Sicherheitsrichtlinie (ISO 27001)
Letzte Aktualisierung: Oktober 2026
1. Erklärung der Unternehmensleitung
CertiTrue LLC verpflichtet sich zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit aller Informationsressourcen, die uns von unseren Kunden, Mitarbeitern und Partnern anvertraut werden. Die Unternehmensleitung befürwortet diese Informationssicherheitsrichtlinie formell und ordnet deren Umsetzung in der gesamten Organisation an.
Diese Richtlinie wird mindestens einmal jährlich sowie bei wesentlichen Änderungen des Geschäftsbetriebs oder der Bedrohungslage überprüft. Alle Mitarbeiter sind verpflichtet, diese Richtlinie und die daraus abgeleiteten unterstützenden Verfahren zu lesen, zu verstehen und einzuhalten.
2. ISMS-Geltungsbereich
Das Informationssicherheits-Managementsystem (ISMS) von CertiTrue LLC umfasst alle Prozesse, Systeme, Personen und Einrichtungen, die an der Konzeption, Entwicklung, Bereitstellung und dem Support von Zertifizierungsdienstleistungen beteiligt sind, einschließlich cloudbasierter Plattformen, Remote-Arbeitsumgebungen und Lieferkettenbeziehungen mit Dritten.
Das ISMS ist an ISO/IEC 27001:2022 ausgerichtet und gilt für alle Festangestellten, Auftragnehmer, Berater und alle anderen Parteien, die auf Informationsressourcen von CertiTrue zugreifen.
3. Sicherheitsziele — CIA-Trias
CertiTrue legt folgende Sicherheitsziele fest und verfolgt diese, die jährlich von der Unternehmensleitung überprüft werden:
Vertraulichkeit — Sicherstellung, dass Informationen nur für autorisierte Personen zugänglich sind. Zugriff wird nach dem Prinzip der minimalen Rechte und dem Need-to-know-Prinzip gewährt und vierteljährlich überprüft.
Integrität — Schutz der Genauigkeit und Vollständigkeit von Informationen und Verarbeitungsmethoden. Änderungen an kritischen Systemen und Daten unterliegen einem formellen Änderungsmanagement.
Verfügbarkeit — Sicherstellung, dass autorisierte Benutzer jederzeit einen zuverlässigen und zeitgerechten Zugriff auf Informationen und Systeme haben. Verfügbarkeitsziele sind in Service-Level-Vereinbarungen definiert und werden durch Resilienz- und Kontinuitätspläne unterstützt.
4. Anhang-A-Maßnahmen
CertiTrue implementiert einen umfassenden Satz von Maßnahmen aus Anhang A der ISO/IEC 27001:2022, die auf Basis der Risikobeurteilung ausgewählt und in der Erklärung zur Anwendbarkeit dokumentiert sind.
Organisatorische Maßnahmen (Abschnitt 5) — Informationssicherheitsrichtlinien, Rollen und Verantwortlichkeiten, Aufgabentrennung, Kontakte mit Behörden, Bedrohungsintelligenz und Lieferantenbeziehungen werden formell verwaltet und dokumentiert.
Personenbezogene Maßnahmen (Abschnitt 6) — Sicherheitsbewusstsein und Schulungen sind für alle Mitarbeiter beim Onboarding und jährlich danach obligatorisch. Vor der Beschäftigung wird eine Hintergrundüberprüfung durchgeführt. Disziplinarverfahren gelten bei Verstößen gegen die Sicherheitsrichtlinie. Bei Beendigung des Arbeitsverhältnisses werden Zugriffsrechte unverzüglich entzogen.
Physische Maßnahmen (Abschnitt 7) — Physische Sicherheitsbereiche, Zugangskontrollen und Schutz vor Umweltbedrohungen werden für alle Räumlichkeiten aufrechterhalten. Clean-Desk- und Clean-Screen-Richtlinien werden durchgesetzt. Geräte werden nach formellen Verfahren sicher entsorgt oder wiederverwendet.
Technologische Maßnahmen (Abschnitt 8) — Benutzerendgeräte, privilegierte Zugriffsverwaltung, Informationszugangsbeschränkung, Authentifizierung, Kryptografie, sicherer Entwicklungslebenszyklus, Schwachstellenmanagement, Netzwerksicherheit und Überwachung werden durch detaillierte technische Standards geregelt. Protokolle werden mindestens 12 Monate aufbewahrt.
