Für Managed-IT- und Softwareanbieter bedeutet Geschäftskontinuität, die Dienste ihrer Kunden am Laufen zu halten und deren Daten zu schützen – und dies auch nachweisen zu können. Wenn Sie die Infrastruktur und Daten anderer Organisationen verwalten, ist Ihre Geschäftskontinuität auch deren Geschäftskontinuität, und Ihre Nachweise schaffen Vertrauen.
Ein resilienter Anbieter kann vier Dinge tun:
- Erwarten die Sicherheits-, Datenschutz- und KI-Risiken, die sich bis zu den Kunden auswirken
- Standhalten Vorfälle, ohne dass der Kundendienst mitgerissen wird
- Entspannung Multi-Tenant-Systeme und Daten schnell und sauber
- Anpassen da die Sorgfaltspflichten gegenüber Kunden und die Regulierung immer weiter zunehmen
Warum unterscheidet sich Resilienz bei IT- und Softwareanbietern?
Weil Sie als Drittpartei das Risiko für alle anderen Drittparteien tragen. Ein einzelner Vorfall bei einem Managed-Service-Provider oder SaaS-Anbieter kann sich kaskadenartig auf Hunderte von Kunden auswirken. Genau deshalb prüfen Aufsichtsbehörden und Käufer Anbieter heutzutage so genau. Ihre Kunden werden zunehmend keine Verträge mehr abschließen, ohne den Nachweis Ihrer Resilienz zu erbringen, und die Aufsichtsbehörden beziehen Anbieter direkt in ihren Zuständigkeitsbereich ein. Da Sie auch in die Lieferketten Ihrer Kunden eingebunden sind, sollten die Fragen, die diese Ihnen stellen, auch an Ihre eigenen Anbieter gerichtet werden – insbesondere im Hinblick auf die Resilienz der Lieferkette.
Starten Sie Ihre kostenlose Testversion
Möchten Sie erkunden?
Melden Sie sich noch heute für Ihre kostenlose Testversion an und nutzen Sie alle Compliance-Funktionen, die ISMS.online zu bieten hat
Was erwarten Kunden und Regulierungsbehörden von Anbietern?
Die Anforderungen steigen von beiden Seiten: Kunden fordern Zertifizierungen, bevor sie kaufen, und Regulierungsbehörden verpflichten Anbieter zu denselben Resilienzmaßnahmen wie die Unternehmen, die sie bedienen.
| Erwartung | Was es abdeckt | Warum das für Anbieter wichtig ist |
|---|---|---|
| ISO 27001 | Ein zertifizierbares Informationssicherheitsmanagementsystem | Das grundlegende Vertrauenssignal bei der Lieferantenprüfung in Großbritannien und weltweit |
| SOC 2 | Unabhängige Bestätigung der Sicherheits- und Verfügbarkeitskontrollen | Oftmals obligatorisch für den Verkauf an Unternehmenskunden und US-Kunden |
| NIS 2 | Sicherheits- und Vorfallsmeldepflichten für digitale und Managed-Service-Anbieter | Bringt viele Anbieter direkt in den regulatorischen Geltungsbereich. |
| DORA | Regeln für das IKT-Risiko von Drittanbietern für Lieferanten im Finanzsektor | Finanzkunden müssen Ihre Widerstandsfähigkeit überwachen, sonst verlieren sie Ihre Treue. |
Wie der Resilienzkreislauf für Anbieter Anwendung findet
Für einen Anbieter sind die drei Bereiche des Resilienzkreislaufs nicht abstrakt, sondern die Dinge, anhand derer Ihre Kunden Sie überprüfen.
- Informationssicherheit: Schutz von Mandantensystemen und Kundenumgebungen, verankert in ISO 27001 und belegt durch SOC 2.
- DatenschutzErfüllen Sie Ihre Auftragsverarbeitungspflichten für Kunden- und Endnutzerdaten, verankert in ISO 27701 und die britische Datenschutz-Grundverordnung (DSGVO).
- KI-Governance: Steuern Sie die KI-Funktionen, die Sie an Kunden ausliefern, verankert in ISO 42001 .
