Häufige Fragen zur VdS 10000

Die VdS 10000 ist grundsätzlich für Unternehmen und Organisationen jeder Größe geeignet, die ihre Informationssicherheit systematisch organisieren und durch eine unabhängige Zertifizierung nachweisen möchten.

Durch ihren praxisorientierten Ansatz eignet sie sich dabei auch besonders gut für kleine und mittlere Unternehmen. Sie ermöglicht den Aufbau eines strukturierten Informationssicherheitsmanagementsystems (ISMS), ohne dass die Unternehmensgröße selbst ein Ausschlusskriterium darstellt.

Ob die VdS 10000 im konkreten Fall die passende Grundlage ist, hängt vielmehr von den individuellen Rahmenbedingungen ab – beispielsweise von der Organisationsstruktur, der Komplexität der Geschäftsprozesse sowie gesetzlichen, regulatorischen oder vertraglichen Anforderungen.

Ja. Die VdS 10000 ist nicht auf kleine und mittlere Unternehmen beschränkt, sondern grundsätzlich für Unternehmen und Organisationen jeder Größe anwendbar.

Auch größere Unternehmen können auf ihrer Grundlage ein Informationssicherheitsmanagementsystem aufbauen und zertifizieren lassen. Entscheidend ist daher nicht allein die Unternehmensgröße, sondern ob die Anforderungen und der Ansatz der VdS 10000 zur Organisation, ihrer Struktur und ihren jeweiligen Rahmenbedingungen passen.

Insbesondere bei komplexen Unternehmensstrukturen oder besonderen regulatorischen beziehungsweise vertraglichen Anforderungen sollte geprüft werden, welche Anforderungen zusätzlich zu berücksichtigen sind.

Die VdS 10000 macht Informationssicherheit im Alltag handhabbar, indem sich die Schutzmaßnahmen am tatsächlichen Bedarf orientieren: Ein solider Basisschutz gilt für alle relevanten Ressourcen, während zusätzliche Maßnahmen gezielt dort ansetzen, wo ein erhöhter Schutzbedarf besteht. So werden Zeit und Ressourcen dort eingesetzt, wo sie die größte Wirkung entfalten.

Die Zertifizierung durch VdS, eine unabhängige und seit Jahrzehnten anerkannte Prüfinstitution, bestätigt die Erfüllung der Anforderungen der VdS 10000 und schafft Vertrauen bei Kunden, Geschäftspartnern und Versicherern.

Gleichzeitig lassen sich die im Rahmen der VdS 10000 aufgebauten Strukturen später weiterentwickeln, etwa wenn sich Anforderungen, Unternehmensgröße oder regulatorische Rahmenbedingungen verändern.

Ein VdS 10000-Zertifikat bestätigt, dass das Informationssicherheitsmanagementsystem innerhalb des festgelegten Geltungsbereichs erfolgreich auf die Anforderungen der VdS 10000 geprüft wurde.

Im Audit wird die Erfüllung der zugrunde liegenden Richtlinienanforderungen überprüft und in einem Auditbericht bewertet. Nach einem positiven Abschluss erfolgt zusätzlich eine unabhängige Bewertung der Zertifizierungswürdigkeit durch zwei Personen der Zertifizierungsstelle, die nicht selbst am Audit beteiligt waren. Nach positiver Bewertung wird das Zertifikat ausgestellt.

Das Zertifikat bestätigt damit ein geprüftes Managementsystem im definierten Geltungsbereich.

Die VdS 10000 ist eine VdS-Richtlinie und keine internationale Norm wie die ISO/IEC 27001.

Sie enthält konkrete Anforderungen an ein Informationssicherheitsmanagementsystem, deren Erfüllung im Rahmen eines unabhängigen Zertifizierungsverfahrens überprüft werden kann.

Für das Zertifizierungsverfahren selbst gelten ergänzende Verfahrensrichtlinien. Die aktuelle VdS 10002 beschreibt unter anderem Auftrag, Auditierung, Zertifizierungsentscheidung, Überwachung und Re-Zertifizierung.

Die VdS 10000 und die ISO/IEC 27001 verfolgen dasselbe Ziel: den Aufbau und Betrieb eines wirksamen Informationssicherheitsmanagementsystems (ISMS). Beide basieren auf einem systematischen Managementansatz und weisen zahlreiche inhaltliche Gemeinsamkeiten auf.

