Wettbewerbsfaktor: Auditiert ISOtonisch – Normen und Zertifikate helfen fit zu bleiben

Anbieter zum Thema

gridscale GmbH

Rosenberger-OSI GmbH & Co. OHG

Fujitsu Technology Solutions GmbH

Schwarz IT KG

Unternehmen können mithilfe von Zertifikaten die Einhaltung von Richtlinien bestätigen; das schafft Vertrauen und Transparenz für Kund:innen. Henrik Hasenkamp, CEO von Gridscale, arbeitet für die Zertifizierung seines Unternehmens mit dem Auditor Euroconsult zusammen und erklärt in diesem Gastbeitrag gemeinsam mit Berater und Lead Auditor Sascha von Nethen, welche Vorteile Zertifizierungen bringen und was mit den dafür notwendigen Audits einhergeht.

Je weiter die Digitalisierung voranschreitet, je globaler die Märkte werden, desto größer werden auch die Herausforderungen für Unternehmen, aber auch die Chancen, insbesondere für den deutschen Mittelstand. Zertifizierungen haben in dieser globalisierten Welt einen hohen Stellenwert. Vor allem für die Bereiche Nachhaltigkeit und Cybersecurity spielen sie eine große Rolle.

Doch zunächst einmal stellen Zertifizierungen und die damit einhergehenden Audits für viele Unternehmen eine Belastung dar und unterbrechen den Arbeitsalltag. Die Daten, die für ein Audit benötigt werden, liegen oft nicht unmittelbar vor. Die betroffenen Abteilungen müssen dann händisch nach den Informationen suchen, die die Prüfer benötigen. Das kostet Zeit und Geld.

Aber dennoch lohnen sich die Audits, und zwar sehr. Insbesondere für mittelständische Unternehmen steigt der Wert von Zertifizierungen: Sie sind wichtig, um auch in Zukunft wettbewerbsfähig zu bleiben.

Der Blaue Engel für Rechenzentren

Umweltbundesamt: „Wir wollen die Besten der Besten auszeichnen“

Ein weltweiter Standard für Rechenzentren = belastbare Basis für Vergleichbarkeit

Was ist revolutionär, neu und bekannt an der ISO/IEC 22237?

Herausforderungen und Abhilfe

Wie setzt man die KRITIS-Verordnung sicher und gesetzeskonform um?

Die Einhaltung der ISO-Normen 14001 und 27001 beispielsweise, die Umweltmanagement beziehungsweise Informationssicherheit regeln, ist bereits heute ein wichtiger Faktor, um auf dem Markt konkurrenzfähig zu bleiben. Insbesondere staatliche Organisationen achten bei der Auswahl ihrer Dienstleister auf den Nachhaltigkeitsaspekt: Viele Behörden verlangen zum Beispiel, dass der Dienstleister seinen CO₂-Fußabdruck misst und meldet.

Zertifikate erleichtern dieses Verfahren deutlich. Sie verbriefen dem Unternehmen – allgemein anerkannt – dass es bestimmte Standards erfüllt, Verfahren durchführt oder Kriterien einhält. Meist beziehen sich sogar Gesetze auf ISO-Normen. Ein zertifiziertes Unternehmen kann sich also auch rechtlich in Sicherheit wiegen und das Risiko von Bußgeldern senken.

Gut für die Umwelt, gut für den Umsatz

Ab 2024 verschärft sich in Deutschland die Nachweispflicht in puncto Nachhaltigkeit. Unternehmen in allen Wirtschaftsbereichen müssen dann nachweisen, wie umweltverträglich ihr Geschäft läuft. Zunächst müssen nur Unternehmen von öffentlichem Interesse mit mehr als 500 Mitarbeiter:innen einen Nachhaltigkeitsbericht abliefern, ab 2025 dann auch alle bilanzrechtlich großen Unternehmen.

Für mittelständische Unternehmen am Kapitalmarkt gibt es allerdings die Möglichkeit, die Nachweispflicht bis 2026 aufzuschieben. Bei dieser Nachweispflicht können Audits und die darauf folgenden Zertifizierungen die Arbeit vereinfachen. Quasi zwangsweise müssen Unternehmen ihre Prozesse dokumentieren, konsolidieren und gegebenenfalls optimieren – und diese danach beibehalten.

Durch die Zertifizierung steigt aber nicht nur die Attraktivität im Wettbewerb. Optimierte Prozesse bilden auch die Grundlage für effizientes Wirtschaften – Durch Nachhaltigkeit können zum Beispiel viele Kosten eingespart werden: Wer auf seinen Stromverbrauch achtet und nachhaltig heizt, bekommt am Ende eine geringere Energierechnung. Auch hohe Standards bei der Informationssicherheit wiegen nicht nur Kund:innen in Sicherheit, sie schützen auch das Unternehmen vor Angriffen auf ihre IT.

Zehn Ziffern zählen: 14001 und 27001

Zwei besonders wichtige Zertifikate sind die der bereits genannten ISO-Normen 14001 und 27001, besonders für SaaS-, PaaS- und Cloud-Provider.

