Ein mittelständisches Maschinenbauunternehmen mit 80 Mitarbeitenden verlagert sein ERP in die Microsoft-Cloud. Der Vertrag ist unterschrieben, die Migration läuft, und zunächst scheint alles geregelt. Dann fragt ein Kunde nach dem Zertifizierungsumfang, die Versicherung verlangt Nachweise zu privilegierten Konten, und die Geschäftsführung stellt fest, dass neben Microsoft auch Subunternehmer, Identitätsdienste und interne Administratoren am Betrieb beteiligt sind.
Das alte Gefühl, „wir haben doch einen Vertrag mit dem Cloud-Anbieter“, reicht in dieser Situation nicht mehr. Cloud ISO 27001 ist deshalb kein schmückendes Marketingetikett. Der Ansatz hilft KMU, Verantwortlichkeiten, Risiken und Nachweise so zu organisieren, dass der tägliche Cloud-Betrieb belastbar und prüfbar wird.
Inhaltsverzeichnis
- Warum Cloud und ISO 27001 für KMU kein Marketingversprechen sind
- Aufbau und Logik der Norm ISO IEC 27001
- ISO 27001 im Verhältnis zu BSI C5 und IT-Grundschutz
- Shared Responsibility bei Microsoft Azure und Microsoft 365
- Typische Cloud-Risiken und passende ISO 27001 Kontrollen
- Ablauf einer ISO 27001 Zertifizierung für Cloud Umgebungen
- Schnittmengen mit NIS2 und DSGVO richtig nutzen
- KMU Checkliste und Rolle eines regionalen IT Systemhauses
Warum Cloud und ISO 27001 für KMU kein Marketingversprechen sind
Die Verlagerung eines ERP-Systems in Microsoft Azure verändert nicht automatisch die Sicherheitsorganisation. Sie verändert aber die Umgebung, in der das Unternehmen Verantwortung trägt. Zugriffsrechte müssen sauber vergeben werden, Datenflüsse müssen bekannt sein, administrative Tätigkeiten brauchen nachvollziehbare Protokolle, und ausgelagerte Leistungen dürfen nicht aus dem Risikobild verschwinden.
Ein ISO-27001-konformes Informationssicherheits-Managementsystem, kurz ISMS, schafft dafür einen Ordnungsrahmen. Das Unternehmen beschreibt seinen Kontext, bewertet Risiken, legt Maßnahmen fest und prüft regelmäßig, ob diese Maßnahmen funktionieren. Dabei geht es nicht nur um Technik. Auch Rollen, Schulungen, Lieferanten, Notfallverfahren und Managemententscheidungen gehören zum Bild.
Praktische Regel: Ein Zertifikat beantwortet die Frage, ob ein definierter Bereich geprüft wurde. Es beantwortet nicht automatisch die Frage, ob Ihr konkreter Cloud-Mandant, Ihre Dienstleister und Ihre Betriebsprozesse vollständig darin enthalten sind.
Ein Zertifikat des Cloud-Anbieters kann für bestimmte technische und physische Bereiche wertvolle Nachweise liefern. Die eigene Organisation bleibt jedoch für ihre Konfiguration, ihre Benutzer, ihre Daten und ihre internen Abläufe verantwortlich. Das zeigt sich etwa bei Microsoft 365: Microsoft betreibt die Plattform, aber das Unternehmen entscheidet selbst über Tenant-Einstellungen, Zugriffsmodelle, Aufbewahrung und Berechtigungen.
Für ein Unternehmen in Rheinland-Pfalz oder Hessen entstehen solche Anforderungen oft durch konkrete Anlässe:
- Ausschreibungen: Kunden verlangen ein ISO-Zertifikat, eine Sicherheitsbeschreibung oder Nachweise zu Lieferanten.
- Cyber-Versicherung: Der Versicherer fragt nach Multifaktor-Authentifizierung, Backups, Notfalltests und dokumentierten Verantwortlichkeiten.
- Muttergesellschaft: Eine internationale Gruppe fordert ein einheitliches Kontrollmodell und regelmäßige Berichte.
- Cloud-Migration: Die bisherige On-Premises-Dokumentation passt nicht mehr zu Azure, Microsoft 365 und ausgelagerten Betriebsleistungen.