Beide Regelwerke setzen auf Risikomanagement. Die VdS 10000 beschreibt dabei einen klaren Basisschutz als Ausgangspunkt und lässt Unternehmen gleichzeitig viel Freiheit: Passt eine Maßnahme nicht zur eigenen Situation, kann ein anderer Weg gewählt werden, wenn die daraus entstehenden Risiken nachvollziehbar analysiert und behandelt werden. Für kritische Prozesse und Systeme ist ein strukturiertes Risikomanagement fest vorgesehen. So entsteht ein ISMS, das sich am tatsächlichen Bedarf orientiert und im Alltag handhabbar bleibt.

Die ISO/IEC 27001 ist ein weltweit etablierter internationaler Standard. Die VdS 10000 stellt hierzu eine eigenständige Alternative dar und ist ebenfalls international einsetzbar. Die Richtlinie ist auch in englischer Sprache erhältlich.

Ja. Die VdS 10000 ist eine eigenständige, vollwertige Zertifizierung und für viele Unternehmen dauerhaft der passende Standard.

Falls jedoch zu einem späteren Zeitpunkt eine ISO 27001-Zertifizierung gewünscht oder gefordert wird, bietet ein nach VdS 10000 aufgebautes ISMS eine sehr gute Ausgangsbasis. Viele Elemente, die ein Unternehmen für die VdS 10000 aufbaut, lassen sich deshalb direkt weiter nutzen.

Dazu gehören klare Verantwortlichkeiten, Leitlinien und Richtlinien, die Identifikation kritischer Prozesse und Systeme, ein Risikomanagement nach anerkannten Methoden sowie festgelegte Verfahren, etwa für Sicherheitsvorfälle.
Wer den Weg zur ISO 27001 gehen möchte, beginnt also nicht bei null, sondern baut auf einem gelebten und geprüften ISMS auf. Die zusätzlichen Anforderungen der ISO 27001 können bei Bedarf gezielt ergänzt werden.

Eine kurzfristige Zertifizierung kann grundsätzlich möglich sein, wenn das Informationssicherheitsmanagementsystem bereits vollständig eingeführt ist und alle erforderlichen Unterlagen vorliegen.

Entscheidend sind unter anderem der Reifegrad des Managementsystems, der Umfang der Zertifizierung und die Verfügbarkeit geeigneter Audittermine.

Wir empfehlen daher eine frühzeitige Kontaktaufnahme. So können wir gemeinsam mit Ihnen die Rahmenbedingungen klären und prüfen, in welchem Zeitraum eine Zertifizierung realistisch durchgeführt werden kann.

Die drei Auditarten erfüllen unterschiedliche Aufgaben innerhalb des Zertifizierungsverfahrens.

Erstzertifizierung: Hier wird erstmals umfassend überprüft, ob das Informationssicherheitsmanagementsystem die Anforderungen der VdS 10000 erfüllt. Nach erfolgreichem Abschluss wird das Zertifikat ausgestellt.

Überwachungsaudit: Während der dreijährigen Zertifikatslaufzeit wird regelmäßig überprüft, ob das Managementsystem weiterhin ordnungsgemäß betrieben wird. Dabei wird jeweils ein Teil der Anforderungen auditiert und die Umsetzung gegebenenfalls festgestellter nicht kritischer Abweichungen kontrolliert.

Rezertifizierung: Vor Ablauf des Zertifikats erfolgt eine erneute Überprüfung sämtlicher Anforderungen in Form des Rezertifizierungsaudit. Bei erfolgreichem Abschluss wird die Zertifizierung für einen weiteren Zeitraum erneuert.

Die Dauer einer Zertifizierung nach VdS 10000 hängt von verschiedenen Faktoren ab. Dazu zählen insbesondere die Größe und Struktur des Unternehmens sowie der festgelegte Geltungsbereich.

Als erste Orientierung kann für das Erstzertifizierungsaudit mit etwa zwei Tagen vor Ort gerechnet werden. Je nach Unternehmen kann der tatsächliche Auditaufwand jedoch geringer oder höher ausfallen.

Hinzu kommen die Auditplanung und die abschließende Zertifizierungsentscheidung. Werden im Audit kritische Abweichungen festgestellt, kann sich der Abschluss durch notwendige Korrekturmaßnahmen verlängern.

Der konkrete Auditaufwand wird im Rahmen eines Auditvorgesprächs gemeinsam mit dem zuständigen VdS-Auditor ermittelt und abgestimmt.

