Normen und Standards

Wofür: Die Kapitel 4 bis 10 verlangen unter anderem, den Geltungsbereich festzulegen, Risiken zu beurteilen und zu behandeln, Ziele zu setzen, interne Audits durchzuführen und das ISMS durch die oberste Leitung überprüfen zu lassen. Anhang A führt 93 Massnahmen in vier Themen auf: organisatorisch, personenbezogen, physisch und technologisch. Welche davon gelten und warum, hält die Organisation in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) fest. Die Ergänzung von 2024 verlangt, den Klimawandel bei der Analyse des Kontexts zu berücksichtigen. Die Frist für den Wechsel von der Ausgabe 2013 ist am 31. Oktober 2025 abgelaufen.

Was offen bleibt: Ein Zertifikat bestätigt, dass das ISMS im genannten Geltungsbereich die Anforderungen der Norm erfüllt. Geprüft wird anhand von Stichproben. Es sagt nicht, ob der Geltungsbereich die Leistung umfasst, die man selbst bezieht. Und es sagt nicht, wie hoch das erreichte Schutzniveau ist, denn welche Risiken tragbar sind, legt die Organisation selbst fest.

Beispiel: Ein Dienstleister legt ein Zertifikat vor. Der Geltungsbereich umfasst sein Rechenzentrum, nicht aber den Betrieb der Anwendung, die ein Versicherungsunternehmen bei ihm bezieht. Für diese Leistung belegt das Zertifikat nichts.

Wofür: Die Norm verlangt ein Managementsystem für den Umgang mit Personendaten, mit eigener Risikobeurteilung und eigener Erklärung zur Anwendbarkeit. Sie unterscheidet Massnahmen für Verantwortliche und für Auftragsbearbeiter. Die Ausgabe 2019 war eine Erweiterung von ISO/IEC 27001 und setzte ein ISMS voraus. Seit 2025 lässt sich ein Datenschutz-Managementsystem allein oder zusammen mit einem ISMS zertifizieren. Zertifikate nach der Ausgabe 2019 müssen bis Oktober 2028 umgestellt sein.

Was offen bleibt: Ein Zertifikat belegt ein funktionierendes Managementsystem, nicht, dass jede Bearbeitung nach dem Datenschutzgesetz zulässig ist. Ob ein Zweck rechtmässig ist, die Betroffenen informiert wurden oder eine Datenschutz-Folgenabschätzung nötig ist, bleibt eine rechtliche Beurteilung. Die Norm ist international ausgerichtet. Welche Pflichten das DSG im Einzelfall stellt, muss die Organisation selbst bestimmen.

Beispiel: Ein Dienstleister für die Lohnverarbeitung ist nach ISO/IEC 27701 zertifiziert. Das Versicherungsunternehmen prüft trotzdem, ob der Geltungsbereich seine Rolle als Auftragsbearbeiter für genau diese Leistung umfasst und ob der Vertrag die Auftragsbearbeitung nach Art. 9 DSG ausreichend regelt.

Wofür: Zu jeder Massnahme nennt die Norm den Zweck und gibt Hinweise zur Umsetzung. Seit 2022 tragen die Massnahmen Attribute, nach denen sie sich ordnen lassen: nach Art (vorbeugend, erkennend, korrigierend), nach Schutzziel oder nach den Funktionen Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Das erleichtert den Abgleich mit anderen Rahmenwerken, etwa mit dem NIST Cybersecurity Framework.

Was offen bleibt: Welche Massnahmen eine Organisation braucht und wie weit sie gehen müssen. Das ergibt sich aus der Risikobeurteilung und dem Schutzbedarf, nicht aus der Norm. Alle 93 Massnahmen vollständig umzusetzen, ist kein Ziel an sich.

Beispiel: Die Massnahme 5.15 (Zugangssteuerung) beschreibt, was Regeln für den Zugang zu Informationen abdecken sollten. Wie streng sie für ein bestimmtes System ausfallen, entscheidet die Organisation anhand des Schutzbedarfs (siehe Kenntnis nur bei Bedarf).

Wofür: Die Norm beschreibt Angriffe auf Trainingsdaten, Modelle und Ausgaben über den ganzen Lebenszyklus eines KI-Systems, von der Entwicklung über den Betrieb bis zu Aktualisierungen des Modells. Beispiele sind manipulierte Trainingsdaten (Data Poisoning), das Abgreifen eines Modells über scheinbar gewöhnliche Anfragen oder eingeschleuste Anweisungen (Prompt Injection). Sie ordnet die möglichen Folgen ein und nennt Gegenmassnahmen, die bestehende Sicherheitsmassnahmen ergänzen.

Was offen bleibt: ISO/IEC 42001 regelt, wie eine Organisation KI steuert. ISO/IEC 27090 beschreibt, wie KI-Systeme angegriffen werden können und was dagegen hilft. Sie ersetzt weder ein ISMS noch ein KI-Managementsystem. Sie behandelt Angriffe auf das KI-System selbst, nicht den Missbrauch von KI durch Angreifer. Welche Massnahmen nötig sind, ergibt sich auch hier aus der Risikobeurteilung.

Beispiel: Ein Versicherer setzt einen KI-Assistenten ein, der Kundenanfragen beantwortet und auf Vertragsdaten zugreift. Eine präparierte Anfrage bringt ihn dazu, Daten anderer Kundinnen und Kunden auszugeben. Die Norm hilft, solche Szenarien in die Risikobeurteilung aufzunehmen und passende Schutzmassnahmen zu wählen.

Wofür: ISAE 3402 betrifft Kontrollen, die für die Finanzberichterstattung der Kunden wesentlich sind. Für Informationssicherheit und Verfügbarkeit werden Berichte nach ISAE 3000 oder SOC 2 erstellt. SOC 2 prüft anhand der Trust Services Criteria: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Ein Bericht vom Typ 1 beurteilt die Ausgestaltung der Kontrollen zu einem Stichtag, ein Bericht vom Typ 2 zusätzlich ihre Wirksamkeit über einen Prüfzeitraum.

Was offen bleibt: Der Bericht gilt für das beschriebene System und den geprüften Zeitraum. Ob die geprüften Kontrollen die eigenen Anforderungen abdecken, muss der Kunde selbst beurteilen. Zu lesen sind vor allem die festgestellten Abweichungen, die ausgeklammerten Unterauftragnehmer und die Kontrollen, die der Bericht beim Kunden voraussetzt (Complementary User Entity Controls).

Beispiel: Ein SOC-2-Bericht vom Typ 2 bestätigt wirksame Kontrollen beim Betreiber einer Plattform. Er setzt voraus, dass der Kunde die Berechtigungen seiner eigenen Benutzerinnen und Benutzer regelmässig überprüft. Unterbleibt diese Überprüfung beim Versicherungsunternehmen, nützt ihm der gute Bericht wenig.