Ein praxisnaher Einstieg für mittelständische Unternehmen ist ein strukturierter Leitfaden zum Cloud-Übergang für Mittelständler. Entscheidend ist dabei nicht, möglichst viele Kontrollen auf Papier zu sammeln. Entscheidend ist, dass die Organisation nachweisen kann, wer welche Cloud-Risiken kennt, behandelt und im Alltag überwacht.
Aufbau und Logik der Norm ISO IEC 27001
ISO/IEC 27001 beschreibt kein einzelnes Sicherheitsprodukt und keine feste Cloud-Architektur. Die Norm fordert ein Managementsystem, das Informationssicherheit planbar macht und dauerhaft verbessert. Für die deutsche Normbasis ist seit Januar 2024 die DIN EN ISO/IEC 27001:2024-01 maßgeblich. Sie ersetzt die frühere deutsche Fassung DIN EN ISO/IEC 27001:2017-06 und entspricht der internationalen ISO/IEC 27001:2022. Im November 2024 ergänzte DIN EN ISO/IEC 27001/A1:2024-11 den Standard um klimabezogene Maßnahmen. Die deutsche Referenz ist damit auf den aktuellen internationalen Stand gebracht worden, wie DIN Media zur Norm DIN EN ISO/IEC 27001 ausweist.
Die Klauseln 4 bis 10 lassen sich als zusammenhängender Verbesserungszyklus lesen:
- Kontext der Organisation: Welche Geschäftsprozesse, Interessengruppen, gesetzlichen Anforderungen und Cloud-Abhängigkeiten gibt es?
- Führung: Welche Verantwortung übernimmt die Geschäftsleitung, und wer besitzt das ISMS?
- Planung: Welche Risiken und Sicherheitsziele werden festgelegt?
- Unterstützung: Welche Ressourcen, Kompetenzen, Kommunikationswege und Dokumente sind erforderlich?
- Betrieb: Wie werden Risikobehandlung, Änderungen und Sicherheitsprozesse umgesetzt?
- Bewertung der Leistung: Wie prüft das Unternehmen Kennzahlen, interne Audits und Managementbewertungen?
- Verbesserung: Wie werden Abweichungen, Vorfälle und neue Risiken in konkrete Korrekturen übersetzt?
Der Scope entscheidet über die Aussagekraft
Cloud-Services gehören in den Geltungsbereich, wenn sie für die betrachteten Geschäftsprozesse relevant sind. Ein Scope wie „Microsoft 365 mit Azure-Subscriptions für Entwicklung, Betrieb und Support“ kann sinnvoll sein. Er muss dann aber Schnittstellen zu lokalen Systemen, externen Schnittstellenpartnern, Identitätsdiensten und ausgelagerten Prozessen verständlich beschreiben.
Der Anhang A liefert die Kontrollen, mit denen Risiken behandelt werden. In der Fassung ISO/IEC 27001:2022 umfasst er 93 Kontrollen, die Quelle dafür ist die Normsuche des DIN. Die Organisation muss nicht jede Kontrolle blind umsetzen. Sie muss begründen, welche Kontrollen anwendbar sind, wie sie umgesetzt werden und wo die Nachweise liegen.
ISO 27001 verlangt weder die Nutzung noch die Vermeidung von Cloud-Diensten. Die Entscheidung muss risikobasiert erfolgen. Ein KMU darf Azure nutzen, wenn es die damit verbundenen Risiken bewertet, Verantwortlichkeiten festlegt, passende Kontrollen einführt und die Entscheidung regelmäßig überprüft.
ISO 27001 im Verhältnis zu BSI C5 und IT-Grundschutz
Die drei Ansätze erfüllen unterschiedliche Aufgaben. ISO 27001 ist der international anerkannte, zertifizierbare Standard für ein ISMS. Er prüft, ob die Organisation Informationssicherheit systematisch steuert, Risiken behandelt und Verbesserungen nachweist.
