Schwarz auf weiss: xappido ist nach ISO/IEC 27001 zertifiziert

Informationssicherheit lässt sich schlecht vorzeigen. Man sieht sie nicht auf dem Bildschirm, und im Projektalltag fällt sie meist erst auf, wenn etwas fehlt. Deshalb freut es uns, dass wir sie jetzt belegen können: Die ATTESTA Schweizer Zertifizierungsgesellschaft AG hat xappido nach ISO/IEC 27001:2022 zertifiziert, dem international anerkannten Standard für Informationssicherheit.

Zertifiziert heisst nicht, dass wir eine bestimmte Software gekauft haben. Die Norm schreibt keine Technik vor. Sie verlangt ein Managementsystem: nachvollziehbare Regeln dafür, wie ein Unternehmen mit Informationen umgeht, wer wofür verantwortlich ist, wie beides überprüft und weiterentwickelt wird.

Was die Norm verlangt

Am Anfang steht eine unspektakuläre Frage: Welche Informationen haben wir überhaupt, und welche davon sind wie schützenswert? Aus der Antwort werden Richtlinien, Zuständigkeiten und eine Klassifizierung – denn nicht alles ist gleich sensibel, und wer alles gleich streng behandelt, behandelt am Ende nichts richtig.

Darauf folgt die Risikobetrachtung. Wo kann etwas schiefgehen, wie wahrscheinlich ist es, und wie gross wäre die Wirkung? Erst wenn das auf dem Tisch liegt, lässt sich entscheiden, welche Massnahmen es wirklich braucht. Genau in dieser Reihenfolge haben wir gearbeitet: zuerst die Übersicht, dann die Regeln, dann die Massnahmen und zum Abschluss die Wirksamkeitsüberprüfung.

Wofür das Zertifikat gilt

Ein Zertifikat gilt immer für einen festgelegten Geltungsbereich, und der steht auf dem Dokument. Bei uns umfasst er «Konzeption, Entwicklung, Implementierung, Wartung & Betrieb von Softwarelösungen sowie damit verbundene Dienstleistungen».

Das ist bewusst die ganze Kette und nicht bloss die Verwaltung im Hintergrund: von der ersten Konzeption über die Entwicklung in unseren Büros in Sursee bis zum Betrieb der Lösung, die danach jeden Tag läuft.

Was das für Ihre Projekte bedeutet

Der Unterschied zu einer Selbstauskunft ist die unabhängige Stelle. Nicht wir bestätigen, dass unsere Abläufe taugen, sondern eine Zertifizierungsgesellschaft, die sie geprüft hat – und die wiederkommt: Das nächste Überwachungsaudit steht im Juni 2027 an. Ein Managementsystem, das nur auf dem Papier existiert, hält das nicht durch.

Für Sie heisst das dreierlei. Sie wissen, wie wir mit Ihren Informationen umgehen, weil es geregelt ist und nicht von der Person abhängt, die gerade am Projekt sitzt. Sie können sich auf den Nachweis berufen, wo Informationssicherheit belegt werden muss, etwa in einer Ausschreibung. Und Sie bekommen die Fragen zur Sicherheit früh gestellt, nicht erst kurz vor dem Aufschalten – weil sie bei uns zum Vorgehen gehören.

Der Weg dorthin, öffentlich dokumentiert

Wir haben den Weg zur Zertifizierung von Anfang an gezeigt, statt nur das Ergebnis zu präsentieren. In einer dreiteiligen Videoserie erklärt Sandra aus unserer ICT und Projektleitung, wie wir vorgegangen sind: von der Prozesslandkarte als Grundlage über Richtlinien und die Klassifizierung von Informationen bis zur Risikoanalyse. Dazu kommt der Moment, auf den die Serie hinausläuft – das Zertifikat in den Händen.

Informationssicherheit bleibt unsichtbar, solange sie funktioniert. Nachweisen lässt sie sich jetzt trotzdem.