Einfacher Einstieg mit einer persönlichen Produktdemo
Einer unserer Onboarding-Spezialisten führt Sie durch unsere Plattform, damit Sie selbstbewusst loslegen können.
Wie können Anbieter Resilienz aufbauen und unter Beweis stellen?
Betrachten Sie Ihre Zertifizierungen zunächst als ein zusammenhängendes System und nicht als separate Projekte . So können Sie dieselben Nachweise gleichzeitig für ISO 27001, SOC 2, NIS 2 und die Sorgfaltspflichten gegenüber Ihren Kunden verwenden. Erfassen Sie die Services, auf die Ihre Kunden angewiesen sind, legen Sie Toleranzgrenzen für die Wiederherstellung fest, testen Sie diese und halten Sie die Nachweise aktuell. Unser Leitfaden zum Aufbau von Geschäftsresilienz beschreibt die einzelnen Schritte, und die operative Resilienz erläutert den Ansatz der Auswirkungstoleranz.
Warum sollten Sie sich für ISMS.online im Bereich Managed IT und Software-Resilienz entscheiden?
Die meisten Tools helfen Ihnen, Kriterien abzuhaken. ISMS.online hilft Ihnen, nachweisbare Resilienz aufzubauen.
- Kunden gewinnen und binden: Die nach ISO 27001, SOC 2 und NIS 2 zertifizierten Nachweise in Vertrauenssignale umwandeln, die zum Vertragsabschluss führen und die Due-Diligence-Prüfung von Lieferanten bestehen.
- Ein vernetztes System: Informationssicherheit, Datenschutz und KI-Governance gemeinsam auf einer einzigen Plattform verwalten, nicht in drei voneinander getrennten Tools.
- Zertifizierbar durch DesignJede Maßnahme entspricht den Normen ISO 27001, ISO 27701, ISO 42001 und ISO 22301, sodass Ihre Resilienz nachweisbar ist.
- Nachweis auf AnfrageDen Aufsichtsbehörden, Wirtschaftsprüfern und Kunden Beweise für ihre Widerstandsfähigkeit liefern, nicht nur Versprechungen.
- Geprägt von fundiertem Fachwissen: Geführte Implementierung durch echte Spezialisten, keine automatisierte Einrichtung ohne Eingriff, die das Risiko verschleiert.
- Kontinuierlich, nicht periodisch: ein Echtzeit-Überblick über Ihre Risiken und Kontrollen, anstatt der jährlichen Hektik vor einer Prüfung.
- Konzipiert für regulierte Märkte: Konzipiert für Organisationen, bei denen Sicherheit, Datenschutz und Vertrauen die Kaufentscheidung bestimmen.
Erkunden Sie die Business-Resilienz-Plattform ISMS.online und sehen Sie, wie sie in der Praxis funktioniert.
Häufig gestellte Fragen
Warum benötigen Managed Service Provider (MSPs) und SaaS-Anbieter ISO 27001 oder SOC 2?
Denn Kunden nutzen sie als Beweis dafür, dass Sie mit ihren Daten und Systemen vertrauenswürdig umgehen können. ISO 27001 und SOC 2 sind die beiden Zertifizierungen, die Käufer im Rahmen der Lieferantenprüfung am häufigsten verlangen, und das Fehlen dieser Zertifizierungen kostet Sie zunehmend Aufträge.
Gilt NIS 2 auch für Managed Service Provider?
Ja. NIS 2 bezieht Managed Service Provider und viele digitale Service Provider direkt in den Geltungsbereich ein und verpflichtet sie zu Sicherheits- und Vorfallsmeldungspflichten. Anbieter, die wichtige Einrichtungen betreuen, sind besonders gefährdet.
Was ist Konzentrationsrisiko?
Das Konzentrationsrisiko besteht darin, dass viele Organisationen vom selben Anbieter abhängig sind und ein einzelner Vorfall bei diesem Anbieter alle gleichzeitig beeinträchtigt. Aus diesem Grund prüfen Aufsichtsbehörden und große Kunden die Ausfallsicherheit von IT- und Softwareanbietern heutzutage so genau.