BSI C5, der „Cloud Computing Compliance Criteria Catalogue“, richtet sich ausdrücklich an professionelle Cloud-Service-Anbieter, Prüfer und Kunden. Der Katalog definiert Mindestanforderungen für sicheres Cloud-Computing und dient im deutschen Markt als behördlicher Referenzrahmen. Die aktuelle Fassung C5:2026 umfasst 168 auditierbare Kriterien in 17 Themenbereichen, wie das BSI zum Kriterienkatalog C5 erläutert. C5 schreibt keine konkrete technische Maßnahme vor. Der Anbieter muss vielmehr zeigen, dass auditierbare Anforderungen durch Kontrollen, Prozesse und Evidenzen erfüllt werden.
BSI IT-Grundschutz arbeitet stärker mit detaillierten Bausteinen und Umsetzungshinweisen. Er kann einem KMU eine konkrete operative Struktur geben und bildet bei bestimmten Zertifizierungen die methodische Grundlage. Cloud-Angebote wie die von IONOS verweisen auf ISO 27001 auf Basis von IT-Grundschutz, während das BSI für Rechenzentrums- und Cloud-Umgebungen eigene IT-Grundschutz-Zertifikate veröffentlicht, wie die Cloud-Informationen von IONOS im deutschen Markt verdeutlichen.
| Kriterium | ISO 27001 | BSI C5 | BSI IT-Grundschutz |
|---|---|---|---|
| Zweck | Steuerung eines zertifizierbaren ISMS | Prüfung von Cloud-spezifischen Anforderungen | Methodischer Aufbau und konkrete Umsetzung von Informationssicherheit |
| Perspektive | Organisation und Managementsystem | Cloud-Service und prüfbare Anbieterprozesse | Geschäftsprozesse, Strukturanalyse und Sicherheitsbausteine |
| Nutzen für KMU | International verständlicher Nachweis | Ergänzende Cloud-Evidenz für Kunden und Prüfer | Praktische Orientierung für Aufbau und Betrieb |
| Typischer Anlass | Kundenanforderungen, Governance, Zertifizierung | Cloud-Ausschreibungen und regulierte Kunden | Behördennähe oder hoher Bedarf an Umsetzungstiefe |
| Verhältnis | Zertifizierungslogik | Cloud-spezifische Prüfsprache | Detaillierte Umsetzungshilfe |
Für ein KMU ist die Kombination oft sinnvoller als eine Entweder-oder-Entscheidung. ISO 27001 strukturiert das ISMS, C5 schärft den Nachweis für Cloud-Leistungen, und IT-Grundschutz hilft bei der praktischen Ausgestaltung. Welcher Nachweis verlangt wird, hängt vom Kundenkreis ab. Ein Industriekunde kann C5-Unterlagen anfordern, ein Behördenkunde kann IT-Grundschutz erwarten, und internationale Geschäftspartner orientieren sich häufig am ISO-Zertifikat.
Shared Responsibility bei Microsoft Azure und Microsoft 365
Das Shared-Responsibility-Modell lässt sich mit einem gemieteten Rechenzentrum vergleichen. Der Betreiber schützt Gebäude, Stromversorgung und zentrale Infrastruktur. Der Mieter muss trotzdem entscheiden, wer einen Schlüssel erhält, welche Räume genutzt werden und wie sensible Unterlagen geschützt werden.
Bei Microsoft 365 übernimmt Microsoft wesentliche Aufgaben rund um die physische Infrastruktur, Plattform und globale Netzwerkabsicherung. Das Unternehmen bleibt für den eigenen Tenant, die Identitäten, Berechtigungen, Datenklassifizierung, Protokollierung und die Sensibilisierung der Beschäftigten zuständig. Bei Exchange Online, Teams und SharePoint entscheidet daher nicht Microsoft allein über die Sicherheit des konkreten Unternehmensbetriebs.
