Warum Kunden immer häufiger ISO 27001 fordern

Vor einigen Jahren konnte sich ein IT-Dienstleister mit einer ISO 27001-Zertifizierung noch sichtbar vom Wettbewerb abheben. Das Zertifikat bekam einen schönen Platz auf der Website, wurde im Vertrieb ausdrücklich erwähnt und löste beim Kunden im besten Fall ein anerkennendes Nicken aus.

Heute läuft das Gespräch immer häufiger anders. Der potenzielle Kunde fragt beinahe nebenbei:

„Sie sind doch nach ISO 27001 zertifiziert, oder?“

„Ähm... noch nicht.“

Und plötzlich muss nicht mehr der zertifizierte Anbieter erklären, was ihn besonders macht. Der nicht zertifizierte Anbieter muss erklären, warum ihm ein Nachweis fehlt, den sein Gegenüber offenbar längst für selbstverständlich hält.

Wie konnte das passieren?

Die kurze Antwort

Informationssicherheit ist für viele Kunden von einem Spezialthema zur erwarteten Grundausstattung geworden.

Das liegt nicht daran, dass die Einkaufsabteilungen dieser Welt über Nacht eine große Begeisterung für Managementsystemnormen entwickelt hätten. Der Grund ist viel nüchterner: Unternehmen hängen heute stärker denn je von Dienstleistern, Software, Cloud-Plattformen, Rechenzentren und anderen Lieferanten ab. Wenn einer dieser Partner unsicher arbeitet, kann das unmittelbar die eigene Sicherheit, Lieferfähigkeit und Compliance treffen.

Deshalb wollen Unternehmen nicht mehr nur hören, dass ein Anbieter Sicherheit ernst nimmt. Sie wollen einen belastbaren Nachweis.

ISO 27001 ist dafür attraktiv, weil die Norm international bekannt ist, ein systematisches Informationssicherheitsmanagement verlangt und eine Zertifizierung durch eine unabhängige Stelle möglich ist. Das Zertifikat beantwortet nicht jede Einzelfrage. Aber es liefert einen standardisierten Vertrauensanker.

Und dieser Vertrauensanker wird immer häufiger erwartet.

Eigentlich beginnt die Geschichte eine Stufe weiter oben

Wenn ein Kunde von Ihnen ISO 27001 verlangt, fühlt sich das zunächst so an, als habe dieser Kunde sich eine neue Hürde für seine Lieferanten ausgedacht.

In vielen Fällen beginnt die Geschichte aber gar nicht bei ihm.

Vielleicht hat Ihr Kunde selbst einen Großkunden, der strengere Sicherheitsanforderungen stellt. Vielleicht muss er gegenüber einem Auditor erklären, wie er kritische Dienstleister auswählt. Vielleicht enthält sein Vertrag Sicherheitsanforderungen, die er an Subunternehmer weiterreichen muss. Vielleicht fragt seine Versicherung, seine Aufsicht oder seine Konzernmutter, wie Risiken in der Lieferkette gesteuert werden.

Die Anforderung kommt dann bei Ihnen an, weil Ihr Kunde seinerseits jemandem Rechenschaft schuldet.

Genau deshalb gehören Kundenverträge, Sicherheitsanhänge, Auditrechte und Anforderungen an Unterauftragnehmer in ein vernünftiges Management externer Vorgaben. Wie das praktisch funktioniert, erläutern wir ausführlicher im Artikel über rechtliche und vertragliche Anforderungen der ISO 27001.

Die Kaskade läuft durch die Lieferkette

Ein Unternehmen kann seine Informationssicherheit nicht allein innerhalb der eigenen Bürowände regeln.

Es nutzt beispielsweise:

• ein Rechenzentrum;
• einen Managed Service Provider;
• eine SaaS-Lösung;
• eine Lohnbuchhaltung;
• einen Entwicklungsdienstleister;
• einen Supportanbieter;
• eine Marketingplattform;
• oder eine Cloud-Infrastruktur.

An all diesen Stellen werden Informationen verarbeitet, gespeichert, übertragen oder zumindest Geschäftsprozesse beeinflusst. Ein Sicherheitsproblem beim Dienstleister kann deshalb zum Sicherheitsproblem des Kunden werden.

Also beginnt der Kunde, seine Lieferanten zu prüfen.

Er kann jedem Anbieter einen umfangreichen Fragebogen schicken, Nachweise anfordern, Gespräche führen, Auditrechte vereinbaren und im Zweifelsfall selbst vor Ort prüfen. Das ist möglich – und bei besonders kritischen Dienstleistern manchmal auch sinnvoll. Es kostet aber Zeit und setzt voraus, dass der Kunde selbst weiß, wie eine gute Sicherheitsprüfung aussieht.

