keinem Typ erstellt, und Type II würde folgen, sobald Kontrollen über einen Zeitraum gelaufen sind.

Das hängt vor allem davon ab, wer Ihre Kunden sind und was sie verlangen. ISO/IEC 27001 ist eine internationale Zertifizierung Ihres Managementsystems, in Europa und bei öffentlichen Ausschreibungen weithin anerkannt; SOC 2 ist ein Prüfbericht auf Basis amerikanischer Prüfungsstandards, verbreitet beim Softwarevertrieb in Nordamerika. Viele europäische Mittelständler werden zuerst nach ISO 27001 gefragt, während Unternehmen, die Software in die USA verkaufen, auf SOC-2-Fragebögen treffen. Beide betrachten weitgehend dieselben Maßnahmen, die eigentliche Arbeit überschneidet sich also stark: Risikobewertung, Zugriffskontrolle, Änderungsmanagement, Lieferantenmanagement, Vorfallsbehandlung, Protokollierung und Überwachung. Brauchen Sie später beides, bauen Sie einen Satz Maßnahmen auf und ordnen Sie ihn jedem Rahmenwerk zu, statt zwei Programme zu betreiben. Fragen Sie vor dem Start Ihre größten Kunden und Interessenten, was sie akzeptieren, prüfen Sie, ob vorerst ein ausgefüllter Sicherheitsfragebogen genügt, und fassen Sie den Geltungsbereich so eng, dass Sie fertig werden. Keines von beiden ersetzt NIS2-Pflichten. NetSenX hat heute keines von beiden: SOC 2 Type I und ISO/IEC 42001 sind in Vorbereitung.

ISO/IEC 42001 ist die internationale Norm für ein KI-Managementsystem: die Richtlinien, Rollen, Risikobewertungen und Maßnahmen, mit denen eine Organisation KI verantwortungsvoll entwickelt, bereitstellt oder nutzt. Sie folgt derselben Managementsystem-Struktur wie ISO/IEC 27001, sodass Unternehmen mit ISMS den Kreislauf aus Kontext, Führung, Planung, Betrieb, Bewertung und Verbesserung wiedererkennen. KI-spezifisch ist der Inhalt: die Folgen von KI-Systemen für Menschen und Gesellschaft abschätzen, Daten für Training und Tests steuern, Systeme über ihren Lebenszyklus dokumentieren, menschliche Aufsicht festlegen und KI-Komponenten Dritter behandeln. Sie kann von einer akkreditierten Stelle zertifiziert werden. Sie ist nicht die KI-Verordnung der EU, und ein Zertifikat allein zeigt nicht, dass Sie deren Anforderungen erfüllen, doch viel der geforderten Governance-Arbeit unterstützt sie. Für ein Unternehmen, das KI-Werkzeuge nur nutzt, kann ein vollständiges Managementsystem zu viel sein; eine Übersicht, eine Nutzungsrichtlinie und Schulungen sind ein vernünftiger Anfang. NetSenX bereitet sich auf ISO/IEC 42001 vor; ein Zertifikat wurde nicht erteilt.

IEC 62443 ist eine Reihe internationaler Normen für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme, also der Betriebstechnik (OT), die Maschinen, Anlagen und Gebäudetechnik steuert. Sie teilt die Verantwortung zwischen Betreibern, die die Systeme betreiben, Integratoren, die sie in eine Anlage einbauen, und Produktherstellern, die die Komponenten fertigen, und stellt jedem eigene Anforderungen. Zentrale Gedanken sind die Aufteilung des Anlagennetzes in Zonen mit kontrollierten Verbindungen dazwischen, den Conduits; die Festlegung von Ziel-Sicherheitsstufen je Zone nach Bedrohung; und Sicherheit über den ganzen Lebenszyklus, vom Entwurf bis zur Außerbetriebnahme. Sie brauchen sie, wenn Kunden, Versicherer oder Behörden in Ihrer Branche danach fragen oder wenn Sie Industriekomponenten bauen oder liefern; viele Betreiber nutzen sie auch ohne Zertifizierung als Gerüst für ihre OT-Sicherheit. Netzwerküberwachung passt zu ihrem Fokus darauf, zu wissen, was über Zonen hinweg mit wem spricht. Ab dem Pro-Plan liest NetSenX Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP und S7comm passiv mit und fragt OT-Geräte nie aktiv ab; es ist kein Sicherheitssystem im Sinne funktionaler Sicherheit und greift nicht in den Prozess ein.