Bei Azure Virtual Machines liegt die Verantwortung stärker beim Kunden. Das Unternehmen muss unter anderem Betriebssysteme patchen, Netzwerke segmentieren, Rollen sauber vergeben, Schlüssel verwalten und die Überwachung aktivieren. Bei Azure SQL oder App Services verschiebt sich die Grenze je nach Dienst. Der Anbieter betreibt mehr Plattformkomponenten, der Kunde muss aber weiterhin sichere Konfigurationen, Datenzugriffe und Anwendungseinstellungen verantworten.
| Service-Modell | Microsoft-Verantwortung | Kunden-Verantwortung |
|---|---|---|
| SaaS, etwa Microsoft 365 | Physische Sicherheit, Plattformbetrieb, Hypervisor und zentrale Netzwerkinfrastruktur | Identitäten, MFA, Conditional Access, Tenant-Konfiguration, Datenklassifizierung, Logging, Schulungen und Datenlebenszyklus |
| PaaS, etwa Azure SQL oder App Services | Betrieb der verwalteten Plattform und zugrunde liegender Dienste | Daten, Rollen, Anwendungen, Schnittstellen, Konfiguration, Schlüssel und fachliche Wiederherstellung |
| IaaS, etwa Azure Virtual Machines | Rechenzentrum, Hardware und Basisinfrastruktur | Betriebssystem, Patches, Netzwerksegmentierung, virtuelle Maschinen, Anwendungen, Identitäten und Schlüsselverwaltung |
Kontrollen müssen einer Rolle zugeordnet werden
Eine ISO-27001-Kontrolle ist erst dann belastbar, wenn eine Person oder Organisationseinheit sie ausführt. Für Multifaktor-Authentifizierung und Conditional Access ist der Kunde zuständig. Für Microsoft Defender muss der Kunde die passende Konfiguration auswählen, Warnungen bewerten und Reaktionen organisieren. Für Backups muss er festlegen, welche Daten gesichert werden, wie Wiederherstellungen ablaufen und wie diese getestet werden.
Ein Verantwortlichkeitsmodell verhindert die häufige Fehlannahme, ein Anbieterzertifikat decke automatisch den gesamten eigenen Betrieb ab. Microsoft stellt Nachweise für seinen Bereich bereit. Das KMU ergänzt sie durch eigene Richtlinien, Konfigurationsberichte, Zugriffsprüfungen, Log-Auswertungen, Schulungsnachweise und Vorfallakten.
Typische Cloud-Risiken und passende ISO 27001 Kontrollen
Cloud-Risiken entstehen selten, weil ein einzelnes Produkt grundsätzlich unsicher ist. Häufiger fehlen klare Zuständigkeiten, sichere Grundeinstellungen oder regelmäßige Prüfungen. Ein Risikoregister sollte deshalb nicht nur „Cloud“ als Sammelbegriff enthalten, sondern konkrete Szenarien mit System, Verantwortlichem, Auswirkung und Nachweis.
Von der Berechtigung bis zur Konfiguration
Übermäßige Zugriffsrechte entstehen, wenn ehemalige Mitarbeitende aktiv bleiben, Administrationsrollen dauerhaft vergeben werden oder Dienstkonten mehr Rechte als erforderlich besitzen. Dazu passt A.5.15 Zugriffssteuerung. Technisch helfen rollenbasierte Berechtigungen, Privileged Identity Management, MFA und Conditional Access. Die Organisation sollte festhalten, wer Berechtigungen genehmigt, prüft und entzieht.
Unklare Datenklassifizierung erschwert Entscheidungen zu Freigaben, Aufbewahrung und Verschlüsselung. A.5.12 Klassifizierung von Informationen schafft eine gemeinsame Sprache. In Microsoft Purview können Sensitivity Labels den Umgang mit vertraulichen Dokumenten unterstützen. Entscheidend bleibt die fachliche Entscheidung, welche Informationen wie geschützt werden müssen.
Fehlerhafte Tenant-Konfigurationen betreffen etwa zu offene Freigaben, unkontrollierte Gastkonten oder nicht dokumentierte Sicherheitsausnahmen. A.8.9 Konfigurationsmanagement verlangt eine kontrollierte Verwaltung sicherheitsrelevanter Einstellungen. Secure Score kann als Orientierung dienen, ersetzt aber keine risikobasierte Bewertung und keine dokumentierte Ausnahmeentscheidung.
Eine gute Cloud-Konfiguration ist kein Zustand, den man einmal herstellt. Sie ist ein Betriebsprozess mit Eigentümer, Prüfrhythmus und nachvollziehbarer Korrektur.
