Welche Sicherheitsnachweise habt ihr?

Was ein Zertifikat aussagt – und was nicht

ISO/IEC 27001 zertifiziert ein Informationssicherheits-Managementsystem: dass ein Unternehmen Risiken erfasst, Maßnahmen festlegt, überprüft und dokumentiert. Über die Qualität einer einzelnen Anwendung sagt das wenig. Ein Zertifikat wird für drei Jahre erteilt und durch jährliche Überwachungsaudits bestätigt.

Entscheidend ist der Geltungsbereich. Ein Zertifikat kann für den Rechenzentrumsbetrieb gelten und für die Entwicklungsabteilung nicht. Wer ein Zertifikat vorgelegt bekommt, sollte immer zuerst auf den Scope schauen, nicht auf das Logo.

Die gängigen Nachweise

Die ersten fünf betreffen Organisationen. Nur der letzte betrifft die Software selbst – und auch er nur den Stand am Prüftag.

Was ohne jedes Zertifikat gilt

• Art. 32 DSGVO – technische und organisatorische Maßnahmen nach dem Stand der Technik, angemessen zum Risiko.
• Art. 28 DSGVO – Auftragsverarbeitungsvertrag, Bindung der Unterauftragnehmer, Weisungsgebundenheit.
• Art. 33 DSGVO – Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde binnen 72 Stunden.

Diese Pflichten treffen jeden Verarbeiter, auch den ohne Zertifikat. Umgekehrt entbindet ein Zertifikat von keiner einzigen davon.

Was aus dem Produktrecht hinzukommt

Die EU-Verordnung über horizontale Cybersicherheitsanforderungen (Cyber Resilience Act, Verordnung (EU) 2024/2847) ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab 11. September 2026, die übrigen Pflichten ab 11. Dezember 2027. Sie betrifft Produkte mit digitalen Elementen, die auf dem Markt bereitgestellt werden – für ein mehrfach verkauftes Standardprodukt ist die Anwendbarkeit klar, bei reiner Auftragsentwicklung für einen einzelnen Kunden ist sie Auslegungsfrage.

Die NIS-2-Richtlinie (EU) 2022/2555 war bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Für kleine Dienstleister wirkt sie meist mittelbar: Betroffene Kunden geben Sicherheitsanforderungen vertraglich in ihre Lieferkette weiter.

Was Sie verlangen sollten, wenn kein Zertifikat vorliegt

• den Auftragsverarbeitungsvertrag mit vollständiger Unterauftragnehmerliste samt Standorten
• ein TOM-Dokument mit konkreten Maßnahmen, nicht mit Schlagworten
• den letzten Penetrationstestbericht mit Datum, Umfang und Nachtest
• den Prozess für Sicherheitsaktualisierungen: wer entscheidet, in welcher Frist, wie wird informiert
• die Wiederanlaufzeit und das Datum des letzten erfolgreichen Wiederherstellungstests

Der letzte Punkt ist der aussagekräftigste von allen. Ein Backup, das nie zurückgespielt wurde, ist kein Backup, sondern eine Vermutung.

Was hier gilt

auf Anfrage

Dazu gehört Offenheit: Die Ouhud GmbH wurde 2025 gegründet. Ein Unternehmen dieser Größe und dieses Alters hat in aller Regel keine mehrjährige Zertifizierungshistorie. Wenn eine Ausschreibung oder eine Konzernrichtlinie ISO 27001 zwingend verlangt, sollte das im ersten Gespräch geklärt werden und nicht nach Angebotsabgabe.

Das Hosting läuft bei Infomaniak. Zertifikate eines Hosters gelten für dessen Rechenzentren und Prozesse – nicht automatisch für die darauf betriebene Anwendung. Wer beides gleichsetzt, stützt sich auf einen Nachweis, der die eigene Software gerade nicht abdeckt.