Wir haben kein ISO-Zertifikat, wie beantworte ich diese Frage dennoch angemessen

Kein Zertifikat ist kein "Nein", sondern eine andere Begründung

Tragen Sie bei dieser Frage nicht automatisch "Nein" ein. Ein ISO 27001-Zertifikat ist ein Nachweis eines Auditors dafür, dass das Managementsystem die Norm erfüllt — aber die zugrundeliegende Frage Ihres Kunden bezieht sich normalerweise auf die Maßnahmen selbst, nicht auf das Stück Papier. Verfügen Sie über eine Richtlinie für Zugriffskontrolle, Vorfallbehandlung, Geschäftskontinuität und die anderen Bestandteile von Anlage A der ISO 27001, können Sie dies beschreiben, ohne ein Zertifikat beanspruchen zu müssen. Beantworten Sie die Frage also in zwei Schichten: zunächst die Tatsache ("nicht zertifiziert"), dann die Erläuterung ("dennoch Richtlinien, die an die folgenden Elemente angepasst sind"). So bleibt die Antwort wahr und liefert dem Kunden dennoch etwas Nutzbares.

In der Praxis teilt der Fragebogen dies normalerweise bereits selbst auf: eine Frage nach das ISO 27001-Zertifikat separat, und einzelne Fragen zu den zugrundeliegenden Maßnahmen. Beantworten Sie diese letzteren dann auf ihre eigenen Verdienste — zum Beispiel die Frage zum Zugangsschutz und zur Verwaltung von Vermögenswerten oder die zu Risikoanalyse und Sicherheit von Informationssystemen. Verfügen Sie für einen bestimmten Bereich über kein Dokument, antworten Sie dort mit "Nein" oder "Teilweise" — nicht auf die gesamte Liste auf einmal, nur weil das Zertifikat fehlt. Ein fehlender Punkt muss nicht jede andere Antwort beeinträchtigen.

Anlage A und Artikel 21 Absatz 2 fordern Maßnahmen, nicht ein Zertifikat

ISO/IEC 27001 selbst besteht aus zwei Teilen: den Anforderungen an das Managementsystem und Anlage A mit den Sicherheitsmaßnahmen (Zugang, Kryptografie, Lieferanten, Vorfälle, Geschäftskontinuität und so weiter). Ein Zertifikat zeigt, dass ein Auditor das System überprüft hat; es ist nicht die einzige Möglichkeit, um zu zeigen, dass die Maßnahmen vorhanden sind. Auch Artikel 21 Absatz 2 der NIS2-Richtlinie mit den zehn obligatorischen Maßnahmen fragt danach, was eine Organisation tut — nicht danach, welches Zertifikat sie hat. Für die meisten Fragebögen gilt daher: Richtlinien und eine nachweisbare Praxis beantworten den Kern der Frage, auch ohne ISO-Zertifikat.