Sichtbarkeit, Lieferanten und Ausstieg
Unzureichendes Logging und Monitoring verhindert, dass ungewöhnliche Anmeldungen, Änderungen an Berechtigungen oder verdächtige Datenbewegungen rechtzeitig erkannt werden. A.8.15 Logging verbindet technische Protokolle mit organisatorischen Abläufen. Ein zentrales Log-Sink, Microsoft Sentinel oder ein anderes SIEM kann Ereignisse bündeln. Das Team braucht zusätzlich Alarmregeln, Zuständigkeiten und dokumentierte Reaktionen.
Schatten-IT entsteht, wenn Fachabteilungen eigene Cloud-Dienste nutzen, ohne Datenschutz, Zugriff und Löschung zu klären. Ein verbindlicher Cloud-Zulassungsprozess sollte neue SaaS-Anbieter erfassen, Datenarten bewerten und Verantwortliche benennen. So wird aus einer verborgenen Abhängigkeit ein steuerbarer Bestandteil des Asset-Inventars.
Lieferantenrisiken und fehlende Exit-Strategien gehören zu A.5.19 Informationssicherheit in Lieferantenbeziehungen und A.5.30 IKT-Geschäftskontinuität. Das Unternehmen sollte Subunternehmer, Datenflüsse, Vertragsanforderungen, Exportmöglichkeiten und Wiederanlaufverfahren dokumentieren. Ein Exit-Plan muss nicht sofort einen Anbieterwechsel auslösen. Er sollte aber zeigen, wie Daten und Betriebsfähigkeit bei einer Störung oder Beendigung gesichert werden.
Ablauf einer ISO 27001 Zertifizierung für Cloud Umgebungen
Eine Zertifizierung beginnt nicht mit dem Ausfüllen einer Checkliste. Sie beginnt mit der Frage, welcher Teil des Unternehmens geprüft werden soll und ob dieser Teil im Alltag tatsächlich steuerbar ist. Für ein KMU mit Microsoft 365, Azure und lokalen Schnittstellen sind sechs Phasen besonders hilfreich.
- Gap-Analyse: Bestehende Richtlinien, Rollen, technische Einstellungen, Lieferantenverträge und Nachweise werden mit ISO/IEC 27001 verglichen. Das Ergebnis ist ein priorisiertes Bild der Lücken.
- Scope-Definition: Das Unternehmen beschreibt Cloud-Dienste, Standorte, Organisationseinheiten, Regionen, Prozesse und Schnittstellen. Der Scope entscheidet darüber, welche Komponenten der Zertifizierungsumfang tatsächlich abdeckt.
- Aufbau des ISMS: Richtlinien, Risikoanalyse, Risikobehandlung, Statement of Applicability, Kennzahlen, Vorfallverfahren und Schulungen werden eingerichtet.
- Interne Audits: Ein internes Audit prüft, ob das System nicht nur dokumentiert, sondern angewendet wird. Feststellungen erhalten Verantwortliche und Fristen.
- Stage-1-Audit: Die Zertifizierungsstelle bewertet die Dokumentation, den Scope und die grundsätzliche Auditbereitschaft.
- Stage-2-Audit: Die Auditoren prüfen Umsetzung und Wirksamkeit anhand von Gesprächen, Stichproben und Evidenzen.
Aufwand realistisch planen
Für KMU hängt die Projektdauer stark von Unternehmensgröße, vorhandener Dokumentation und Cloud-Komplexität ab. Als realistischer Zeitrahmen werden häufig sechs bis zwölf Monate angesetzt, diese Orientierung ist im Planungsansatz des Projekts vorgesehen, sollte aber mit der Zertifizierungsstelle und dem konkreten Scope abgestimmt werden. Der Aufwand umfasst nicht nur das Audit. Ein ISMS-Owner, ein internes Auditteam, Fachverantwortliche und die Geschäftsleitung müssen regelmäßig mitarbeiten.
Die Planannahmen nennen 10 bis 20 Personentage je Auditor sowie 15.000 bis 60.000 Euro für ein mittelständisches Erstaudit. Diese Größenordnungen sind keine allgemeingültige Preisliste, sondern müssen anhand von Scope, Standorten, Auditorganisation und Zertifizierungsstelle kalkuliert werden.