Ein VdS-10000-Zertifikat ist in der Regel drei Jahre gültig.

Während dieses Zeitraums finden regelmäßige Überwachungsaudits statt. Sie dienen dazu, die fortlaufende Erfüllung der Anforderungen und die Aufrechterhaltung des Informationssicherheitsmanagementsystems zu überprüfen.

Nach Ablauf der Zertifikatslaufzeit kann die Zertifizierung durch eine erfolgreiche Rezertifizierung für einen weiteren Zeitraum erneuert werden.

Ein VdS-10000-Zertifikat verliert mit Ablauf seiner Gültigkeitsdauer seine Wirksamkeit, sofern die Zertifizierung nicht rechtzeitig erneuert wurde.

Unternehmen, die ihre Zertifizierung ohne Unterbrechung fortführen möchten, sollten deshalb frühzeitig eine Rezertifizierung beauftragen. Der entsprechende Auftrag muss spätestens sechs Monate vor Ablauf des bestehenden Zertifikats bei VdS Cyber-Security vorliegen.

Ist das Zertifikat bereits abgelaufen, kann keine reguläre Rezertifizierung mehr erfolgen. In diesem Fall ist ein neues Erstzertifizierungsverfahren erforderlich.

Bei der Rezertifizierung wird überprüft, ob das bestehende Informationssicherheitsmanagementsystem weiterhin sämtliche Anforderungen der VdS 10000 erfüllt.

Hierzu wird ein erneutes Audit durchgeführt, das gegenüber der Erstzertifizierung in komprimierter Form erfolgt. Dabei werden alle zugrunde liegenden Anforderungen erneut betrachtet. Wie auch bei der Erstzertifizierung, wird das Audit vor Ort durchgeführt.

Das Rezertifizierungsaudit kann frühestens vier Monate vor Ablauf des bestehenden Zertifikats stattfinden. Nach erfolgreichem Abschluss und einer positiven Zertifizierungsentscheidung wird ein neues Zertifikat ausgestellt, dessen Laufzeit möglichst nahtlos an die bisherige Zertifizierung anschließt.

Eine pauschale Zeitangabe ist hier kaum seriös möglich. Wie lange die Einführung eines Informationssicherheitsmanagementsystems (ISMS) nach VdS 10000 dauert, ist von Unternehmen zu Unternehmen sehr unterschiedlich. Entscheidend sind insbesondere bereits vorhandene Strukturen und Sicherheitsmaßnahmen, verfügbare personelle Ressourcen sowie die Priorität, mit der das Projekt vorangetrieben wird.

Die VdS 10000 verfolgt bewusst einen praxisorientierten und flexiblen Ansatz. Das erleichtert die Umsetzung, bedeutet aber nicht, dass ein funktionierendes ISMS ohne entsprechenden Aufwand entsteht. Verantwortlichkeiten, Prozesse und Sicherheitsmaßnahmen müssen festgelegt, umgesetzt und im Unternehmensalltag verankert werden.

Unternehmen mit bereits etablierten Strukturen können dabei auf bestehenden Grundlagen aufbauen. Werden diese erst geschaffen, ist entsprechend mehr Zeit einzuplanen.

Für eine erfolgreiche Zertifizierung muss das Unternehmen ein Informationssicherheitsmanagementsystem eingeführt haben, das die Anforderungen der VdS 10000 erfüllt.

Hierzu gehören insbesondere ein klar definierter Geltungsbereich, festgelegte Verantwortlichkeiten, die erforderliche Dokumentation sowie die praktische Umsetzung der Anforderungen.

Im Vorfeld des Audits bewertet ein VdS-Auditor zunächst anhand des Quick-Checks, ob ein ausreichender Reifegrad für die Zertifizierung grundsätzlich erkennbar ist.

Grundsätzlich ja. Eine Zertifizierung bestätigt ein tatsächlich eingeführtes Informationssicherheitsmanagementsystem und nicht lediglich die Absicht, eines aufzubauen.

Die Anforderungen der VdS 10000 müssen daher zum Zeitpunkt des Audits umgesetzt sein. Dabei genügt es nicht, Maßnahmen ausschließlich zu dokumentieren. Ihre Anwendung muss im Unternehmen auch nachvollziehbar sein.

