ISO 27001 bei Dienstplan-Software: Was das Zertifikat wirklich belegt – und wie Sie es in fünf Minuten prüfen

ISO/IEC 27001 beschreibt keine technische Sicherheitsarchitektur, sondern ein Managementsystem: Wer die Norm umsetzt, muss den Kontext der Organisation bestimmen (Kapitel 4), Verantwortung der Leitung festlegen (5), Risiken bewerten und behandeln (6), Ressourcen und Kompetenzen sicherstellen (7), den Betrieb steuern (8), die Leistung bewerten (9) und sich fortlaufend verbessern (10). Erst der Anhang A nennt konkrete Maßnahmen („Controls“). Sie sind nicht alle Pflicht; die Organisation wählt in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) begründet aus, welche sie umsetzt und welche sie ausschließt.

Die aktuelle Fassung ISO/IEC 27001:2022 wurde im Oktober 2022 veröffentlicht. Sie hat den Anhang A von 114 auf 93 Controls gestrafft und in vier Themen gegliedert: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Maßnahmen. Elf Controls sind neu, darunter Threat Intelligence (5.7), Informationssicherheit bei Cloud-Diensten (5.23), Konfigurationsmanagement (8.9), Löschung von Informationen (8.10), Datenmaskierung (8.11), Schutz vor Datenabfluss (8.12), Web-Filterung (8.23) und sichere Programmierung (8.28). Für die Bewertung von SaaS-Anbietern sind genau diese neuen Controls interessant, weil sie den Cloud-Betrieb erstmals ausdrücklich adressieren.

Praktische Folge: Ein Zertifikat, das noch „ISO/IEC 27001:2013“ ausweist, ist seit dem 1. November 2025 ungültig – unabhängig vom aufgedruckten Ablaufdatum. Wer 2026 auf einer Anbieterseite noch ein 2013er-Zertifikat findet, hat entweder einen veralteten Webauftritt vor sich oder einen Anbieter, der den Übergang verpasst hat. Beides ist eine Nachfrage wert.

Der häufigste Fehler in Auswahlprojekten ist, das Zertifikat als Produktprüfung zu lesen. Zertifiziert wird nie eine Software, sondern die Organisation, die sie betreibt – und auch die nur in dem Umfang, den der Geltungsbereich beschreibt. Ein Anbieter kann sein ISMS für „Entwicklung und Betrieb der SaaS-Plattform X an den Standorten Y“ zertifizieren lassen, aber ebenso gut nur für „die interne IT der Verwaltung“. Beides ergibt ein echtes ISO-27001-Zertifikat; nur das erste sagt etwas über den Dienst aus, den Sie kaufen.

Zwei Missverständnisse verdienen einen eigenen Satz. Erstens: ISO 27001 ist keine Zertifizierung nach Art. 42 DSGVO. Sie kann als Baustein für die „hinreichenden Garantien“ nach Art. 28 Abs. 1 DSGVO dienen, ersetzt aber weder den Auftragsverarbeitungsvertrag noch dessen TOM-Anlage. Zweitens: Ein Zertifikat des Rechenzentrumsbetreibers ist nicht das Zertifikat des Software-Anbieters. Viele SaaS-Anbieter verweisen auf die Zertifikate ihres Infrastruktur-Dienstleisters – das deckt den physischen Betrieb ab, aber nicht die Entwicklung, das Zugriffskonzept und den Support des Anbieters selbst.

Lassen Sie sich das Zertifikat als PDF geben – nicht das Logo, nicht den Satz auf der Website. Die folgenden sieben Prüfpunkte lassen sich ohne Fachwissen abarbeiten. Fehlt eine Angabe oder weicht sie ab, ist das kein Ausschlussgrund, aber eine konkrete Rückfrage an den Anbieter.

Wer eine Stufe tiefer gehen will, fragt nach der Erklärung zur Anwendbarkeit mit Versionsstand und nach dem Datum des letzten Überwachungsaudits. Anbieter geben die SoA in der Regel unter Vertraulichkeit heraus; ein Anbieter, der sie kategorisch verweigert, sollte zumindest erklären können, welche Controls ausgeschlossen wurden und warum. Ausschlüsse bei 8.28 (sichere Programmierung) oder 5.23 (Cloud-Dienste) wären bei einem SaaS-Anbieter erklärungsbedürftig.

ISO 27001 ist der verbreitetste, aber nicht der einzige Nachweis. Drei weitere Formate begegnen Einkäufern regelmäßig – und sie beantworten unterschiedliche Fragen. Die Tabelle ordnet sie ein.