Für die Auditvorbereitung sollten unter anderem folgende Nachweise verfügbar sein:
- Risikoregister: Risiken, Eigentümer, Behandlung und Status.
- Statement of Applicability: Begründung für anwendbare und nicht anwendbare Kontrollen.
- Technische Evidenzen: Konfigurationsberichte, Zugriffsauswertungen und Log-Nachweise.
- Organisatorische Evidenzen: Schulungen, interne Audits, Managementbewertung und Vorfallakten.
- Resilienzunterlagen: Backup- und Wiederherstellungsverfahren mit dokumentierten Tests.
Die Zertifizierung endet nicht mit dem Stage-2-Audit. Der Betrieb muss die Kontrollen aufrechterhalten, Änderungen bewerten und Überwachungsaudits einplanen. Nach drei Jahren steht der erneute Zertifizierungszyklus an.
Ein anschauliches Video zum Ablauf kann die Phasen für Geschäftsführung und Fachbereiche zusätzlich greifbar machen:
Schnittmengen mit NIS2 und DSGVO richtig nutzen
ISO 27001, NIS2 und DSGVO setzen unterschiedliche Schwerpunkte, greifen im Cloud-Betrieb jedoch ineinander. ISO 27001 ordnet das ISMS und seine Verbesserungsprozesse. NIS2 verlangt unter anderem angemessenes Risikomanagement, Verantwortung der Geschäftsleitung, Vorfallmeldungen und die Kontrolle von Lieferketten. Die DSGVO regelt den rechtmäßigen Umgang mit personenbezogenen Daten, Betroffenenrechte und Datenschutzpflichten.
Ein Zertifikat nach ISO 27001 ersetzt die NIS2-Pflichten nicht. Eine Einordnung zu NIS2, Cloud- und Rechenzentrumsdiensten macht deutlich, dass die Zertifizierung allein nicht automatisch alle Nachweise gegenüber der Aufsicht abdeckt. Entscheidend ist der Scope: Er muss die betroffenen Netzwerke und Informationssysteme tatsächlich erfassen. Ein Zertifikat für ein begrenztes ISMS beweist daher nicht automatisch, dass der gesamte Cloud-Betrieb eines deutschen KMU abgedeckt ist.
| Anforderung | ISO 27001, Anhang A und Kapitel 6 bis 8 | NIS2, nationale Umsetzung | DSGVO, Art.-Bezug |
|---|---|---|---|
| Risikomanagement | Risikoanalyse, Behandlung, Verantwortlichkeiten und laufende Verbesserung | Geeignete und verhältnismäßige Maßnahmen für Netzwerk- und Informationssysteme | Art. 32, Sicherheit der Verarbeitung |
| Vorfallmanagement | Verfahren zur Erkennung, Behandlung und Verbesserung | Melde- und Kommunikationspflichten nach nationaler Umsetzung | Art. 33 und 34, Meldung und Information bei Datenschutzverletzungen |
| Lieferkette | Bewertung und Steuerung von Lieferantenrisiken | Berücksichtigung von Lieferketten- und Dienstleisterrisiken | Art. 28, Auftragsverarbeitung |
| Geschäftsleitung | Führung, Ziele, Ressourcen und Managementbewertung | Verantwortung und Überwachung durch Leitungsorgane | Art. 24, Verantwortlichkeit |
| Datenverarbeitung | Schutz von Informationen und angemessene Kontrollen | Schutz kritischer Dienste und Systeme | Art. 5, 6, 25 und 35, je nach Verarbeitung |
Bei Microsoft 365 sollten Tenant-Einstellungen, Aufbewahrungs- und Löschregeln, Auftragsverarbeitungsverträge sowie Auskunftsprozesse zusammengeführt werden. Ein Auftragsverarbeitungsverzeichnis nach Art. 28 DSGVO, das Tenant-Konfigurationen, Löschfristen und Verantwortlichkeiten je Dienst dokumentiert, erleichtert die Nachweisführung gegenüber Aufsichtsbehörden und Zertifizierungsstellen. Datenschutz Hausarbeiten KI kann dabei höchstens als Recherchequelle dienen, nicht als Ersatz für fachliche Datenschutzprüfung oder verbindliche Dokumentation.