Oder er verlangt zunächst einen etablierten Nachweis wie ein ISO 27001-Zertifikat.

Anschließend passiert beim Lieferanten häufig genau dasselbe. Auch er stützt sich auf weitere Dienstleister und reicht Anforderungen an diese weiter. So läuft die Erwartung Schritt für Schritt durch die Lieferkette.

Die ISO 27001 greift diese Logik selbst auf: Lieferantenbeziehungen und Risiken aus der Nutzung von Lieferantenleistungen müssen gesteuert werden. Für die praktische Organisation solcher Bewertungen haben wir beispielsweise gezeigt, wie sich Supplier Management mit Jira abbilden lässt.

„Bei uns ist alles sicher“ ist kein besonders starker Nachweis

Fast kein Anbieter wird in einem Vertriebsgespräch sagen:

„Informationssicherheit ist uns weitgehend egal. Wir hoffen einfach, dass nichts passiert.“

Stattdessen hören Kunden Sätze wie:

„Security hat bei uns höchste Priorität.“

„Wir arbeiten nach Best Practices.“

„Unsere Systeme sind sehr sicher.“

Das Problem daran: Solche Aussagen kann jeder machen. Sie sind schwer vergleichbar und aus Kundensicht kaum überprüfbar.

Ein Nachweis wird deshalb wertvoll, weil er die reine Selbstbeschreibung ergänzt. Bei einer seriösen ISO 27001-Zertifizierung schaut eine unabhängige Zertifizierungsstelle darauf, ob ein Informationssicherheitsmanagementsystem vorhanden ist und die Anforderungen der Norm erfüllt.

Das bedeutet nicht, dass niemals etwas passieren kann. Es bedeutet auch nicht, dass jede technische Einzelmaßnahme perfekt ist. Es bedeutet aber, dass sich das Unternehmen nach einem anerkannten System mit Risiken, Verantwortlichkeiten, Regeln, Kontrollen, Audits und Verbesserungen befasst.

Genau diese Nachvollziehbarkeit schafft Vertrauen.

Das funktioniert allerdings nur mit einem glaubwürdigen Zertifikat. Warum ein beliebiges Stück Papier nicht genügt, erklären wir in ISO 27001-Zertifikat kaufen? Warum das nicht seriös funktioniert.

Warum ausgerechnet ISO 27001?

Ein Kunde könnte sich natürlich einen eigenen Sicherheitsstandard bauen. Manche große Unternehmen tun das auch. Sie entwickeln umfangreiche Fragebögen, eigene Vertragsanlagen und individuelle Prüfkataloge.

Für jeden einzelnen Lieferanten ist das jedoch aufwendig. Außerdem bekommt der Kunde von zehn Anbietern möglicherweise zehn völlig unterschiedlich aufgebaute Antworten.

ISO 27001 vereinfacht die erste Einordnung:

• Die Norm ist international bekannt.
• Sie betrachtet Informationssicherheit nicht nur technisch, sondern als Managementaufgabe.
• Sie verlangt ein risikobasiertes Vorgehen.
• Sie bezieht Organisation, Personal, physische Sicherheit und Technik ein.
• Das Managementsystem kann unabhängig zertifiziert werden.
• Ein Zertifikat besitzt einen definierten Geltungsbereich, der geprüft werden kann.

Damit wird die Zertifizierung zu einer Art gemeinsamer Sprache. Sie sagt nicht alles. Aber Kunde und Anbieter beginnen das Gespräch nicht mehr bei null.

Ein Zertifikat kann dadurch Sicherheitsfragebögen und Einzelprüfungen reduzieren. Vollständig abschaffen wird es sie nicht immer. Ein Kunde mit besonderen Risiken wird weiterhin wissen wollen, wo Daten liegen, wie Vorfälle gemeldet werden, welche Subunternehmer eingesetzt werden oder ob eine ganz bestimmte technische Maßnahme vorhanden ist.

ISO 27001 ersetzt also nicht jede Due Diligence. Sie macht sie aber häufig kürzer, strukturierter und glaubwürdiger.

Vom Begeisterungsmerkmal zum Basismerkmal

Sehr gut lässt sich diese Entwicklung mit dem Kano-Modell erklären. Das Modell unterscheidet vereinfacht zwischen Begeisterungsmerkmalen, Leistungsmerkmalen und Basismerkmalen.