Für einen Klinikverbund, der Dienstplan-Software als Cloud-Dienst betreibt, ist deshalb nicht ISO 27001 die erste Frage, sondern C5 – weil § 393 SGB V für Leistungserbringer und ihre Auftragsverarbeiter den Cloud-Einsatz an ein C5-Testat bindet; ob die Personaldaten eines Dienstplans in jedem Fall unter die dort genannten Sozial- und Gesundheitsdaten fallen, ist im Einzelfall mit dem Datenschutzbeauftragten zu klären, spätestens bei Krankmeldungen und Beschäftigungsverboten im Plan aber naheliegend. Für einen Handelsbetrieb mit 80 Beschäftigten ist umgekehrt keines der vier Formate Pflicht; hier zählt, ob der Anbieter die Fragen aus Abschnitt 06 belastbar beantwortet.

Eine gesetzliche Pflicht, nur ISO-zertifizierte Dienstplan-Software einzusetzen, gibt es nicht. Drei Regelwerke erzeugen sie aber mittelbar – über Nachweispflichten des Kunden, die er auf seine Lieferanten durchreicht.

NIS-2. Das deutsche Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten. „Besonders wichtige“ und „wichtige“ Einrichtungen – darunter Krankenhäuser, Energie- und Wasserversorger, Logistiker, Lebensmittelhersteller und größere Unternehmen der produzierenden Industrie – müssen Risikomanagementmaßnahmen umsetzen, zu denen nach Art. 21 Abs. 2 lit. d der Richtlinie (EU) 2022/2555 ausdrücklich die Sicherheit der Lieferkette gehört. Wer selbst unter NIS-2 fällt, muss belegen können, dass auch seine Software-Lieferanten angemessene Maßnahmen umsetzen. Ein ISO-27001-Zertifikat des Anbieters ist dafür der einfachste Beleg – ein beantworteter Fragenkatalog mit Nachweisen der zweitbeste.

DSGVO. Art. 28 Abs. 1 verlangt, nur Auftragsverarbeiter mit „hinreichenden Garantien“ einzusetzen; Art. 32 verlangt ein dem Risiko angemessenes Schutzniveau. Die Aufsichtsbehörden akzeptieren ISO 27001 als Indiz, nicht als Beweis. Ein Verantwortlicher, der weder Zertifikat noch eigene Prüfung vorweisen kann, hat bei einer Datenpanne ein Darlegungsproblem.

Öffentliche Auftraggeber und Konzerne. In Vergabeunterlagen und Lieferantenrichtlinien taucht ISO 27001 regelmäßig als Eignungskriterium auf – teils als Muss, teils „oder gleichwertig“. Bei „gleichwertig“ lohnt der Verweis auf SOC 2 Typ II oder C5 Typ 2; beide gelten in der Praxis als mindestens gleichwertig. Wie Muss-Kriterien in der Auswahl korrekt vorgeschaltet werden, beschreibt der Beitrag zur Nutzwertanalyse; die Vertragsseite der Sicherheitsanforderungen gehört in das Lastenheft.

Der Markt für Dienstplan-Software besteht überwiegend aus kleinen und mittleren Anbietern. Viele davon betreiben ihre Systeme professionell, haben aber den sechsstelligen Aufwand einer Zertifizierung gescheut. Für Betriebe ohne eigene NIS-2- oder C5-Pflicht ist das kein Ausschlussgrund – sofern der Anbieter die folgenden Fragen konkret und schriftlich beantwortet. Die Antworten gehören, wie die des 25-Fragen-Katalogs, als Anlage in den Vertrag.

Die Zuordnung zu den Controls hat einen praktischen Nutzen: Ein Anbieter, der die zehn Fragen beantwortet, hat implizit die Kernanforderungen des Anhangs A für einen SaaS-Betrieb belegt – ohne Zertifikat, aber mit nachprüfbaren Aussagen. Der Testsieger dieses Dossiers, Aplano, nennt 256-Bit-Verschlüsselung und DSGVO-konformen Datenschutz als Eckdaten; wie bei jedem Anbieter gehören die Antworten auf die zehn Fragen in die Anforderungsliste und nach der Testphase in den Vertrag. Preisliche Unterschiede zwischen zertifizierten und nicht zertifizierten Anbietern lassen sich übrigens nicht pauschal feststellen – die Zertifizierungskosten werden auf viele Kunden umgelegt; die Gesamtkostenrechnung bleibt davon unberührt.