Das bedeutet allerdings nicht, dass im Audit keinerlei Abweichungen auftreten dürfen.
Einzelne nicht kritische Abweichungen können in der Regel nach der Zertifizierung behoben werden, spätestens jedoch bis zum nächsten Audit.
Kritische Abweichungen müssen hingegen vor einer erfolgreichen Zertifizierung abgestellt werden.

Im Audit überprüfen unsere Auditoren, ob das Informationssicherheitsmanagementsystem die Anforderungen der VdS 10000 erfüllt und im Unternehmen tatsächlich angewendet wird.

Dabei werden sowohl die erforderlichen Dokumentationen und festgelegten Prozesse als auch deren praktische Umsetzung betrachtet. Dies umfasst beispielsweise Verantwortlichkeiten, den Umgang mit Informationssicherheitsrisiken sowie die Umsetzung organisatorischer und technischer Sicherheitsmaßnahmen.

Die Überprüfung erfolgt unter anderem anhand von Gesprächen mit verantwortlichen Personen, der Einsicht in Unterlagen und geeigneten Nachweisen aus dem Unternehmensalltag.

Erstzertifizierungs- und Rezertifizierungsaudits werden grundsätzlich vor Ort im Unternehmen durchgeführt. Unsere Auditoren überprüfen dabei gemeinsam mit den zuständigen Ansprechpartnern die Umsetzung und Anwendung des Informationssicherheitsmanagementsystems.

Neben der Prüfung von Dokumenten und Nachweisen werden Gespräche geführt und relevante Prozesse betrachtet. Ziel ist es, ein nachvollziehbares Bild vom tatsächlichen Umsetzungsstand zu erhalten.

Überwachungsaudits können in der Regel auch remote durchgeführt werden. Dabei erfolgen die Gespräche und die Prüfung geeigneter Nachweise über digitale Kommunikationswege.

Welche Form der Auditierung vorgesehen ist, wird im Rahmen der Auditplanung mit dem Unternehmen abgestimmt.

Bei Unternehmen mit mehreren Standorten hängt der erforderliche Auditaufwand unter anderem von der Anzahl und Struktur der Standorte sowie der Organisation des Informationssicherheitsmanagementsystems ab.

Unter bestimmten Voraussetzungen kann das Multi-Site-Verfahren (Stichprobenverfahren) angewendet werden. Dabei werden mehrere Standorte im Rahmen eines gemeinsamen Zertifizierungsverfahrens betrachtet, ohne dass zwangsläufig jeder Standort bei jedem Audit einzeln überprüft werden muss.

Der konkrete Auditaufwand wird individuell ermittelt und im Rahmen der Auditplanung festgelegt.

Nein. Unter bestimmten Voraussetzungen kann eine Organisation mit mehreren Standorten im sogenannten Multi-Site-Verfahren zertifiziert werden. Dabei müssen nicht bei jedem Audit sämtliche Standorte einzeln auditiert werden. Stattdessen wird eine festgelegte Anzahl von Standorten als Stichprobe ausgewählt. Die Hauptstelle wird immer in die Auditierung einbezogen.

Wie groß diese Stichprobe ist, hängt von der Anzahl der Standorte und der jeweiligen Auditart ab:

• Bei der Erstzertifizierung entspricht die Anzahl der zu auditierenden Standorte der aufgerundeten Quadratwurzel aus der Gesamtzahl der Niederlassungen.
• Bei Überwachungsaudits ist die Stichprobe kleiner. Sie beträgt 60 % der aufgerundeten Quadratwurzel. 
• Bei der Re-Zertifizierung wird grundsätzlich wieder die Stichprobengröße der Erstzertifizierung zugrunde gelegt. Hat sich das Managementsystem während des vorherigen Zertifizierungszyklus als wirksam erwiesen, kann die Stichprobe auf 80 % reduziert werden.

Beispiel: Verfügt ein Unternehmen neben seiner Zentrale über 25 Niederlassungen, werden bei der Erstzertifizierung fünf Standorte sowie die Zentrale auditiert. Bei einem Überwachungsaudit reduziert sich die Stichprobe auf drei Standorte.

Welche Standorte tatsächlich auditiert werden, legt der Auditor im Rahmen der Auditplanung fest. Die Auswahl erfolgt dabei teilweise zufällig und teilweise gezielt anhand fachlicher Kriterien, beispielsweise der Größe, der Tätigkeiten oder der Besonderheiten einzelner Standorte. So entsteht eine möglichst repräsentative Stichprobe, mit der die Wirksamkeit des gemeinsamen Managementsystems überprüft werden kann, ohne jedes Mal sämtliche Standorte auditieren zu müssen.

