Mehr Sicherheit für Cloud und Daten: Projektron erfüllt ISO/IEC 27001:2022 mit zusätzlichen Maßnahmen nach 27017 und 27018

Mit der aktuellen Zertifizierung durch den TÜV Rheinland setzen wir unseren seit vielen Jahren verfolgten Weg eines systematischen und extern überprüften Informationssicherheitsmanagements fort. Neu ist vor allem der erweiterte Blick auf zwei Bereiche, die für den Betrieb moderner Softwarelösungen eine besondere Rolle spielen: die sichere Bereitstellung und Nutzung von Cloud-Diensten sowie der kontrollierte Umgang mit personenbezogenen Informationen in der Cloud.

Was bedeutet ISO/IEC 27001:2022?

Die internationale Norm ISO/IEC 27001:2022 legt Anforderungen an die Einführung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicherheitsmanagementsystems, kurz ISMS, fest. Unternehmen identifizieren und bewerten darin systematisch Risiken für ihre Informationen und definieren geeignete technische und organisatorische Maßnahmen.

Im Mittelpunkt stehen dabei drei grundlegende Schutzziele:

Vertraulichkeit: Informationen sind nur für berechtigte Personen und Systeme zugänglich.

Integrität: Informationen werden vor unberechtigter oder unbeabsichtigter Veränderung geschützt.

Verfügbarkeit: Informationen und Systeme stehen bei Bedarf zuverlässig zur Verfügung.

Informationssicherheit wird damit nicht als Summe einzelner technischer Schutzmaßnahmen verstanden. Sie wird vielmehr systematisch in Prozessen, Verantwortlichkeiten, Risikoanalysen, Kontrollen, Schulungen und kontinuierlichen Verbesserungen verankert.

Was ist 2026 neu?

Bereits 2025 wurde unser Informationssicherheitsmanagementsystem nach ISO/IEC 27001:2022 zertifiziert. Das aktuelle Zertifikat bestätigt die Erfüllung dieser Anforderungen erneut und dokumentiert zugleich eine wichtige Weiterentwicklung.

Als Grundlage der geprüften Maßnahmen nennt das Zertifikat das Statement of Applicability (SoA), Version 1.8 vom 2. Juni 2026. Darüber hinaus werden ausdrücklich zusätzliche Maßnahmen ausgewiesen zur:

ISO/IEC 27017:2015

ISO/IEC 27018:2019

Damit erhalten zwei Themen zusätzliches Gewicht, die für moderne Software- und Cloud-Angebote besonders relevant sind: Cloud-Sicherheit und der Schutz personenbezogener Daten in Cloud-Umgebungen.

Die Prüfungsnorm des Zertifikats bleibt dabei die ISO/IEC 27001:2022. ISO/IEC 27017 und ISO/IEC 27018 werden als zusätzliche Maßnahmen innerhalb des zertifizierten Informationssicherheitsmanagementsystems berücksichtigt.

Während die ISO/IEC 27001 den übergeordneten Rahmen für das ISMS vorgibt, richtet die ISO/IEC 27017 den Blick speziell auf die Informationssicherheit bei Cloud-Diensten. Die ISO/IEC 27018 konzentriert sich wiederum auf den Schutz personenbezogener Informationen in öffentlichen Cloud-Umgebungen.

In der Zertifikatdatenbank des TÜV-Rheinland lässt sich unser Zertifikat online aufrufen und einsehen.

ISO/IEC 27017: Sicherheit in der Cloud braucht klare Verantwortlichkeiten

Bei Cloud-Diensten verteilen sich Aufgaben und Verantwortlichkeiten auf Cloud-Anbieter und Cloud-Kunden. Damit entstehen besondere Anforderungen an die Informationssicherheit: Es muss beispielsweise klar sein, wer für bestimmte Sicherheitsmaßnahmen verantwortlich ist, wie administrative Zugriffe kontrolliert werden und wie Cloud-Umgebungen sicher betrieben werden.

Genau hier setzt die ISO/IEC 27017:2015 an. Sie ergänzt allgemeine Informationssicherheitsmaßnahmen um zusätzliche Leitlinien und Kontrollen, die speziell für die Bereitstellung und Nutzung von Cloud-Diensten relevant sind. Sie richtet sich sowohl an Anbieter als auch an Kunden von Cloud-Diensten.

Im Mittelpunkt stehen beispielsweise:

eindeutige Sicherheitsverantwortlichkeiten zwischen Cloud-Anbieter und Cloud-Kunde

kontrollierte administrative Zugriffe auf Cloud-Systeme

sichere Konfiguration und Administration von Cloud-Umgebungen

angemessene Trennung von Kundenumgebungen und Informationen

Überwachung sicherheitsrelevanter Aktivitäten

geregelter Umgang mit Cloud-spezifischen Risiken und Sicherheitsvorfällen

Dadurch wird Informationssicherheit nicht allein innerhalb eines einzelnen Systems betrachtet. Auch die Schnittstellen und Verantwortlichkeiten zwischen Anbieter, technischer Infrastruktur und Kunde werden einbezogen.