Begeisterungsmerkmal

Ein Begeisterungsmerkmal erwartet der Kunde nicht. Wenn es vorhanden ist, freut er sich und der Anbieter hebt sich positiv ab. Fehlt es, ist der Kunde aber nicht enttäuscht, weil er ohnehin nicht damit gerechnet hat.

So wirkte eine ISO 27001-Zertifizierung früher in vielen Märkten: „Die sind sogar zertifiziert – das ist ja richtig großartig!“

Leistungsmerkmal

Bei einem Leistungsmerkmal steigt die Zufriedenheit mit dem Erfüllungsgrad. Der Kunde vergleicht Anbieter und bewertet, wer mehr oder besser liefert.

In dieser Phase kann eine Zertifizierung ein deutliches Argument im Wettbewerb sein. Der zertifizierte Anbieter bekommt Pluspunkte, weil er einen belastbareren Nachweis vorlegt als ein nicht zertifizierter Wettbewerber.

Basismerkmal

Ein Basismerkmal wird vorausgesetzt. Ist es vorhanden, erfüllt es einfach die Erwartung. Ist es nicht vorhanden, entsteht Unzufriedenheit.

Niemand ist begeistert, weil ein Hotelzimmer eine abschließbare Tür hat. Fehlt sie, wird es allerdings ein bemerkenswert kurzes Verkaufsgespräch.

Genau in diese Richtung bewegt sich ISO 27001 in vielen B2B-Märkten. Das Zertifikat gewinnt den Auftrag nicht automatisch. Sein Fehlen kann aber dazu führen, dass der Anbieter gar nicht mehr in die engere Auswahl kommt.

Der entscheidende Wandel lautet:

Früher fragte der Anbieter: „Wie können wir mit dem Zertifikat werben?“

Heute fragt der Kunde: „Warum haben Sie noch keines?“

Das gilt noch nicht für jedes Unternehmen und nicht für jede Branche. Bei kleinen, wenig kritischen Lieferanten kann ISO 27001 weiterhin ein starkes Zusatzmerkmal sein. Bei IT-Dienstleistern, SaaS-Anbietern, Rechenzentren oder Unternehmen mit großen und regulierten Kunden ist die Entwicklung zum Basismerkmal jedoch deutlich sichtbarer.

Regulierung beschleunigt die Entwicklung

Regulierung ist nicht der einzige Grund für den wachsenden Nachweisdruck. Sie wirkt aber wie ein Verstärker.

Die NIS-2-Richtlinie nennt die Sicherheit der Lieferkette ausdrücklich als Bestandteil der Cybersicherheits-Risikomanagementmaßnahmen. Betroffene Unternehmen müssen sich also auch damit befassen, welche Risiken aus unmittelbaren Anbietern und Dienstleistern entstehen.

DORA verpflichtet Finanzunternehmen dazu, Risiken aus IKT-Drittdienstleistern als Teil ihres IKT-Risikomanagements zu steuern. Wer eine Bank, Versicherung oder einen anderen Finanzmarktakteur beliefert, spürt solche Anforderungen deshalb möglicherweise, ohne selbst unmittelbar unter DORA zu fallen.

Der Cyber Resilience Act erhöht wiederum die Cybersicherheitsanforderungen an Produkte mit digitalen Elementen und bezieht auch Komponenten und Verantwortlichkeiten entlang der Produktlieferkette ein.

Wichtig ist die saubere Einordnung: Diese Regelwerke verlangen nicht pauschal von jedem Lieferanten ein ISO 27001-Zertifikat.

Sie erhöhen aber den Druck auf Unternehmen, Risiken nachvollziehbar zu steuern, Lieferanten genauer anzusehen und Sicherheitsanforderungen vertraglich weiterzugeben. ISO 27001 wird dabei oft als praktikabler Nachweis verwendet – nicht weil sie immer gesetzlich vorgeschrieben wäre, sondern weil sie bereits bekannt, prüfbar und vergleichbar ist.

Der Markt lernt – und verstärkt den Effekt selbst

Je mehr Unternehmen zertifiziert sind, desto stärker verbreitet sich die Erwartung.

Ein zertifiziertes Unternehmen hat selbst ein Lieferantenmanagement. Es kennt die Logik von Risikobewertungen, Nachweisen und Audits. Seine Einkäufer, Informationssicherheitsbeauftragten und Auditoren fragen deshalb systematischer nach der Sicherheit externer Partner.

Gleichzeitig wandern Anforderungen in:

• Einkaufsrichtlinien;
• Standardverträge;
• Ausschreibungen;
• Lieferantenfragebögen;
• Konzernvorgaben;
• und Freigabeprozesse.