Die Zertifizierungsaudits werden von qualifizierten Auditorinnen und Auditoren durchgeführt, die über die erforderliche Fachkompetenz und Erfahrung im Bereich Informationssicherheit verfügen.

Die Auditoren bewerten unabhängig und unparteilich, ob die Anforderungen der VdS 10000 erfüllt werden.

Die abschließende Zertifizierungsentscheidung erfolgt durch die VdS-Zertifizierungsstelle und unabhängig von den Personen, die das Audit durchgeführt haben.

Werden während des Audits Anforderungen der VdS 10000 nicht vollständig erfüllt, dokumentiert der Auditor die entsprechenden Feststellungen im Auditbericht.

Dabei wird zwischen kritischen und nicht kritischen Abweichungen unterschieden.

Kritische Abweichungen müssen innerhalb einer festgelegten Frist, in der Regel innerhalb von zwei Monaten, behoben werden. Die Umsetzung der erforderlichen Korrekturmaßnahmen muss gegenüber VdS nachgewiesen werden.

Nicht kritische Abweichungen müssen bis zum nächsten Audit beseitigt werden. Darüber hinaus können die Auditoren Hinweise auf mögliche Verbesserungen geben, ohne dass eine Abweichung vorliegt.

Den Geltungsbereich legt das Unternehmen selbst fest. Es entscheidet, welche Tätigkeiten oder Unternehmensbereiche zertifiziert werden sollen.

Wichtig ist, dass die Abgrenzung eindeutig und nachvollziehbar ist. Dabei müssen auch relevante Abhängigkeiten berücksichtigt werden, beispielsweise gemeinsam genutzte IT-Systeme oder zentrale Dienstleistungen.

Im Rahmen des Zertifizierungsverfahrens prüft VdS, ob der festgelegte Geltungsbereich ausreichend beschrieben und überprüfbar ist.

Nein. Eine Zertifizierung nach VdS 10000 muss nicht zwangsläufig das gesamte Unternehmen umfassen.

Auch einzelne Geschäftsbereiche, Dienstleistungen oder Organisationseinheiten können zertifiziert werden, sofern sie eindeutig abgegrenzt werden können.

Beispielsweise kann ein Unternehmen seine Softwareentwicklung zertifizieren lassen, während ein davon unabhängiger Geschäftsbereich nicht einbezogen wird.

Allerdings müssen alle Standorte und Organisationseinheiten einbezogen werden, die die zum Geltungsbereich gehörenden Prozesse durchführen. Ein beliebiger Ausschluss einzelner Standorte ist nicht möglich.

Ein Geltungsbereich kann grundsätzlich mehrere Standorte umfassen. Auch rechtlich eigenständige Gesellschaften können unter geeigneten Voraussetzungen in ein gemeinsames Zertifizierungsverfahren einbezogen werden.

Eine wichtige Voraussetzung für eine gemeinsame Zertifizierung ist, dass die betreffenden Organisationseinheiten einem gemeinsamen Informationssicherheitsmanagementsystem unterliegen.

Insbesondere bei rechtlich eigenständigen Gesellschaften muss sichergestellt sein, dass die Vorgaben des gemeinsamen ISMS verbindlich umgesetzt und durchgesetzt werden können. Hierfür müssen klare Verantwortlichkeiten sowie wirksame und verbindliche Durchsetzungs- und Steuerungsmöglichkeiten bestehen.

Eine gemeinsame Konzernzugehörigkeit allein reicht deshalb nicht aus.

Nicht unbedingt. Hier muss zwischen dem Geltungsbereich der Zertifizierung und der tatsächlichen Auditierung unterschieden werden.

Zum Geltungsbereich gehören alle Standorte, an denen die erfassten Prozesse durchgeführt werden. Diese Standorte können nicht beliebig ausgeschlossen werden.

Bei der Auditierung kann jedoch unter bestimmten Voraussetzungen das sogenannte Multi-Site-Verfahren angewendet werden. Dabei werden neben der zentralen Organisationseinheit ausgewählte weitere Standorte auditiert, anstatt jeden Standort einzeln vor Ort zu überprüfen.

Auch wenn nicht jeder Standort auditiert wird, müssen die Anforderungen der VdS 10000 an allen einbezogenen Standorten erfüllt sein.