Für den Compliance-Pfad eines KMU bilden ISO 27001, BSI C5 und NIS2 drei aufeinander bezogene Perspektiven: ISO 27001 strukturiert das Managementsystem, BSI C5 liefert Cloud-spezifische Kriterien, und NIS2 ordnet Pflichten zu Risiko, Leitung und Meldungen ein. Ein belastbares Cloud-Backup-Konzept für Deutschland gehört in die Risikobehandlung. Ein Evidenzregister verknüpft technische Einstellungen, Datenschutzbewertungen und Sicherheitsberichte, ohne die Anforderungen der drei Regelwerke gleichzusetzen.
KMU Checkliste und Rolle eines regionalen IT Systemhauses
Ein KMU sollte die Cloud nicht mit einem Zertifikat beginnen, sondern mit einem überprüfbaren Arbeitsplan. Die folgenden Punkte bilden eine solide Grundlage für Microsoft 365, Azure und angebundene SaaS-Dienste:
- Geltungsbereich festlegen: Produktive Cloud-Dienste, Standorte, Organisationseinheiten, Betriebsprozesse und Schnittstellen schriftlich abgrenzen.
- Asset-Inventar aufbauen: Microsoft-365-Dienste, Azure-Abonnements, lokale Systeme, Identitätsquellen, Backups und SaaS-Drittanbieter erfassen.
- Risiko- und GAP-Analyse durchführen: Risiken gegen die anwendbaren ISO-27001-Kontrollen bewerten und Maßnahmen mit Eigentümern versehen.
- Zugriffe prüfen: Administratoren, Dienstkonten, Gastzugänge und privilegierte Rollen regelmäßig nachvollziehen.
- Notfall- und Löschkonzepte dokumentieren: Wiederherstellung, Datenlöschung, Aufbewahrung und Eskalation verständlich beschreiben.
- Mitarbeitende schulen: Phishing, sichere Freigaben, Identitätsschutz und Meldewege praxisnah vermitteln.
- Interne Audits organisieren: Nicht nur Richtlinien lesen, sondern anhand von Stichproben prüfen, ob Prozesse funktionieren.
- Managementbewertung durchführen: Risiken, Vorfälle, Kennzahlen, offene Maßnahmen und Ressourcenentscheidungen in der Geschäftsleitung besprechen.
Unterstützung durch regionale Betriebsnähe
Ein regionales IT-Systemhaus kann die Lücke zwischen Normtext und täglichem Betrieb schließen. Dazu gehören beispielsweise ein Managed Service für ISMS-Aufgaben, die technische Härtung von Microsoft-Tenants, die Vorbereitung von Auditnachweisen oder die Übernahme der Rolle eines externen Informationssicherheitsbeauftragten. Für KMU ohne eigene Vollzeitstelle schafft dieses Modell einen festen Ansprechpartner und wiederkehrende Arbeitsabläufe.
Die GSL Groß GmbH verbindet an ihren Standorten in Idar-Oberstein und Darmstadt Beratung, Cloud-Betrieb, Monitoring, Sicherheitsprüfungen und Support. Informationen zu einem passenden Managed-IT-Service für den Mittelstand können als Ausgangspunkt für die Auswahl eines Betriebsmodells dienen. Dabei sollte das Systemhaus nicht nur ein Zertifikatsprojekt liefern, sondern regelmäßige Reviews, Patch- und Backup-Prozesse, Sicherheitsberichte und die Pflege des Scopes fest im Service verankern.
Ein Zertifikat wirkt nur so lange überzeugend, wie der zertifizierte Bereich tatsächlich gelebt wird. Neue Azure-Abonnements, zusätzliche SaaS-Anbieter, veränderte Standorte oder ausgelagerte Betriebsprozesse müssen deshalb in das ISMS und in die Nachweisführung einfließen.
GSL Groß GmbH unterstützt KMU bei der Definition des Cloud-Scope, der technischen Absicherung von Microsoft 365 und Azure sowie beim Aufbau prüfbarer ISO-27001- und NIS2-Nachweise. Besprechen Sie Ihre aktuelle Cloud-Umgebung und die nächsten konkreten Schritte direkt mit GSL Groß GmbH.