Sicherheit ist kein Zertifikat. Es ist ein Designprinzip.
ISO 27001:2022 ist kein Ordner im Regal. Bei Bright IT ist Sicherheit ein zentraler Bestandteil jeder Architekturentscheidung, jedes Deployments und jedes Kundengesprächs.
Was ISO 27001:2022 bedeutet – und warum :2022 wichtig ist
Die meisten Agenturen erwähnen 'ISO 27001'. Wenige haben auf :2022 aktualisiert.
ISO/IEC 27001 ist der internationale Standard für Information Security Management Systems (ISMS). Er definiert einen systematischen Rahmen für die Identifikation, Bewertung und Behandlung von Informationssicherheitsrisiken – nicht als einmalige Übung, sondern als kontinuierlicher Prozess mit jährlichen externen Audits.
Die 2022-Revision des Standards ist keine kosmetische Aktualisierung. Sie bringt 11 neue Controls, restrukturiert die Risikobehandlung und berücksichtigt moderne Bedrohungsszenarien wie Cloud-native Infrastruktur, Threat Intelligence und physische Sicherheit in hybriden Arbeitsumgebungen.
Bright IT hat die Migration auf ISO 27001:2022 aktiv abgeschlossen und nicht abgewartet, bis die Übergangsfristen ablaufen. Für unsere Kunden bedeutet das: Ihr arbeitet mit einem Partner, dessen Sicherheitsprozesse dem aktuellen Stand der Norm entsprechen – nicht dem Stand von 2013.
Sicherheit in der Praxis: sechs Dimensionen
Wie ISO 27001:2022 konkret in unsere Arbeit einfliesst – jenseits des Zertifikats.
Zugriffskontrollen in jeder Architektur
Principle of Least Privilege ist kein Nice-to-have in unseren Architekturen – es ist ein Standardelement. Jede Rolle, jeder Service, jeder API-Key bekommt genau die Rechte, die er braucht, und keine mehr. Identity and Access Management ist Bestandteil jedes Architecture Reviews.
Sicherheit in CI/CD und IaC
Unsere Infrastructure-as-Code-Deployments und CI/CD-Pipelines integrieren Security Scanning, Secret Management und auditierbare Deployment-Logs als Standard. Sicherheitsprüfungen finden nicht nach dem Deployment statt – sie sind Teil des Build-Prozesses.
Datenverschlüsselung und sicheres Hosting
Data at Rest und In Transit sind standardmäßig verschlüsselt. Hosting-Entscheidungen werden unter Berücksichtigung von Datenschutzanforderungen getroffen – EU-Rechenzentren als Default, keine Drittlandsübertragungen ohne explizite Begründung und Dokumentation.
Jährliche externe Audits
ISO 27001 ist keine Selbsterklärung. Unsere Zertifizierung wird jährlich durch eine akkreditierte externe Stelle auditiert und re-zertifiziert. Die Auditberichte stehen qualifizierten Geschäftspartnern im Rahmen eines NDAs zur Verfügung.
Incident Response Prozess
Wir haben dokumentierte Incident-Response-Prozesse für Sicherheitsvorfälle, die die Anforderungen von DSGVO Art. 33 (72-Stunden-Meldepflicht bei Datenpannen an Aufsichtsbehörden) und Art. 34 (Benachrichtigung Betroffener) berücksichtigen.
DPA und Auftragsverarbeitung
Für Projekte, bei denen Bright IT als Auftragsverarbeiter personenbezogener Daten handelt, stellen wir einen DSGVO-konformen Auftragsverarbeitungsvertrag (AVV/DPA) bereit. Die Vorlagen sind ISO-27001-auditiert und können auf Anfrage zur Verfügung gestellt werden.
Was euer Legal- und Procurement-Team wissen will
Vier Fragen, die regelmässig in Vendor-Assessments auftauchen – mit direkten Antworten.
Bright IT hält die ISO/IEC 27001:2022-Zertifizierung für Information Security Management. Die Zertifizierung wird jährlich durch eine akkreditierte externe Zertifizierungsstelle auditiert. Das aktuelle Zertifikat, der Geltungsbereich (Scope) und der Name der Zertifizierungsstelle können auf Anfrage zur Verfügung gestellt werden. Wir haben die Migration auf die :2022-Revision des Standards aktiv und vor Ablauf der Transition-Deadline abgeschlossen.
Die Implementierung von ISO 27001 bei Bright IT hat uns einen mehrdimensionalen Ansatz zur Cloud-Sicherheit gelehrt. Auf Details kommt es an – jeder potenzielle Angriffsvektor in einer Infrastruktur muss gesichert sein. Ein Angreifer braucht nur einen einzigen Ansatzpunkt.
Was unsere Zertifizierung für euer Unternehmen bedeutet
Für euer Vendor Risk Management
Ein ISO 27001:2022-zertifizierter Dienstleister vereinfacht euer internes Vendor-Risk-Assessment erheblich. Die Zertifizierung deckt die wesentlichen Sicherheitsanforderungen ab, die in Standard-Vendor-Fragebögen – wie SIG, CAIQ oder unternehmensspezifischen Formularen – gestellt werden. Wir können Nachweise, Scope-Dokument und relevante Control-Dokumentation auf Anfrage zur Verfügung stellen, um euren Genehmigungsprozess zu beschleunigen.
Für eure eigene Compliance-Posture
Wenn ihr selbst ISO 27001, NIS2 oder branchenspezifische Compliance-Anforderungen erfüllen müsst, ist die Auswahl zertifizierter Dienstleister ein Baustein eurer eigenen Compliance-Nachweisführung. Als euer Auftragsverarbeiter tragen wir zu eurer Lieferkettensicherheit bei – dokumentiert, auditiert und mit klaren vertraglichen Grundlagen. Das reduziert euren Erklärungsaufwand gegenüber eigenen Auditoren und Aufsichtsbehörden.
Endlich ein Partner, dem ihr mit Nachweisen nicht hinterherlaufen müsst.
Die meisten Unternehmen verbringen Wochen damit, Lieferanten nach Zertifikaten, Auditberichten und AVV-Vorlagen zu fragen. Bei uns liegt all das bereit. ISO 27001:2022-zertifiziert, jährlich auditiert, EU-basiert – und euer Procurement-Team bekommt direkte Antworten, ohne Ticket-Warteschlange.