Beide Richtlinien verfolgen das Ziel, Informationssicherheit systematisch und praxisnah umzusetzen. Sie unterscheiden sich jedoch in ihrer Ausrichtung.

Die VdS 10000 beschreibt die Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) und ist unabhängig von einer gesetzlichen NIS-2-Betroffenheit für Unternehmen jeder Größe anwendbar.

Die VdS 10100 wurde speziell im Hinblick auf die gesetzlichen Anforderungen aus NIS-2 entwickelt. Sie baut auf den Strukturen und Maßnahmen der VdS 10000 auf und ergänzt beziehungsweise erweitert diese um entsprechende Anforderungen.

Beide Richtlinien sind Grundlage einer unabhängigen VdS-Zertifizierung.
 

Ja. Die VdS 10100 baut auf der VdS 10000 auf. Viele der bereits eingeführten Strukturen, Prozesse und Sicherheitsmaßnahmen können deshalb auch für die Umsetzung der VdS 10100 genutzt werden.

Unternehmen mit einem bestehenden ISMS nach VdS 10000 müssen somit nicht von vorne beginnen, sondern können auf ihrer bisherigen Arbeit aufbauen und die zusätzlich erforderlichen Anforderungen integrieren.

Für eine Zertifizierung nach VdS 10100 müssen jedoch sämtliche Anforderungen dieser Richtlinie erfüllt und entsprechend geprüft werden.

Ja. Gerade für Unternehmen mit einer bestehenden ISO-27001-Zertifizierung kann die VdS 10100 eine interessante Ergänzung sein.

Eine ISO-27001-Zertifizierung kann sich auf einen definierten Teil des Unternehmens beziehen, beispielsweise auf bestimmte Dienstleistungen oder Geschäftsbereiche. Die gesetzlichen NIS-2-Anforderungen lassen sich dagegen nicht durch eine solche freiwillige Begrenzung des Zertifizierungsgeltungsbereichs einschränken.

Die VdS 10100 verfolgt deshalb einen organisationsweiten Ansatz. Unternehmen können ihre bestehende ISO-27001-Zertifizierung mit unverändertem Geltungsbereich fortführen und zusätzlich die organisationsweite Umsetzung der VdS 10100 zertifizieren lassen.

Bereits vorhandene Strukturen und Sicherheitsmaßnahmen können dabei weitergenutzt werden. So lassen sich unterschiedliche Zertifizierungsanforderungen miteinander verbinden, ohne den bisherigen ISO-27001-Geltungsbereich zwangsläufig erweitern zu müssen.

Beide Richtlinien verfolgen einen Managementsystemansatz und weisen zahlreiche inhaltliche Gemeinsamkeiten auf. Eine gleichzeitige Zertifizierung ist deshalb nicht grundsätzlich erforderlich oder sinnvoll.

Die VdS 10000 bietet eine eigenständige Grundlage für ein praxisorientiertes Informationssicherheitsmanagementsystem. Die VdS 10100 ist speziell auf die strukturierte Umsetzung von NIS-2-Anforderungen ausgerichtet und berücksichtigt dabei einen organisationsweiten Ansatz.

Ob eine Zertifizierung nach beiden Richtlinien einen zusätzlichen Nutzen bietet, hängt von den jeweiligen Anforderungen und dem konkreten Anwendungsfall ab.

Nein. Eine Zertifizierung nach VdS 10000 allein reicht nicht aus, um die besonderen gesetzlichen Anforderungen an Betreiber kritischer Anlagen (KRITIS) zu erfüllen.

Für diese gelten zusätzliche Anforderungen, insbesondere nach dem BSI-Gesetz. Dazu gehören beispielsweise besondere Sicherheitsmaßnahmen und der gesetzlich vorgeschriebene Nachweis ihrer Umsetzung.

Ein Informationssicherheitsmanagementsystem nach VdS 10000 kann hierfür eine Grundlage bilden, ersetzt jedoch weder die zusätzlichen Anforderungen noch die gesetzlich vorgesehenen Nachweise.

Mit den Anforderungsrichtlinien werden die Kriterien beschrieben, die zum Erreichen einer Qualifikation (z. B. Zertifikat, Testat, Anerkennung) erfüllt sein müssen. Unterteilt in verschiedene Abschnitte enthalten sie die konkreten Anforderungen, die es in der Organisation umzusetzen gilt. Einige Richtlinien unterscheiden MUSS- und SOLLTE-Anforderungen, wobei letztere nicht in die Bewertung des Ist-Zustandes während einer Auditierung eingehen, aber Empfehlungscharakter besitzen. Sie erkennen die Anforderungsrichtlinien zur Cyber-Security daran, dass deren fünfstellige Nummer auf eine Null oder Fünf endet.