Nicht automatisch, auch wenn es viel abdeckt. ISO/IEC 27001 liefert ein risikobasiertes Managementsystem und Maßnahmen, die sich stark mit den von NIS2 verlangten Risikomanagementmaßnahmen überschneiden, etwa Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Zugriffskontrolle und Kryptografie. NIS2 ist aber Gesetz und das Zertifikat eine freiwillige Norm, und an manchen Stellen unterscheiden sie sich. NIS2 hat ein eigenes gestuftes Meldeverfahren nach Artikel 23 an eine nationale Behörde, besondere Pflichten der Leitungsorgane einschließlich Schulung und Verantwortung, eine Registrierung bei der Behörde und nationale Regeln, die weiter gehen können. Ein Zertifikat gilt zudem nur für seinen Geltungsbereich, der gerade die Dienste auslassen kann, für die NIS2 gilt. Nutzen Sie Ihr ISMS als Rückgrat: Ordnen Sie jede NIS2-Maßnahme Ihren Maßnahmen zu, schließen Sie Lücken wie das Meldeverfahren und die Schulung der Leitung, und sorgen Sie dafür, dass der Geltungsbereich jeden betroffenen Dienst umfasst. Prüfen Sie Ihr nationales NIS2-Gesetz und ob es auf Normen verweist. NetSenX verfolgt NIS2-Meldefristen je Vorfall; Ihr Zertifikat oder Ihren NIS2-Stand bewertet es nicht.

Vor allem bei den Maßnahmen zu Protokollierung und Überwachung sowie bei den angrenzenden Maßnahmen zu Netzsicherheit und Vorfallsmanagement. In der Ausgabe 2022 des Anhangs verlangt Protokollierung (8.15), Aufzeichnungen von Aktivitäten zu erzeugen, zu schützen und auszuwerten, und Überwachungstätigkeiten (8.16), Netze, Systeme und Anwendungen auf auffälliges Verhalten zu überwachen und darauf zu reagieren. Netzwerkerkennung belegt beides direkt. Sie unterstützt zudem Netzwerksicherheit (8.20), indem sie zeigt, welche Geräte segmentübergreifend kommunizieren, und das Vorfallsmanagement, indem sie einen datierten Ausgangspunkt für Bewertung, Reaktion und Beweissicherung liefert. Auch das Inventar der Werte profitiert, denn eine Netzwerkkarte zeigt Geräte, die nicht in Ihrer Liste stehen. Zugriffsrechte, Backups, sichere Entwicklung oder Lieferantenverträge deckt Überwachung nicht ab; dehnen Sie die Zuordnung also nicht. Nennen Sie in Ihrer Erklärung zur Anwendbarkeit das Werkzeug, die abgedeckten Segmente, wer Alarme prüft und wo Aufzeichnungen liegen. Netzwerkkarte, Alarmhistorie und Audit-Log von NetSenX, in jedem Plan, sowie die PDF-Compliance-Berichte ab dem Starter-Plan können diesen Nachweis liefern.

Heute nicht, und das sagen wir offen. NetSenX hat kein ISO/IEC-27001-Zertifikat und keinen SOC-2-Bericht. SOC 2 Type I und ISO/IEC 42001 sind in Vorbereitung; die Arbeit läuft also, verliehen wurde nichts. Wir aktualisieren diese Seite, wenn eine unabhängige Stelle etwas ausstellt, das Sie prüfen können. Was Sie jetzt prüfen können: den auf der Website veröffentlichten Auftragsverarbeitungsvertrag mit der Liste der Unterauftragsverarbeiter und ihrer Standorte; den Speicherort der Kundendaten, mit der Datenbank in Irland und der API in Frankfurt und Paris; die Sicherheitsseite; und unsere Richtlinie zur verantwortungsvollen Offenlegung von Schwachstellen. Wir beantworten Sicherheitsfragebögen; verlangt Ihr Einkauf ein Zertifikat, das wir noch nicht vorlegen können, sagen Sie es uns früh, damit Sie mit vollständigen Informationen entscheiden, statt es spät zu bemerken. Einige unserer Unterauftragsverarbeiter haben eigene Zertifizierungen, die der Auftragsverarbeitungsvertrag nennt; sie gelten für deren Dienste, nicht für NetSenX. Beruft sich ein Lieferant auf ein Zertifikat, verlangen Sie das Zertifikat selbst, seinen Geltungsbereich und die ausstellende Stelle, und prüfen Sie es dort.

Es ist ein kostenloses Rahmenwerk des US-amerikanischen National Institute of Standards and Technology (NIST), das anzustrebende Cybersicherheitsergebnisse beschreibt, gegliedert in die Funktionen Govern, Identify, Protect, Detect, Respond und Recover. Version 2.0 hat Govern hinzugefügt, das Strategie, Rollen, Richtlinien, Risikomanagement und Lieferkettenrisiken umfasst, und den Rahmen von kritischer Infrastruktur auf Organisationen jeder Größe und Branche erweitert. Es ist keine Zertifizierung und schreibt keine Werkzeuge vor; Sie beschreiben Ihr aktuelles Profil, legen ein Zielprofil fest und planen, wie Sie die Lücke schließen, wobei Umsetzungsstufen die Reife Ihres Vorgehens beschreiben. Europäische Unternehmen nutzen es als klare Struktur, obwohl es kein EU-Recht ist, oft neben ISO/IEC 27001 und NIS2, auf die es sich gut abbilden lässt. Netzwerkerkennung gehört vor allem zu Detect, durch laufende Überwachung und Analyse ungünstiger Ereignisse, und unterstützt Respond mit Informationen darüber, was geschah. NetSenX deckt in den überwachten Segmenten einen Teil von Detect ab: Beaconing, Scans, laterale Bewegung und ungewöhnlich hohe ausgehende Datenmengen, in jedem Plan. Govern, Protect und Recover brauchen andere Maßnahmen.

