Darf ein Nachweis mehrere Kundenmandate abdecken?

Nur wenn Inhalt, Zeitraum und Geltungsbereich tatsächlich passen und eine Weitergabe zulässig ist. Wiederverwendung ist keine pauschale Freigabe.

ISO-27001-Software für IT-Dienstleister: Kundenfragen schneller beantworten

Ein Kunde fragt, wie ihr privilegierte Zugänge kontrolliert. Der nächste möchte den Nachweis für die ausgelagerte Betriebsleistung. Der dritte hat einen eigenen Fragebogen. Wenn ihr jedes Mal neue Ordner zusammenstellt, wird Sicherheit zum Engpass im Vertrieb und im Betrieb.

Für IT-Dienstleister muss ISO-27001-Software Kundenfragen mit der erbrachten Leistung verbinden. Ein Offboarding-Test über eigene und kundenseitige Zugänge zeigt, ob Zuständigkeiten und Nachweise zusammenpassen.

Euer eigenes ISMS ist nicht das ISMS des Kunden

Trennt drei Situationen: Ihr schützt die eigene Organisation, betreibt einen Dienst für Kunden oder unterstützt Kunden beim Aufbau ihres ISMS. Daraus entstehen unterschiedliche Anforderungen an Scope, Rollen und Datenzugriff.

Ein Nachweis für euren internen Helpdesk ist nicht automatisch ein Nachweis für den administrativen Zugriff auf eine Kundenumgebung. Auch wenn dieselben Mitarbeitenden beteiligt sind, unterscheiden sich Verantwortlichkeit und Leistungsumfang.

Bei mehreren Kundenmandaten müsst ihr außerdem die Zugriffstrennung testen: Suche, Downloads und verknüpfte Objekte dürfen fremde Informationen nicht offenlegen. Ein sichtbarer Mandantenfilter allein beweist diese Trennung nicht.

Vom Service zur passenden Antwort

Nehmt einen konkreten Managed Service. Dokumentiert, welche Systeme ihr betreibt, was der Kunde selbst entscheidet und welche Unterauftragnehmer beteiligt sind. Daraus ergeben sich die Maßnahmen, deren Nachweise ihr später tatsächlich benötigt.

Kopexa bietet Organisations- und Space-Strukturen sowie Informationswerte, Assets, Risiken und Maßnahmen. Nachweise bleiben an der Umsetzung; Maßnahmen lassen sich auf relevante Controls mappen. Das hilft bei der Wiederverwendung geeigneter Nachweise, ohne ihre Gültigkeit auf andere Services auszudehnen.

Für die Einführung ist wichtig, diese Leistungssicht zu erhalten. Importiert nicht nur eine alte Kontrollliste, sondern prüft, welche Kundenleistung die jeweilige Umsetzung schützt.

Der Offboarding-Test zeigt die tatsächliche Tiefe

Ein Administrator verlässt das Unternehmen. Testet den Ablauf für das eigene Unternehmen und zwei Kunden mit unterschiedlichen Zuständigkeiten.

Zugang	Wer setzt um?	Was muss der Abschluss belegen?
Eigene Administrationssysteme	Euer Betrieb	Entzug der betroffenen Zugänge
Vom Kunden verwalteter Zugang	Verantwortliche Person beim Kunden	Bestätigte Umsetzung beim Kunden
Gemeinsamer Notfallzugang	Zuständige Betriebsrollen	Geregelte Änderung und verbleibende Zugriffsmöglichkeit

Ein BPMN-Prozess kann diese Übergaben in Kopexa sichtbar machen. Die Nachweise zu den Maßnahmen zeigen anschließend, welche Teile abgeschlossen sind. Eine erledigte interne Aufgabe darf die fehlende Kundenbestätigung nicht verdecken.

Verwendet bereinigte Testdaten und prüft mit eingeschränkten Benutzerkonten. Das Ergebnis sollte erklären, welche Restzugänge noch bestehen und wer ihre Klärung übernimmt.

Was ein realer Kundenfall beitragen kann

CSN Solutions nutzt Kopexa für sein ISMS. Der Re-Zertifizierungsbericht zu ISO 27001:2022 nennt die Bereitstellung von Kopexa zur Dokumentation von Compliance und Risikomanagement als Stärke. Die Case Study zeigt, wie der IT-Dienstleister seine bestehende Sicherheitsarbeit damit organisiert. Anforderungen und Controls der Norm findet ihr in unserer ISO 27001 Übersicht.

Für euren eigenen Test bleiben Serviceumfang und Zuständigkeitsgrenzen entscheidend. Wenn ein externer ISB mitarbeitet, prüft außerdem die Zusammenarbeit und spätere Übergabe: Die Informationen müssen bei euch nutzbar bleiben.

Das Auswahlziel: Kundenfragen beantworten, ohne den Betrieb anzuhalten

Eine passende Lösung erspart nicht jede individuelle Antwort. Sie verkürzt die Suche nach der belastbaren Grundlage und zeigt, wo eine Aussage noch nicht getragen ist. Bringt dafür einen wiederkehrenden Kundenfragebogen und einen bereinigten Servicefall in Kopexas begleitete Testphase mit.