Mit den Verfahrensrichtlinien wird der Weg beschrieben, wie der Nachweis einer Qualifikation erlangt werden kann, also der praktische Ablauf von der Auftragserteilung über die eigentliche Prüfung/Auditierung bis hin zur Ausstellung der jeweiligen Urkunde. Diese Richtlinien werden VdS-intern von der jeweils zuständigen Fachabteilung erstellt und kostenfrei zur Verfügung gestellt.

Die VdS 10000 kann grundsätzlich eigenständig durch das Unternehmen umgesetzt werden. Die Beauftragung eines externen Beraters ist weder für die Einführung des Informationssicherheitsmanagementsystems noch für die anschließende Zertifizierung vorgeschrieben.

Entscheidend ist, dass die Anforderungen der Richtlinie vollständig umgesetzt werden und das Unternehmen deren Anwendung nachweisen kann.

Ob externe Unterstützung sinnvoll ist, hängt insbesondere von den vorhandenen Fachkenntnissen und personellen Ressourcen ab.

Für Unternehmen, die Unterstützung bei der Einführung ihres Informationssicherheitsmanagementsystems benötigen, stehen qualifizierte externe Berater zur Verfügung.

VdS bietet hierfür ein eigenes Anerkennungsverfahren für Cyber-Security-Berater an. VdS-anerkannte Berater haben ihre fachliche Qualifikation nachgewiesen und verfügen über Kenntnisse der VdS 10000 und ihrer praktischen Umsetzung. Ein entsprechendes Beraterverzeichnis ist auf der VdS-Webseite verfügbar.

Ergänzend bietet das VdS-Bildungszentrum Schulungen und Lehrgänge zur Informationssicherheit und zur VdS 10000 an.

Die Zertifizierung selbst erfolgt unabhängig und unparteilich. Eine individuelle Beratung zur Umsetzung des Managementsystems findet im Rahmen des Zertifizierungsverfahrens nicht statt.

Der VdS Quick-Check ist ein webbasiertes Werkzeug, mit dem Unternehmen eine erste Einschätzung zum Stand ihrer Informationssicherheit erhalten können.

Anhand von 39 Fragen werden verschiedene Themenbereiche der Informationssicherheit betrachtet. Die automatisierte Auswertung zeigt den aktuellen Stand und mögliche Handlungsfelder auf. Die Ergebnisse können anschließend in einem PDF-Bericht dokumentiert werden.

Der Quick-Check eignet sich insbesondere für eine erste Bestandsaufnahme und als Grundlage für die weitere Vorbereitung auf eine Zertifizierung.

Da die Bewertung auf den eigenen Angaben des Unternehmens beruht, ersetzt der Quick-Check jedoch keine unabhängige Prüfung.

Ein Unternehmen ist grundsätzlich dann bereit für eine Zertifizierung, wenn die Anforderungen der VdS 10000 umgesetzt sind und deren Anwendung nachvollziehbar nachgewiesen werden kann.

Der VdS Quick-Check bietet hierfür eine erste Orientierung. Vor dem eigentlichen Zertifizierungsaudit führt VdS außerdem eine Reifegradprüfung anhand der eingereichten Unterlagen und weiterer Unternehmensinformationen durch.

Dabei wird bewertet, ob die Voraussetzungen für die Durchführung des Zertifizierungsaudits gegeben sind.

Eine gute Vorbereitung besteht vor allem darin, sicherzustellen, dass das Informationssicherheitsmanagementsystem im Unternehmensalltag tatsächlich funktioniert.

Hierzu sollten insbesondere die erforderlichen Dokumentationen aktuell, die Verantwortlichkeiten klar geregelt und die Umsetzung der Sicherheitsmaßnahmen nachvollziehbar sein.

Auch die am Audit beteiligten Mitarbeiter sollten ihre jeweiligen Aufgaben und Verantwortlichkeiten kennen. Relevante Unterlagen und Nachweise sollten für die Auditoren verfügbar sein.

Ein gesondertes Audittraining ist nicht vorgeschrieben. Entscheidend ist die tatsächliche Umsetzung der Anforderungen.