Für Projektron ist dieser Schwerpunkt besonders relevant, da BCS sowohl in kundeneigenen Umgebungen als auch als SaaS-Lösung betrieben werden kann.

ISO/IEC 27018: personenbezogene Daten in der Cloud nachvollziehbar schützen

Während ISO/IEC 27017 die Informationssicherheit von Cloud-Diensten insgesamt betrachtet, richtet die ISO/IEC 27018:2019 den Blick gezielt auf personenbezogene Informationen.

Sie enthält Kontrollziele, Maßnahmen und Leitlinien zum Schutz personenbezogener Informationen in öffentlichen Cloud-Umgebungen. Im Fokus stehen insbesondere Cloud-Dienste, bei denen der Anbieter personenbezogene Informationen im Auftrag seiner Kunden verarbeitet.

Dabei geht es nicht nur darum, Daten technisch gegen unberechtigte Zugriffe zu schützen. Ebenso wichtig sind transparente und nachvollziehbare Prozesse sowie klar geregelte Verantwortlichkeiten beim Umgang mit personenbezogenen Informationen.

Dazu gehören beispielsweise Anforderungen an:

die kontrollierte Verarbeitung personenbezogener Informationen

transparente und nachvollziehbare Prozesse

klar geregelte Verantwortlichkeiten

den Schutz personenbezogener Informationen bei Speicherung und Verarbeitung

den kontrollierten Umgang mit Zugriffen auf diese Daten

nachvollziehbare und überprüfbare Schutzmaßnahmen

Für BCS-Kunden ist dieser Aspekt besonders relevant, da je nach Einsatzbereich beispielsweise Kontakt-, Zeit-, Personal-, Projekt- oder Supportdaten verarbeitet werden können.

Die beiden zusätzlichen Normen ergänzen sich damit: ISO/IEC 27017 betrachtet die sichere Bereitstellung und Nutzung von Cloud-Diensten, ISO/IEC 27018 vertieft den Schutz personenbezogener Informationen innerhalb solcher Cloud-Umgebungen.

Warum wir zertifiziert sind und was unsere Kunden davon haben

Unsere Kunden arbeiten mit sensiblen und geschäftskritischen Daten – Projektplänen, Budgets, Zeitbuchungen, Angeboten, Rechnungen, Verträgen, Tickets, Kontakten und strategischen Informationen.

Deshalb ist es für uns selbstverständlich, dass Informationssicherheit nicht nur ein Versprechen ist, sondern systematisch organisiert und unabhängig überprüft wird.

Die Zertifizierung nach ISO/IEC 27001:2022 und die zusätzlich ausgewiesenen Maßnahmen bestätigen:

Ein durchgängiges Sicherheitskonzept: Informationssicherheit wird von der Softwareentwicklung über Betrieb und Hosting bis zu Support und IT-Dienstleistungen berücksichtigt.

Systematisch definierte Prozesse: Sicherheitsmaßnahmen basieren auf geregelten Abläufen, klaren Verantwortlichkeiten und kontinuierlichen Risikoanalysen.

Technische und organisatorische Maßnahmen: Informationen und Systeme werden durch auf die jeweiligen Risiken abgestimmte Sicherheitsmaßnahmen geschützt.

Regelmäßige Audits und kontinuierliche Verbesserungen: Unser Informationssicherheitsmanagementsystem wird intern überprüft und regelmäßig durch unabhängige Auditoren kontrolliert.

Klare Verantwortlichkeiten beim Cloud-Betrieb: Cloud-spezifische Risiken und die Verteilung von Sicherheitsaufgaben zwischen Anbieter und Kunde werden systematisch berücksichtigt.

Nachvollziehbarer Schutz personenbezogener Daten: Beim Umgang mit personenbezogenen Informationen in Cloud-Diensten werden besondere Anforderungen an sichere, kontrollierte und transparente Prozesse einbezogen

Für unsere Kunden schafft das Transparenz und Vertrauen: Sicherheitsmaßnahmen beruhen nicht allein auf einzelnen technischen Funktionen, sondern sind Bestandteil eines dokumentierten und überprüften Managementsystems.

Informationssicherheit und Qualitätsmanagement sind bei Projektron seit vielen Jahren fest in den Unternehmensprozessen verankert.

