Was die beiden Normen sind
ISO/IEC 27017 gibt cloudspezifische Hinweise zu den Kontrollen von ISO 27001 und ergänzt einige eigene: wer zwischen Cloud-Anbieter und Kunde wofür verantwortlich ist, wie Kundenumgebungen getrennt werden, wie die Administratoren des Anbieters kontrolliert werden, wie virtuelle Maschinen gehärtet werden und wie der Kunde den Dienst überwachen kann. ISO/IEC 27018, zuletzt 2025 überarbeitet, behandelt personenbezogene Daten, die ein Public-Cloud-Anbieter als Auftragsverarbeiter verarbeitet: sie nur nach Weisung des Kunden verwenden, nie für Marketing, den Kunden über behördliche Ersuchen informieren, sie am Vertragsende löschen und Unterauftragsverarbeiter benennen.
Was Kunden fragen
- Ob Ihr ISO 27001-Zertifikat ISO 27017 und ISO 27018 einschließt, und für welchen Dienst.
- Die Aufteilung der Verantwortung zwischen Ihnen, Ihrem Hosting-Anbieter und dem Kunden.
- Wie die Daten eines Kunden in einer gemeinsam genutzten Anwendung von denen anderer Kunden getrennt werden.
- Wie privilegierter Zugriff Ihrer Mitarbeiter auf Kundenumgebungen eingeschränkt und protokolliert wird.
- Ob personenbezogene Daten von Kunden für eigene Zwecke verwendet werden, etwa für Marketing, Analysen oder Modelltraining.
- Wie Sie auf ein behördliches Ersuchen um Kundendaten reagieren und ob Sie den Kunden informieren.
- Wie Daten am Vertragsende zurückgegeben und gelöscht werden, Backups eingeschlossen.
Antworten als Lieferant
Wenn Ihr ISO 27001-Audit die beiden Leitfäden einschließt, sagen Sie das und zitieren Sie den Geltungsbereich. Wenn nicht, beantworten Sie die Zeilen direkt. Die meisten sind Fakten, die Sie schon in Ihren Sicherheits- und Datenschutzantworten haben, nur für einen Cloud-Dienst formuliert. Zwei Antworten brauchen eine eigene klare Aussage: die Mandantentrennung (wie die Anwendung die Daten eines Kunden von denen anderer trennt) und die Richtlinie zu behördlichen Ersuchen. Schreiben Sie beide einmal und verwenden Sie sie wieder.
In Responsemate
Diese Antworten liegen in der Wissensdatenbank neben den Antworten zu ISO 27001 und DSGVO, mit denen sie sich überschneiden, die Zertifikate hängen als Nachweise mit Ablaufdatum daran, und jeder Cloud-Fragebogen wird daraus entworfen, mit der Quelle daneben. Wissen in Responsemate.
Häufige Fragen
Können wir uns nach ISO 27017 oder ISO 27018 zertifizieren lassen?
Nicht für sich allein. Es sind Leitfäden (Codes of Practice), die im Rahmen eines ISO 27001-Audits bewertet werden, und das Zertifikat oder die Bestätigung des Auditors nennt sie dann. Kunden verstehen das so, dass der Geltungsbereich von ISO 27001 die Cloud-Kontrollen abdeckt.
Decken die ISO 27017- und 27018-Zertifikate unseres Hosting-Anbieters uns mit ab?
Sie decken die Infrastruktur ab, nicht Ihre Anwendung. Verweisen Sie bei den Zeilen zu Rechenzentrum und Plattform darauf und beantworten Sie den Rest für Ihren eigenen Dienst.