Die ISO 27001 regelt unter anderem, welche Verantwortung beim Provider und welche beim Kunden liegt. Anhand ihrer können Unternehmen zum Beispiel eine Checkliste erstellen, sich mit dem Kunden über die Einhaltung der Richtlinie abstimmen und Verantwortlichkeiten klar abgrenzen. So ist von vornherein geregelt, wer welche Daten schützen muss und wer bei Sicherheitsvorfällen welche Maßnahmen ergreifen muss. Insgesamt hilft die ISO 27001 so beiden Seiten, die Resilienz gegenüber Cyber-Attacken zu erhöhen, Bedrohungslagen zu erkennen und dementsprechend zu handeln.

Die ISO 14001 legt ein besonderes Augenmerk auf die Art und Weise, wie ein Unternehmen seine Nachhaltigkeitsziele erreichen will. Mit ihr wird ein entsprechendes Management-System nach dem PDCA-Schema (Plan-Do-Check-Act) etabliert. Für das Unternehmen wird so eine Struktur geschaffen, mit der es selbstgesteckte Umweltziele erreichen kann.

Für Serverfarmen kann das beispielsweise bedeuten, die Hardware nicht mehr als notwendig zu kühlen, Abwärme zu nutzen oder digitale Prozesse so zu vereinfachen, dass weniger Rechenleistung benötigt wird. Mülltrennung und die Frage nach umweltfreundlichen Transportmitteln auf dem Weg zur Arbeit gehören natürlich auch dazu, aber am meisten lässt sich bei internen Prozessen einsparen.

Dazu kommt: mit einem einzigen Audit und einem Zertifikat im Archiv ist es nicht getan. Zertifizierungen helfen auch dabei, die Änderungen im Unternehmen beizubehalten und stetig zu verbessern, „am Ball zu bleiben”. Beispielsweise sind bei der ISO 27001 regelmäßige Audits verpflichtend. Oft gehen die Compliance-Verfahren auch mit Fortbildungen für Mitarbeiter:innen einher. So wird nicht einfach nur ein neues Schema übergestülpt, sondern die entsprechenden Prozesse integriert und in Kooperation an die Belegschaft weitergegeben.

Der Aufwand entschädigt sich selbst

Zertifizierungen können ein Unternehmen also voranbringen – und ein mehr oder weniger aufwändiges Audit ist das deutlich kleinere Übel im Vergleich zu den Chancen, die man ohne verpasst. Und mit einer guten Vorbereitung ist der Aufwand des Audits eher gering. Wenn Unternehmen die notwendige Arbeit einkalkulieren, können sie die Unterbrechung im Tagesgeschäft leicht abfedern.

Bereits im Voraus sollten die entsprechenden Personen benannt und beauftragt werden, um die Prozesse zu dokumentieren. Die Verantwortlichen können dann auch im Rahmen des Audits zum Beispiel für Interviews zur Verfügung stehen. Alles in Allem ist eine gute Dokumentation der Schlüssel: Liegen die benötigten Daten vor, müssen sie nicht erst gesucht und zusammengetragen werden. Sobald das Audit startet, hält sich der Aufwand dann in Grenzen.

Zertifizierungen sollten für Unternehmen in erster Linie ein strategisches Ziel darstellen. Ein starker Partner, wie im Fall von Gridscale Euroconsult, kann dabei helfen, diese Strategie von Anfang an richtig zu planen und zielgerichtet umzusetzen. Denn nur neue Prozesse einzuführen oder alte zu optimieren, ist nicht allein die Lösung.

Stattdessen müssen die entsprechenden Themen auch in der Unternehmenskultur verankert werden (Ein neuer Prozess verhindert zum Beispiel nicht, dass Mitarbeiter:innen auf Phishing-Mails hereinfallen oder unbekannte Dateien aus Anhängen herunterladen). Dazu zählt auch, dass die notwendigen finanziellen und personellen Ressourcen zur Verfügung gestellt werden, um Spezialisten für die Zertifizierung, die Umsetzung und die Integration einzustellen oder auszubilden. Im besten Fall sollten die entsprechenden Änderungen schon etwa ein Jahr vor dem Audit erfolgreich laufen.

Im Falle der Zusammenarbeit zwischen Gridscale und Euroconsult spielt besonders der persönliche Aspekt eine wichtige Rolle: Trotz oder gerade wegen der Kontaktbeschränkungen durch die Pandemie nehmen beide Partner sich viel Zeit für den persönlichen Austausch über Videotermine und Telefonate, Fragen werden nicht per E-Mail sondern jederzeit unkompliziert im persönlichen Gespräch geklärt. So konnte der Zertifizierer Euroconsult selbst in den Zeiten der Lockdowns jederzeit gut einschätzen, was das Gridscale -eam beschäftigte, während das Team selbst sich durch die persönliche Betreuung gut aufgehoben fühlen konnte.

(ID:49033011)