Bereits seit 2008 setzen wir auf ein umfassendes Qualitätsmanagementsystem auf Basis der ISO 9001. Dieses begleitet die gesamte Wertschöpfungskette – von der Produktidee über Entwicklung, Tests und Dokumentation bis hin zur Einführung beim Kunden und zum Support.

Im Oktober 2016 beschlossen wir, zusätzlich ein Informationssicherheitsmanagementsystem für die Bereiche Entwicklung, Support, IT-Dienstleistungen und interne IT-Administration aufzubauen.

Die Einführung des ISMS wurde selbst als Projekt mit BCS geplant und gesteuert. Unterstützt wurden wir dabei unter anderem von der secuvera GmbH und der r-tec Security GmbH.

Im Februar 2018 erfolgte die erste erfolgreiche Zertifizierung nach ISO 27001 durch die TÜV SÜD AG.

Im November 2021 folgte die erste Rezertifizierung.

2024 wurde unser Informationssicherheitsmanagementsystem durch den TÜV Rheinland nach ISO/IEC 27001:2013 rezertifiziert.

Im ersten Quartal 2025 erfolgte anschließend die Zertifizierung nach der überarbeiteten Norm ISO/IEC 27001:2022.

Mit dem aktuellen Audit 2026 wird dieser Weg fortgesetzt. Erstmals weist das Zertifikat dabei zusätzlich Maßnahmen zur ISO/IEC 27017:2015 und zur ISO/IEC 27018:2019 aus.

Damit hat sich unser Informationssicherheitsmanagement über die Jahre kontinuierlich weiterentwickelt: von der grundlegenden Einführung eines ISMS über regelmäßige Rezertifizierungen bis hin zu einem stärkeren Fokus auf Cloud-Sicherheit und den Schutz personenbezogener Informationen.

Ein wesentlicher Bestandteil unseres Informationssicherheitsmanagementsystems ist das Risikomanagement. Mögliche Risiken werden identifiziert, hinsichtlich ihrer Wahrscheinlichkeit und ihrer möglichen Auswirkungen bewertet und anschließend durch geeignete Maßnahmen behandelt.

Dabei verändern sich die Rahmenbedingungen kontinuierlich. Neue Technologien, Cloud-Dienste, organisatorische Veränderungen oder neue Angriffsmethoden können auch neue Risiken mit sich bringen. Unser ISMS wird deshalb regelmäßig überprüft und an veränderte Anforderungen angepasst.

Schulungen und Sensibilisierung

Technische Sicherheitsmaßnahmen allein reichen nicht aus. Auch Mitarbeiter spielen eine entscheidende Rolle bei der Informationssicherheit. Deshalb gehören regelmäßige Schulungen und Sensibilisierungsmaßnahmen zu unserem Informationssicherheitsmanagement.

Neue Mitarbeiter werden bereits während ihrer Einarbeitung mit relevanten Sicherheitsanforderungen vertraut gemacht. Bestehende Mitarbeiter erhalten regelmäßig Schulungen und Informationen zu aktuellen Themen und Risiken. Informationssicherheit soll dadurch nicht nur in Richtlinien dokumentiert sein, sondern im täglichen Arbeitsalltag gelebt werden.

Audits und kontinuierliche Verbesserung

Ein zertifiziertes Informationssicherheitsmanagementsystem ist kein abgeschlossener Zustand. Die kontinuierliche Verbesserung gehört ausdrücklich zum Ansatz der ISO/IEC 27001. Interne Prüfungen und externe Audits dienen dazu, bestehende Maßnahmen zu kontrollieren, mögliche Schwachstellen zu erkennen und Verbesserungspotenziale zu identifizieren.

Das aktuelle Zertifikat setzt eine Entwicklung fort, die bei Projektron bereits vor vielen Jahren begonnen hat. Seit der Einführung unseres Informationssicherheitsmanagementsystems und der ersten ISO-27001-Zertifizierung im Jahr 2018 wurde das ISMS regelmäßig überprüft, rezertifiziert und weiterentwickelt.

Die erneute Bestätigung nach ISO/IEC 27001:2022 sowie die zusätzlich ausgewiesenen Maßnahmen zur ISO/IEC 27017:2015 für Cloud-Sicherheit und zur ISO/IEC 27018:2019 für den Schutz personenbezogener Informationen in Cloud-Umgebungen zeigen den nächsten Schritt auf diesem Weg.

Für unsere Kunden bedeutet das: Informationssicherheit ist bei Projektron kein punktuelles Projekt und keine einzelne Produktfunktion. Sie ist Bestandteil eines langfristig etablierten Managementsystems, das Entwicklung, Support, IT-Dienstleistungen und interne IT-Administration umfasst, Risiken kontinuierlich bewertet und regelmäßig unabhängig überprüft wird.