Was einmal als Sonderfrage eines besonders sicherheitsbewussten Kunden begann, wird dadurch zum festen Feld im Beschaffungsprozess.

Hinzu kommt ein ganz praktischer Effekt: Niemand möchte nach einem Vorfall erklären müssen, warum ein kritischer Dienstleister praktisch ungeprüft beauftragt wurde. Ein bekannter Nachweis erleichtert die Entscheidung – und später auch ihre Rechtfertigung.

Was ein fehlendes Zertifikat praktisch bedeuten kann

Wenn ISO 27001 in Ihrem Markt bereits erwartet wird, führt ein fehlender Nachweis nicht zwingend sofort zur Absage. Häufig macht er den Vertriebsprozess zunächst einfach schwerer.

Mögliche Folgen sind:

• umfangreichere Sicherheitsfragebögen;
• zusätzliche Nachweise und Gespräche;
• individuelle Audits durch den Kunden (die das Unternehmen aber selbst bezahlen muss);
• längere Freigabeprozesse;
• strengere Vertragsbedingungen;
• eine niedrigere Bewertung in Ausschreibungen;
• oder der direkte Ausschluss, wenn das Zertifikat ein Muss-Kriterium ist.

Dann konkurrieren Sie nicht mehr nur über Leistung, Preis und Sympathie. Sie müssen zusätzlich erklären, warum der Kunde Ihnen auch ohne den erwarteten Nachweis vertrauen sollte.

Das kann gelingen. Es kostet aber Zeit – auf beiden Seiten.

Ein Zertifikat ist trotzdem kein magischer Freifahrtschein

Bei aller Bedeutung sollte man das Zertifikat nicht größer machen, als es ist.

Ein Zertifikat sagt nur etwas über den darauf genannten Geltungsbereich aus. Es sollte von einer glaubwürdigen Zertifizierungsstelle stammen. Und es bestätigt ein Managementsystem – nicht die Unverwundbarkeit des Unternehmens.

Ein Kunde wird deshalb weiterhin prüfen dürfen:

• Passt der Geltungsbereich zu der Leistung, die wir einkaufen?
• Ist das Zertifikat gültig?
• Wer hat es ausgestellt?
• Sind unsere besonderen Sicherheitsanforderungen zusätzlich geregelt?
• Wie geht der Anbieter konkret mit unseren Daten und Systemen um?

Auch ein dicker Dokumentensatz allein schafft noch keine belastbare Sicherheit. Mehr dazu steht in ISO 27001 – Dokumentensatz und fertig!.

Das Zertifikat ist also kein Ersatz für Vertrauen, Leistung und eine gute Zusammenarbeit. Es ist ein starkes Fundament dafür.

Wann sollten Sie das Thema angehen?

Spätestens aufmerksam werden sollten Sie, wenn:

• mehrere Kunden unabhängig voneinander nach ISO 27001 fragen;
• Sicherheitsfragebögen im Vertrieb immer umfangreicher werden;
• Ausschreibungen eine Zertifizierung verlangen oder bewerten;
• ein wichtiger Kunde eine konkrete Frist setzt;
• Sie stärker mit Großunternehmen oder regulierten Branchen arbeiten möchten;
• oder Wettbewerber das Zertifikat bereits sichtbar einsetzen.

Dann ist die Frage häufig nicht mehr, ob die Erwartung kommt. Die sinnvollere Frage lautet, ob Sie ihr vorbereitet begegnen oder erst reagieren, wenn ein wichtiger Auftrag daran hängt.

Panik ist trotzdem nicht nötig. Eine Zertifizierung sollte als ordentliches Vorhaben geplant werden. Unser Artikel 7 Schritte zum ISO 27001-Zertifikat zeigt den grundsätzlichen Weg. Und weil das Ganze nicht nebenbei aus ein paar Richtlinien entsteht, lohnt sich auch der Blick darauf, warum ISO 27001 wie ein echtes Projekt geführt werden sollte.

Interesse geweckt?

Wenn Ihre Kunden häufiger nach ISO 27001 fragen oder eine Ausschreibung bereits eine konkrete Frist setzt, sollten Sie zunächst klären, was genau verlangt wird, welcher Geltungsbereich sinnvoll ist und wie der Weg realistisch geplant werden kann.

Wir helfen Ihnen dabei, die Kundenanforderung einzuordnen und daraus ein beherrschbares ISO 27001-Projekt zu machen. Wenn Sie noch prüfen, welche Unterstützung zu Ihrem Unternehmen passt, lesen Sie auch ISO 27001: Wer kann mir wirklich helfen? oder sprechen Sie direkt mit uns.