Der IT-Grundschutz ist die Sicherheitsmethodik des Bundesamts für Sicherheit in der Informationstechnik (BSI), die von deutschen Behörden und Unternehmen breit genutzt wird. Er besteht aus BSI-Standards, die beschreiben, wie man ein Informationssicherheits-Managementsystem aufbaut, eine Schutzbedarfsfeststellung durchführt und mit Risiken umgeht, sowie aus einem Kompendium mit Bausteinen, die konkrete Anforderungen an typische Bestandteile wie Server, Netze, Anwendungen, Gebäude und Prozesse stellen. Statt jede Risikoanalyse von vorn zu beginnen, modellieren Sie Ihren Informationsverbund mit den passenden Bausteinen und setzen deren Anforderungen um; eine eigene Risikoanalyse ist nur bei hohem Schutzbedarf oder fehlendem Baustein nötig. Über das BSI ist eine ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz möglich, die beide Ansätze verbindet. Er ist detailliert und kann für kleine Unternehmen aufwendig sein, doch seine Bausteine sind eine kostenlose, praktische Checkliste auch ohne Zertifizierungsziel und helfen bei den deutschen NIS2-Pflichten nach dem BSIG. Die Netz-Bausteine enthalten Anforderungen an Protokollierung und Detektion, für die Netzwerküberwachung Nachweise liefert. Die Konformität mit dem Grundschutz bewertet NetSenX nicht.

Eine Zertifizierung ist die Entscheidung einer akkreditierten Stelle, dass Sie eine Norm erfüllen, festgehalten in einem Zertifikat; ein Prüfbericht ist das Urteil eines Prüfers über Ihre Kontrollen, mit den Einzelheiten dessen, was geprüft wurde. ISO/IEC 27001 funktioniert über Zertifizierung: Eine akkreditierte Zertifizierungsstelle auditiert Ihr Managementsystem, stellt ein Zertifikat für einen festgelegten Geltungsbereich aus und prüft mit Überwachungsaudits weiter bis zur Rezertifizierung. SOC 2 funktioniert über Testat: Ein unabhängiger Prüfer testet Ihre Kontrollen anhand von Kriterien und schreibt einen Bericht mit seinem Urteil und etwaigen Abweichungen, den Sie unter Vertraulichkeitsvereinbarung weitergeben. In der Praxis ist ein Zertifikat leicht zu prüfen und zu vergleichen, sagt aber wenig über Details; ein Bericht sagt viel mehr, muss aber gelesen werden, samt Umfang, Zeitraum, Abweichungen und den Kontrollen, die Sie selbst betreiben müssen. Beide sind nur so nützlich, wie ihr Geltungsbereich zur gekauften Leistung passt. Seien Sie vorsichtig bei Anbietern, die eine Selbstbewertung, eine Richtlinie oder einen Bereitschafts-Check eines Beraters als das eine oder andere ausgeben. NetSenX hat heute keines von beiden; SOC 2 Type I und ISO/IEC 42001 sind in Vorbereitung.

Beginnen Sie mit Geltungsbereich und Nachweisen, nicht mit Dokumenten um ihrer selbst willen. Legen Sie zuerst den Geltungsbereich fest: welche Organisation, Standorte, Dienste und Systeme das Zertifikat abdecken soll, so gewählt, dass er für Kunden zählt und sich abschließen lässt. Erledigen Sie dann die Kernarbeit, die die Norm verlangt: Risikobewertung und Behandlungsplan, Erklärung zur Anwendbarkeit, die vorgeschriebenen Richtlinien und Verfahren, zugewiesene Rollen, Sensibilisierung der Belegschaft und Maßnahmen, die tatsächlich laufen. Lassen Sie sie lange genug laufen, um Aufzeichnungen zu erzeugen, etwa Berechtigungsprüfungen, Änderungsfreigaben, Vorfallstickets, Lieferantenprüfungen und Überwachungsauswertungen, denn Auditoren prüfen Nachweise des Betriebs, keine Absichten. Führen Sie vor dem externen Audit ein internes Audit und eine Managementbewertung durch und beheben Sie die Feststellungen. Zertifizierungsaudits laufen meist in zwei Stufen: zuerst eine Prüfung der Dokumentation und Bereitschaft, dann eine Bewertung, ob das System in der Praxis funktioniert. Wählen Sie eine akkreditierte Zertifizierungsstelle und halten Sie den beratenden Dienstleister vom Auditor getrennt. Für die Überwachungsmaßnahmen können Netzwerkkarte, Alarmhistorie, Audit-Log und PDF-Compliance-Berichte von NetSenX Teil Ihrer Nachweise sein; NetSenX auditiert oder zertifiziert nichts.