5. Risikomanagement und Erklärung zur Anwendbarkeit
CertiTrue folgt einem strukturierten Risikomanagementprozess gemäß ISO/IEC 27005. Risiken werden regelmäßig sowie bei wesentlichen Änderungen des Geschäftsbetriebs oder seines Umfelds identifiziert, analysiert, bewertet und behandelt.
Für jedes identifizierte Risiko werden Risikoverantwortliche benannt. Akzeptierte Risiken werden formell dokumentiert und von der Unternehmensleitung genehmigt. Das Risikoregister wird mindestens einmal jährlich überprüft.
Die Erklärung zur Anwendbarkeit (SoA) listet alle 93 Maßnahmen aus Anhang A der ISO/IEC 27001:2022 auf und gibt an, welche anwendbar sind, mit Begründung für Ein- oder Ausschluss und Implementierungsstatus. Die SoA ist ein kontrolliertes Dokument, das vom Informationssicherheitsbeauftragten gepflegt und vom Geschäftsführer genehmigt wird.
6. Incident-Management und Datenpannen-Meldung
CertiTrue unterhält ein dokumentiertes Incident-Management-Verfahren, das Erkennung, Klassifizierung, Reaktion, Wiederherstellung und Nachbereitung umfasst. Alle Mitarbeiter sind verpflichtet, vermutete Sicherheitsvorfälle unverzüglich dem Sicherheitsteam unter info@certitrue.com zu melden.
Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet CertiTrue dies der spanischen Datenschutzbehörde (AEPD) innerhalb von 72 Stunden, nachdem es davon Kenntnis erlangt hat, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Betroffene Personen werden gegebenenfalls ebenfalls unverzüglich benachrichtigt.
Für alle schwerwiegenden Vorfälle werden Nachbetrachtungen durchgeführt, und die gewonnenen Erkenntnisse fließen in den Risikomanagementprozess und die Maßnahmeverbesserung ein.
7. Geschäftskontinuität
CertiTrue integriert Informationssicherheitsanforderungen in seine Geschäftskontinuitätsplanung. Business-Impact-Analysen identifizieren kritische Prozesse sowie deren Wiederherstellungszeit- und Wiederherstellungspunktziele.
Geschäftskontinuitätspläne und Notfallwiederherstellungsverfahren werden dokumentiert, mindestens einmal jährlich getestet und nach wesentlichen organisatorischen oder technischen Änderungen aktualisiert. Backup-Verfahren stellen sicher, dass Daten innerhalb definierter Zeitrahmen wiederhergestellt werden können. Kontinuitätspläne werden von der Unternehmensleitung verantwortet und stehen den relevanten Mitarbeitern jederzeit zur Verfügung.
8. Internes Audit und Managementbewertung
CertiTrue führt interne Audits des ISMS in geplanten Abständen, mindestens jährlich, durch, um die Konformität mit ISO/IEC 27001:2022, dieser Richtlinie sowie anwendbaren gesetzlichen und regulatorischen Anforderungen zu überprüfen. Interne Auditoren sind von dem auditierten Bereich unabhängig.
Auditbefunde werden der Unternehmensleitung gemeldet. Nichtkonformitäten werden durch einen formellen Korrekturmaßnahmen-Prozess mit definierten Verantwortlichen und Zielterminen behoben.
Die Unternehmensleitung überprüft das ISMS mindestens einmal jährlich. Eingaben umfassen Auditergebnisse, Status der Risikobehandlung, Trends bei Sicherheitsvorfällen, Rückmeldungen von Interessengruppen und Verbesserungsmöglichkeiten. Ausgaben umfassen Entscheidungen zu kontinuierlichen Verbesserungsmaßnahmen, Ressourcenzuweisung und etwaige Richtlinienänderungen.
9. Kontakt
Bei Fragen oder Bedenken zu dieser Richtlinie oder den Informationssicherheitspraktiken von CertiTrue wenden Sie sich bitte an:
CertiTrue LLC
EIN 36-5132620
Miami, FL, Vereinigte Staaten